Jurisprudencia Iberoamericana
sobre Protección de Datos Personales

  Inicio  -  Busquedas  -  Presentación  -  Ayuda  -  Recortes de prensa 25 de Octubre de 2021  

Idioma
Español
Português
Català
English
 




derechos
habeas data
datos personales
honor
imagen
intimidad
olvido

personas
fallecidas
figuras públicas
niños y adolescentes
personas morales

tipo de datos
ambiente laboral
electorales
historial crediticio
Internet
judiciales
medios
salud
telecomunicaciones
vigilancia

legislación
específica
relacionada
sectorial

doctrina



Países
RedIPD
Europa
las Américas
Andorra
Argentina
Bolivia
Brasil
Chile
Colombia
Costa Rica
Ecuador
el mundo
El Salvador
España
Guatemala
Honduras
México
Nicaragua
Panamá
Paraguay
Perú
Portugal
República Dominicana
Uruguay
Venezuela
 
 
Países
 


.
Europa [ 09 Junio 2011 ] [Holanda - College bescherming persoonsgegevens]  Decisión z2011-00054    caché ES 

Un grupo de estudiantes utilizando una clínica legal presentaron un reclamo ante la College bescherming persoonsgegevens (CBP)(Autoridad de Protección de Datos) considerando que las tarjetas inteligentes para uso de trasportes públicos acumulaban datos personales innecesarios y por un periodo excesivo.

CBP ha determinado que la GVB, por medio de la utilización de la tarjeta inteligente guarda y trata datos de carácter personal durante y después de cada viaje de los estudiantes. En virtud del artículo 6 conjuntamente con el párrafo 10 del Ley de Protección de Datos, los datos personales no deben ser guardados por un período no superior al necesario para la realización los fines para los que fueron recogidos o sucesivamente tratados.

CBP sin embargo, observó que GVB ha establecido ahora los períodos de retención, si bien a esta fecha aún no se han puesto en práctica estos períodos de retención. CBP concluye que GVB todavía actúa contrario al artículo 6 conjuntamente con el párrafo 10 de la Ley de Protección de Datos. CBP, y que en virtud del artículo 65 Ley de Protección de Datos está facultada para imponer sanciones administrativas por incumplimiento de las obligaciones impuestas por o bajo la Ley.

Se imponen a GVB obligaciones: plazos máximos de retención entre 6 y 24 meses (según se trate de reclamaciones o reembolsos, o fines fiscales). Los datos deben ser anonimizados.

Se impone una multa de € 5.000 (cinco mil euros), por cada semana o parte de la misma en el que la GVB incumpla la medida en su totalidad. Se establece un máximo de € 250.000 para las sanciones acumuladas.

[25 Noviembre 2011] Decisión de la apelación: No obstante la CBP entiende que las objeciones de los estudiantes son injustificadas, mantiene la decisión atacada entendiendo que las objeciones están satisfechas con los argumentos de la presente decisión. La CBP rechaza la demanda por compensación de gastos.



OPENBARE VERSIE 

AANGETEKEND alsmede per gewone post 

GVB Exploitatie B.V. 

T.a.v. de directie 

ONDERWERP 

Last onder dwangsom 

DATUM 

9 juni 2011 

ONS KENMERK 

z2011-00054 

CONTACTPERSOON 

UW BRIEF VAN 

UW KENMERK 

Geachte directie, 

Het College bescherming persoonsgegevens (CBP) heeft op grond van artikel 60 Wet 

bescherming persoonsgegevens (Wbp) ambtshalve onderzoek ingesteld naar de verwerking 

van transactiegegevens door GVB Exploitatie B.V. (GVB). Het CBP heeft geconstateerd dat GVB 

persoonsgegevens verwerkt tijdens en na het in- en uitchecken met de studenten OV-chipkaart 

en hierbij de Wbp overtreedt. Naar aanleiding van dit onderzoek is tijdens het collegeoverleg 

van 7 juni 2011 besloten om GVB een last onder dwangsom op te leggen wegens overtreding 

van artikel 6 j° 10 Wbp. 

 

§ 1. Het verloop van de procedure 

Bij brief van 29 maart 2010 heeft het CBP aan GVB medegedeeld dat er een onderzoek is gestart 

ex artikel 60 Wbp en GVB op korte termijn een verzoek om inlichtingen zal ontvangen. Dit 

onderzoek richt zich op de verwerking van persoonsgegevens door GVB wanneer studenten 

in- en uitchecken met de studenten OV-chipkaart. Het hangt samen met soortgelijke 

onderzoeken bij de Rotterdamse Elektrische Tram N.V. (RET), NS Groep N.V. (NS) en Trans 

Link Systems B.V. (TLS). 

Het CBP heeft bij brief van 1 april 2010 aan GVB een verzoek om inlichtingen gestuurd. 

Bij brief van 21 april 2010 heeft GVB het verzoek om inlichtingen beantwoord. Tevens heeft 

GVB de volgende documenten meegezonden: een overzicht met data die worden verkregen bij 

het in- en uitchecken, een kopie proces verbaal bij zwartrijden, alsmede een rapport van een 

privacy audit van 29 mei 2008, opgesteld door [Y]. In dit rapport geeft [Y] onder meer aan dat 

verbeteringen noodzakelijk zijn om te kunnen voldoen aan de formele eisen uit de Wbp. [Y] 

concludeert tevens dat het onder meer nodig is om bewaartermijnen vast te stellen en dat 

gegevensverzamelingen, waarvoor geen wettelijke bewaarplicht bestaat of waarbij een 

gerechtvaardigd belang om deze te bewaren ontbreekt, dienen te worden geschoond. 

GVB heeft in de brief voorts opgemerkt dat de privacy audit niet specifiek ziet op de studenten 

OV-chipkaart maar een algemene privacy audit betreft. Bovendien betreft het een gedateerd 

rapport en zijn er volgens GVB inmiddels verbetermaatregelen getroffen. 

 

Voorlopige bevindingen 

Het CBP heeft bij brief van 16 juli 2010 aan GVB het rapport voorlopige bevindingen doen 

toekomen. Het CBP heeft de volgende overtredingen geconstateerd: 

 

i. GVB heeft niet voor alle doeleinden waarvoor zij persoonsgegevens verzamelt en 

verwerkt bewaartermijnen vastgesteld. De bewaartermijnen die wel zijn 

vastgesteld, zijn bovendien niet onderbouwd, zodat niet kan worden vastgesteld 

waarom het noodzakelijk is in de zin van artikel 10 Wbp om de persoonsgegevens 

gedurende de genoemde termijnen te bewaren; 

 

ii. GVB beschikt bovendien niet over een verantwoord beleid ten aanzien van de 

bewaartermijnen; 

 

iii. GVB handelt derhalve in strijd met artikel 6 j° 10 Wbp. 

 

Zienswijze 

Bij brief van 1 september 2010 heeft GVB in reactie op de voorlopige bevindingen een 

zienswijze aan het CBP doen toekomen alsmede een overzicht met bewaartermijnen alsmede 

een memo van 30 juni 2008 van GVB betreffende een inventarisatie van bewaartermijnen 

binnen de OV-branche. 

Per e-mail van 6 september 2010 heeft het CBP bij GVB aanvullende informatie met betrekking 

tot de bewaartermijnen opgevraagd. 

GVB heeft de verzochte informatie per e-mail van 10 september 2010 verstrekt. Aan de e-mail 

heeft GVB de “Gedragscode verwerking persoonsgegevens OV-chipkaart door OV-bedrijven” 

gehecht. Verder geeft GVB aan dat het ministerie van Financiën de afspraken tussen het 

ministerie, de vervoerbedrijven en TLS over de fiscale bewaartermijnen heeft neergelegd in een 

brief waarover het CBP op korte termijn zal worden geïnformeerd. 

Per e-mail van 21 september 2010 heeft het CBP een kopie van de brief van het ministerie van 

Financiën van 3 september 2010 ontvangen. Volgens deze brief heeft de Belastingdienst er geen 

bezwaar tegen dat de vervoerbedrijven informatie over de met de OV-chipkaart gemaakte 

reizen ten behoeve van de belastingplichtige reizigers niet langer dan twee jaar bewaren. 

 

Definitieve bevindingen 

Op 2 december 2010 heeft het CBP het rapport definitieve bevindingen vastgesteld en 

geconcludeerd dat GVB artikel 6 j° 10 Wbp heeft overtreden en deze overtreding nog steeds 

voortduurt. 

