Beslissing ten gronde nr. 130/2024

1/56 Geschillenkamer Beslissing ten gronde 130/2024 van 11 oktober 2024 Dossiernummer : DOS-2023-04835 Betreft : klacht wegens het onrechtmatig en disproportioneel verwerken van persoonsgegevens met betrekking tot het gebruik van de MOBIB-kaart De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke HIJMANS, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna “WOG”; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, hierna “de klager”; De verweerster: Vlaamse Vervoermaatschappij - De Lijn, met maatschappelijke zetel te Motstraat 20 – 2800 Mechelen, met ondernemingsnummer 0242.069.537, vertegenwoordigd door mr. Bastiaan Bruyndonckx en mr. Liese Kuyken, hierna “de verweerster”. Beslissing ten gronde 130/2024 — 2/56 I. Feiten en procedure 1. Het voorwerp van de klacht betreft het onrechtmatig en disproportioneel verwerken van persoonsgegevens met betrekking tot het gebruik van de MOBIB-kaart. 2. Op 23 november 2023 diende de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de verweerster. De klager verzette zich tegen het verplicht valideren van zijn abonnement bij elk gebruik van een voertuig van de verweerster omdat dit de verweerster de mogelijkheid gaf zijn gewoontes van de laatste zes maanden te reconstrueren. Na een verzoek tot inzage ontving de klager de scans van zijn abonnement, waarin hij vaststelde dat volgende gegevens van de laatste zes maanden werden verwerkt bij elke scan: GPS-locatie waar het voertuig op dat moment stond, het precieze moment van validatie, de route en het voertuignummer van het voertuig waarop hij scande, … “Op basis van deze scans kan het volledig uitgevoerde traject gereconstrueerd worden:

1. a)Enkel op maandag, donderdag, vrijdag wordt ’s morgens met de Lijn het traject afgelegd vanuit X (vertrekkende rond 06:20u) over Y (met overstap) naar Z.
2. b)Enkel op donderdag, vrijdag wordt ’s avonds het traject afgelegd vanuit Z (vertrekkende rond 16:05u) richting Y met overstap richting X.
3. c)Enkel op maandag avond is er een afwijkend scenario en wordt het traject afgelegd vanuit Z (vertrekkende rond 16:05u) richting Y met overstap richting A tot het einde van de [straat] om van daar uit ’s avonds terug te vertrekken meestal met een overstap richting X.”1 Daarenboven stelde de klager zich de vraag of het gebruik van een pasfoto op de MOBIB-kaart noodzakelijk was voor het doel van deze kaart. Tenslotte stelde de klager niet te weten welke gegevens op de chip van de MOBIBkaart werden opgeslagen, noch welke gegevens werden verwerkt in het geval men de MOBIB-kaart valideert in het voertuig van de verweerster. 3. Op 4 december 2023 werd de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en werd de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 4. Op 23 januari 2024 werden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 1 Stuk 4 van de inventaris van de Geschillenkamer: Mail met bijlagen, p 1-2. Beslissing ten gronde 130/2024 — 3/56 WOG. Tevens werden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. De reikwijdte van de zaak werd vastgesteld op de volgende vermeende inbreuken: - inbreuk op artikel 5.1.
4. c)AVG, wegens een schending van het beginsel van dataminimalisatie door het verplichten tot scannen van de MOBIB-kaart bij iedere op- en overstap; en - inbreuk op artikel 6.1 in samenhang gelezen met artikel 6.4 AVG, wegens het verplichten tot scannen van de MOBIB-kaart; en - inbreuk op artikel 5.1.a), 12, 13 en 14 AVG, wegens het niet afdoende informeren van reizigers omtrent de gegevensverzameling die plaatsvindt aan de hand van het scannen van de MOBIB-kaart; en - inbreuk op artikel 25 AVG, wegens een schending van het beginsel van gegevensbescherming door ontwerp en door standaardinstellingen. De uiterste datum voor ontvangst van de conclusie van antwoord van de verweerster werd daarbij vastgelegd op 5 maart 2024, deze voor de conclusie van repliek van de klager op 26 maart 2024 en deze voor de conclusie van repliek van de verweerster op 16 april 2024. 5. Op 29 januari 2024 aanvaardde de klager elektronisch alle communicatie omtrent de zaak en gaf hij te kennen niet gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 6. Op 29 januari 2024 aanvaardde de verweerster elektronisch alle communicatie omtrent de zaak, vroeg zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 31 januari 2024, en gaf zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 7. Op 5 maart 2024 ontving de Geschillenkamer de conclusie van antwoord vanwege de verweerster. 8. Op 25 maart 2024 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Deze bevatte volgende grieven: a. Het plaatsen van zijn foto op de MOBIB-kaart zou niet noodzakelijk zijn; b. De verweerster zou niet transparant zijn in welke persoonsgegevens zij nu verwerkt; c. Het verplicht scannen van de MOBIB-kaart zou niet noodzakelijk zijn; d. Het doorgaan van registreren van zijn validatiegegevens na het intrekken van zijn toestemming voor de dienst ‘reisinfo op maat’ zou niet rechtmatig zijn; Beslissing ten gronde 130/2024 — 4/56 e. De verweerster zou gegevens delen met derden, wat geen deel uitmaakte van de initiële klacht; f. De verweerster weigerde de persoonsgegevens van de klager te verwijderen, wat geen deel uitmaakte van de initiële klacht. 9. Op 16 april 2024 ontvangt de Geschillenkamer de syntheseconclusie van repliek van de verweerster. a. Er is geen inbreuk op artikel 5.1.
