Uitspraak
202001629/1/A3.
Datum uitspraak: 10 november 2021
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
[appellant], wonend te [woonplaats]
tegen de uitspraak van de rechtbank Gelderland van 4 februari 2020 in zaak nr. 19/3510 in het geding tussen:
[appellant]
en
de Autoriteit Persoonsgegevens (hierna: de AP).
Procesverloop
Bij besluit van 12 november 2018 heeft de AP het verzoek van [appellant] om handhavend op te treden tegen de Nederlandse Spoorwegen afgewezen.
Bij besluit van 12 juni 2019 heeft de AP het door [appellant] daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 4 februari 2020 heeft de rechtbank het door [appellant] daartegen ingestelde beroep ongegrond verklaard. Deze uitspraak is aangehecht.
Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.
De AP heeft een schriftelijke uiteenzetting gegeven.
[appellant] en de NS Groep N.V. en NS Reizigers B.V. (hierna gezamenlijk en in enkelvoud: de NS) hebben nadere stukken ingediend.
De Afdeling heeft de zaak ter zitting behandeld op 8 februari 2021, waar de AP, vertegenwoordigd door mr. J.M.A. Koster en mr. W. Steenbergen, is verschenen. Voorts was daar de NS aanwezig, vertegenwoordigd door mr. G.J. Zwenne, advocaat te Den Haag.
Na de opening van de zitting heeft de Afdeling meegedeeld de zaak niet te kunnen behandelen omdat geen videoverbinding met [appellant] tot stand kon worden gebracht en heeft zij de zaak aangehouden.
De Afdeling heeft de zaak vervolgens op 5 juli 2021 ter zitting behandeld, waar [appellant], via videoverbinding, en de AP, vertegenwoordigd door mr. W. van Steenbergen en mr. J.M.A. Koster, zijn verschenen. Voorts is daar gehoord de NS, vertegenwoordigd door mr. G.J. Zwenne, advocaat te Den Haag.
Overwegingen
Inleiding
1. [appellant] vindt dat de NS ten onrechte zijn persoonsgegevens nodig zegt te hebben voor een aantal handelingen. Hij heeft daarom de AP verzocht om met toepassing van de Algemene Verordening Gegevensbescherming (EU) 2016/679 (hierna: de AVG) handhavend op te treden tegen de NS. Het gaat in deze zaak om de volgende handelingen:
I. de uitbetaling van het aanwezige saldo op een anonieme OV-chipkaart;
II. de verplichte identificatie bij de aanschaf van vervoersbewijzen aan de balie voor alle internationale treinreizen binnen de EU;
III. het in rekening brengen van servicekosten bij het opladen/opwaarderen van een anonieme OV-chipkaart met contant geld.
2. De Afdeling beoordeelt in hoger beroep aan de hand van de door [appellant] aangevoerde gronden of de rechtbank terecht tot haar oordeel is gekomen. Bij die beoordeling van de aangevallen uitspraak is de Afdeling gebonden aan de omvang van het verzoek van [appellant] en de door hem in bezwaar en beroep binnen die omvang aangevoerde gronden. Dat betekent dat de Afdeling in deze uitspraak geen oordeel zal geven over gronden die daarbuiten vallen. De Afdeling zal zich ook niet uitlaten over algemenere overdenkingen van [appellant] over de huidige samenleving en de manier waarop binnen die samenleving wordt omgegaan met het privéleven van mensen.
3. Bij haar beoordeling zal de Afdeling alleen die stukken betrekken die zien op deze procedure en in deze procedure ook zijn overgelegd.
Op de zitting van de Afdeling heeft de NS haar standpunt ingetrokken dat de aanvullende stukken, die [appellant] heeft ingediend over de verplichte identificatie bij de aanschaf van vervoersbewijzen voor internationale treinreizen, niet mogen worden betrokken bij het oordeel van de Afdeling omdat die stukken in strijd met een goede procesorde nieuwe beroepsgronden bevatten, Het wettelijk kader is opgenomen in de bijlage. Die bijlage maakt deel uit van deze uitspraak.
