Management samenvatting van 26 september 2006 Inleiding Op dit moment (september 2006) zijn de OV-bedrijven volop bezig met de invoering van het OV-chipkaartsysteem. Het is de bedoeling dat op 1-1-2009 de OV-chipkaart in geheel Nederland is ingevoerd. De OV-chipkaart biedt nieuwe mogelijkheden voor reizen en betalen met één kaart, op de reiziger afgestemde reisrechten en een andere wijze van klantbenadering. Bij het gebruik van een persoonsgebonden OV-chipkaart worden ten behoeve van de registratie (check-in/out) en betalingen reisgegevens verwerkt die tot personen herleidbaar zijn. Zowel het College Bescherming Persoonsgegevens (CBP) als de NS, mede namens andere OV-bedrijven, hebben te kennen gegeven zo snel mogelijk duidelijkheid te willen scheppen over de vraag of en onder welke voorwaarden gewerkt mag worden met tot personen herleidbare reisgegevens in het OV-chipkaartsysteem. Doel overleg Er wordt tussen het CBP en de NS overlegd in het kader van een vrijwillige sondage naar elkaars standpunten in verband met de invoering van de OV-chipkaart en een later te verrichten officiële privacytoets van de verwerking van reisgegevens van klanten. Dat betekent dat: het CBP zich met de resultaten van het overleg niet beperkt in de uitoefening van haar toezichtstaken en daaraan te verbinden gevolgen, het de NS vrij staat om keuzes in het privacybeleid te heroverwegen op basis van voortschrijdende inzichten. Het doel van de bemiddeling is een overbrugging te bieden tussen de standpunten van de NS en het CBP over de vraag in welke gevallen reisgegevens met de OV-chipkaart mogen worden gekoppeld aan gegevens van houders met een persoonsgebonden kaart (klantgegevens). Toetsingskader voor deze vraag is met name de Wet bescherming persoonsgegevens (Wbp). In het overleg op 28 september worden de uitgangspunten en voorwaarden voor een oplossing van de belangrijkste privacyvragen ter instemming aan partijen voorgelegd. Zie de beslispunten aan het slot van de samenvatting. Uitgangspunten overleg 1. De NS zitten in een fase waarin nog nagedacht wordt over de mogelijkheden en toepassingen van het OV-chipkaartsysteem. Bepaalde proposities en gebruiksmogelijkheden van de kaart worden nog uitgewerkt. Dat geldt ook voor de aard van de reisgegevens die men denkt nodig te hebben voor een meer effectief en persoonsgericht marketingbeleid. De implicaties voor de privacy zijn hierbij voorwaardenscheppend, maar kunnen pas na uitwerking van beleid en maatregelen leiden tot een definitief oordeel over het verwerken van persoonsgegevens. De NS geven het CBP t.z.t. de ruimte voor een integrale privacytoets. 2. Het CBP kan en hoeft nu geen definitief oordeel te geven over de maatregelen van de NS. Het CBP geeft zo veel mogelijk aan waar de grenzen liggen en waar mogelijkheden (geen vrijbrief) om met persoonsgegevens in het OV-chipkaartsysteem om te gaan. De NS hebben vervolgens de gelegenheid om (mede) op grond hiervan keuzes te maken. 1
Overlegpunten NS en CBP Het CBP vraagt in het kader van de bescherming van persoonsgegevens aandacht voor het verwerken van tot personen herleidbare reisgegevens in het OV-chipkaartsysteem. Verwerking van deze gegevens wijkt essentieel af van de huidige verwerkingen, omdat met de OV-chipkaart alle reisbewegingen naar datum, tijdstip en traject van personen kunnen worden vastgelegd (gedetailleerde reisgegevens). Het CBP stelt vragen bij het verwerken van deze persoonsgegevens voor de volgende doeleinden: 1. Marketing, 2. Geld Terug Bij Vertraging (GTBV), en 3. De rol van NS als verantwoordelijke bij uitgifte van de persoonsgebonden OV-chipkaart in relatie tot TLS. 2