Op 9 december 2010 heeft het CBP de definitieve bevindingen openbaargemaakt op de website 

van het CBP. 

 

Voornemen tot handhaving 

Het CBP heeft GVB bij brief van 9 februari 2011 in kennis gesteld van zijn voornemen om 

handhavend op te treden. Het CBP heeft GVB bericht voornemens te zijn om een last onder 

dwangsom op te leggen op grond van artikel 65 Wbp j° 5:32 Algemene wet bestuursrecht 

(Awb). Gelijktijdig heeft het CBP GVB uitgenodigd voor een hoorzitting en kenbaar gemaakt 

dat ter voorbereiding op de hoorzitting nadere vragen zullen worden toegezonden. 

Bij fax en aangetekende brief van 21 februari 2011 heeft [X] zich als advocaat-gemachtigde mede 

namens GVB gesteld. Voorts heeft [X] verzocht om een gevoegde behandeling van de 

hoorzittingen van GVB en de overige betrokken bedrijven en op beslotenheid van de zitting(en) 

aangedrongen omdat tijdens de hoorzitting ook bedrijfsvertrouwelijke informatie aan de orde 

zal komen. 

Het CBP heeft bij brief van 24 februari 2011 de vragen ter voorbereiding van de hoorzitting aan 

de advocaat-gemachtigde toegestuurd. Tevens heeft het CBP in reactie op het desbetreffende 

verzoek van de advocaat-gemachtigde laten weten dat de hoorzitting achter gesloten deuren zal 

plaatsvinden en dat iedere partij afzonderlijk wordt gehoord. 

 

Hoorzitting 

Op 15 maart 2011 heeft de hoorzitting achter gesloten deuren plaatsgevonden. Naast een 

pleitnota heeft GVB tevens de volgende bijlagen overgelegd: (Bijlage 1) een brief van [Y] van 15 

maart 2011 met bijlage, (Bijlage 2) bladzijde 7 van het besluit van de Staatssecretaris van 

Financiën van 28 december 2010, (Bijlage 3) een brief van [Y] van 14 maart 2011, met als bijlagen 

een ongedateerde brief van het Ministerie van Financiën, de Nadere memorie van antwoord 

inzake de Wijziging van de Algemene wet inzake rijksbelastingen (Awr), Eerste Kamer, 

vergaderjaar 1993-1994, 21 287 en 21 339, nr. 15d, (Bijlage 4) een brief van het ministerie van 

Financiën aan Mobis1 van zomer 2008, (Bijlage 5) een schematische overzicht van het nieuwe 

data warehouse systeem van GVB per medio 2011, (Bijlage 6) een verslag van het Ministerie van 

Infrastructuur en Milieu (I&M) van 19 januari 2011 inzake het Landelijk consumenten overleg 

(LCO) over de bewaartermijn van transactiegegevens voor de Belastingdienst. 

 

1 Mobis is de branchevereniging van ondernemingen in het collectief personenvervoer over weg en rail. 

Bij de vereniging zijn onder meer ondernemingen in het stads- en streekvervoer en NS Reizigers aangesloten. 

 

Kort samengevat stelt GVB zich primair op het standpunt dat er geen reden is om handhavend 

op te treden omdat er geen sprake is van persoonsgegevens. Subsidiair betoogt GVB dat 

voorzover er sprake mocht zijn van persoonsgegevens er een wettelijke grondslag bestaat voor 

de verwerking van persoonsgegevens door GVB en dat de door haar gestelde bewaartermijnen 

niet langer zijn dan noodzakelijk. Meer subsidiair is GVB van mening dat zo er al sprake mocht 

zijn van een overtreding bijzondere omstandigheden handhavend optreden door CBP 

verhinderen. Voorts verzoekt GVB in geval er toch handhavend mocht worden opgetreden om 

een begunstigingstermijn van een jaar, zodat GVB in staat wordt gesteld om de reeds 

geïnitieerde implementatie van de bewaartermijnen af te ronden. 

 

Het CBP heeft GVB tijdens de hoorzitting verzocht om na de hoorzitting aanvullende stukken 

aan het CBP toe te zenden. Het CBP heeft gelijktijdig medegedeeld dat in beginsel binnen zes 

weken een besluit zal worden genomen. 

Verloop na de hoorzitting 

Bij brief van 29 maart 2011 heeft de advocaat-gemachtigde in vervolg op de hoorzitting een 

drietal documenten aan het CBP gezonden: een schematisch overzicht van de bewaartermijnen 

met toelichting, detailcommentaar op het rapport bevindingen van december 2010, toelichting 

op de termijn die noodzakelijk is voor implementatie van de bewaartermijnen. 

 

Het CBP heeft bij brief van 29 maart 2011 aan GVB een concept hoorzittingverslag toegezonden. 

 

Bij brief van 12 april 2011 heeft de advocaat-gemachtigde namens GVB gereageerd op het 

concept-hoorzittingverslag. 

Bij faxbericht van 20 april 2011 heeft de advocaat-gemachtigde het CBP verzocht om de 

besluitvorming vier weken aan te houden zodat de meest actuele stand van zaken in de 

afweging kan worden betrokken. De advocaat-gemachtigde heeft toegelicht dat GVB in 

afwachting is van een bevestigingsbrief van het ministerie van Financiën en goedkeuring van 

de landelijke consumentenorganisaties inzake het verder inkorten van de fiscale bewaartermijn 

en de daarmee samenhangende bewaartermijn voor servicedoeleinden. 

 

Het CBP heeft bij brief van 21 april 2011 aan de advocaat-gemachtigde bericht dat de beslissing 

vier weken zal worden aangehouden in afwachting van de schriftelijke bevestiging van het 

ministerie van Financiën aan GVB inzake de inkorting van de bestaande fiscale bewaartermijn. 

Het CBP heeft GVB gelijktijdig verzocht om de planning voor de implementatie van de 

bewaartermijnen nader te motiveren en aangegeven dat nader uitstel niet zal worden verleend. 

 

Bij brief van 28 april 2011 heeft het CBP het definitieve verslag van de hoorzitting aan GVB 

toegezonden. 

 

Bij brief van 19 mei 2011 heeft de advocaat-gemachtigde van GVB aan het CBP bericht dat de 

consumentenorganisaties in het Landelijk Consumenten Overleg akkoord zijn gegaan met het 

voorstel om de bewaartermijn voor servicedoeleinden terug te brengen tot 18 maanden. Een 

kopie van een e-mail van de reizigersorganisatie Rover van 22 april 2011 waaruit dit blijkt, is als 

bijlage aan de brief gehecht. Voorts bericht de advocaat-gemachtigde in de brief dat met het 

ministerie van Financiën tevens een principe-akkoord is bereikt. Een e-mail van het ministerie 

van Financiën van 17 mei 2011 is als bijlage meegezonden. Verder legt de advocaat-

gemachtigde een herziene planning inzake implementatie van de bewaartermijnen en een 

schriftelijke onderbouwing over. 

 

§ 2. Het wettelijk kader 

Artikel 1 Wbp luidt, voor zover relevant: 

In deze wet en de daarop berustende bepalingen wordt verstaan onder: 

a. persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke 

persoon; 

b. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met 

betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, 

ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door 

middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, 

samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of 

vernietigen van gegevens; 

[…] 

 

d. verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het 

bestuursorgaan dat, alleen of te zamen met anderen, het doel van en de middelen voor de 

verwerking van persoonsgegevens vaststelt; 

[…] 

o. verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens. 

Artikel 6 Wbp luidt: 

Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige 

wijze verwerkt. 

 

Artikel 7 Wbp luidt: 

Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde 

doeleinden verzameld. 

 

Artikel 8 Wbp luidt: 

Persoonsgegevens mogen slechts worden verwerkt indien: 

a. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend; 

b. de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de 

betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van 

een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst; 

c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan 

de verantwoordelijke onderworpen is; 

d. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de 

betrokkene; 

e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke 

taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens 

worden verstrekt, of 

f. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang 

van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het 

belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht 

op bescherming van de persoonlijke levenssfeer, prevaleert. 

Artikel 10 Wbp luidt: 

1. Persoonsgegevens worden niet langer bewaard in een vorm die het mogelijk maakt de 

betrokkene te identificeren, dan noodzakelijk is voor de verwerkelijking van de doeleinden 

waarvoor zij worden verzameld of vervolgens worden verwerkt. 