Hoger beroep
Uitbetaling van saldo op een anonieme OV-chipkaart
Het verzoek
4. Dit deel van het verzoek van [appellant] gaat over de verplichting om een legitimatiebewijs te laten zien als hij bij de balie het op de anonieme OV-chipkaart aanwezige saldo van minder dan € 30,00 uitbetaald wil krijgen, over het al dan niet verwerken van de twee nummers die staan op de chip-ID en het zogenoemde engraved ID en over de uitbetaling van bedragen op een OV-chipkaart hoger dan € 30,00.
Het besluit
4.1. De AP acht zich onbevoegd om handhavend op te treden voor zover [appellant] zijn legitimatiebewijs moet laten zien aan de baliemedewerker. Het tonen of tijdelijk afgeven van een identiteitsbewijs, zonder dat persoonsgegevens worden vastgelegd, is geen verwerking van persoonsgegevens. Verder stelt de AP zich op het standpunt dat de verwerkingsverantwoordelijke voor de uitbetalingen niet de NS is maar Trans Link systems B.V. (hierna: TLS). Onderzoek naar een mogelijke overtreding door TLS valt buiten de omvang van het verzoek en hoeft daarom niet te worden uitgevoerd. Voor zover de NS als verwerker of medeverantwoordelijke mogelijk persoonsgegevens verwerkt en als ervan moet worden uitgegaan dat de nummers als persoonsgegeven moeten worden aangemerkt, acht de AP niet aannemelijk dat sprake is van een bovenmatige of anderszins onrechtmatige verwerking.
De aangevallen uitspraak
4.2. De rechtbank heeft overwogen dat de AP in redelijkheid geen aanleiding hoefde te zien om nader onderzoek te doen. De medewerkers van de NS krijgen zowel schriftelijk als mondeling de instructie om geen persoonsgegevens te verwerken en het computersysteem laat het niet toe om persoonsgegevens op te nemen bij de inlevering van een anonieme OV-chipkaart, aldus de rechtbank. De AP heeft volgens de rechtbank ook terecht geen onderzoek gedaan naar de verwerking van persoonsgegevens door TLS omdat die buiten de omvang van het verzoek valt.
De hogerberoepsgronden
4.3. [appellant] is het niet eens met dit oordeel van de rechtbank. Volgens hem had de AP de feitelijke handelwijze wel nader moeten onderzoeken. [appellant] voert aan dat in de aangevallen uitspraak ten onrechte niets staat over de rechtmatigheid van het doel van de legitimatieverplichting. Omdat de NS pas in beroep heeft bevestigd dat dat afschrikking is, had de rechtbank het besluit op bezwaar moeten vernietigen wegens een gebrekkige motivering. De rechtbank gaat er ook ten onrechte vanuit dat de AP alleen zou moeten optreden als persoonsgegevens onrechtmatig worden verwerkt en niet als sprake is van schending van de privésfeer op grond van artikel 8 Verdrag Pro tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: het EVRM).
Verder heeft de rechtbank volgens [appellant] nagelaten te oordelen over de verwerking van de unieke nummers van ingeleverde anonieme OV-chipkaarten bij een restsaldo onder de € 30,00.
Tot slot voert [appellant] aan dat de rechtbank ten onrechte heeft geoordeeld dat niet de NS maar TLS verwerkingsverantwoordelijke is terwijl de rechtbank in een eerdere uitspraak over een vergelijkbaar handhavingsverzoek TLS niet als belanghebbende heeft aangemerkt. Door dit niet te motiveren, is de aangevallen uitspraak gebrekkig gemotiveerd, aldus [appellant].
Het oordeel van de Afdeling
Mag de AP alleen handhaven als persoonsgegevens onrechtmatig worden verwerkt?
4.4. Het antwoord op deze vraag is ja. Anders dan [appellant] betoogt, mag de AP alleen optreden als persoonsgegevens onrechtmatig worden verwerkt. De grondslag voor de bevoegdheid van de AP ligt in de AVG. De AVG is alleen van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Evenmin kan aan artikel 8 van Pro het EVRM een grondslag voor handhavend optreden door de AP worden afgeleid, zoals [appellant] betoogt.