Ad 1. Marketing Marketing betreft hier het aantrekken van meer reizigers of de spreiding van (spit)sreizigers in het OV met behulp van gerichte aanbiedingen aan reizigers op basis van reisgegevens verkregen kenmerken van hun reisgedrag. - Het CBP stelt in haar visiedocument dat tot personen herleidbare reisgegevens m.b.t een combinatie van datum, tijdstip en traject (gedetailleerde reisgegevens) beperkt moeten blijven tot waarvoor ze noodzakelijk zijn. Als er geen ondubbelzinnige toestemming van de reiziger is voor gebruik van deze gegevens voor marketing (opt-in), mogen ze alleen in geaggregeerde vorm worden gebruikt. - De NS zeggen alleen geabstraheerde gegevens te gaan gebruiken en zijn tevens van mening dat er een gerechtvaardigd belang is voor gebruik van bepaalde reisgegevens zodat daarbij een vorm van instemming volstaat (opt-out). Voorstel VenW VenW legt aan partijen ter instemming de uitgangspunten voor dat: de keuze voor het verwerken van persoonsgegevens op grond van artikel 8f Wbp (het gerechtvaardigd (bedrijfs)belang) voor marketingdoeleinden aan de verantwoordelijke (NS) is, persoonsgerichte marketing op zichzelf staand (dus los van de inbreuk op het belang van de privacy) een gerechtvaardigd bedrijfsbelang oplevert, waaronder het aantrekken van meer klanten, (spits)spreiding, het optimaliseren van het vervoeraanbod, het belang van NS tevens een publiek belang (betere vervoerprestatie) inhoudt, omdat dit door de overheid aan de NS verplichtend is opgedragen, gedetailleerde reisgegevens (combinatie datum, tijdstip, traject met klant) niet mogen worden gebruikt voor persoonsgerichte marketing, de NS door organisatorische en technische maatregelen de klantgegevens standaard loskoppelen van de gedetailleerde reisgegevens, analyse en ontwikkelen van profielen door de marketingafdeling geschiedt op basis van geanonimiseerde gegevens, dus zonder naam, adres en woonplaats, selecties van aanbiedingen op naam worden (als een klant voldoet aan bepaald profiel) gedaan door geautoriseerde medewerkers, op het moment dat de uitgewerkte profielen bekend zijn, 1) de verwerking op grond van artikel 8f Wbp en 2) de eventuele noodzaak van gegevensverwerking door NS kan worden aangetoond, de kwaliteit van de scheiding van klantgegevens en reisgegevens en van andere maatregelen inzichtelijk zijn en via een audit voor het CBP kan worden vastgesteld, alsdan de gegevensverwerking voor dat doel definitief door het CBP kan worden beoordeeld. 3
Resultaat overleg 28 september In aanvulling op de voornoemde uitgangspunten hebben partijen het volgende nader afgesproken: o Algemeen. Gegevens over het reizen en van klanten mogen alleen worden gebruikt door de NS en niet worden verstrekt aan derden 1. o De noodzaak van het gebruik van bepaalde reisgegevens die tot klanten herleidbaar zijn voor marktdoeleinden, dient door NS te worden aangetoond. o NS gebruiken, zoals op basis van het voorstel is aanvaard, geen gedetailleerde reisgegevens voor marktaanbiedingen aan reizigers. Ter aanvulling: in verband met de hiervoor voornoemde noodzakelijksheidsvraag en de inbreuk op de privacy, werkt NS precies uit welk niveau van reisgegevens worden gekoppeld aan de naam van een klant met het oog op het doen van gerichte aanbiedingen. De NS zullen het Cbp hierover informeren. o Informatieplicht. NS informeren de klant over het gebruik van zijn of haar reisgegevens voor marketingdoeleinden, waaronder de wijze van gebruik en de aard van de gegevens. De NS zullen het privacystatement op dit punt uitbreiden. o NS zullen Cbp zelf en op verzoek informeren over de wijze waarop klantgegevens en geabstraheerde reisgegevens worden verwerkt/gekoppeld. 1 Dit laat onverlet de positie van bijvoorbeeld TLS, die zelfstandig als verantwoordelijke tot personen herleidbare gegevens verwerkt van houders van een persoonsgebonden OV-chipkaart. TLS is hierover in overleg met het CBP. Ook kan het mogelijk zijn bewerkers onder NS-verantwoordelijkheid in te schakelen. 4