2. Persoonsgegevens mogen langer worden bewaard dan bepaald in het eerste lid voor zover ze 

voor historische, statistische of wetenschappelijke doeleinden worden bewaard, en de 

verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de 

desbetreffende gegevens uitsluitend voor deze specifieke doeleinden worden gebruikt. 

 

Artikel 65 Wbp luidt: 

Het College is bevoegd tot oplegging van een last onder bestuursdwang ter handhaving van de 

bij of krachtens deze wet gestelde verplichtingen. 

Artikel 2, onder a, van de richtlijn 95/46/EG (richtlijn) luidt: 

“In de zin van deze richtlijn wordt verstaan onder: 

a) "persoonsgegevens", iedere informatie betreffende een geïdentificeerde of identificeerbare 

natuurlijke persoon, hierna "betrokkene" te noemen; als identificeerbaar wordt beschouwd een 

persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een 

identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of 

haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;” 

 

Artikel 5:32 Awb luidt: 

1. Een bestuursorgaan dat bevoegd is een last onder bestuursdwang op te leggen, kan in plaats 

daarvan aan de overtreder een last onder dwangsom opleggen. 

2. Voor een last onder dwangsom wordt niet gekozen indien het belang dat het betrokken 

voorschrift beoogt te beschermen zich daartegen verzet. 

 

Artikel 52 Awr luidt, voor zover relevant: 

1.Administratieplichtigen zijn gehouden van hun vermogenstoestand en van alles betreffende 

hun bedrijf, zelfstandig beroep of werkzaamheid naar de eisen van dat bedrijf, dat zelfstandig 

beroep of die werkzaamheid op zodanige wijze een administratie te voeren en de daartoe 

behorende boeken, bescheiden en andere gegevensdragers op zodanige wijze te bewaren, dat te 

allen tijde hun rechten en verplichtingen alsmede de voor de heffing van belasting overigens 

van belang zijnde gegevens hieruit duidelijk blijken. 

2.Administratieplichtigen zijn: 

a. lichamen; 

b. natuurlijke personen die een bedrijf of zelfstandig een beroep uitoefenen, alsmede natuurlijke 

personen die belastbare winst uit onderneming als bedoeld in artikel 3.3 van de Wet 

inkomstenbelasting 2001 genieten; 

c. natuurlijke personen die inhoudingsplichtige zijn; 

d. natuurlijke personen die een werkzaamheid als bedoeld in de artikelen 3.91, 3.92 en 3.92b van 

de Wet inkomstenbelasting 2001 verrichten. 

3.Tot de administratie behoort hetgeen ingevolge andere belastingwetten wordt bijgehouden, 

aangetekend of opgemaakt. 

4.Voorzover bij of krachtens de belastingwet niet anders is bepaald, zijn administratieplichtigen 

verplicht de in de voorgaande leden bedoelde gegevensdragers gedurende zeven jaar te 

bewaren. 

[…] 

6.De administratie dient zodanig te zijn ingericht en te worden gevoerd en de gegevensdragers 

dienen zodanig te worden bewaard, dat controle daarvan door de inspecteur binnen een 

redelijke termijn mogelijk is. Daartoe verleent de administratieplichtige de benodigde 

medewerking met inbegrip van het verschaffen van het benodigde inzicht in de opzet en de 

werking van de administratie. 

 

§ 3. Het OV-chipkaartsysteem en de studenten OV-chipkaart 

De OV-chipkaart2 is een op afstand uitleesbare kaart die is voorzien van een chip en een 

 

2 Er bestaan drie varianten van de OV-chipkaart: de anonieme OV-chipkaart; de persoonsgebonden 

OV-chipkaart zonder producten van een OV-bedrijf en de persoonsgebonden OV-chipkaart met producten van 

een of meerdere OV-bedrijven (zoals abonnementen). Bij de anonieme OV-chipkaart worden geen 

persoonsgegevens verwerkt. 

 

3 Kaartnummer op de chip, noodzakelijk om vast te stellen of het een authentieke door TLS uitgegeven kaart 

betreft. 

 

4 http://www.translink.nl/content.asp?languageID=NL&pageID=1. 

 

5 TLS betreft een niet-geconsolideerde dochteronderneming van de OV-bedrijven. Zie onder meer bladzijde 2 

van het [Y]-rapport “Toets rapportage TLS/vervoersbedrijven OV-chipkaart fraude” van 24 februari 2011. 

 

6 Zie voor een nadere toelichting blz. 7 van het rapport definitieve bevindingen. 

 

7 Er worden voor de bepaling van het reisrecht van studenten ook gegevens verwerkt bij DUO (opvolger van de 

IB-Groep, die vaststelt wie in aanmerking komt voor welk reisrecht) en de Regisseur Studenten Reisrecht (RSR), 

de uitvoeringsorganisatie van de vervoerbedrijven voor het studentenreisrecht, die ervoor zorgt dat het 

reisrecht op de OV-chipkaart wordt gezet. Deze verwerkingen blijven in dit onderzoek buiten beschouwing. 

 

8 http://www.ib-groep.nl/particulieren/reizen/week_of_weekend.asp. 

 

9 Deze technische gegevens zijn niet relevant gebleken voor het onderhavige onderzoek en zijn derhalve verder 

beschouwing gelaten. 

 

Chip-ID.3 De OV-chipkaart wordt uitgegeven door TLS. TLS is een joint-venture4 opgericht door 

de OV-bedrijven NS, GVB, RET, Connexxion Holding N.V. (Connexxion) en HTM 

Personenvervoer N.V. (HTM).5 TLS is de centrale backoffice van het OV-chipkaartsysteem. Het 

is de bedoeling dat de OV-chipkaart op termijn als enig betaalmiddel in het gehele openbaar 

vervoer gebruikt gaat worden. 

 

 

Samen met voornoemde OV-bedrijven is TLS verantwoordelijk voor een landelijk werkend 

OV-chipkaartsysteem, waarvan de OV-chipkaart deel uitmaakt. Het OV-chipkaartsysteem 

bevat een aantal verschillende niveaus: niveau 0 (de OV-chipkaart), niveau 1 (poortjes en kastjes 

op stations en uitleesapparatuur in bussen en trams), niveau 2 (lokale systemen OV-bedrijf 

waarop data afkomstig van niveau 1 tijdelijk worden opgeslagen, zoals stations, garages en 

remises), niveau 3 (centrale verwerkingsysteem OV-bedrijf waarin data afkomstig van niveau 2 

wordt opgeslagen), niveau 4 (centraal verwerkingsysteem TLS waar data afkomstig van alle 

aangesloten OV-bedrijven zoals opgeslagen op niveau 3, door TLS worden opgeslagen en 

verwerkt).6 

TLS is als kaartuitgever voorts verantwoordelijk voor de gegevens die op de OV-chipkaart zijn 

opgeslagen. De OV-bedrijven kunnen eigen producten (zoals abonnementen en 

kortingskaarten) op de OV-chipkaart plaatsen (bijvoorbeeld een GVB- 

maand/jaarabonnement). 

 

 

Studenten die een studentenreisrecht zijn toegekend door Dienst Uitvoering Onderwijs (DUO) 

kunnen reizen met een studenten OV-chipkaart. In tegenstelling tot de reguliere OV-chipkaart 

is de studenten OV-chipkaart gekoppeld aan het recht op studiefinanciering.7 De studenten 

OV-chipkaart is daarom een persoonsgebonden OV-chipkaart met een studentenreisproduct 

waarmee naar keuze óf door de week óf in het weekend vrij gereisd kan worden.8 Buiten de 

gekozen vrij reizenperiode wordt gereisd met 40% korting. In deze kortingsperiode reizen de 

studenten met behulp van het saldo op de elektronische beurs. Deze beurs staat ook op de 

studenten OV-chipkaart. Zowel in geval van vrij reizen als in geval van reizen met korting 

reizen de studenten dus niet met een (jaar)abonnement van een OV-bedrijf. 

Indien studenten in- en uitchecken verwerkt GVB naast een aantal technische gegevens ook de 

volgende persoonsgegevens:9 

 

 

Chip-ID; 

Device-ID10; 

Soort abonnement, product en ingangsdatum en naam OV-bedrijf; 

Soort transactie (check-in/check-uit); 

Datum en tijdstip transactie; 

Het saldo voor en na de transactie alsmede de transactiewaarde. 