5. c)van de AVG omdat: ▪ de MOBIB-kaart enkel toereikende, ter zake dienende en noodzakelijke persoonsgegevens bevat ter identificatie van de reiziger; ▪ de validatie van de MOBIB-kaart slechts een beperkte verwerking van nietgevoelige persoonsgegevens (de ‘validatiegegevens’) inhoudt; ▪ de validatiegegevens voor welomschreven doeleinden worden verwerkt; ▪ de validatiegegevens worden gepseudonimiseerd vanaf het moment dat het mogelijk is; ▪ de verwerking ligt binnen de redelijke verwachtingen van het gebruik van een eticketing systeem. b. Er is geen inbreuk op artikel 6 van de AVG omdat: c. ▪ de verweerster steunt op het algemeen belang (artikel 6.1.
6. e)AVG) en ▪ de verweerster steunt op toestemming (artikel 6.1.
7. a)AVG). Er is geen inbreuk op de artikelen 5.1.a), 12, 13 en 14 van de AVG omdat er een duidelijk, volledig en intuïtief privacybeleid toegankelijk is. d. Er is geen inbreuk op artikel 25 van de AVG omdat: ▪ de gegevensbescherming door ontwerp wordt gegarandeerd en ▪ de gegevensbescherming door standaardinstellingen wordt gegarandeerd. 10. Op 7 mei 2024 voegde de klager een stuk toe aan het dossier. De verweerster vroeg in een schrijven van 23 mei 2024 dit stuk te weren gezien het was ingediend na de conclusietermijn en de verweerster zich hiertegen dus niet zou kunnen verdedigen. 11. Op 20 juni 2024 werden de partijen ervan in kennis gesteld dat de hoorzitting zou plaatsvinden op 4 juli 2024. In dit schrijven verzocht de Geschillenkamer de verweerster bijkomende argumenten naar voor te brengen tijdens de hoorzitting aangaande volgende geschilpunt: Beslissing ten gronde 130/2024 — 5/56 “De Geschillenkamer verzoekt u om ter zitting nadere toelichting te verschaffen met betrekking tot: 1. de mogelijke inbreuk op artikel 5.1.
8. c)van de AVG en artikel 25 van de AVG: in randnummer 32 van de syntheseconclusie van de verweerster leest de Geschillenkamer: “a. een operationele database Mobiguider, waarin […], hetgeen gelinkt is aan het klantenbestand […]”. Graag toelichting bij de noodzaak van het linken van het klantenbestand met de operationele database Mobiguider in het geval de reiziger geen toestemming heeft gegeven voor de dienstverlening “Reisinfo op Maat” in het licht van: a. Het privacybeleid van de Lijn dat stelt: “De Lijn gaat niet na welke individuele klant waar gebruik maakt van het openbaar vervoer” b. De mogelijkheid om anoniem te reizen waarbij de link tussen de operationele database Mobiguider en het klantenbestand, en dus de identiteit van de reiziger, (technisch en operationeel) niet noodzakelijk is. c. Artikel 44 septiesdecies van het Decreet betreffende het publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse Vervoermaatschappij De Lijn2 en artikel 37 van het decreet betreffende de basisbereikbaarheid 3.” 12. Op 1 juli 2024 werden de partijen ervan in kennis gesteld dat vanwege onbeschikbaarheden de hoorzitting werd verplaatst naar 26 augustus 2024. 13. Op 26 augustus 2024 werden de partijen gehoord door de Geschillenkamer. 14. Op 2 september 2024 werd het proces-verbaal van de hoorzitting aan de partijen voorgelegd. 15. Op 3 september 2024 ontving de Geschillenkamer vanwege de klager enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij besliste mee op te nemen in haar beraad. 16. Op 5 september 2024 ontving de Geschillenkamer vanwege de verweerster enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij besliste mee op te nemen in haar beraad. 2 Decreet van 31 juli 1990 betreffende het publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse Vervoermaatschappij – De Lijn. 3 Decreet van 26 april 2019 betreffende de basisbereikbaarheid. Beslissing ten gronde 130/2024 — 6/56 II. Motivering II.1. Procedurele geschilpunten 17. De Geschillenkamer wijst erop dat zij als orgaan van een toezichthoudende autoriteit rekening moet kunnen houden met alle elementen die haar ter kennis zijn gekomen, teneinde een hoog niveau van gegevensbescherming te kunnen waarborgen. Dit neemt niet weg dat de procedure moet voldoen aan eisen van tegenspraak en gelijkheid van partijen. De procedure voorzien onder de onderafdeling “beraadslaging en beslissing ten gronde” in art. 98 e.v. WOG beoogt net een procedure op tegenspraak te voorzien. In het administratief recht moet daarbij in het bijzonder rekenschap genomen worden van de hoorplicht en de rechten van verdediging.4 18. De Geschillenkamer weert het stuk van 7 mei 2024, toegevoegd door de klager, uit de debatten aangezien dit is ingediend na het aflopen van de conclusietermijnen, en dit stuk geen bijzondere aanleiding geeft de debatten te heropenen. 