Als [appellant] vindt dat zijn recht op privéleven door de NS wordt geschonden als hij zich moet legitimeren, kan hij dat in een civielrechtelijke procedure aan de rechter voorleggen.
4.5. Dat het doel van de legitimatieplicht niet in de aangevallen uitspraak wordt vermeld, is geen grond om de aangevallen uitspraak te vernietigen. Gezien de instructies in het handboek voor baliemedewerkers van de NS en de verklaring van de NS dat met de digitale systemen die baliemedewerkers tot hun beschikking hebben, geen persoonsgegevens kunnen worden opgeslagen, heeft de rechtbank terecht overwogen dat de AP het standpunt mocht innemen dat met het legitimeren zelf geen persoonsgegevens worden verwerkt. Als geen persoonsgegevens worden verwerkt, is de AVG niet van toepassing en heeft de AP niet de bevoegdheid om handhavend op te treden tegen de NS. Al om die reden is in het kader van deze procedure het doel van de legitimatieplicht niet van belang. Er bestaat dus ook geen grond voor het oordeel dat het besluit op bezwaar om die reden had moeten worden vernietigd.
Het is juist dat in de aangevallen uitspraak niet met zoveel woorden een oordeel staat over de verwerking van de unieke nummers van ingeleverde anonieme OV-chipkaarten bij een restsaldo onder de € 30,00. Naar het oordeel van de Afdeling betekent dit echter niet dat de rechtbank daaraan in haar oordeel geheel voorbij is gegaan en de aangevallen uitspraak om die reden moet worden vernietigd. Voor zover daarbij al persoonsgegevens worden verwerkt, is daarvoor namelijk net zoals bij de uitbetaling van een restsaldo van meer dan € 30,00, waarbij wel persoonsgegevens worden verwerkt, van belang wie als verwerkingsverantwoordelijke moet worden aangemerkt. Volgens de rechtbank is dat TLS.
Wie is verwerkingsverantwoordelijke?
4.6. Met de rechtbank is de Afdeling van oordeel dat de AP zich terecht op het standpunt heeft gesteld dat TLS als verwerkingsverantwoordelijke moet worden aangemerkt, voor zover het gaat om de verwerking van persoonsgegevens bij het uitbetalen van het resterende saldo van een anonieme OV-chipkaart. Aannemelijk is namelijk dat TLS de voorwaarden bepaalt waaronder en de apparatuur waarmee het uitlezen van het chip-ID geschiedt. De veronderstelling van [appellant] dat hij bij de aanschaf van een OV-chipkaart een overeenkomst aangaat met de NS en dat daarom de NS als verwerkingsverantwoordelijke moet worden aangemerkt, is niet juist. Zoals blijkt uit de Algemene voorwaarden OV-chipkaart, waarmee de kaarthouder akkoord gaat als hij een OV-chipkaart aanschaft, wordt de OV-chipkaart uitgegeven door TLS en blijft deze eigendom van TLS. Het is dus ook TLS met wie de kaarthouder een overeenkomst aangaat. Dat de rechtbank in een andere zaak TLS niet als belanghebbende heeft aangemerkt, maakt niet dat de rechtbank in deze zaak had moeten oordelen dat de NS als verwerkingsverantwoordelijke moet worden aangemerkt. Het handhavingsverzoek van [appellant] heeft geen betrekking op de naleving van de AVG door TLS. Zoals de rechtbank terecht heeft geoordeeld is de verwerking van persoonsgegevens door TLS in deze procedure niet aan de orde. De rechtbank heeft haar oordeel ook voldoende gemotiveerd.
Het betoog slaagt niet.
De werkwijze bij het kopen van een internationale treinkaart
Het verzoek
5. Dit deel van het verzoek van [appellant] ziet op de werkwijze bij het kopen van een internationaal treinkaartje. [appellant] stelt dat in de praktijk bij de aanschaf van vervoerbewijzen aan de stationsbalie voor alle internationale treinreizen binnen de EU standaard om persoonsgegevens - waaronder in elk geval de naam - wordt gevraagd. [appellant] vindt dat het mogelijk moet zijn om een vervoerbewijs voor een internationale treinreis te kopen zonder dat persoonsgegevens moeten worden verstrekt.