 

 

 

 

10 Apparaatnummer waarop de transactie plaatsvond en op basis waarvan door het systeem het afgelegde traject 

wordt bepaald. 

 

11 http://www.ib-groep.nl/particulieren/reizen/reizen.asp. 

 

12 Amsterdam en omstreken. 

 

De bovenstaande gegevens worden hierna gezamenlijk ‘transactiegegevens’ genoemd. 

 

 

GVB heeft verklaard dat bij in- en uitchecken door studenten in alle gevallen dezelfde gegevens 

worden vastgelegd. Er is geen onderscheid in de gegevensvastlegging tussen de situatie waarbij 

sprake is van ‘vrij reizen’ en ‘reizen met korting’. 

 

 

Het OV

-

chipkaartsysteem is gefaseerd ingevoerd. De OV

-

chipkaart is voor studenten vanaf 

januari 2010 het enige geldige vervoerbewijs.

11 

Het in- en uitchecken met de OV-chipkaart is 

bij GVB verplicht, ook bij het gebruik van de studenten OV-chipkaart. In de metro is de OV-

chipkaart sinds 27 augustus 2009 het enige geldige vervoerbewijs. Op 3 juni 2010 zijn trams en 

bussen van GVB in de Amsterdamse regio definitief overgegaan op de OV-chipkaart.12 

 

 

§ 4. De overtreding 

Het CBP heeft – kort samengevat – de volgende overtredingen vastgesteld: 

 

i. het merendeel van de bewaartermijnen die GVB hanteert is langer dan 

noodzakelijk; 

ii. de gestelde bewaartermijnen zijn bovendien niet geïmplementeerd in interne 

bedrijfsprocessen; 

iii. GVB beschikt derhalve niet over een verantwoord beleid ten aanzien van de 

bewaartermijnen die worden verwerkt in het kader van de studenten OV-chipkaart 

en handelt daarmee in strijd met artikel 6 j° 10 Wbp; 

iv. tevens is niet gebleken dat deze overtredingen inmiddels zijn beëindigd. 

 

 

 

§ 5. De overwegingen 

 

 

§ 5.1. Persoonsgegevens 

 

 

§ 5.1.1. Zienswijze GVB 

GVB heeft bestreden dat transactiegegevens kunnen worden aangemerkt als persoonsgegevens 

als bedoeld in artikel 1 Wbp. GVB heeft haar standpunt tijdens de hoorzitting van 15 maart 2011 

als volgt onderbouwd. GVB merkt allereerst op dat uit de toelichting op de Wbp blijkt dat voor de 

vraag of sprake is van persoonsgegevens twee factoren een rol spelen, namelijk de aard van de 

gegevens en de mogelijkheden van de verantwoordelijke om de identificatie tot stand te brengen. 

GVB is van mening dat de aard van de transactiegegevens geen aanleiding geven om te kunnen 

spreken van persoonsgegevens en evenmin is gebleken dat GVB de identificatie tot stand kan 

 

 

brengen. 

Privacy by design 

GVB heeft aangevoerd dat zij uitsluitend beschikt over transactiegegevens inclusief Chip-ID en 

dat zij de (gegevens op de) Chip-ID niet kan herleiden tot een bepaalde persoon. De 

transactiegegevens zijn volgens GVB geen direct identificerende gegevens. De NAW-gegevens 

bevinden zich in een separate database bevinden die uitsluitend toegankelijk is voor TLS. GVB 

herroept tijdens de hoorzitting haar eerder verklaring zoals verwoord in de brief van 21 april 

2010, dat GVB in specifieke gevallen via een met strikte waarborgen omklede procedure, toegang 

heeft tot de NAW-gegevens. 

Volgens GVB is er sprake van privacy by design. GVB is van mening dat als gevolg van 

technische en organisatorische maatregelen in het OV-chipkaartsysteem is geborgd dat er geen 

verband kan worden gelegd tussen de Chip-ID en de NAW-gegevens van een individuele 

student. GVB kan naar eigen zeggen in geen geval toegang verkrijgen tot de NAW-gegevens die 

zich bij TLS bevinden, noch worden deze gegevens op verzoek aan GVB verstrekt. 

GVB merkt voorts op dat het studentenreisproduct een persoonsgebonden product is. Het betreft 

echter geen reisproduct van GVB zodat de studenten “anoniem” met GVB reizen totdat zij zelf 

contact opnemen met GVB. GVB noemt als voorbeeld een verzoek van een student om service. 

Eventuele persoonsgegevens worden in verband met dit studentenreisrecht uitsluitend verwerkt 

door DUO conform de Wet studiefinanciering 2000 alsmede door de kaartuitgever TLS. GVB 

beschikt niet over NAW-gegevens. GVB legt tevens een verklaring van [Y] over van 15 maart 2011 

waaruit blijkt dat GVB een aanvullende audit heeft laten uitvoeren. De verklaring bevestigt de 

standpunten van GVB. [Y] verklaart vervolgens dat GVB met behulp van haar eigen systeem 

uitsluitend de transactiegegevens kan zien maar niet de bijbehorende NAW-gegevens. Via de 

CardMasterEnquiry van TLS kan GVB de laatste 40 transacties of de laatste 62 dagen, zonder 

NAW-gegevens inzien. 

Schending vertrouwensbeginsel 

Voorts is GVB van mening dat het CBP het begrip persoonsgegevens ruimer uitlegt dan tijdens 

het onderzoek naar aanleiding van de introductie van de OV-chipkaart in 2007. Volgens GVB 

heeft het feit dat de NAW-gegevens separaat bij TLS worden bewaard reeds tot gevolg dat er geen 

sprake (meer) is van persoonsgegevens. GVB stelt zich op het standpunt dat zij derhalve voldoet 

aan de richtlijnen die destijds door het CBP in 2008 zijn gegeven in het kader van een onderzoek 

door het CBP bij GVB. GVB is van mening dat er derhalve geen sprake kan zijn van een 

overtreding van de Wbp omdat het CBP eventuele wijzigingen in reikwijdte van het begrip 

persoonsgegevens nadien aan GVB had dienen te berichten. GVB concludeert dat het CBP dit 

heeft nagelaten en is van mening dat het CBP onzorgvuldig heeft gehandeld. GVB merkt op dat 

deze nalatigheid tot gevolg heeft dat het vertrouwensbeginsel aan een eventueel handhavend 

optreden door het CBP in de weg staat. 

Schending evenredigheidsbeginsel 

GVB stelt zich voorts op het standpunt dat in het geval de transactiegegevens al als 

persoonsgegevens kunnen worden aangemerkt, het slechts indirect identificeerbare gegevens 

betreft. De verwerking van deze gegevens brengt volgens GVB daarom slechts een beperkt risico 

op aantasting van de persoonlijke levenssfeer met zich. GVB stelt zich op het standpunt dat 

 

 

hooguit sprake kan zijn van een geringe overtreding en verwijst hiervoor naar de visie van Artikel 

29 Werkgroep. Handhavend optreden zou volgens GVB dan in strijd zijn met het 

evenredigheidsbeginsel. 

 

 

 

§ 5.1.2. Beoordeling - persoonsgegevens 

 

 

 

Identificeerbaarheid 

 

De identificeerbaarheid van de persoon is een element dat bepalend is voor de vraag of sprake 

is van een persoonsgegeven.13 Het uitgangspunt is dat een persoon identificeerbaar is, indien 

zijn identiteit redelijkerwijs, zonder onevenredige inspanning, vastgesteld kan worden. Er 

wordt onderscheid gemaakt tussen direct en indirect identificeerbare gegevens. Er is sprake van 

direct identificeerbare gegevens wanneer gegevens betrekking hebben op een persoon waarvan 

de identiteit zonder veel omwegen eenduidig vast te stellen is. Van indirect identificeerbare 

gegevens is sprake indien gegevens niet direct tot identificatie van een bepaald persoon leiden, 

maar via nadere stappen in verband kunnen worden gebracht met een bepaalde persoon.14 

Om te bepalen of een persoon identificeerbaar is, moet worden gekeken naar alle middelen 

waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking 

verantwoordelijk is dan wel door enige andere persoon in te zetten zijn om genoemde persoon 

te identificeren. Er moet worden uitgegaan van een redelijk toegeruste verantwoordelijke. In 

concrete gevallen moet echter wel rekening worden gehouden met bijzondere expertise, 

technische faciliteiten, en dergelijke van de verantwoordelijke.15 

 

 

13 Om van persoonsgegevens te kunnen spreken, dient tevens te worden vastgesteld dat het gaat om gegevens die 

betrekking hebben op een persoon. In veel gevallen zal dit uit de aard van de gegevens voortvloeien. Indien dit 

niet het geval is, zal mede aandacht moeten worden besteed aan de context waarin de gegevens worden 

vastgelegd en gebruikt. Als gegevens medebepalend zijn voor de wijze waarop een persoon in het 

maatschappelijk verkeer wordt beoordeeld of behandeld, moeten die gegevens als persoonsgegevens worden 

aangemerkt. Het (maatschappelijk) gebruik dat van gegevens wordt gemaakt is dus medebepalend voor de 

beantwoording van de vraag of sprake is van een persoonsgegeven. Zie Kamerstukken II 1997/1998, 25 892, nr. 3, 

p. 46. 

