Je paspoort scannen voor een voetbalticket: wat gebeurt er met je gegevens?

Wie tegenwoordig een ticket voor een voetbalwedstrijd wil kopen, moet zich bij sommige clubs eerst eenmalig digitaal identificeren. Dat gebeurt via een app waarbij je je ID-bewijs scant. Maar wat gebeurt er met die gegevens? 

Volgens de KNVB is de identificatie nodig om supporters veilig toegang te geven tot het stadion en om misbruik van tickets en stadionverboden tegen te gaan. De KNVB wil dat deze Persoonlijke Digitale Toegang (PDT) vanaf het seizoen 2028/2029 verplicht wordt voor professionele voetbalclubs.

Voor de Persoonlijk Digitale Toegang zijn uiteindelijk maar een paar gegevens nodig: je voornaam, achternaam, geboortedatum en pasfoto.

Maar, uit technisch onderzoek dat ethisch hacker Sijmen Ruwhof voor Kassa uitvoerde naar de PSV-app, blijkt dat tijdens het scanproces meer gegevens worden verwerkt. Het gaat onder meer om informatie over het identiteitsdocument en bij een rijbewijs, de rijbewijscategorieën. In sommige gevallen wordt zelfs het burgerservicenummer (BSN) verwerkt.

Sijmen Ruwhof verbaast zich daarover. "Wat moeten ze met mijn BSN-nummer? Ik wil een voetbalkaartje kopen, waarom moeten ze mijn rijbewijscategorie weten? Waarom moet PSV weten dat ik op een tractor mag rijden?"

Volgens het technische onderzoek worden de gegevens naar een externe server gestuurd. Siip, de leverancier van de app, geeft aan dat dit nodig is voor een 'echtheidscontrole' en dat de gegevens daar niet worden opgeslagen. Daarna worden alleen de gegevens verwerkt die nodig zijn voor PDT.

De betrokken partijen benadrukken dat de gegevens niet worden opgeslagen. Maar om de echtheidscontrole uit te voeren, worden de gegevens tijdens het proces wel verwerkt en verlaten ze het toestel. Dat roept de vraag op welke risico’s dat met zich meebrengt.

Ruwhof maakt zich daar zorgen over. Volgens hem is het verwerken van deze gegevens risicovol: "Het is een potentieel gevaar en dat kan identiteitsdiefstal opleveren. Daar kun je hele vervelende dingen mee de rest van je leven. Als je burgerservicenummer lekt, krijg je geen nieuwe."

Ook supporters maken zich zorgen over de hoeveelheid persoonsgegevens die voor een voetbalbezoek nodig zijn. Frank Kriellaars, van Supporterscollectief Nederland: "Waarom moet ik zoveel privacygevoelige informatie delen als ik gewoon op zondagmiddag met mijn kinderen naar een voetbalwedstrijd wil?"

De hoeveelheid informatie die tijdens het scannen wordt uitgelezen, roept de vraag op of dit past bij het principe van dataminimalisatie uit de AVG.

Elise Troll, advocaat met als specialisme privacyrecht, zegt daarover: "Dataminimalisatie betekent dat je niet meer persoonsgegevens mag verwerken dan noodzakelijk is. Je stelt eerst het doel vast, bijvoorbeeld reguliere toegangscontrole of beveiliging en dan kijk je welke persoonsgegevens noodzakelijk zijn om dat doel te bereiken."

Een belangrijk punt is het BSN. Het gebruik van het BSN is in Nederland streng gereguleerd. Een private organisatie mag een BSN alleen verwerken als daar een specifieke wettelijke grondslag voor is. Elise Troll legt uit: "Het BSN-nummer is oorspronkelijk altijd bedoeld voor contact tussen de overheid en de burger. Private organisaties mogen een BSN soms verwerken, maar dan moet dat specifiek in een wet zijn opgenomen." Volgens Troll is er voor betaalde voetbalorganisaties geen specifieke wet die hen toestaat BSN-nummers voor dit doel te verwerken.

De KNVB en Siip geven in de studio een reactie op onze bevindingen. PSV en Siip hebben onze vragen schriftelijk beantwoord.

PSV geeft aan privacyzorgen te begrijpen en benadrukt dat hun app aan de wet voldoet en zelf geen BSN-nummers ontvangt of opslaat.

De volledige reactie van PSV en Siip lees je hier.