Het besluit
5.1. De AP heeft zich op het standpunt gesteld dat de NS bij de verkoop van internationale vervoersbewijzen niet in strijd met de AVG heeft gehandeld. Daarom heeft de AP dit onderdeel van het handhavingsverzoek afgewezen. De AP heeft geen standpunt ingenomen over de verkoop door de NS van vervoersbewijzen van door derde partijen te verrichten vervoer. Volgens de AP ziet het handhavingsverzoek van [appellant] alleen op gevallen waarin de NS verwerkingsverantwoordelijke is en niet op gevallen waarin de NS verwerker is. Anders gezegd ziet het handhavingsverzoek volgens de AP alleen op gevallen waarin de NS eigen vervoersbewijzen verkoopt, niet op gevallen waarin de NS vervoersbewijzen van buitenlandse vervoersbedrijven verkoopt.
De aangevallen uitspraak
5.2. De rechtbank heeft overwogen dat de AP terecht het verzoek van [appellant] heeft beperkt tot de verkoop van internationale treinkaartjes van de NS en niet hoefde te onderzoeken of bij de verkoop van kaartjes van buitenlandse vervoersbedrijven de AVG wordt overtreden. [appellant] heeft alleen gesteld dat ten onrechte zijn persoonsgegevens werden gevraagd bij de aanschaf van een ticket van de NS naar een plaats in Duitsland. Verder mocht de AP uit de informatie van de NS afleiden dat de NS bij de verkoop van internationale treintickets niet in strijd handelt met de AVG omdat [appellant] een internationaal treinticket heeft kunnen kopen zonder verstrekking van zijn persoonsgegevens. In de door [appellant] naar voren gebrachte afwijkende praktijk hoefde de AP geen aanleiding te zien om nader onderzoek te verrichten.
De stelling van [appellant] dat het callcenter persoonsgegevens van hem heeft verwerkt, slaagt niet omdat hij deze stelling niet heeft onderbouwd, aldus de rechtbank.
De hogerberoepsgronden
5.3. [appellant] voert aan dat de rechtbank zijn verzoek niet zo beperkt had mogen opvatten. De rechtbank is er ten onrechte aan voorbijgegaan dat hij in zijn aanvullend bezwaarschrift wijst op een door hem gekocht internationaal ticket met gedeeltelijk een andere vervoerder dan de NS. In aanmerking genomen de plicht van de AP om een hoog beschermingsniveau te creëren, had de rechtbank moeten onderkennen dat dat voldoende aanwijzingen zijn voor de AP om de gestelde overtreding van andere vervoerders nader te onderzoeken. De rechtbank had verder niet klakkeloos mogen aannemen dat wat in het handboek van de NS staat in de praktijk ook zo wordt toegepast.
Over het call center heeft [appellant] slechts gesteld dat dat geen privacy-vriendelijk alternatief is en niet, zoals de rechtbank heeft overwogen, dat het zijn persoonsgegevens verwerkt.
Het oordeel van de Afdeling
Wat is de omvang van het verzoek?
5.4. [appellant] heeft bij brief van 9 juli 2018 een handhavingsverzoek ingediend bij de AP. In de inleiding hiervan staat:
"Mede met verwijzing naar mijn eerdere handhavingsverzoeken inzake privacy-schendingen van NS […] en mede met verwijzing naar artikelen 6, 7, 15, 17, 18, 21, 25, 29, 51, 52, 57, 58, 77, 78 en 83 (met name ook punt 2.e) van dit laatste artikel) van de Algemene Verordening Gegevensbescherming (AVG), verzoek ik u om de volgende, door mij geconstateerde overtredingen van Nederlandse Spoorwegen (NS) op het gebied van privacy te onderzoeken en door middel van handhavende maatregelen te beëindigen:
[…]
2. Poging tot misleiding van mij als klant dat identificatie verplicht zou zijn bij de aanschaf van vervoerbewijzen aan de stationsbalie voor alle internationale treinreizen binnen de EU;
[…]"
In het verzoekschrift verwijst [appellant] naar een brief die hij naar de NS heeft gestuurd van 6 juli 2018. Daarin doet hij verslag van zijn aanschaf van een retourticket naar een plaats in Duitsland. In zijn aanvullend bezwaarschrift van 31 januari 2019 attendeert hij op de gang van zaken die dag toen hij opnieuw aan de balie een internationaal treinticket wilde kopen naar een bestemming in Duitsland. Verder merkt [appellant] op dat hij voor familiebezoek ook naar Frankrijk reist met de trein zonder een concrete treinreis te noemen.