 

14 Kamerstukken II 1997/1998, 25 892, nr. 3, p. 47-48. 

 

15 Kamerstukken II 1997/1998, 25 892, nr. 3, p. 48-49, richtlijn 95/46/EG overweging 26. 

 

16 Kamerstukken II 1997/1998, 25 892, nr. 3, p. 48. Ook uit de opinie van de Werkgroep artikel 29 blijkt dat een 

nummer onder omstandigheden een persoon indirect kan identificeren, zie Advies 4/2007 over het begrip 

persoonsgegevens, blz. 13 waarin wordt verwezen naar artikel 2 van de richtlijn. 

 

17 Kamerstukken II 1997/1998, 25 892, nr. 3, p. 48. 

 

Het enkele feit dat de NAW-gegevens afgescheiden worden opgeslagen bij een andere partij 

- zoals TLS – zoals door GVB is betoogd, houdt niet in dat er geen sprake (meer) is van 

persoonsgegevens. Gegevens die zijn ontdaan van NAW-gegevens kunnen eventueel als 

indirect identificerende gegevens worden aangemerkt, omdat zij via nadere stappen met een 

bepaalde persoon in verband kunnen worden gebracht.16 

 

 

Voor de vraag of identificatie mogelijk is, dient rekening te worden gehouden met “alle 

middelen waarvan mag worden aangenomen dat zij redelijkerwijs door de verantwoordelijke 

dan wel enig ander persoon zijn in te zetten om die persoon te identificeren.”17 De vraag is dus 

of identificatie objectief gezien mogelijk is. Onder meer is daarbij relevant of er doeltreffende 

maatregelen zijn getroffen die identificatie redelijkerwijs uitsluiten. Wanneer identificatie 

bijvoorbeeld met behulp van andere bestanden nog steeds mogelijk is, kwalificeren de gegevens 

 

 

nog steeds als persoonsgegevens. 18 

 

 

18 Kamerstukken II 1997/1998, 25 892, nr. 3, p. 49. Zie tevens Advies 4/2007 over het begrip persoonsgegevens 

blz. 18. 

 

19 Advies 4/2007 over het begrip persoonsgegevens blz. 18. 

 

20 OV-chipkaart, Verwerking van persoonsgegevens ten behoeve van de OV-chipkaart bij het GVB te Amsterdam; 

bijlage 1, CBP, december 2007. 

 

In het onderhavige geval is geenszins aangetoond dat identificatie redelijkerwijs is uitgesloten. 

Het CBP heeft geconstateerd dat GVB transactiegegevens verwerkt. Tevens is gebleken dat TLS 

over een database met de bijbehorende NAW-gegevens beschikt. De stelling dat GVB niet zelf 

over de NAW-gegevens beschikt, betekent niet dat identificatie redelijkerwijs is uitgesloten. Het 

enkel onderbrengen van NAW-gegevens bij een derde – in casu TLS – is niet voldoende. Dit 

geldt temeer omdat TLS mede door GVB is opgericht en GVB medeaandeelhouder is in TLS. 

Van een onafhankelijke derde lijkt hier dus geen sprake. 

 

 

TLS is in staat de transactiegegevens en de NAW-gegevens aan elkaar te koppelen. Er is niet 

gebleken dat GVB aanvullende maatregelen heeft getroffen die identificatie redelijkerwijs 

uitsluiten. Het standpunt van GVB dat zij identificatie nimmer heeft beoogd en derhalve geen 

sprake kan zijn van persoonsgegevens is hierbij niet relevant.19 

 

 

Schending vertrouwensbeginsel 

 

GVB stelt dat het CBP nu een ruimer begrip persoonsgegevens hanteert dan tijdens het 

onderzoek in 2007 en daarmee het vertrouwensbeginsel heeft geschonden. Het CBP heeft in 

2007 onderzoek gedaan naar de verwerking van persoonsgegevens bij aanschaf van de 

OV-chipkaart en zijn bevindingen in 2008 geëvalueerd. 20 Destijds bleek GVB bij de aanschaf 

van een persoonsgebonden OV

-

chipkaart de beschikking te krijgen over de persoonsgegevens 

van de reiziger zoals NAW

-

gegevens, geboortedatum, geslacht e.d., ook wanneer de r

eiziger 

geen GVB

-

product (abonnement) afnam. Op basis daarvan heeft het CBP destijds 

geconcludeerd dat GVB persoonsgegevens verwerkte zonder te beschikken over een 

gerechtvaardigd doeleinde en bovendien meer persoonsgegevens verwerkte dan noodzakelijk 

was. 

Naar aanleiding van dit onderzoek heeft GVB aan het CBP in een brief van 14 januari 2008 

toegezegd dat door de OV

-

bedrijven geen persoonsgegevens meer zouden worden verwerkt in 

geval van aanschaf van een persoonsgebonden OV

-

chipkaart zonder product van he

t OV

-

bedrijf (abonnement). Naar aanleiding van dit onderzoek heeft GVB, naar eigen zeggen, ervoor 

zorggedragen dat NAW

-

gegevens na aanschaf van een persoonsgebonden OV

-

chipkaart 

worden vernietigd. 

In het onderzoek uit 2007 gaat het echter om andere feite

n dan in het onderhavige onderzoek. 

Het onderhavige onderzoek richt zich immers niet op overtredingen van de Wbp bij de 

verwerking van NAW

-

gegevens, zoals in het onderzoek uit 2007, maar op overtredingen van de 

Wbp bij de verwerking van 

transactiegegevens 

die 

GVB genereert wanneer studenten in

en 

uitchecken met de studenten OV

-

chipkaart. Waar in het onderzoek in 2007 derhalve ging om 

direct identificerende gegevens, gaat het in het onderhavige onderzoek om indirect 

identificerende gegevens. 

Uit de conclusies van het CBP in het onderzoek uit 2007, kan derhalve 

niet worden afgeleid dat het CBP nu een ruimer begrip persoonsgegevens hanteert. Van een 

schending van het vertrouwensbeginsel is derhalve geen sprake. 

 

 

 

 

Schending evenredigheidsbeginsel 

 

Het standpunt van GVB dat er sprake is van een beperkt risico in geval van verwerking van 

indirect identificerende gegevens als gevolg waarvan handhavend optreden achterwege dient te 

worden gelaten, deelt het CBP niet. In de opinie van Werkgroep 29 wordt onderscheid gemaakt 

tussen gepseudonimiseerde gegevens die wel en gepseudonimiseerde gegevens die niet kunnen 

worden herleid tot hun oorsprong. In het laatstgenoemde geval zijn de gegevens niet langer meer aan 

te merken als persoonsgegevens in de zin van de richtlijn en de Wbp, waardoor van een risico op 

aantasting van de persoonlijke levenssfeer geen sprake meer kan zijn. Ten aanzien van 

gepseudonimiseerde gegevens die nog wel herleidbaar zijn, geldt dat identificatie uitsluitend mogelijk 

is in welbepaalde omstandigheden als gevolg waarvan betrokkenen een geringer risico kunnen lopen 

op aantasting van de persoonlijke levenssfeer. 21 Niet is echter gebleken, noch is gesteld dat GVB 

aanvullende maatregelen heeft getroffen waaruit blijkt dat sprake is van pseudonimisering. Van een 

gering risico op de aantasting van de persoonlijke levenssfeer en daaruit voortvloeiende strijd met het 

evenredigheidsbeginsel zoals door GVB is gesteld, is derhalve geen sprake. 