Ad 2. Geld Terug Bij Vertraging (GTBV) GTBV betekent in dit kader het beoordel en van een recht op teruggaaf aan een reiziger die vertraging heeft opgelopen (claim) op basis van tot de betreffende persoon herleidbare reisgegevens. - Het CBP acht het gebruiken van klantgegevens voor de uitvoering van GTBV niet noodzakelijk omdat ook anonieme reizigers in aanmerking komen voor GTBV. Het CBP vindt secundair dat het voor GTBV bewaren van reisgegevens van klanten, behorend bij trajecten waarbij zich geen vertraging heeft voorgedaan, in strijd met het beginsel dat gegevensverwerking noodzakelijk moet zijn. - De NS geven aan dat voor de uitvoering van GTBV klantgegevens een voorwaarde zijn, namelijk bij het uitbetalen van bedragen en controleren van misbruik. Secundair: Alle reisgegevens worden bewaard omdat niet vooraf bekend is welke reizigers vertraging hebben ondervonden en kunnen gaan claimen. Voorstel VenW VenW legt aan partijen ter instemming voor dat ter uitvoering van GTBV aan klanten tijdelijk reisgegevens mogen worden bewaard onder de voorwaarden dat: alle gedetailleerde reisgegevens zijn technisch en organisatorisch standaard gescheiden zijn van de klantgegevens, de kwaliteit van de scheiding van klantgegevens en reisgegevens en andere maatregelen inzichtelijk zijn en via een audit voor het CBP kan worden vastgesteld, het kaartnummer en de klantgegevens door de aanvrager worden ingevuld op het GTBV-aanvraagformulier, samen met zijn reisgegevens m.b.t. de vertraging, geautoriseerde medewerkers ter beoordeling van de claim op basis van de door aanvrager verstrekte informatie controleren of met dat nummer is gereisd, en wel uitsluitend op de datum en het traject van (vermeende) vertraging, de uitslag van de verificatie op dat kaartnummer (wel of geen recht op GTBV) wordt doorgestuurd naar de afdeling die aan de klant uitbetaald op zijn bankrekeningnummer, reisgegevens voor GTBV maximaal 6 maanden mogen worden bewaard, dat is: de claim- en afhandelingstermijn voor aanvragen van GTBV, en secundair: het redelijkerwijs niet mogelijk blijkt om vóórdat de claim wordt ingediend, de voor GTBV relevante reisgegevens en niet relevante reisgegevens te onderscheiden en te isoleren. Bovendien: de bewaarde reisgegevens zijn geen persoonsgegevens. Resultaat overleg 28 september In aanvulling op de voornoemde uitgangspunten hebben partijen het volgende nader afgesproken: o Informatieplicht. De NS informeren de klant over het gebruik van zijn of haar reisgegevens voor GTBV, waaronder de wijze van gebruik en de aard van de gegevens. De NS zullen het privacystatement op dit punt uitbreiden. 5
Ad 3. NS als verantwoordelijke bij uitgifte persoonsgebonden OV-chipkaart Het betreft de vraag of de NS als verantwoordelijke persoonsgegevens mogen verwerken van aanvragers van persoonsgebonden kaarten die (nog) geen persoonsgebonden reisrechten van de NS op die kaart laden. Het betreft hier reizigers die bijvoorbeeld op Rotterdam Centraal een NS kaart kopen met een (TLS) E-purse om er mee in de Rotterdamse metro te gaan reizen. - Het CBP vraagt zich af wat de noodzaak is van het bewaren van persoonsgegevens bij aanvraag van een persoonsgebonden OV-chipkaart met e-purse bij NS, wanneer bij NS (nog) geen persoonsgebonden reisrechten worden afgenomen. Dan is NS alleen loket of bewerker namens de verantwoordelijke: TLS. Persoonsgegevens zijn alleen nodig om het gebruik van een aan een bepaalde persoon verbonden reisrecht op geldigheid te controleren. - De NS zijn van mening dat bij aanschaf van een persoonsgebonden kaart er bij de NS een overeenkomst Klantenkaart NS wordt gesloten. De aanvrager heeft een klantrelatie met het OV-bedrijf, TLS is de gezamenlijke back-office. De klanten ontvangen in ruil hiervoor extra service en waarde. Voorstel VenW VenW stelt aan partijen ter instemming voor dat het bewaren en verwerken van persoonsgegevens door NS als verantwoordelijke is toegestaan 2, indien is voldaan aan de volgende spelregels: alle gedetailleerde reisgegevens met een persoonsgebonden kaart technisch en organisatorisch standaard worden gescheiden van de klantgegevens, de klant een NS-klantenkaart aanvraagt inclusief bepaalde rechten, bijvoorbeeld een persoonsgebonden propositie of aanvullende persoonsgebonden garanties bij gebruik van de kaart, de