Voetbalticket kopen? Dit gebeurt er met jouw persoonsgegevens

Wie een kaartje voor een voetbalwedstrijd wil kopen, moet zich bij sommige voetbalclubs eerst eenmalig online identificeren. Dat gebeurt via een app waarin je je identiteitsbewijs scant. Maar wat gebeurt er vervolgens met de gegevens die daarbij worden verzameld? Het consumentenprogramma Kassa zocht het uit.

Volgens de KNVB is deze identificatie bedoeld om supporters veilig toegang te geven tot het stadion en om fraude met tickets en stadionverboden te voorkomen. De bond wil dat professionele voetbalclubs vanaf het seizoen 2028/2029 verplicht gebruikmaken van Persoonlijke Digitale Toegang (PDT).

Welke persoonsgegevens worden verwerkt?
Voor PDT zijn in principe slechts enkele persoonsgegevens nodig: je voornaam, achternaam, geboortedatum en pasfoto.

Uit technisch onderzoek dat ethisch hacker Sijmen Ruwhof namens Kassa uitvoerde naar de PSV-app, blijkt echter dat er tijdens het scannen meer informatie wordt verwerkt. Zo gaat het onder andere om gegevens over het identiteitsdocument. Bij het gebruik van een rijbewijs worden bijvoorbeeld ook de rijbewijscategorieën verwerkt. In sommige situaties wordt zelfs het burgerservicenummer (BSN) meegenomen.

Ruwhof zet daar vraagtekens bij. "Waarom is mijn BSN nodig? Ik wil alleen een kaartje voor een voetbalwedstrijd kopen. Wat moeten ze met mijn rijbewijscategorieën? Waarom zou PSV moeten weten dat ik een tractor mag besturen?"

Volgens het onderzoek worden de gegevens tijdens het scanproces doorgestuurd naar een externe server. Siip, het bedrijf dat de app levert, zegt dat dit nodig is om te controleren of het identiteitsbewijs echt is. Volgens Siip worden de gegevens daar niet opgeslagen. Na deze controle zouden alleen de gegevens worden verwerkt die noodzakelijk zijn voor PDT.

Mogelijke privacyrisico's
De betrokken partijen stellen dat de gegevens niet worden bewaard. Toch worden de gegevens tijdens de controle wel verwerkt en verlaten ze het apparaat van de gebruiker. Dat leidt tot de vraag welke privacyrisico's daarmee gepaard gaan.

Ruwhof vindt het verwerken van deze informatie zorgelijk. Volgens hem kan dit risico's met zich meebrengen, waaronder identiteitsfraude: "Het brengt een potentieel gevaar met zich mee. Als dergelijke gegevens in verkeerde handen terechtkomen, kan dat grote gevolgen hebben. Een BSN kun je bijvoorbeeld niet zomaar laten vervangen als het eenmaal is gelekt."

Ook onder supporters bestaat er ongerustheid over de hoeveelheid persoonlijke informatie die nodig is om een voetbalwedstrijd te bezoeken. Frank Kriellaars van Supporterscollectief Nederland vraagt zich af waarom supporters zoveel privacygevoelige gegevens moeten afstaan voor een bezoek aan een wedstrijd: "Waarom moet ik zoveel persoonlijke informatie delen als ik op zondagmiddag gewoon met mijn kinderen naar een voetbalwedstrijd wil?"

Alleen noodzakelijke gegevens
De hoeveelheid informatie die tijdens het identificatieproces wordt uitgelezen, roept de vraag op of dit overeenkomt met het principe van dataminimalisatie uit de AVG.

Privacyadvocaat Elise Troll legt uit dat organisaties volgens dit principe niet meer persoonsgegevens mogen verwerken dan noodzakelijk is voor het doel. "Je bepaalt eerst wat je doel is, bijvoorbeeld toegangscontrole of beveiliging. Vervolgens bepaal je welke persoonsgegevens daadwerkelijk nodig zijn om dat doel te bereiken."

Een bijzonder aandachtspunt is het gebruik van het BSN. In Nederland gelden hiervoor strenge regels. Een private organisatie mag een BSN alleen verwerken wanneer daar een specifieke wettelijke basis voor bestaat.

Troll licht toe: "Het BSN is in eerste instantie bedoeld voor het contact tussen de overheid en burgers. Een private organisatie mag het nummer alleen in bepaalde gevallen gebruiken. Daarvoor moet een wettelijke grondslag bestaan." Volgens Troll bestaat er geen specifieke wet die betaaldvoetbalorganisaties toestemming geeft om voor dit doel BSN-nummers te verwerken.

Reactie van de betrokken partijen
De KNVB en Siip hebben in de studio gereageerd op de bevindingen uit het onderzoek. De KNVB erkent dat het aantal incidenten in het betaalde voetbal al jaren afneemt, maar meent dat er nog steeds werk aan de winkel is. "Wij hebben de landsadvocaat gevraagd ernaar te kijken en die geven aan dat er geen wezenlijke problemen zijn te verwachten. Dan kan de vlag uit", aldus een woordvoerder van de voetbalbond.

Tech-expert Danny Mekic geeft in de studio aan de zorg onder de supporters te begrijpen en zegt dat de KNVB maar de helft van het verhaal te vertellen. Dat de landsadvocaat kanttekeningen bij de privacy heeft gezet en heeft opgeroepen tot het oprichten van fan-desks laat de voetbalbond bijvoorbeeld achterwegen. Hij roept op tot transparantie.

PSV zegt begrip te hebben voor de zorgen over privacy. De club benadrukt dat de app volgens haar aan de wettelijke eisen voldoet en dat PSV zelf geen BSN-nummers ontvangt of opslaat.