 

21 Advies 4/2007 over het begrip persoonsgegeven, blz. 19 

 

 

 

§ 5.2. Bewaartermijnen – niet langer bewaren dan noodzakelijk 

Indien een verantwoordelijke op grond van een gerechtvaardigd doeleinde persoonsgegevens 

verwerkt dient de verantwoordelijke ervoor zorg te dragen dat de persoonsgegevens niet langer 

worden verwerkt dan noodzakelijk is. Indien de verantwoordelijke dit nalaat is er sprake van 

een overtreding van artikel 6 j° 10 Wbp. 

 

 

 

§ 5.2.1. Zienswijze GVB 

GVB is van mening dat de bewaartermijnen die zij heeft vastgesteld niet langer zijn dan 

noodzakelijk of inmiddels zijn herzien. Tevens heeft GVB aangegeven dat een aantal 

bewaartermijnen zijn komen te vervallen. Voorts heeft GVB toegezegd dat de bewaartermijnen 

binnen één jaar in de bedrijfsprocessen van GVB worden geïmplementeerd. 

GVB licht de door haar voorgestelde bewaartermijnen als volgt toe: 

 

 

 

voor het doeleinde debiteurenadministratie, het doeleinde concessieverplichting en het 

doeleinde overige wetgeving (niet fiscaal) worden geen transactiegegevens (meer) bewaard 

en zijn de bewaartermijnen komen te vervallen. 

 

 

 

 

Voor het doeleinde uitvoeren van de overeenkomst, waaronder het verlenen van service 

(onder andere in verband met de fiscale verplichtingen van de kaarthouder) heeft GVB 

aanvankelijk, met instemming van het ministerie van I&M en het LCO, een bewaartermijn 

vastgesteld van 24 maanden. Hierbij is volgens GVB rekening gehouden met de 

uitdrukkelijke wens van LCO dat reizigers in staat moeten worden gesteld om historische 

transactiegegevens te kunnen inzien in verband met het declareren van reiskosten bij de 

werkgever, een onderwijsinstelling of in verband met de Inkomstenbelasting en eventuele 

(juridische) procedures. GVB merkt op dat in het rapport definitieve bevindingen daarom 

ten onrechte is vermeld dat GVB zelf geen transactieoverzichten verstrekt maar reizigers 

worden doorverwezen naar webdiensten van TLS. GVB merkt op dat het noodzakelijk is 

dat ook GVB deze transactiegegevens aan de studenten beschikbaar kan stellen omdat de 

website mijn-ov.nl. van TLS uitsluitend transactiegegevens bevat vanaf het moment waarop 

 

 

 

de student een account heeft aangemaakt. Dit betekent dat de student via TLS niet kan 

beschikken over transactiegegevens uit de voorliggende periode. 

Bij brief van 19 mei 2011 bericht GVB dat deze bewaartermijn met instemming van de 

consumentenorganisaties en het ministerie van Financiën verder zal worden verkort tot 

18 maanden. 

Voor het doeleinde fiscale verplichtingen van GVB heeft GVB aanvankelijk een 

bewaartermijn van 24 maanden vastgesteld. GVB voert ter onderbouwing aan dat de fiscale 

bewaarplicht in beginsel 7 jaar bedraagt maar deze bewaartermijn als gevolg van nadere 

afspraken met het ministerie van Financiën per 1 januari 2011 is vastgesteld op 24 maanden. 

Deze bewaartermijn is volgens GVB gebaseerd op een wettelijke verplichting, meer in het 

bijzonder artikel 52 Awr j° artikel 9 Besluit van de Staatssecretaris van Financiën d.d. 

19 december 2010 (het Besluit). 22 Gedurende deze bewaartermijn mogen volgens GVB geen 

verdichte gegevens worden bewaard. Dit betekent volgens GVB dat de Chip-ID gedurende 

deze termijn niet mag worden verwijderd omdat de Belastingdienst inzage dient te kunnen 

worden verleend in alle relevante gegevens waaronder de Chip-ID. GVB verwijst hiervoor 

naar de brief van [Y] van 14 maart 2011 en de brief van het ministerie van Financiën aan 

Mobis van zomer 2008. Dit geldt zowel voor de Omzet- als de Vennootschapsbelasting. 

Bij brief van 19 mei 2011 heeft GVB in aanvulling hierop schriftelijk aan het CBP bericht dat 

de bewaartermijn voor servicedoeleinden met instemming van het Ministerie van Financiën 

en LCO verder zal worden ingekort tot 2 maanden. 

Voor het doeleinde klachten, claims & restitutie heeft GVB een termijn van 6 maanden 

vastgesteld. GVB merkt op dat een student een restitutieverzoek in beginsel binnen 2 

maanden behoort in te dienen. Uit coulance overwegingen en rekening houdend met 

eventuele achterstanden in de afhandeling, vindt GVB het wenselijk dat de bewaartermijn 

maximaal 6 maanden bedraagt. 

Voor het doeleinde opbrengstenadministratie heeft GVB een bewaartermijn van 18 

maanden vastgesteld. Voor zover met de studenten OV-chipkaart op saldo wordt gereisd is 

het volgens GVB noodzakelijk om transactiegegevens inclusief Chip-ID 18 maanden te 

bewaren teneinde de omzet te administreren en deze te kunnen controleren. Bovendien 

merkt GVB op dat zij met TLS dient te kunnen afstemmen of de teruggekoppelde 

transacties van TLS kloppen met de administratie van GVB. Deze bewaartermijn is volgens 

GVB gebaseerd op de wettelijke verplichting om jaarlijks een jaarrekening vast te stellen en 

een bijbehorende accountantscontrole. De jaarrekening en de accountantscontrole worden 

gebaseerd op de financiële administratie van GVB. De minimale termijn betreft een jaar plus 

6 maanden, in totaal dus 18 maanden. Voorts merkt GVB op dat de 

opbrengstenadministratie de basis vormt voor de aangifte en afdracht in het kader van de 

omzetbelasting. 

Voor het doeleinde control inkomsten & analyse heeft GVB een bewaartermijn van 18 

maanden vastgesteld. Deze bewaartermijn is eveneens gebaseerd op de 

boekhoudingsverplichting zoals toegelicht bij de bewaartermijn voor het doeleinde 

opbrengstenadministratie. Deze activiteiten hebben tot doel om de volledigheid van de 

 

 

22 Beleidsbesluit van het Directoraat-generaal Belastingdienst, staatscourant 2010 nr. 21183 blz. 7. 

 

 

vervoeropbrengsten en inkomsten van transacties vast te stellen voor de afgelegde reizen, 

alsmede op de goede werking en het beheer van de systemen van GVB en de aansluiting op 

de transactieverwerking bij TLS. 

 

 

§ 5.2.2. Beoordeling - bewaartermijnen 

GVB heeft de bewaartermijnen voor debiteurenadministratie, concessieverplichting en overige 

wetgeving (niet fiscaal) laten vervallen omdat GVB van mening is dat het bewaren van 

transactiegegevens inclusief Chip-ID niet noodzakelijk is voor deze doeleinden. Het CBP neemt 

deze toezegging voor kennisgeving aan, maar merkt op dat GVB er voor zorg dient te dragen 

dat daadwerkelijk geen persoonsgegevens meer worden bewaard voor deze doeleinden. 

 

 

Het CBP constateert dat GVB bewaartermijnen heeft vastgesteld met betrekking tot de 

doeleinden uitvoeren van de overeenkomst, fiscale verplichtingen van GVB, klachten, claims & 

restitutie, opbrengstenadministratie, control inkomsten & analyse. GVB heeft deze 

bewaartermijnen alsnog nader toegelicht en onderbouwd en daarbij onder meer verwezen naar 

onderliggende wet- en regelgeving. Het CBP concludeert derhalve dat de gestelde 

bewaartermijnen alsnog voldoende zijn onderbouwd en gebleken is dat deze bewaartermijnen 

niet langer zijn dan noodzakelijk. Het CBP concludeert derhalve dat deze bewaartermijn in 

overeenstemming zijn met artikel 6 j° 10 Wbp. 