19. De Geschillenkamer neemt de opmerkingen van de partijen naar aanleiding van het PV van de hoorzitting, in casu het schrijven van de klager van 3 september 2024 en van de verweerster van 5 september 2024, op in haar beraad voor zover deze opmerkingen een relevante aanvulling zijn op het PV van de hoorzitting en geen nieuwe elementen introduceren die niet werden aangehaald tijdens de hoorzitting. II.2. Beschrijving van de verwerking II.2.1. De diensten van de verweerster 20. De verweerster biedt op vraag van de Vlaamse overheid vervoersdiensten aan tegen betaling. De reisproducten van de verweerster kunnen in twee categorieën worden opgedeeld: gepersonaliseerde abonnementen en niet-gepersonaliseerde tickets. Teneinde de verschillende middelen van openbaar vervoer naadloos met elkaar te verbinden, werd in 2008 de MOBIB-kaart geïntroduceerd, waarop de vervoerbewijzen van de verschillende openbaarvervoermaatschappijen konden worden geplaatst. Voor de gepersonaliseerde vervoerbewijzen maakt de verweerster gebruik van de MOBIBkaart. 21. De verweerster verplicht elke reiziger zijn of haar MOBIB-kaart of ticket te valideren aan het validatietoestel bij het opstappen op een voertuig. Met deze verplichting wil de 4 Opdebeek I. en De Somer S., Algemeen Bestuursrecht: grondslagen en beginselen, Ed. 2, Antwerpen, 2019 Intersentia, specifiek deel V, Hoofdstuk III, Afdeling 7 m.b.t. de hoorplicht. Beslissing ten gronde 130/2024 — 7/56 verweerster de controle van het vervoersbewijs mogelijk maken, de dienst ‘reisinfo op maat’ mogelijk maken en ruwe vervoerdata verzamelen om haar dienstverlening aan te kunnen tonen en efficiënter te kunnen maken. II.2.2. De klantgegevens 22. De verweerster verwerkt persoonsgegevens ter identificatie van de reiziger om deze reiziger de correcte individuele vervoersbewijzen te verschaffen en te controleren en zodat zij met deze reiziger kan communiceren. Voor deze gegevens wordt het rijksregisternummer verwerkt ter unieke en zekere identificatie van de reiziger. Deze gegevens worden verwerkt op basis van een overeenkomst tussen de reiziger en de verweerster. Er bestaat de mogelijkheid om gebruik te maken van de basisdiensten van de verweerster zonder deze gegevens te moeten delen, namelijk door gebruik te maken van een eenvoudig ticket of groepsticket. 23. In het eerste middel van haar syntheseconclusie verwijst de verweerster naar de machtiging van het rijksregister die haar werd toegekend op 18 mei 2011 (hierna ‘beraadslaging 33/2011’)5 om aan te duiden welke persoonsgegevens worden verwerkt voor de aanmaak en het beheer van de MOBIB-kaart: • Naam en voornaam • Geslacht • Hoofdverblijfplaats (straat, huisnummer, bus nummer, postcode en gemeente) • Geboortedatum • Datum van overlijden • E-ID foto De verweerster heeft in haar syntheseconclusie ook de privacyverklaring toegevoegd 6. In deze privacyverklaring zijn de hierna vermelde persoonsgegevens terug te vinden die verwerkt worden in het kader van abonnementen bij het onderwerp ‘vervoerbewijs uitreiken en klantenbestand beheren’: • Naam en voornaam • Geslacht • Geboortedatum 5 Beraadslaging RR nr 33/2011 van 18 mei 2011 betreffende ‘aanvraag van de Vlaamse Vervoermaatschappij – De Lijn om de machtiging verleend bij KB van 5 september 1994 – die reeds bij beraadslagingen RR nrs. 04/2006 en 39/2007 werd verruimd – uit te breiden en om toegang te krijgen tot de foto’s, opgeslagen in het Register van de Identiteitskaarten en het Register van de Vreemdelingenkaarten (RN/MA/2011/009), randnummer 13. 6 Stuk 23 in de stukkenbundel van de verweerster: Privacybeleid van De Lijn. Beslissing ten gronde 130/2024 — 8/56 • Adres • Gezinssamenstelling • Contactgegevens (gsm en e-mail) • Foto • Rijksregisternummer • Type klant (sociaal statuut, handicap) II.2.3. De validatiegegevens 24. Zowel de algemene reisvoorwaarden7 als de algemene verkoopsvoorwaarden8 van de verweerster verplichten elke reiziger zijn of haar vervoersbewijs te valideren bij het instappen op een voertuig van de verweerster. Om te valideren moet de MOBIB-kaart of het niet-gepersonaliseerde ticket tegen het validatietoestel in het voertuig van de verweerster worden gehouden. De validatiegegevens “worden gelogd in het systeem van De Lijn op het moment dat de MOBIB-kaart een connectie opbouwt met het validatietoestel.”9 25. Op het moment van valideren worden volgens de verweerster de volgende gegevens verwerkt10: 7 • Identificatienummer van de MOBIB-kaart • Vervoersbewijs o Geldigheidsduur o Startdatum o eventueel resterende ritten • Datum en tijd validatie • Locatie validatie • Lijnnummer • Zone • Ritorder • Rit Stuk 3 in de stukkenbundel van de verweerster: Vorige Algemene Reisvoorwaarden De Lijn d.d. 1 september 2022. 8 Stuk 1 in de stukkenbundel van de verweerster: Algemene Verkoopsvoorwaarden De Lijn. 9 Syntheseconclusie van de verweerster, randnummer 30. 