verwerking van persoonsgegevens (koppeling reisgegevens aan klantgegevens) nodig is voor kunnen uitvoeren van de persoonsgebonden propositie of van persoonsgebonden aanvullende garanties van de klant, het vergaren van persoonsgegevens door NS als verantwoordelijke bij afgifte van een persoonsgebonden kaart met alleen een e-purse voorziening niet is toegestaan. Of deze gegevens vervolgens voor marktbewerking mogen worden gebruikt, hangt gedeeltelijk samen met Ad 1 (Marketing). Resultaat overleg 28 september In aanvulling op de voornoemde uitgangspunten hebben partijen het volgende nader afgesproken: o De NS zijn het eens met voornoemde spelregels, met uitzondering van de laatstgenoemde. 2 Dit laat onverlet dat TLS zelfstandig als verantwoordelijke tot personen herleidbare gegevens verwerkt van houders van een persoonsgebonden OV-chipkaart. 6
Bespreekpunten in het overleg van 29 september De vragen die in het topoverleg voorliggen, zijn: Marketing 1. De NS en het CBP kunnen instemmen met de voorgestelde uitgangspunten 2. De NS zeggen toe het CBP te informeren over de aard van de reisgegevens die worden verwerkt voor (persoonsgerichte) marketingdoeleinden en de wijze waarop dat gebeurt. GTBV 1. De NS en het CBP kunnen instemmen met de geformuleerde voorwaarden. 2. De NS zeggen toe het CBP te informeren over het gebruik van klant- en reisgegevens bij het proces van afhandeling van GTBV. Rol van NS als verantwoordelijke 1. De NS en het CBP kunnen instemmen in met de spelregels voor het verwerken van persoonsgegevens bij aanvraag van een persoonsgebonden kaart. 2. De NS zeggen toe dat geen NAW-gegevens van de aanvrager zullen worden bewaard, indien geen persoonsgebonden propositie wordt afgenomen. 3. De NS zeggen toe het CBP te informeren over de aan de NS -klantenkaart verbonden proposities voor de reiziger en daarvoor benodigde persoonsgegevens. Vervolg 1) De NS, het CBP en VenW spreken af op welke wijze de overlegresultaten naar buiten worden gebracht, waaronder de bekendmaking van dit voorstel. 2) VenW informeert de Tweede Kamer over de voortgang ten aanzien van de OV-chipkaart in relatie tot de bescherming van persoonsgegevens. Resultaat overleg 28 september Partijen en Verkeer en Waterstaat hebben afgesproken dat de overlegresultaten op basis van voornoemde beslispunten worden bekendgemaakt in de brief aan de Tweede Kamer, medio oktober. 7
Doel bemiddeling, overleg en vervolg De bemiddeling heeft tot doel de gesprekken tussen het CBP en de NS te faciliteren, standpunten te verduidelijken en te onderbouwen, het aandragen van oplossingen en een voorlopig oordeel te krijgen op voorgestelde oplossingsrichtingen. Een oordeel kan zijn dat de wijze van verwerkingen van persoonsgegevens onder voorwaarden niet in strijd is met de wet- en regelgeving. Doel van het overleg tussen partijen en het ministerie van Verkeer en Waterstaat is: het scheppen van vertrouwen en duidelijkheid over de aard van tot personen herleidbare reisgegevens en motieven en wijze van verwerking hiervan in het OVchipkaartsysteem, het voorleggen en bespreken van oplossingen over (resterende) geschillen omtrent het gebruik van deze reisgegevens aan de hand van beslispunten, en het vaststellen van het overlegresultaat en het bevorderen van vervolgafspraken tussen partijen, indien nodig. Vervolg. In het overleg worden op voorstel van de minister van Verkeer en Waterstaat afspraken gemaakt over de vervolgaanpak van resterende actiepunten, nader overleg en de communicatie over de overleguitkomsten. Hieronder valt ook de openbaarheid van (een deel van) dit voorstel. Voorwaarde daarbij is dat er tussen de partijen en bij het ministerie duidelijkheid is over de standpunten van partijen, de punten van overeenstemming en de vervolgaanpak. Dit moet ook naar buiten toe duidelijk worden. Op de minister van Verkeer en Waterstaat rust de plicht de Tweede Kamer uiterlijk in oktober 2006 schriftelijk over de resultaten van de gesprekken te informeren. 8