Uitsluitend met betrekking tot de fiscale bewaartermijn merkt het CBP nog het volgende op. Uit 

het Besluit van de staatssecretaris van Financiën van 28 december 2011 blijkt dat de 

OV-bedrijven en TLS met ingang van 1 januari 2011 gedetailleerde reisgegevens dienen te 

bewaren ten behoeve van belastingaangiften van reizigers. Uit voornoemd besluit blijkt onder 

meer dat deze verplichting samenhangt met de algemene fiscale bewaarplicht uit artikel 

52 Awr. Tevens leidt het CBP uit het besluit, artikel 52 Awr en de bijbehorende toelichting bij 

dit artikel af dat de OV-bedrijven en TLS in dit kader gehouden zijn om gedurende 24 maanden 

ten behoeve van de Belastingdienst tot personen herleidbare informatie te bewaren. Het CBP 

concludeert derhalve dat ook deze bewaartermijn in overeenstemming zijn met artikel 6 j° 

10 Wbp. 

Ten overvloede merkt het CBP op dat in het geval het ministerie van Financiën de 

bewaartermijn verder mocht verkorten, deze bewaartermijn eveneens in overeenstemming is 

met artikel 6 j° 10 Wbp. De verkorting dient in dat geval te blijken uit een wijziging van het 

Besluit van de staatssecretaris zoals hiervoor genoemd. 

 

 

§ 5.3. Implementatietermijn 

Voor het opleggen van een handhavingsmaatregel is het relevant of GVB de bestaande 

overtreding kan opheffen. GVB heeft aangegeven dat zij de overtreding kan opheffen maar niet 

op korte termijn omdat de voorgestelde bewaartermijnen nog dienen te worden 

geïmplementeerd. Het CBP zal daarom de tijd die objectief gezien nodig is voor het 

implementeren meewegen in de beoordeling. 

§ 5.3.1. Zienswijze GVB 

 

GVB licht toe dat de implementatie van de bewaartermijnen reeds is aangevangen. Uit de 

planning zoals toegezonden bij brief van 29 maart 2011 blijkt dat de implementatie is gestart in 

de eerste week van 2011 en zal worden afgerond in de laatste week van juni 2011. GVB heeft het 

 

 

CBP tijdens de hoorzitting echter verzocht om een begunstigingstermijn vast te stellen op één 

jaar, in verband met mogelijke vertragingen in het implementatieproces. 

 

Bij brief van 19 mei 2011 heeft de advocaat-gemachtigde van GVB bericht dat GVB de planning 

waar mogelijk heeft geactualiseerd, waardoor de einddatum van het implementatieproject 

betreffende de bewaartermijnen eind oktober 2011 kan worden afgerond. Als bijlage is een 

nadere toelichting van GVB en een herziene planning bijgesloten. 

 

 

GVB verzoekt het CBP, indien er sprake mocht zijn van het opleggen van een 

handhavingsmaatregel, de begunstigingstermijn vast te stellen op één jaar in verband met 

onvoorziene omstandigheden, complexiteit van het implementatieproject en vakanties. 

 

 

§ 5.3.2. Beoordeling - implementatietermijn 

Bestaande wetsovertredingen dienen zo spoedig als mogelijk te worden opgeheven. Dit 

betekent dat een bestuursorgaan rekening dient te houden met de termijn waarbinnen de 

overtreder alsnog zorg kan dragen voor normconforme naleving. Deze termijn dient objectief 

gezien redelijk te zijn en niet langer dan noodzakelijk. Hierbij gaat het bestuursorgaan ervan uit 

dat de overtreder een hoge prioriteit toekent aan het opheffen van de wetsovertreding. 

 

 

Uit de planning van GVB leidt het CBP af dat de implementatie van de bewaartermijnen 

inmiddels is bijgesteld naar eind oktober 2011. Tevens geeft GVB echter aan dat rekening dient 

te worden gehouden met eventuele vertraging die zich bij dergelijke projecten voor doen. 

Het CBP benadrukt dat opheffing van de overtreding een hoge prioriteit kent. GVB licht 

afdoende toe dat de implementatie van de bewaartermijnen eind oktober (2011) kan worden 

afgerond en waarom er rekening dient te worden gehouden met eventuele vertraging wegens 

onvoorziene omstandigheden. Uit de planning blijkt echter geen noodzaak om een 

begunstigingstermijn vast te stellen van één jaar, zoals GVB heeft verzocht. 

 

 

 

§ 6. Overige standpunten GVB 

 

 

§ 6.1. Zienswijze GVB 

 

In aanvulling op de pleitnota van 15 maart 2011 merkt GVB op dat het rapport definitieve 

bevindingen op een aantal plaatsen dient te worden gecorrigeerd. GVB heeft bij brief van 

29 maart 2011 het CBP verzocht om de voorgestelde correcties en opmerkingen overeenkomstig 

te verwerken in het rapport en het gewijzigde rapport te publiceren zodat het publiek ter zake 

juist wordt geïnformeerd. 

 

 

§ 6.2. Beoordeling – overige standpunten 

 

De voorgestelde tekstcorrecties hangen volgens het CBP met name samen met het principiële 

standpunt(en) van GVB, die hiervoor reeds inhoudelijk zijn behandeld. Derhalve ziet het CBP 

geen aanleiding tot het aanpassen van het rapport definitieve bevindingen. Ten aanzien van het 

standpunt dat niet GVB maar TLS verantwoordelijke is als bedoeld in de Wbp merkt het CBP 

het volgende op. 

 

 

Artikel 1, onder d, Wbp bepaalt dat onder een verantwoordelijke wordt verstaan de natuurlijke 

persoon, rechtspersoon of ieder ander die of het bestuurorgaan dat, alleen of te zamen met 

anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. 

 

 

Allereerst dient er te worden vastgesteld of er sprake is van verwerking van persoonsgegevens. 

Hiervoor is reeds gebleken dat GVB transactiegegevens inclusief Chip-ID verzamelt (level 1, 2 

en 3) en de gegevens doorzendt aan TLS (level 4) die deze gegevens centraal verwerkt. In 

paragraaf 5 heeft het CBP reeds geconcludeerd dat voornoemde gegevens op grond van de 

toelichting op de Wbp dienen te worden aangemerkt als persoonsgegevens in de zin van de 

Wbp. Voorts merkt het CBP op dat uit artikel 1, onder o, Wbp blijkt dat het verzamelen van 

persoonsgegevens eveneens wordt aangemerkt als verwerken van persoonsgegevens. 

 

 

 

Nu is vastgesteld dat er sprake is van verwerking van persoonsgegevens, is relevant wie 

verantwoordelijke is in de zin van de Wbp. Uit artikel 1, onder d, Wbp blijkt dat hiervoor 

gekeken dient te worden naar degene die a) het doel en b) de middelen betreffende de 

verwerking van de persoonsgegevens heeft vastgesteld. Hiervoor is reeds gebleken dat GVB 

aan het CBP kenbaar heeft gemaakt dat zij ten aanzien van een aantal gerechtvaardigde 

doeleinden zoals het doeleinde opbrengstenadministratie, klantenservice, uitvoeren 

marktonderzoek en fiscale verplichtingen voornoemde transactiegegevens inclusief Chip-ID 

bewaart.23 Het CBP maakt uit de overgelegde stukken op dat GVB zelf deze doeleinden van 

verwerking heeft vastgesteld, zodat aan het vereiste a) is voldaan. 

 

 

23 Doeleinden: opbrengstenadministratie, klantenservice, fiscale verplichtingen en uitvoeren van 

marktonderzoek, genereren van marktinformatie. 

 

24 Publicatieblad van de Europese Gemeenschappen nr. L 281/31. 

 

Ten aanzien van de middelen voor verwerking merkt het CBP op dat in paragraaf 3 van 

onderhavig besluit reeds is geconcludeerd dat voor verwerking van de persoonsgegevens 

nodig is: een OV-chipkaart (level 0), het OV-chipkaartsysteem (level 1 tot en met 4), de 

transactiegegevens inclusief Chip-ID zoals opgeslagen op de OV-chipkaart en bijbehorende 

databases en computersystemen bij de OV-bedrijven en TLS. In paragraaf 3 van dit besluit is 

voorts opgemerkt dat level 2 en 3 de lokale en centrale systemen van GVB betreffen en GVB op 

dit niveau de transactiegegevens verwerkt alvorens deze door te sturen naar level 4. Level 2 en 

3 van het OV-chipkaartsysteem merkt het CBP daarom aan als middelen voor verwerking van 

persoonsgegevens als bedoeld in artikel 1, onder d, Wbp. Voorts is gebleken dat de 

systeemonderdelen op level 2 en 3 uitsluitend aan GVB toebehoren. Uit het feit dat GVB 

transactiegegevens verwerkt met behulp van haar eigen systemen, leidt het CBP af dat GVB zelf 

bepaalt welke systemen zij hiervoor hanteert. Dit impliceert dat GVB zelf de voor haar 

benodigde middelen voor verwerking vaststelt. Het CBP concludeert dat ook aan het vereiste 

onder b) is voldaan. GVB kwalificeert daarom als verantwoordelijke in de zin van artikel 1, 

onder d, Wbp. 

