Odido beboet door de Rijksinspectie Digitale Infrastructuur voor verwerking verkeersgegevens

Boete Odido

Afgelopen maand werd bekend dat de Rijksinspectie Digitale Infrastructuur (“RDI”), tot voor kort bekend als het Agentschap Telecom, een boete van € 175.000, = heeft opgelegd aan Odido. Odido heeft verkeersgegevens en geschatte locatiegegevens verwerkt voor het project “Pilot Mobiele telefoondata”. Dit project betrof een samenwerking met het Centraal Bureau voor de Statistiek (“CBS”) om een algoritme te ontwikkelen. Het algoritme kon informatie opleveren over de verplaatsingen van grote groepen mensen. Volgens onderzoek van de RDI voldeed de verwerking van verkeersgegevens niet aan de regels van de Telecommunicatiewet. Aanleiding voor het onderzoek door de RDI was een artikel in de NRC over de samenwerking tussen Odido en het CBS.

De overtreding

Het gaat om de verwerking van verkeersgegevens en geschatte locatiegegevens van minimaal 2,5 miljoen abonnees en gebruikers van Odido in 2017 en 4,5 miljoen in 2019. In plaats van deze gegevens onmiddellijk te anonimiseren nadat ze niet meer nodig waren voor het overbrengen van communicatie, heeft Odido de gegevens bewaard en verder verwerkt en verrijkt. De verwerking van verkeersgegevens betrof een doel dat niet is genoemd in artikel 11.5 van de Telecommunicatiewet. Dit wetsartikel bepaalt dat telecomaanbieders als Odido verkeersgegevens mogen verwerken voor de doeleinden die de wet noemt. Bijvoorbeeld als dat nodig is voor het opstellen van een factuur voor een abonnee. Of voor marktonderzoek of verkoopactiviteiten als de abonnee of gebruiker daar toestemming voor heeft gegeven.

In dit geval was het doel om uit de gegevens schattingen te maken van het aantal personen dat in een wijk of gemeente aanwezig was voor statistische gegevensverwerking door het CBS. Odido heeft medewerkers van het CBS toegang verleend tot gepseudonimiseerde verkeersgegevens in het kader van de samenwerking. Er is volgens de RDI geen nationale wet op basis waarvan deze (gepseudonimiseerde) verkeersgegevens verwerkt mogen worden voor statistische doeleinden. De RDI heeft vastgesteld dat de overtreding bijna 2 jaar duurde, van begin 2018 tot eind 2019.

AVG

Hoe zit het dan met de AVG? Bij de verwerking van verkeers- en locatiegegevens is vaak ook sprake van de verwerking van “persoonsgegevens”. Nu de aanwezigheid van een persoon op een bepaalde locatie, mede afhankelijk van de context, gevoelige informatie kan geven en dit van invloed kan zijn op de privacy van de persoon, is het altijd belangrijk om te voldoen aan de regels van de AVG. In het geval van Odido is geoordeeld dat de Telecommunicatiewet meer specifieke – en in dit geval uitputtende –verwerkingsgrondslagen en -doeleinden bevat, dus kwam een beoordeling van de verplichtingen onder de AVG niet aan de orde. In andere gevallen is het echter onder meer van belang om:

• Vast te stellen of er een verwerkingsgrondslag bestaat (en toestemming te vragen indien nodig);
• Betrokkenen te informeren over de gegevensverwerking en hun rechten ter zake;
• Het treffen van adequate beveiligingsmaatregelen en vaststellen van passende bewaartermijnen; en
• Een DPIA (data protection impact assessment) te verrichten, bijvoorbeeld bij grootschalige verwerking en/of stelselmatige monitoring van locatiegegevens.

Zoals we in het geval van Odido hebben gezien, is het wel belangrijk om ook te beoordelen of er andere meer specifieke regels van toepassing zijn.

Verlaging van de boete

Aanvankelijk had de RDI aan Odido een boete van € 400.000 opgelegd. Daar heeft Odido bezwaar tegen gemaakt. Naar aanleiding van dit bezwaar is de boete verlaagd tot een bedrag van € 175.000. Odido heeft aangegeven niet tegen deze boete in beroep te gaan bij de rechter. Let wel: het kan dus lonen om op te treden tegen opgelegde boetes, waarbij ons privacy team graag helpt.

Advies nodig?

Verwerkt uw organisatie verkeers- of locatiegegevens of bent u dit van plan? Hierover denken wij graag mee. Neem gerust contact op met ons privacyteam. Wij staan klaar om u te adviseren.