Onlangs werd bekend [1] dat de Rijksdienst Digitale Infrastructuur (RDI) aan Odido (voorheen T-Mobile) een boete heeft opgelegd voor overtreding van art. 11.5 Telecommunicatiewet, vanwege verwerking van verkeersgegevens ten behoeve van een project met het Centraal Bureau voor de Statistiek (CBS) .
RDI schrijft dat het illegale verwerking van verkeersgegevens (waar persoonsgegevens in zitten) betreft:

De verkeersgegevens werden door Odido met behulp van het algoritme verwerkt tot tellingen van grote groepen mensen in een gebied. Verkeersgegevens bevatten privacygevoelige gegevens, bijvoorbeeld over tijdstippen van telefoongesprekken en locaties van bellers. Odido mag deze gegevens gebruiken voor wettelijk toegestane doeleinden, zoals haar eigen facturering. Maar de operator had deze (ruwe) verkeersgegevens niet mogen verwerken voor dit samenwerkingsproject. Overigens heeft de RDI niet vastgesteld dat deze ruwe verkeersgegevens aan het CBS zijn verstrekt.
De overtreding heeft geduurd van begin 2018 tot eind 2019. In deze periode zijn de verkeersgegevens gebruikt van ongeveer 2,5 miljoen tot 4,5 miljoen abonnees.

Commentaar Terstegge
Lees over de beslissing het commentaar dat Jeroen Terstegge op linkedin publiceerde. Hij meldt het opvallend te vinden dat RDI voorbij gaat aan het voornemen van Odido om de gegevens te verstrekken aan het CBS, wat volgens Terstegge eveneens in strijd met de Telecommunicatiewet is. Daarbij speelt een rol dat verkeersgegevens ook na anonimisering kunnen worden beschouwd als gegevens betreffende een geïdentificeerde of identificeerbare persoon. Hij meldt dat er wel degelijk gegevens aan CBS zijn geleverd.

Naar aanleiding van mijn vraag of CBS buiten schot blijft reageert hij met:

Goede vraag. Het antwoord is simpel. Als je persoonsgegevens ontvangt van een andere partij, terwijl die partij de gegevens niet had mogen verstrekken, dan blijft de onrechtmatigheid aan de gegevens kleven. Je kan door de wet te lezen immers zelf vaststellen of die partij de gegevens mag verstrekken. In de AVG bestaat het concept van ‘ontvanger te goeder trouw’ niet. En dus kan de AP een boete opleggen wegens onrechtmatige gegevensverwerking (art. 5.1.a AVG).

Onderzoek Autoriteit Persoonsgegevens
Het CBS verwerkt op grote schaal persoonsgegevens, die als ‘microdata’ worden aangeduid [2].
Als de Autoriteit Persoonsgegevens (AP) de samenwerking Odido/CBS gaat onderzoeken, zou het goed zijn als de AP meteen de hele ‘microdata’ praktijk onder de loep neemt.

Noten:

[1] Zie het RDI bericht Rijksinspectie Digitale Infrastructuur legt Odido boete op van € 175.000.
[2] Lees de uitleg van het CBS op deze pagina. Er is ook informatie over de verwerking van persoonsgegens: hier. In dit blog besteedde ik er aandacht aan.