 

 

§ 7. Belangenafweging 

 

 

Persoonsgegevens maken per definitie deel uit van de persoonlijke levenssfeer van een 

individu. De persoonlijke levenssfeer dient op grond van artikel 10 van de Grondwet het 

Europese Verdrag tot bescherming van de Rechten van de Mens en de Fundamentele Vrijheden 

te allen tijde te worden geëerbiedigd. Vrij verkeer van persoonsgegevens in verband met 

economische belangen is evenwel toegelaten voorzover daarbij rekening wordt gehouden met 

de waarborgen die de Europese Richtlijn 95/46/EU van 24 oktober 1995 hieraan stelt.24 Dit 

betekent dat GVB bij het nastreven van haar (bedrijfs)economische doelstellingen de bepalingen 

 

 

uit de Wbp dient na te leven waarin voornoemde richtlijn is geïmplementeerd. 

Het GVB vervoert dagelijks grote aantallen studenten en in dat kader heeft het CBP vastgesteld 

dat het GVB persoonsgegevens van studenten verzamelt en verwerkt in strijd met de Wbp. 

Studenten vertegenwoordigen een groot deel van de populatie die dagelijks is aangewezen op 

het openbaar vervoer in onder andere de regio Amsterdam waar GVB actief is. Deze 

klantrelatie met de studenten rechtvaardigt enerzijds dat GVB inzicht in het (dagelijkse) reis- en 

betaalgedrag van de studenten verkrijgt, maar anderzijds mag hierbij geen inbreuk ontstaan op 

de persoonlijke levenssfeer van deze studenten. Dit impliceert dat GVB zorgvuldig met deze 

persoonsgegevens dient om te gaan en de Wbp dient na te leven. 

 

 

Bovengenoemde vaststelling door het CBP, dat GVB de Wbp overtreedt, heeft tot op heden nog 

niet geleid tot beëindiging van de overtreding. In het onderzoeksrapport OV-chipkaart GVB van 

december 2007 is GVB voor het eerst erop gewezen dat zij persoonsgegevens langer bewaart dan 

noodzakelijk is en daarmee artikel 6 j° 10 Wbp overtreedt. Tijdens het onderzoek in 2010 heeft het 

CBP in het rapport van voorlopige bevindingen van 16 juli 2010 en het rapport van definitieve 

bevindingen van 2 december 2010 wederom vastgesteld dat GVB artikel 6 j° 10 Wbp overtreedt. 

Het CBP constateert dat, zelfs nadat in februari 2011 een (voornemen tot een) 

handhavingsmaatregel aan GVB is toegezonden, GVB nog steeds niet heeft zorg gedragen voor 

implementatie van de bewaartermijnen, zodat de overtreding tot op heden nog steeds voortduurt. 

Daarom concludeert het CBP dat het maatschappelijk belang gebaat is bij handhavend optreden. 

 

 

 

§ 8. Besluit - Last onder dwangsom 

Het CBP heeft vastgesteld dat GVB persoonsgegevens verwerkt tijdens en nadat studenten 

hebben in- en uitgecheckt met de studenten OV-chipkaart. Ingevolge artikel 6 j° 10 Wbp dienen 

persoonsgegevens niet langer te worden bewaard dan noodzakelijk is voor de verwerkelijking 

van de doeleinden waarvoor zij worden verzameld of vervolgens verwerkt. Het CBP heeft 

echter geconstateerd dat GVB hiervoor inmiddels bewaartermijnen heeft vastgesteld maar tot 

op heden deze bewaartermijnen nog heeft niet geïmplementeerd. Het CBP concludeert derhalve 

dat GVB nog steeds in strijd handelt met artikel 6 j° 10 Wbp. 

 

 

Het CBP is ingevolge artikel 65 Wbp bevoegd om een last onder bestuursdwang op te leggen ter 

handhaving van de bij of krachtens de Wbp gestelde verplichtingen. Op grond van artikel 5:32, 

eerste lid, Awb kan een bestuursorgaan dat bevoegd is een last onder bestuursdwang op te 

leggen, in plaats daarvan de overtreder een last onder dwangsom opleggen. 

 

 

 

Gelet op de bevindingen en naar aanleiding van hetgeen tijdens en na de hoorzitting door GVB 

naar voren is gebracht, besluit het CBP derhalve als volgt. 

 

 

Last 

Het CBP legt GVB de volgende last op: 

 

 

 

1. GVB implementeert in verband met de verwerking van persoonsgegevens van 

studenten die reizen met de studenten OV-chipkaart, de volgende bewaartermijnen: 

 

 

 

 

a. De bewaartermijn van ten hoogste 24 maanden voor het doeleinde uitvoeren 

van de overeenkomst; 

 

 

 

 

 

b. De bewaartermijn van ten hoogste 24 maanden voor het doeleinde fiscale 

verplichtingen GVB; 

c. De bewaartermijn van 6 maanden voor de doeleinden klachten, claims & 

restitutie; 

d. De bewaartermijn van 18 maanden voor het doeleinde 

opbrengstenadministratie; 

e. De bewaartermijn van 18 maanden voor de doeleinden control inkomsten & 

analyse […]. 

 

 

 

 

 

 

Implementatie betekent onder meer dat de persoonsgegevens die in verband met deze 

doeleinden worden verwerkt uiterlijk op de laatste dag van de bewaartermijnen zijn 

vernietigd danwel zijn geanonimiseerd. 

 

 

 

2. GVB vernietigt danwel anonimiseert alle persoonsgegevens die zij nog verwerkt in 

verband met de vervallen doeleinden debiteurenadministratie, concessieverplichting en 

overige wetgeving (niet fiscaal). 

 

 

 

Dwangsom 

 

GVB verbeurt een dwangsom van € 5.000 (zegge: vijfduizend euro) per maatregel als genoemd 

onder 1 en 2, voor iedere week of gedeelte daarvan waarin GVB de maatregel niet (geheel) heeft 

uitgevoerd. Het bedrag waarboven geen dwangsom meer wordt verbeurd, is bepaald op 

€ 250.000 (zegge: tweehonderdenvijftigduizend euro) per maatregel. 

 

 

De hoogte van de dwangsom is gerelateerd aan de ernst van de overtreding, het feit dat er 

sprake is van een structurele overtreding, deze overtreding reeds over een langere periode heeft 

plaatsgevonden en aan het maatschappelijk belang dat wordt gehecht aan de naleving van de 

regelgeving. Tevens weegt mee dat GVB dagelijks op grote schaal persoonsgegevens verzamelt 

en verwerkt van personen die zijn aangewezen op het openbaar vervoer en het feit dat deze 

overtreding nog steeds voortduurt mee. Verder is rekening gehouden met de beoogde werking 

van de dwangsom. In dit verband is van belang dat de hoogte van de dwangsom voor GVB 

voldoende financiële prikkel dient te vormen om aan de last te voldoen. 

 

 

Begunstigingstermijn 

 

De begunstigingstermijn waarbinnen GVB geen dwangsom verbeurt loop af op 31 december 

2011. 

 

 

 

Informatieverzoek 

Op grond van artikel 5:16 Awb j° artikel 5:20 Awb verzoekt het CBP GVB tijdig vóór het einde 

van de begunstigingtermijn bewijsstukken aan het CBP toe te zenden waaruit blijkt dat tijdig en 

volledig aan de last is voldaan. 

 

 

§ 9. Rechtsgangverwijzing 

 

 

Ingevolge artikel 7:1 Awb kan GVB tegen de last onder dwangsom bezwaar maken door het 

indienen van een gemotiveerd bezwaarschrift, gericht aan het CBP, Postbus 93374, 2509 AJ Den 

Haag, onder vermelding van “Awb-bezwaar” op de enveloppe. De termijn waarbinnen het 

bezwaarschrift kan worden ingediend bedraagt zes weken na de dag waarop dit besluit is 

 

 

verzonden. 

 

 

Hoogachtend, 

 

Het College bescherming persoonsgegevens, 



Sitio patrocinado por 

IIJUSTICIA

un miembro del Movimiento de Libre Acceso al Derecho