https://ploum.nl/uploads/Artikelen_en_Track_Records_en_expertise/Privacy/communication-6605648_1920.jpg

Odido beboet door de Rijksinspectie Digitale Infrastructuur voor verwerking verkeersgegevens

08 apr '24

Auteur(s): Lisanne Bruggeman & Nina Rijsterborgh-Witt

Het verwerken van verkeers- en locatiegegevens wordt in de praktijk veel toegepast. Onder de AVG geldt dat hiervoor een grondslag nodig is en te meer nu locatiegegevens gevoelige persoonsgegevens kunnen zijn, kan dit nadere passende waarborgen vereisen. In de Telecommunicatiewet staan specifieke regels over het gebruik van verkeers- en locatiegegevens in de elektronische communicatiesector. Aan de hand van een recente boete aan Odido (voorheen: T-Mobile), vertellen wij meer over de aandachtspunten bij de verwerking van deze gegevens.

Boete Odido

Afgelopen maand werd bekend dat de Rijksinspectie Digitale Infrastructuur (“RDI”), tot voor kort bekend als het Agentschap Telecom, een boete van € 175.000, = heeft opgelegd aan Odido. Odido heeft verkeersgegevens en geschatte locatiegegevens verwerkt voor het project “Pilot Mobiele telefoondata”. Dit project betrof een samenwerking met het Centraal Bureau voor de Statistiek (“CBS”) om een algoritme te ontwikkelen. Het algoritme kon informatie opleveren over de verplaatsingen van grote groepen mensen. Volgens onderzoek van de RDI voldeed de verwerking van verkeersgegevens niet aan de regels van de Telecommunicatiewet. Aanleiding voor het onderzoek door de RDI was een artikel in de NRC over de samenwerking tussen Odido en het CBS.

De overtreding

Het gaat om de verwerking van verkeersgegevens en geschatte locatiegegevens van minimaal 2,5 miljoen abonnees en gebruikers van Odido in 2017 en 4,5 miljoen in 2019. In plaats van deze gegevens onmiddellijk te anonimiseren nadat ze niet meer nodig waren voor het overbrengen van communicatie, heeft Odido de gegevens bewaard en verder verwerkt en verrijkt. De verwerking van verkeersgegevens betrof een doel dat niet is genoemd in artikel 11.5 van de Telecommunicatiewet. Dit wetsartikel bepaalt dat telecomaanbieders als Odido verkeersgegevens mogen verwerken voor de doeleinden die de wet noemt. Bijvoorbeeld als dat nodig is voor het opstellen van een factuur voor een abonnee. Of voor marktonderzoek of verkoopactiviteiten als de abonnee of gebruiker daar toestemming voor heeft gegeven.

In dit geval was het doel om uit de gegevens schattingen te maken van het aantal personen dat in een wijk of gemeente aanwezig was voor statistische gegevensverwerking door het CBS. Odido heeft medewerkers van het CBS toegang verleend tot gepseudonimiseerde verkeersgegevens in het kader van de samenwerking. Er is volgens de RDI geen nationale wet op basis waarvan deze (gepseudonimiseerde) verkeersgegevens verwerkt mogen worden voor statistische doeleinden. De RDI heeft vastgesteld dat de overtreding bijna 2 jaar duurde, van begin 2018 tot eind 2019.

AVG

Hoe zit het dan met de AVG? Bij de verwerking van verkeers- en locatiegegevens is vaak ook sprake van de verwerking van “persoonsgegevens”. Nu de aanwezigheid van een persoon op een bepaalde locatie, mede afhankelijk van de context, gevoelige informatie kan geven en dit van invloed kan zijn op de privacy van de persoon, is het altijd belangrijk om te voldoen aan de regels van de AVG. In het geval van Odido is geoordeeld dat de Telecommunicatiewet meer specifieke – en in dit geval uitputtende –verwerkingsgrondslagen en -doeleinden bevat, dus kwam een beoordeling van de verplichtingen onder de AVG niet aan de orde. In andere gevallen is het echter onder meer van belang om:

  • Vast te stellen of er een verwerkingsgrondslag bestaat (en toestemming te vragen indien nodig);
  • Betrokkenen te informeren over de gegevensverwerking en hun rechten ter zake;
  • Het treffen van adequate beveiligingsmaatregelen en vaststellen van passende bewaartermijnen; en
  • Een DPIA (data protection impact assessment) te verrichten, bijvoorbeeld bij grootschalige verwerking en/of stelselmatige monitoring van locatiegegevens.

Zoals we in het geval van Odido hebben gezien, is het wel belangrijk om ook te beoordelen of er andere meer specifieke regels van toepassing zijn.

Verlaging van de boete

Aanvankelijk had de RDI aan Odido een boete van € 400.000 opgelegd. Daar heeft Odido bezwaar tegen gemaakt. Naar aanleiding van dit bezwaar is de boete verlaagd tot een bedrag van € 175.000. Odido heeft aangegeven niet tegen deze boete in beroep te gaan bij de rechter. Let wel: het kan dus lonen om op te treden tegen opgelegde boetes, waarbij ons privacy team graag helpt.

Advies nodig?

Verwerkt uw organisatie verkeers- of locatiegegevens of bent u dit van plan? Hierover denken wij graag mee. Neem gerust contact op met ons privacyteam. Wij staan klaar om u te adviseren.

Contact

Advocaat

Lisanne Bruggeman

Expertises:  Privacyrecht, IT-recht, Intellectuele Eigendom, Contractenrecht , Litigation,

Deel dit artikel

Blijf op de hoogte

Klik op het plusje en schrijf je in voor updates over dit onderwerp.

Expertise(s)

Met uw inschrijving blijft u op de hoogte van de laatste juridische ontwikkelingen op dit gebied. Vul hieronder uw gegevens in om per e-mail op te hoogte te blijven.

Persoonlijke gegevens

 

Bedrijfsgegevens

Meer informatie over hoe we uw persoons­gegevens gebruiken, kunt u lezen in onze privacyverklaring. U kunt uw voorkeuren altijd wijzigen via de link ‘Profiel wijzigen' of u afmelden via de link ‘Afmelden'. Deze links vindt u onderaan ieder bericht dat u van Ploum ontvangt.

* Verplicht in te vullen velden.

Geïnteresseerd in

Persoonlijke gegevens

 

Bedrijfsgegevens

Meer informatie over hoe we uw persoons­gegevens gebruiken, kunt u lezen in onze privacyverklaring. U kunt uw voorkeuren altijd wijzigen via de link ‘Profiel wijzigen' of u afmelden via de link ‘Afmelden'. Deze links vindt u onderaan ieder bericht dat u van Ploum ontvangt.

* Verplicht in te vullen velden.

Geïnteresseerd in

Account aanmaken

Haal alles uit Ploum.nl. Binnen een minuut geregeld.

Ik heb al een account

Voordelen Mijn Ploum

  • Volgen wat u interessant vindt
  • Krijg aanbevelingen op basis van uw interesses

*Verplicht in te vullen velden.

Ik heb al een account

Voordelen Mijn Ploum

Volgen wat u interessant vindt

Krijg aanbevelingen op basis van uw interesses

{phrase:advantage_3}

{phrase:advantage_4}


Waarom vragen we uw naam?

We vragen u om uw voor- en achternaam zodat wij die kunnen gebruiken als u zich bijvoorbeeld inschrijft op een Ploum Kennisevent.

Wachtwoord

Er wordt automatisch een wachtwoord voor u aangemaakt. Zodra uw account is aangemaakt ontvangt u dit wachtwoord in een welkomstmail. U kunt er direct mee inloggen. Dit wachtwoord kunt u indien gewenst ook zelf aanpassen via de wachtwoord vergeten functie.