10 Ibid. Beslissing ten gronde 130/2024 — 9/56 • ID van de chauffeur • Voertuignummer 26. Na zijn verzoek tot inzage van 10 oktober 2023 heeft de klager een tabel ontvangen met zijn validatiegegevens11. Het betrof volgende gegevens: • Datum en tijd van validatie • GPS-coördinaten op het moment van validatie • Buslijn waarop gevalideerd werd • Identiteitsnummer van het voertuig • ‘position ID’ • ‘stop ID’ II.2.4. De MOBIB-gegevens 27. Teneinde de reiziger efficiënt en eenvoudig gebruik te kunnen laten maken van alle openbare vervoerdiensten, werd in 2008 de MOBIB-kaart geïntroduceerd. Deze MOBIBkaart, die persoonlijk is, bevat een elektronische chip “die informatie opslaat over het soort vervoerbewijs dat erop is geladen, evenals de identificatiegegevens van de houder”12. Deze klantgegevens worden op de MOBIB-kaart gecombineerd met een beperkte set van validatiegegevens, met name de laatste drie validaties. De validatie met deze MOBIB-kaart laat de controle ter plaatse van de vervoersbewijzen van de reiziger toe. 28. De Geschillenkamer stelt vast dat de volgende gegevens terug te vinden zijn op deze MOBIB-kaart13: Zichtbaar op de kaart zelf: naam, voornaam, geboortedatum, identificatienummer van de MOBIB-kaart, vervaldatum van de MOBIB-kaart en een foto van de houder van de MOBIB-kaart. Op de chip van de kaart: naam, voornaam, geslacht, postcode, taal, foto van de houder, identificatienummer van de MOBIB-kaart, serienummer, vervaldatum van de MOBIB-kaart, actief of gedeactiveerd, de vervoersbewijzen die verbonden zijn aan het identificatienummer 11 Stuk 4 van de inventaris van de Geschillenkamer: Mail met bijlagen. 12 Syntheseconclusie verweerster, randnummer 4. 13 van de MOBIB-kaart per Deze gegevens zijn samengesteld uit gegevens uit de syntheseconclusie van de verweerster enerzijds en van de uitgever van de MOBIB-kaart, zoals terug te vinden in bijlage 6 van de stukken van de klager, anderzijds. Beslissing ten gronde 130/2024 — 10/56 vervoersmaatschappij en, voor de verweerster, de validatiegegevens van de drie laatste validaties. II.2.5. De databases van de verweerster 29. Op basis van de syntheseconclusie van de verweerster en elementen uit de hoorzitting, stelt de Geschillenkamer vast dat het systeem van de verweerster bestaat uit vier databases van belang in dit dossier: • Het ‘klantenbestand’, waarin de noodzakelijke gegevens van de reiziger worden opgeslagen op basis van de overeenkomst tussen de reiziger en de verweerster teneinde een geldig abonnement uit te kunnen reiken aan de reiziger. • De operationele database ‘Mobiguider’ waarin alle validatiegegevens terechtkomen wanneer ze worden doorgezonden van het validatietoestel in het voertuig naar het systeem van de verweerster. Mobiguider bevat alle validatiegegevens van alle reizigers over het volledige grondgebied dat de verweerster bestrijkt voor een periode van zes maanden. De Mobiguider is gelinkt aan het klantenbestand 14. • De ‘ODS’, die een exacte kopie van de Mobiguider is met als doel de “rapporteringen en opvragingen in de operationele database te beperken en onafhankelijk te zijn van beperkte veranderingen in het schema die geen impact hebben op de rapportering”15. • Een database (hierna ‘derde database’) waar de validatiegegevens in gepseudonimiseerde vorm worden bewaard16. II.3. De klacht 30. De klager is klant van de verweerster en heeft een abonnement. Initieel had de klager toestemming gegeven voor de verwerking van zijn persoonsgegevens in het kader van de dienst ‘reisinfo op maat’. Hij heeft deze toestemming op 7 oktober 2023 ingetrokken. Na een verzoek tot inzage in zijn persoonsgegevens, stelde de klager vast dat de verweerster in staat was zijn validatiegegevens te koppelen aan zijn identiteit, ook nadat hij zijn toestemming tot de dienst ‘reisinfo op maat’ had ingetrokken. De klager toont dit aan door de tabel van zijn validatiegegevens van 3 mei tot en met 27 oktober 2023 (dus zowel voor als na het intrekken van zijn toestemming) in de stukken bij te voegen. De klager oordeelt dat de verweerster op basis van deze validatiegegevensgegevens, 14 Syntheseconclusie verweerster, randnummer 32. 15 Ibid. 16 Ibid. Beslissing ten gronde 130/2024 — 11/56 gecombineerd met zijn MOBIB- en klantgegevens, zijn volledig uitgevoerd traject kan reconstrueren, ook nadat hij zijn toestemming voor de dienst ‘reisinfo op maat’ had ingetrokken; de klager ervaart dit als een ernstige schending van zijn privacy. 