5.5. Anders dan de rechtbank is de Afdeling van oordeel dat het verzoek van [appellant] gezien de woorden ‘alle internationale treinreizen’ gelezen in combinatie met de door hem geschetste situaties op het moment dat hij een internationaal treinkaartje wilde kopen, ook ziet op de verkoop door NS van tickets van buitenlandse vervoersbedrijven waarbij de NS als verwerker moet worden aangemerkt.
De Afdeling ziet hierin echter geen aanleiding om de aangevallen uitspraak te vernietigen. De reden daarvoor is de volgende.
Had de AP nader onderzoek moeten doen?
5.6. Niet in geschil is dat het ten tijde van het besluit mogelijk was om een zogenoemd ATB-ticket te kopen. Dit waren internationale vervoersbewijzen die op waardepapier werden geprint. Een ATB-ticket kon bij een servicebalie op het station worden aangeschaft zonder persoonsgegevens te verstrekken.
Ook is niet in geschil dat het beleid van de NS was dat internationale vervoersbewijzen konden worden gekocht zonder persoonsgegevens te verstrekken. Met de rechtbank is de Afdeling van oordeel dat de AP zich op het standpunt mocht stellen dat niet is gebleken dat de NS-medewerkers desondanks geïnstrueerd zouden zijn om klanten niet de optie te bieden van een ticket zonder verstrekking van persoonsgegevens. De AP mocht daarbij van belang achten dat zij geen signalen of klachten van andere betrokkenen dan [appellant] hierover heeft ontvangen en dat de NS regelmatig haar medewerkers attendeert op de verkoopwijze van internationale vervoersbewijzen. [appellant] heeft ook in beide door hem genoemde gevallen zonder opgave van zijn persoonsgegevens een internationaal treinticket kunnen kopen. Hij heeft niet gesteld dat hij in de periode voor het besluit op bezwaar nog andere internationale tickets heeft gekocht of willen kopen. De enkele verklaring van [appellant] dat hij ook naar Frankrijk reist met de trein in verband met familiebezoek geeft, zonder dat hij concreter heeft gemaakt dat daarvoor persoonsgegevens zijn verwerkt, onvoldoende aanknopingspunten voor de AP om een onderzoek te starten. De AP mocht zich op het standpunt stellen dat in de periode waarop het besluit op bezwaar ziet geen persoonsgegevens van [appellant] zijn verwerkt bij de aanschaf van een internationaal treinticket. Als er geen persoonsgegevens worden verwerkt, hoeft de AP ook geen onderzoek te doen. Om dezelfde reden ziet de Afdeling in wat [appellant] heeft aangevoerd geen grond voor het oordeel dat de AP verplicht was om de toezichthoudende autoriteiten van Duitsland en Frankrijk in te lichten.
De verklaring van [appellant] in de bezwaarfase dat volgens een baliemedewerkster het ATB-systeem zou gaan verdwijnen en dat, naar hij veronderstelt, ten tijde van het besluit op bezwaar de buitengebruikstelling mogelijk al wel werd voorbereid, is onvoldoende voor het oordeel dat de AP ten tijde van het nemen van het besluit op bezwaar al onderzoek naar de buitengebruikstelling van het ATB-systeem had moeten doen. Een verzoek om handhaving van een mogelijke overtreding in de toekomst, kan alleen worden toegewezen als overduidelijk is dat een overtreding zal worden gepleegd. Daarvan is in dit geval geen sprake. De Afdeling ziet in wat [appellant] heeft aangevoerd geen grond voor het oordeel dat dit strijdig is met het beschermingsniveau dat de AVG voorschrijft of anderszins onverenigbaar is met het recht op een privéleven.
