DUO controleert op verschillende manieren of studenten terecht een studiebeurs ontvangen. Een van deze methoden is het opvragen van reisgegevens van studenten. DUO maakt hiermee een inbreuk op de privacy van studenten. De Centrale Raad van Beroep (hierna: “CRvB”) heeft echter geoordeeld dat deze inbreuk is toegestaan.
Onderzoek door DUO
In het kader van fraudebestrijding vraagt DUO onder meer reisgegevens op bij Trans Link Systems (hierna: “TLS”), het bedrijf dat reisgegevens van studenten beheert. DUO kan aan de hand van deze gegevens controleren of het om een uitwonende of thuiswonende student gaat. Thuiswonende studenten hebben namelijk geen recht op de hoge “uitwonende” vergoeding. Handelt een student frauduleus? Dan kan DUO het teveel betaalde bedrag terugvorderen.
De kwestie
Ook in deze zaak gaat het om een student die een “uitwonende” studiebeurs ontvangt. Na verloopt van tijd verdenkt DUO de student er echter van thuis te wonen. DUO heeft diverse malen geprobeerd een huisbezoek af te leggen op het adres waar de student nog stond ingeschreven. Telkens werd óf de deur niet geopend, óf werd geen toestemming verleend om de woning te betreden.
Om te kunnen verifiëren of de vermoedens juist waren, heeft DUO de reisgegevens van de student bij TLS opgevraagd. Op basis van de bevindingen van het onderzoek, heeft de minister besloten de verstrekte studiefinanciering over een periode van drie jaar terug te vorderen. Tevens wordt een bestuurlijke boete opgelegd.
Kwalificatie reisgegevens
De CRvB buigt zich over de vraag of de reisgegevens van de student zakelijke gegevens of persoonsgegevens zijn. Dit is van belang, omdat een toezichthouder van DUO op grond van artikel 5:17 van de Algemene wet bestuursrecht (“Awb”) inzage mag vorderen in zakelijke gegevens. Dit artikel is niet van toepassing op persoonsgegevens. Mochten de reisgegevens van de student dus kwalificeren als persoonsgegevens, dan is DUO haar boekje te buiten gegaan, en hadden de reisgegevens niet mogen worden opgevraagd.
De rechtbank Den Haag oordeelde dat reisgegevens géén zakelijke gegevens zijn. De CRvB is het hier niet mee eens. Vooropgesteld wordt dat zakelijke gegevens, gegevens zijn die worden gebruikt ten dienste van het maatschappelijk verkeer. Volgens de CRvB geschiedt de gegevensverwerking van TLS voor een groot deel ten dienste van het maatschappelijk verkeer, waaronder het faciliteren van betalingen aan de vervoersdienst en het verlenen van klantenservice. Dit betekent dat de reisgegevens zakelijke gegevens zijn, ook al hebben deze betrekking op personen.
Hiermee geeft de CRvB al aan dat de reisgegevens wel degelijk óók te kwalificeren zijn als persoonsgegevens. Persoonsgegevens zijn immers alle gegevens en/of informatie die direct over iemand gaat, of naar iemand te herleiden is. Echter, nu de reisgegevens ook als zakelijke gegevens moeten worden aangemerkt, mag DUO de gegevens opvragen.
Verhouding met de AVG
Een van de vereisten van de AVG voor het verwerken van persoonsgegevens, is dat alleen die gegevens mogen worden verwerkt die noodzakelijk zijn voor het te bereiken doel. Met dat in het achterhoofd kan de vraag worden gesteld of het opvragen van reisgegevens door DUO noodzakelijk is voor het te bereiken doel, namelijk het bestrijden van fraude.
De CRvB overweegt dat niet is getracht alle reishistorie van de student te achterhalen. DUO heeft enkel geprobeerd aan de hand van relevante in- en uitstapgegevens het gebruikelijke reispatroon van de student vast te stellen. Het opvragen van gegevens over een langere periode kan daarbij een betrouwbaardere analyse opleveren. Ook heeft DUO eerst diverse andere, mogelijk minder ingrijpende maatregelen ondernomen om de woonsituatie van de student te achterhalen. Zo is een buurtonderzoek verricht en is meermaals geprobeerd een huisbezoek te verrichten. Gezien deze overweging van het CRvB zijn wij van mening dat het opvragen van reisgegevens in deze zaak noodzakelijk was voor het te bereiken doel. DUO kan de reisgegevens aldus gerechtvaardigd verwerken.
Gevolgen voor de praktijk
Bovenstaande uitspraak maakt duidelijk dat DUO ook na inwerkingtreding van de AVG reisgegevens van studenten mag opvragen. Het feit dat reisgegevens niet alleen zakelijke gegevens, maar ook persoonsgegevens zijn, doet hier niets aan af.
Tegelijkertijd zal niet ongelimiteerd gebruik kunnen worden gemaakt van deze bevoegdheid. Van belang is dat DUO bij de toepassing van deze bevoegdheid overige verplichtingen uit de AVG in acht neemt.
Meer informatie
Heeft u vragen over dit onderwerp? Wilt u meer informatie? Neem dan contact op met de advocaten van team Privacy of team Onderwijs. Zij zijn u graag van dienst.
Maart 2018
