Rb. Rotterdam: AP onderzocht AVG-klacht over contactloos betalen door ING in passende mate

Rb. Rotterdam 24 juni 2026, IT 5349; ECLI:NL:RBROT:2026:7263 (eisers tegen de AP). Twee rekeninghouders van ING dienden bij de Autoriteit Persoonsgegevens een klacht in over de verwerking van hun persoonsgegevens bij contactloos betalen. Volgens hen bleef de NFC-chip in hun betaalpassen ook werken als een pas was geblokkeerd of verlopen, of als contactloos betalen was uitgeschakeld. Dit zou veiligheidsrisico’s opleveren en leiden tot verwerking zonder geldige grondslag. Nadat een eerdere beslissing op bezwaar wegens schending van de hoorplicht was vernietigd, hoorde de AP de rekeninghouders en nam zij een nieuwe beslissing. De AP concludeerde dat zij de klacht in passende mate had onderzocht en dat op basis van het dossier geen overtreding van de AVG door ING kon worden vastgesteld. De rekeninghouders stelden in beroep dat de AP nader technisch onderzoek had moeten doen en zo nodig andere toezichthouders had moeten inschakelen.

De rechtbank oordeelt dat de AP de klacht overeenkomstig artikel 57 lid 1 onder f AVG in passende mate heeft onderzocht en in redelijkheid mocht afzien van nader onderzoek. Ten aanzien van artikel 32 AVG mocht de AP meewegen dat de AVG niet verlangt dat ieder risico volledig wordt uitgesloten en dat risico’s ook kunnen worden beperkt door aanvullende maatregelen, zoals autorisatie achteraf, het verlangen van een pincode en compensatie bij fraude. Eisers hadden onvoldoende onderbouwd dat de bevindingen van de AP of de informatie van ING onjuist waren. Ook mocht de AP concluderen dat niet was vastgesteld dat ING zonder geldige grondslag persoonsgegevens verwerkte: zij wees op een wettelijke verplichting en mogelijke aanvullende grondslagen in de uitvoering van de overeenkomst en gerechtvaardigde belangen. Het blokkeren van een pas of uitschakelen van contactloos betalen neemt een verwerkingsgrondslag niet zonder meer weg. De AP hoefde klachten over mogelijke fraude, valsheid in geschrifte of andere niet-AVG-kwesties niet aan andere toezichthouders over te dragen of daarmee af te stemmen. Ook de vraag of ING een betaalpas zonder NFC-chip moest aanbieden en of sprake was van koppelverkoop viel buiten de AVG-beoordeling. De rechtbank verklaart het beroep ongegrond; eisers krijgen het griffierecht en hun proceskosten niet vergoed.

5.6.

Bij het gebruik van de betaalpassen worden de persoonsgegevens van eisers verwerkt door ING als verwerkingsverantwoordelijke. Artikel 32 AVG eist van verwerkingsverantwoordelijken om technische en organisatorische maatregelen af te stemmen op de risico’s met passende beveiligingsniveaus en daarbij rekening te houden met de beoordelingscriteria uit het eerste lid van die bepaling. De AP heeft de naleving van deze bepaling door ING getoetst aan de hand van de klacht en wat eisers naar voren hebben gebracht over gebruik van hun betaalpassen, afschrijvingen (bankafschriften en tijdlijnen) en de technische werking en risico’s van gebruik van NFC-chips. Daarnaast heeft de AP stukken en verklaringen van ING hierover beoordeeld en eisers in de gelegenheid gesteld om op de informatie van ING te reageren. Op basis van die informatie acht de AP niet onderbouwd dat sprake is geweest van per ongeluk contactloos betalen of een fout daaromtrent en leiden de gevallen van gebruik van hun betaalpassen die eisers hebben aangevoerd volgens de AP niet tot de conclusie dat ING artikel 32 van de AVG heeft overtreden.

5.7.

De rechtbank overweegt dat eisers wel twijfels hebben geuit over de bevindingen van de AP en de onderliggende verklaringen en stukken van ING, maar zij hebben niet onderbouwd dat deze bevindingen van de AP of verklaringen van ING onjuist zijn, of zijn gebaseerd op valse informatie of onvoldoende technische kennis. Ten aanzien van de stelling van eisers dat de NFC-chip nog steeds werkt bij geblokkeerde of verlopen passen of waarvoor contactloos betalen is uitgezet en dit een risico is heeft de AP in het bestreden besluit toegelicht dat de AVG niet verlangt dat risico’s volledig worden weggenomen5 en risico’s ook met aanvullende maatregelen (zoals autorisatie achteraf, het verlangen van een pincode boven bepaalde bedragen en compensatie in geval van fraude) kunnen worden gemitigeerd. De AP merkt op dat haar ook in bredere zin geen signalen of klachten bekend zijn van problemen rondom betalingen met NFC-chips. Eisers hebben deze uitleg, die de rechtbank aannemelijk acht, niet gemotiveerd bestreden. De AP heeft zich gelet op het voorgaande in redelijkheid op het standpunt kunnen stellen dat op basis van het dossier geen overtreding door ING van artikel 32 AVG kan worden vastgesteld.

5.8.

Uit artikel 6, eerste lid, van de AVG volgt dat de verwerking van persoonsgegevens alleen rechtmatig is indien en voor zover er een geldige grondslag voor verwerking is. De AP heeft op basis van de klacht van eisers en de verklaringen van ING mogelijke verwerkingsgrondslagen getoetst en geconcludeerd dat ING in algemene zin een grondslag heeft voor de verwerking van betalingsgegevens, namelijk een wettelijke verplichting. Daarnaast kunnen de verwerkingen mogelijk ook noodzakelijk zijn voor de uitvoering van de overeenkomst of noodzakelijk zijn voor de behartiging van de gerechtvaardigde belangen van ING of van een derde. Ook heeft de AP toegelicht dat uitdrukkelijke toestemming voor het uitvoeren van betalingen, al dan niet contactloos, niet vereist is en benadrukt dat klanten van ING zelf bepalen of zij een betaling wel of niet verrichten met gebruikmaking van een NFC-chip, namelijk door de bankpas bij het betaalapparaat te houden. Er zijn voldoende alternatieven en de AP is niet gebleken van de door eisers geschetste situatie van het tegen de wil contactloos betalen. De AP heeft vervolgens geconcludeerd dat zij op basis van de voorliggende feiten en omstandigheden dan ook niet heeft kunnen vaststellen dat ING zonder rechtsgeldige grondslag persoonsgegevens van eisers verwerkt.

5.9.

Eisers hebben in beroep alleen de contractuele grondslag gemotiveerd betwist. De rechtbank kan daarover de uitleg van de AP volgen dat het uitzetten van contactloos betalen of het blokkeren van de pas primair betekenis heeft voor het contract tussen de bank en de rekeninghouder en de grondslag voor verwerking van persoonsgegevens niet wegneemt. De AP heeft zich gelet op het voorgaande in redelijkheid op het standpunt kunnen stellen dat op basis van het dossier geen overtreding door ING van artikel 6 AVG kan worden vastgesteld