Gezien het vorenstaande heeft de rechtbank terecht overwogen dat de AP geen aanleiding hoefde te zien nader onderzoek te doen.
5.7. [appellant] voert terecht aan dat zijn verzoek niet zag op verwerking van zijn persoonsgegevens door het callcenter en dat de overweging van de rechtbank in zoverre niet strookt met de feiten. De Afdeling ziet hierin echter geen aanleiding om de aangevallen uitspraak te vernietigen. De reden daarvoor is dat deze overweging niet dragend is geweest voor het oordeel van de rechtbank dat de AP geen nader onderzoek hoefde te doen. De Afdeling zal daarom alleen de gronden verbeteren.
5.8. Het betoog slaagt niet.
Servicekosten voor opladen met contant geld van anonieme OV-chipkaart
Het verzoek
6. Dit deel van het verzoek van [appellant] gaat over het op een anonieme wijze, dus met contant geld in plaats van via een pinbetaling, opladen van de anonieme OV-chipkaart.
Het besluit
6.1. Volgens de AP overtreedt de NS in dit geval niet de AVG omdat bij het met contant geld opladen van de anonieme OV-chipkaart geen persoonsgegevens worden verwerkt en het mogelijk is om bij automaten op te laden zonder betaling van servicekosten. Verder heeft de AP zich op het standpunt gesteld dat door het vragen van servicekosten voor het opladen aan de balie weliswaar een zekere drempel wordt opgeworpen, maar dat die niet zodanig is dat het opladen met contant geld bij de balie redelijkerwijs geen reële optie meer is. Ook houders van een persoonlijke OV-chipkaart moeten deze servicekosten betalen.
De aangevallen uitspraak
6.2. De rechtbank heeft overwogen dat bij het met contant geld opladen van een anonieme OV-chipkaart geen betaalgegevens bekend worden die aan de gebruiker van de kaart kunnen worden gekoppeld. Dat voor betaling bij automaten muntgeld moet worden gespaard, is niet onevenredig bezwarend en het beperkte aantal automaten waar dat kan, leidt niet tot strijdigheid met de AVG. Ook is het moeten betalen van servicekosten voor het opladen met bankbiljetten niet discriminerend omdat daarvoor baliemedewerkers extra handelingen moeten verrichten en de servicekosten ook in rekening worden gebracht bij persoonlijke OV-chipkaarten, aldus de rechtbank.
De hogerberoepsgronden
6.3. [appellant] voert aan dat hij als persoon die hecht aan zijn privacy wordt gediscrimineerd. De rechtbank gaat er volgens hem ten onrechte aan voorbij dat iedere vorm van nadelige behandeling van OV-reizigers die voor privacy kiezen ongerechtvaardigd is. Ook miskent de rechtbank het cumulatieve effect. Verder heeft de rechtbank miskend dat discriminatie moet worden afgemeten aan de feitelijke effecten van de maatregelen in relatie tot bepaalde groepen. Tot slot is het oordeel van de rechtbank dat er alternatieven zijn voor het anoniem opladen waarbij geen servicekosten hoeven te worden betaald, niet gemotiveerd.
Het oordeel van de Afdeling
6.4. Dit betoog slaagt niet.
Niet in geschil is dat bij het opladen met contant geld geen persoonsgegevens worden verwerkt. Een anonieme OV-chipkaart kan kosteloos anoniem worden opgeladen met muntgeld bij een aantal automaten op sommige stations en tegen betaling van servicekosten van € 0,50 per keer met papiergeld aan de balie. Deze drempel is niet dusdanig hoog dat het betalen met contant geld redelijkerwijs geen optie meer zou zijn.
Als geen persoonsgegevens worden verwerkt, wordt de AVG niet overtreden en kan de AP niet handhavend optreden.