31. De klager verzet zich in de eerste plaats tegen de verplichte registratie en de exploitatie van zijn validatiegegevens bij elk gebruik van een vervoersmiddel van de verweerster. Door deze verplichting is de verweerster immers in staat om zijn reisgewoonten van de laatste zes maanden te analyseren, zonder dat de klager daar toestemming voor heeft gegeven. Tijdens de hoorzitting verfijnde de klager zijn klacht en verzet hij zich tegen het loggen van zijn identiteit en locatie in het systeem van de verweerster. Daarenboven stelt de klager dat hij onvoldoende is geïnformeerd over de verschillende verwerkingen van persoonsgegevens die de verweerster uitvoert met de MOBIB-kaart. Tenslotte verzet de klager zich tegen het zichtbaar plaatsen van zijn foto op de MOBIB-kaart. II.4. Verwerkingsverantwoordelijkheid van de validatiegegevens 32. De Geschillenkamer stelt vast dat er geen onenigheid is over de identificatie van de verwerkingsverantwoordelijke in dit dossier. De verweerster is (mede)verwerkingsverantwoordelijke voor de klantgegevens, de validatiegegevens en de MOBIBgegevens. 33. Artikel 37, §3, lid 4 van het decreet betreffende de basisbereikbaarheid van 26 april 2019 (hierna “decreet basisbereikbaarheid”) en artikel 44terdecies van het decreet betreffende het publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse Vervoermaatschappij - De Lijn van 31 juli 1990 (hierna “oprichtingsdecreet”) duiden allebei de verweerster aan als verwerkingsverantwoordelijke. 34. De initiële klacht was duidelijk gericht tegen de verweerster en elke discussie over de verwerkingsverantwoordelijkheid van eventuele andere verwerkingsverantwoordelijken maakte geen deel uit van de scope van de initiële klacht. Daarenboven werd de verwerkingsverantwoordelijkheid door de verweerster zelf niet betwist. De Geschillenkamer zal in dit dossier niet ingaan op het bestaan van eventuele medeverwerkingsverantwoordelijken. II.5. Rechtmatigheid van de verwerking van de validatiegegevens (artikel 6.1 in samenhang met artikel 6.4 van de AVG) 35. De Geschillenkamer herinnert eraan dat ingevolge artikel 5.1.
9. a)van de AVG persoonsgegevens rechtmatig, behoorlijk en transparant verwerkt moeten worden. Dit Beslissing ten gronde 130/2024 — 12/56 betekent dat de verwerking moet gebeuren op basis van de verwerkingsgronden zoals bepaald in artikel 6.1 van de AVG. Wanneer persoonsgegevens rechtmatig verwerkt worden, dan moet de verwerking ervan behoorlijk gebeuren. Ten slotte moet duidelijk zijn voor welke doelen persoonsgegevens worden verwerkt en hoe dat gebeurt. Het komt toe aan de verwerkingsverantwoordelijke om een rechtmatigheidsgrond voor zijn verwerking aan te geven.17 II.5.1. Relevante wetgeving 36. Decreet bestuursdecreet van 7 december 2018 (hierna ‘bestuursdecreet’) Artikel I.3 In dit decreet wordt verstaan onder: […] 2° Vlaamse administratie: […]
10. e)de privaatrechtelijk vormgegeven extern verzelfstandigde agentschappen, met uitzondering van de investeringsmaatschappijen van de Vlaamse overheid; Artikel III.7 De publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen zijn rechtspersonen waarvan de rechtsvorm niet in overeenstemming is met de dwingende bepalingen van het private vennootschaps- of verenigingsrecht. De publiekrechtelijk vormgegeven extern verzelfstandigde agentschappen worden opgericht bij decreet. 37. Decreet betreffende het publiekrechtelijk vormgegeven extern verzelfstandigd agentschap Vlaamse Vervoermaatschappij - De Lijn van 31 juli 1990 (hierna “oprichtingsdecreet”) Artikel 2: Er wordt een publiekrechtelijke vereniging met rechtspersoonlijkheid opgericht onder de naam “Vlaamse Vervoermaatschappij” […]. De krachtens het eerste lid opgerichte publiekrechtelijke vereniging wordt zonder onderbreking van de rechtspersoonlijkheid omgevormd tot een publiekrechtelijk 17 Zie beslissing en gronde 47/2022 van 4 april 2022, para 113 en beslissing 48/2022 van 4 april 2022, para 125 en 219, beschikbaar via de webpagina https://www.gegevensbeschermingsautoriteit.be/professioneel/publicaties/beslissingen. Beslissing ten gronde 130/2024 — 13/56 vormgegeven extern verzelfstandigd agentschap als bedoeld in artikel III.7 van het Bestuursdecreet, met als benaming Vlaamse Vervoermaatschappij - De Lijn […]. […] Artikel 3: De [verweerster] heeft tot doel elke activiteit die rechtstreeks of onrechtstreeks, geheel of gedeeltelijk verband houdt met het gemeenschappelijk stads- en streekvervoer verricht in het Vlaamse Gewest, vanuit of naar dit Gewest. De [verweerster] kan binnen haar normale werkingsgebied alle activiteiten opzetten waartoe haar personeel, haar installaties en haar uitrusting kunnen aangewend worden, in zover deze activiteiten verband houden met gemeenschappelijk stads- en streekvervoer, met inbegrip van het opvangen van piekmomenten in de vraag hetzij vervoer te water. […] Artikel 44quater, derde lid: De lijncontroleurs kunnen, met het oog op de vaststelling van overtredingen op de