Het College Bescherming Persoonsgegevens heeft het GVB ongelijk gegeven in een bezwaarprocedure tegen een eerder besluit waarin het vervoersbedrijf gemaand werd zijn bewaartermijnen aan te passen.

De GVB vond dat de reisgegevens van de studenten geen persoonsgegevens waren omdat met de huidige gebruikte technologie niet rechtstreeks kon worden herleid van wie de opgeslagen reisgegevens precies waren. Daarom zou het vervoersbedrijf zich niet hoeven te houden aan de bewaartermijnen zoals die zijn vastgelegd in de wet.

Maar volgens de privacywaakhond zijn de reisgegevens wel degelijk te herleiden tot identificeerbare personen. De zaak leidde al deze zomer tot het opleggen van een dwangsom aan het GVB, maar dat maakte bezwaar tegen die beslissing van het CBP. Nu blijkt dat de toezichthouder voet bij stuk houdt en de dwangsom laat staan.

GVB vindt wet niet van toepassing

Volgens het GVB ging het niet om persoonsgegevens in de zin van de wet en daarom zou de Wbp niet van toepassing zijn. Het CBP beslist anders. “Volgens de wet is elk gegeven betreffende een geïdentificeerde of identificeerbare persoon een persoonsgegeven", schrijft het college. Een rol speelt hierin dat de reisgegevens gedetailleerde informatie geven over het reisgedrag van studenten, vindt het CBP verder.

In dit voorjaar is er een hoorzitting achter gesloten deuren geweest, waarbij het vooral ging over het beleid van GVB inzake de opslag van de informatie. Volgens het GVB wordt door hen alleen de reisinformatie vastgelegd, dus het in- en uitchecken, maar zijn de NAW-gegevens (naam, adres en woonplaats) in een andere database opgeslagen die in handen is van Trans Link Systems (TLS). Het GVB zou daar geen toegang toe hebben.

Gegevens zijn te koppelen

Maar het CBP zegt dat er volgens de wet moet worden gekeken naar de technologische mogelijkheden om die gegevens te (kunnen) koppelen en dat is dus mogelijk. Daardoor is er wel degelijk sprake van persoonsgegevens in de zin van de wet, betoogt de privacywaakhond.

De uitspraak van het CBP betekent dat het Amsterdamse vervoersbedrijf voor 1 januari moet zorgen dat de bewaartermijn van die gegevens voldoen aan de Wet bescherming persoonsgegevens (Wbp). Als dat niet gebeurt is de GVB een dwangsom verschuldigd die kan oplopen tot maximaal 250.000 euro. Het GVB heeft toegezegd aan de eis te voldoen, zegt het CBP.