6.5. Met de rechtbank is de Afdeling van oordeel dat de AP zich voor zover het de betaling van servicekosten betreft, terecht op het standpunt heeft gesteld dat van directe discriminatie geen sprake is omdat die servicekosten ook in rekening worden gebracht als met een pinbetaling de OV-chipkaart aan de servicebalie wordt opgewaardeerd. Tussen betalingen met muntgeld en met pinpas bij automaten op stations bestaat wel een onderscheid omdat met muntgeld bij minder automaten en niet op alle stations de OV-chipkaart kan worden opgeladen. Voor dit gemaakte onderscheid bestaat echter een rechtvaardiging in objectieve omstandigheden. Als er meer en op meer plaatsen automaten zijn waar met contant geld kan worden opgeladen, neemt het risico op beroving toe wat ten koste zou gaan van de veiligheid van de bezoekers van stations. De Afdeling volgt [appellant] niet in zijn betoog dat hij hetzelfde zou moeten worden behandeld als de groepen waarvoor de NS volgens haar beleid geen servicekosten in rekening brengt bij het opladen met papiergeld, te weten rolstoelgebruikers, slechtzienden en personen boven de 75 jaar. De NS heeft deze groepen vrijgesteld van servicekosten omdat zij de automaten niet of niet goed kunnen bedienen. Dat is niet het geval bij [appellant].
Anders dan [appellant] betoogt is niet ieder onderscheid in strijd met de bedoeling van het recht op een privéleven. Ook bij het recht op een privéleven kan een direct of indirect gemaakt onderscheid zijn gerechtvaardigd. Zoals hiervoor overwogen is daarvan in dit geval sprake. De rechtbank heeft dus terecht geoordeeld dat de AP geen nader onderzoek hoefde te doen. De rechtbank heeft haar oordeel ook voldoende gemotiveerd.
Slotsom
7. Het hoger beroep is ongegrond. De aangevallen uitspraak moet worden bevestigd met verbetering van de gronden waarop zij rust.
7.1. De AP hoeft geen proceskosten te vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
bevestigt de aangevallen uitspraak.
Aldus vastgesteld door mr. N. Verheij, voorzitter, en mr. G.M.H. Hoogvliet en mr. E.J. Daalder, leden, in tegenwoordigheid van mr. S.C. van Tuyll van Serooskerken, griffier.
w.g. Verheij
voorzitter
w.g. Van Tuyll van Serooskerken
griffier
Uitgesproken in het openbaar op 10 november 2021
290.
BIJLAGE
EVRM
Artikel 8:
1. Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.
2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.
Artikel 1, van het Twaalfde Protocol bij het EVRM:
1. Het genot van elk in de wet neergelegd recht moet worden verzekerd zonder enige discriminatie op welke grond dan ook, zoals nationale afkomst.
2. Niemand mag worden gediscrimineerd door enig openbaar gezag op met name een van de in het eerste lid vermelde gronden.
Algemene Verordening Gegevensbescherming
Artikel 2, Materieel toepassingsgebied:
1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. […].
Artikel 4, Definities:
Voor de toepassing van deze verordening wordt verstaan onder:
1) […]
5) „pseudonimisering": het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld;
7) „verwerkingsverantwoordelijke": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
8) „verwerker": een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;
9) […].
Artikel 24, Verantwoordelijkheid van de verwerkingsverantwoordelijke:
1. Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.
2. Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.
3. Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40 of Pro goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 kan Pro worden gebruikt als element om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen.
Artikel 51, Toezichthoudende autoriteit;
Elke lidstaat bepaalt dat één of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de toepassing van deze verordening, teneinde de grondrechten en fundamentele vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens te beschermen en het vrije verkeer van persoonsgegevens binnen de Unie te vergemakkelijken („toezichthoudende autoriteit").
Artikel 57, Taken:
1. Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken:
a. […]
f. zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is;
g. […].
Uitvoeringswet
Artikel 6:
1. Er is een Autoriteit persoonsgegevens. De Autoriteit persoonsgegevens bezit rechtspersoonlijkheid.
2. De Autoriteit persoonsgegevens is de toezichthoudende autoriteit, bedoeld in artikel 51, eerste lid, van de verordening.
3. Onverminderd artikel 57 van Pro de verordening, heeft de Autoriteit persoonsgegevens tot taak toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de verordening of de wet bepaalde.
4. Ter uitvoering van een bindende EU-rechtshandeling kunnen, gehoord de Autoriteit persoonsgegevens, bij regeling van Onze Minister aan de Autoriteit persoonsgegevens taken worden opgedragen.