reisvoorwaarden, ten aanzien van reizigers en derden, de volgende maatregelen nemen: 1° zij zijn gemachtigd om vervoerbewijzen of verminderingskaarten in beslag te nemen; 2° zij mogen inlichtingen inwinnen en controle uitoefenen door het ondervragen van personen en het inzage nemen van documenten en andere informatiedragers; 3° zij mogen de betrokkenen om hun identiteitskaart vragen. Zij mogen degene die weigert zijn identiteitskaart te tonen of die er geen in zijn bezit heeft, tegenhouden tot de komst van de politie. Artikel 44terdecies : De [verweerster] is de verwerkingsverantwoordelijke, vermeld in artikel 4, 7), van de algemene verordening gegevensbescherming, voor de persoonsgegevens die worden verwerkt voor de doeleinden, vermeld in artikel 44sexiesdecies van dit decreet. Artikel 44quinquiesdecies : De verwerkingsverantwoordelijke verwerkt de volgende categorieën van persoonsgegevens: 1° de identiteitsgegevens, inclusief het identiteitskaartnummer, van de persoon, vermeld in artikel 44ter, § 1; 2° de contactgegevens van de persoon, vermeld in artikel 44ter, § 1; 3° de bankgegevens van de persoon, vermeld in artikel 44ter, § 1; 4° het rijksregisternummer van de persoon, vermeld in artikel 44ter, § 1; Beslissing ten gronde 130/2024 — 14/56 5° de kentekenplaat van de persoon, vermeld in artikel 44ter, § 1, als de overtreding plaatsvindt met een voertuig; 6° foto's die kunnen dienen als bewijs; 7° de vorige overtredingen die de persoon, vermeld in artikel 44ter, § 1, heeft begaan; 8° de abonnementsgegevens van de persoon, vermeld in artikel 44ter, § 1; 9° de naam, de voornaam, de contactgegevens en de geboortedatum van de ouders en de voogden of de personen die een persoon als vermeld in artikel 44ter die minderjarig is onder hun hoede hebben; 10° de persoonsgegevens die noodzakelijk zijn om het proces-verbaal op te stellen, waaronder maar niet beperkt tot de datum en het tijdstip van de vaststelling, het nummer van het proces-verbaal en de plaats van de controle; 11° het personeelsnummer en de identiteit, waaronder de voornaam, de naam en de kantooradres van de lijncontroleur of het sanctionerend personeelslid; 12° de medische persoonsgegevens, die de persoon, vermeld in artikel 44ter, § 1, zelf aanbrengt ter ondersteuning van het verweer; 13° het financiële draagvlak van personen die een abonnement voor verhoogde tegemoetkoming hebben. De Vlaamse Regering kan de categorieën van persoonsgegevens nader bepalen. Artikel 44sexiesdecies : De verwerkingsverantwoordelijke verwerkt de categorieën van persoonsgegevens, vermeld in artikel 44quinquiesdecies van dit decreet, voor de volgende doeleinden ter uitvoering van een taak van algemeen belang en de uitoefening van het openbaar gezag, vermeld in artikel 6, lid 1, e), van de algemene verordening gegevensbescherming: 1° vervoerbewijzen of verminderingskaarten controleren en in beslag nemen; 2° het vaststellen van overtredingen op de reisvoorwaarden; 3° de volgende feiten en handelingen vaststellen:
11. a)feiten en handelingen die overlast veroorzaken op en rond het voertuig van de Maatschappij;
12. b)feiten en handelingen die de dienstverlening verstoren of kunnen verstoren;
13. c)feiten en handelingen die gevaar veroorzaken; 4° betrokkenen ondervragen en inzage nemen van documenten en andere informatiedragers; 5° het proces-verbaal opmaken en versturen; Beslissing ten gronde 130/2024 — 15/56 6° administratieve geldboetes en toezichts- en administratiekosten aan een persoon als vermeld in artikel 44ter van dit decreet, opleggen en innen; 7° een definitieve beslissing nemen na eventuele verweermiddelen van de overtreder tegen het voorstel van de beslissing te hebben verwerkt; 8° de Maatschappij verdedigen in het kader van procedures. Artikel 44septiesdecies : De verwerkingsverantwoordelijke verwerkt de categorieën van persoonsgegevens, vermeld in artikel 44quinquiesdecies van dit decreet, van de volgende categorieën van betrokkenen: 1° personen die een overtreding begaan op de reisvoorwaarden, vermeld in artikel 2, 20°, van het decreet basisbereikbaarheid; 2° personen die niet beschikken over een geldig vervoerbewijs of een in voorkomend geval gevalideerd vervoerbewijs; 3° de personen die de volgende handelingen stellen:
14. a)de personen die overlast veroorzaken op en rond het voertuig van de Maatschappij;
15. b)de personen die de dienstverlening verstoren of kunnen verstoren;
16. c)de personen die gevaar veroorzaken; 4° lijncontroleurs; 5° sanctionerende personeelsleden; 6° de ouders en voogden of de personen die een persoon als vermeld in artikel 44ter van dit decreet die minderjarig is onder hun hoede hebben. Artikel 44duodevicies : De [verweerster] kan de persoonsgegevens meedelen aan de volgende derde partijen voor de doeleinden, vermeld in artikel 44sexiesdecies: 1° de politie, als een bijkomende vaststelling noodzakelijk is gelet op de feiten; 2° het Rijksregister of de Dienst voor Inschrijvingen van Voertuigen, om te controleren of de persoonsgegevens die de persoon in kwestie heeft opgegeven juist zijn en om in voorkomend geval ontbrekende maar noodzakelijke persoonsgegevens aan te vullen; 3° de dienst Administratieve Boetes, om de administratieve geldboetes en toezichtsen administratiekosten vast te stellen; 4° een takeldienst, als een voertuig moet worden getakeld; Beslissing ten gronde 130/2024 — 16/56 5° gerechtsdeurwaarders, om de administratieve geldboetes en toezichts- en administratiekosten verder te behandelen of om een solvabiliteitsonderzoek uit te voeren voor personen met een abonnement voor verhoogde tegemoetkoming vooraleer de gedwongen invordering wordt gestart; 6° advocaten en hoven en rechtbanken, als de administratieve geldboetes en toezichtsen administratiekosten worden betwist; 7° de Vlaamse ombudsman, als die tussenkomt in een geschil. De Vlaamse Regering kan verdere modaliteiten over de uitwisseling van de persoonsgegevens nader bepalen. 38. Decreet betreffende de basisbereikbaarheid van 26 april 2019 (hierna “decreet basisbereikbaarheid”) Artikel 37: § 3. De exploitanten van het kernnet en aanvullend net, de exploitant voor het openbaar personenvervoer over water en de Mobiliteitscentrale kunnen persoonsgegevens van de reizigers en derden verwerken met het oog op: 1° een efficiënte exploitatie van de openbaarvervoerdiensten, waarbij combimobiliteit wordt gefaciliteerd; 2° het promoten van het openbaar personenvervoer en combimobiliteit; 3° statistische doeleinden voor het openbaar personenvervoer en het globale mobiliteitsbeleid, om de evolutie inzake personenmobiliteit, vervoersstromen, modale verdeling en verkeersveiligheid in kaart te brengen. Voor zover de gegevens, vermeld in het eerste lid, 3°, persoonsgegevens bevatten, worden deze zo veel als mogelijk geanonimiseerd en in ondergeschikt geval gepseudonimiseerd. De Mobiliteitscentrale en de exploitanten van het kernnet en het aanvullend net en ook de exploitant voor het openbaar personenvervoer over water verwerken persoonsgegevens, vermeld in artikel 4, 1), van de algemene verordening gegevensbescherming, en de persoonsgegevens, vermeld in artikel 9 van de voormelde verordening. De exploitanten van het kernnet en het aanvullend net, de exploitant voor het openbaar personenvervoer over water en de Mobiliteitscentrale kwalificeren als verwerkingsverantwoordelijke in de zin van artikel 4, 7), van de voormelde verordening voor de verwerking van de persoonsgegevens, vermeld in dit artikel. Beslissing ten gronde 130/2024 — 17/56 De verwerkingsverantwoordelijke is onderworpen aan de verplichtingen, vermeld in artikel 5, 2, van de voormelde verordening, die op hem rusten. De verwerkingsverantwoordelijke draagt zijn verwerkers op om de personen in kwestie te informeren over de verwerking van hun persoonsgegevens en om te zorgen voor een effectieve uitvoering van de aan de betrokkenen toegekende rechten, vermeld in hoofdstuk III van de voormelde verordening. De gegevens die verzameld en verwerkt worden voor de doeleinden, vermeld in het eerste lid, worden bewaard gedurende: 1° vijf jaar, voor het doeleinde, vermeld in het eerste lid, 1° ; 2° één jaar na stopzetting van het contract met de betrokkene, voor het doeleinde vermeld in het eerste lid, 2° ; 3° vijf jaar, voor het doeleinde vermeld in het eerste lid, 3°. De Vlaamse Regering bepaalt de regels voor de verwerking van de persoonsgegevens en de passende waarborgen voor de rechten en vrijheden van de betrokkenen. 39. Besluit van de Vlaamse Regering tot bepaling van de reisvoorwaarden en de regels voor de handhaving ervan door de VVM – De Lijn van 16 september 2022 (hierna ‘besluit reisvoorwaarden en handhaving’): Artikel 2: De [verweerster] kan, met het oog op de uitoefening van haar controlebevoegdheden met betrekking tot de vervoerbewijzen, de voorwaarden voor de geldigheid en de validatie van de vervoerbewijzen bepalen. Artikel 4: Het personeel van de [verweerster] waakt erover dat de reizigers, en het publiek in het algemeen, de regels, vermeld in artikel 6 tot en met 8, naleven. Artikel 7: §1. Zodra de reiziger in het voertuig van de [verweerster] stapt, is hij in het bezit van een vervoerbewijs, dat geldig is en dat in voorkomend geval voor de rit geldig is gemaakt. Het vervoerbewijs is voor de volledige rit die hij ermee aflegt geldig conform de geldigheidsvoorwaarden die de [verweerster] conform artikel 2 bepaalt. De reiziger kan altijd zijn identiteit bewijzen. §2. Als de [verweerster] in de geldigheidsvoorwaarden die conform artikel 2 zijn bepaald, aangeeft dat een vervoerbewijs gevalideerd moet worden, valideert de Beslissing ten gronde 130/2024 — 18/56 reiziger het vervoerbewijs zodra hij in het voertuig van de [verweerster] stapt. §3. De reiziger kan het zo nodig gevalideerde vervoerbewijs op elk moment tijdens de reis aan de lijncontroleurs tonen. II.5.2. Standpunt klager 40. Aangezien de klager van mening is dat de validatiegegevens zijn privacy ernstig schenden, stelt hij zich de volgende vraag: “Op welke grond eist De Lijn dan dat bij elke opstap op een vervoersmiddel de kaart gescand wordt […]”.18 41. De klager argumenteert dat hij beschikt over een geldig vervoersbewijs in de vorm van een abonnement dat vooraf betaald werd en dat nog steeds binnen de geldigheidsduur valt. Dit vervoersbewijs hoeft niet ontwaard te worden bij elke rit zoals een rittenkaart. Hij weerlegt de noodzaak van punt 2 van de Algemene Verkoopsvoorwaarden 19 van de verweerster dat het scannen van een drager van dit geldig vervoersbewijs noodzakelijk is om zijn vervoersbewijs geldig te maken. Daarmee weerlegt hij ook dat het valideren van zijn MOBIB-kaart, en dus de verwerking van zijn validatiegegevens, kan steunen op het artikel 7 van het Besluit reisvoorwaarden en handhaving. De klager is van mening dat het verwerken van zijn validatiegegevens niet is toegestaan op grond van het algemeen belang zoals voorgesteld door de verweerster in haar e-mail van 31 oktober 202320. 42. Verder argumenteert de klager dat de verwerking van de validatiegegevens na 7 oktober 2023 evenmin nog kon steunen op toestemming aangezien hij op die dag zijn toestemming voor de dienst ‘reisinfo op maat’ had ingetrokken. In het overzicht van zijn validatiegegevens21 die hij had ontvangen van de verweerster na zijn verzoek tot inzage, stelde de klager echter vast dat zijn validatiegegevens nog altijd op dezelfde wijze verwerkt werden na 7 oktober 2023. II.5.3. Standpunt verweerster 43. De verweerster beargumenteert in de syntheseconclusie in haar tweede middel de rechtmatigheid van het valideren van de MOBIB-kaart bij iedere op- en overstap. Aangezien de verwerking van de validatiegegevens om verschillende doeleinden gebeurt, steunt de verweerster op verschillende rechtsgronden. 44. Ten eerste behartigt de verwerking van de validatiegegevens het algemeen belang bij het valideren en controleren van vervoerbewijzen en bij het opleggen van sancties in 18 Stuk 2 van de inventaris van de Geschillenkamer: Klacht en bijlagen – mail van 23 november 2023, randnummer 3. 19 Stuk 1 in de stukkenbundel van de verweerster: Algemene Verkoopsvoorwaarden De Lijn. 20 Stuk 15 in de stukkenbundel van de veerweerster: E-mail De Lijn aan Klager d.d. 31 oktober 2023. 21 Stuk 4 van de inventaris van de Geschillenkamer: Mail met bijlagen – bijlage ‘validatiesperkaart’. Beslissing ten gronde 130/2024 — 19/56 geval van niet naleving van de ‘algemene verkoopsvoorwaarden’. De verweerster verwijst hiervoor naar: • Artikel 37 van het ‘decreet basisbereikbaarheid’ dat in de derde paragraaf het doel van het verwerken van persoonsgegevens door de verweerster vermeldt. De verweerster kan persoonsgegevens verwerken “met het oog op een efficiënte exploitatie van de openbaarvervoerdiensten […]”. • Artikel 44quater van het ‘oprichtingsdecreet’ dat de controleurs de bevoegdheid geeft om persoonsgegevens te verwerken aangezien zij inlichtingen mogen inwinnen en controle mogen uitoefenen en daarvoor “inzage nemen van documenten en andere informatiedragers”. • Artikel 7 van het ‘besluit reisvoorwaarden en handhaving’ dat de verweerster toestaat de reizigers te verplichten het vervoersbewijs te valideren: “Als [de verweerster] […] aangeeft dat een vervoerbewijs gevalideerd moet worden, valideert de reiziger het vervoersbewijs zodra hij in het voertuig van De Lijn stapt”. De verweerster heeft decretaal een taak toegewezen gekregen die kadert binnen de publieke functie die zij uitoefent en deze taak is niet uitvoerbaar zonder de validatiegegevens te verwerken. Indien de verweerster deze gegevens niet kan verwerken, verliest zij een deel van haar inkomsten aangezien “het gebrek aan controle de kans op zwartrijden verhoogt”22. Dit verlies zou een “ernstige impact kunnen hebben op de organisatie van het openbaar vervoer”23 en zou een “verkeerde inzet van overheidsmiddelen uitmaken”24. 45. Ten tweede behartigt de verwerking van de validatiegegevens het algemeen belang bij de organisatie van de dienstverlenging en de aanpassing naargelang de behoeften van de reizigers. De verweerster verwijst hiervoor naar: • Artikel 37 van het ‘decreet basisbereikbaarheid’ dat spreekt van het verwerken van persoonsgegevens met het oog op