Inleiding: « Heeft u een klantenkaart? »
Vrijdag, 6.50 uur, Gare de Lyon. U koopt uw ticket in de app, u passeert het poortje door een QR-code te scannen, u maakt verbinding met de gratis wifi om twintig minuten te doden, u betaalt contactloos een koffie, u stapt in, de conducteur scant opnieuw uw ticket, en bij aankomst bestelt u een taxi via een app.
In drie uur tijd weten zeven verschillende organisaties dat u die vrijdag in Marseille was: de vervoerder, zijn distributieplatform, de wifi-exploitant, uw bank, de winkelier in het station, uw mobiele operator via de zendmasten, en het reserveringsplatform. Geen van hen heeft iets illegaals gedaan. Toch tekenen al die sporen samen iets heel precies af: waar u naartoe gaat, hoe vaak, met wie en voor hoe lang.
Verplaatsingsdata zijn een categorie apart. Ze onthullen via deductie wat u nooit hebt verklaard: een opname in een gespecialiseerd ziekenhuis, maandelijkse ritten naar de stad van een minnaar, een sollicitatiegesprek bij een concurrent, deelname aan een betoging, een bezoek aan een ouder in een verzorgingstehuis. Reisgeschiedenis is een van de zeldzame datasets waarvan is aangetoond dat ze nagenoeg onmogelijk te anonimiseren is: vier tijd-ruimtepunten volstaan om 95 % van de individuen in een mobiliteitsdatabank opnieuw te identificeren, volgens het onderzoek van Yves-Alexandre de Montjoye en co-auteurs in Scientific Reports (2013).
Deze gids stelt niet voor clandestien te reizen — dat is illegaal en nutteloos. Hij stelt voor te sorteren: welke sporen legt de wet op, en welke geeft u gratis weg, en hoe verkleint u die tweede stapel.
Wie verzamelt wat, bij elke stap van de reis
De eerlijke kaart
| Stap | Wie verzamelt | Wat wordt vastgelegd | Uw speelruimte |
|---|---|---|---|
| Aankoop van het ticket | Vervoerder, onlineverkoper | Identiteit, e-mail, telefoon, betaalwijze, traject, tijdstip | Gemiddeld |
| Loyaliteitsprogramma | Vervoerder | Volledige reisgeschiedenis, voorkeuren, klachten | Groot |
| Controle aan boord / poortje | Vervoerder | Tijdstempel van de passage, zitplaats | Klein |
| Gratis wifi | Netwerkexploitant | MAC-adres, e-mail of telefoon voor het inloggen, duur, soms bezochte sites | Groot |
| Betaling in het station of aan boord | Bank, handelaar | Plaats, tijdstip, bedrag | Groot |
| Mobiel netwerk | Operator | Gepasseerde zendmasten, dus bij benadering de route | Klein |
| Commerciële vlucht | Maatschappij + autoriteiten | PNR- en API-gegevens: identiteit, paspoort, bagage, contactgegevens, betaling | Geen |
| Camerabewaking | Beheerder van station/luchthaven | Beelden, soms tellingen en het volgen van silhouetten | Geen |
Let op de rechterkolom: van de acht bronnen hangen er vier volledig af van uw eigen handelen. Daar ligt de kern.
Het bijzondere geval van het vliegtuig
In de luchtvaart is de speelruimte rond identiteit structureel nul. De Europese zogeheten « PNR-richtlijn » (EU 2016/681), in Frankrijk omgezet bij de wet van 3 juni 2016, verplicht luchtvaartmaatschappijen om aan de Franse passagiersinformatie-eenheid tot 19 categorieën gegevens per reiziger door te geven: naam, volledige route, contactgegevens, betaalwijze, informatie over bagage, gebruikt reisbureau, wijzigingsgeschiedenis. Die gegevens worden vijf jaar bewaard, met gedeeltelijke afscherming na zes maanden.
Daar komen de API-gegevens (Advance Passenger Information) uit het identiteitsdocument bij. Met andere woorden: een commerciële vlucht is nooit anoniem, en kan dat ook niet zijn. Elke strategie moet daarmee rekening houden in plaats van te doen alsof dat niet zo is. Wat in het vliegtuig wél onderhandelbaar blijft, is de rest: het loyaliteitsprogramma, de app van de maatschappij, de marketingopties, de wifi van de luchthaven, de betaling, de facultatieve biometrie.
Het treinticket: op naam betekent niet spraakzaam
Wat de wet echt eist
In Frankrijk legt de SNCF al enkele jaren tickets op naam op voor treinen met verplichte reservering (TGV INOUI, OUIGO, Intercités met reservering). Het officiële doel is de strijd tegen doorverkoop en het beheer van verstoringen. Maar op naam betekent niet « geverifieerd » in de zin van een systematische identiteitscontrole: de conducteur scant een code, hij vergelijkt uw gezicht niet met een bestand.
Op de TER, de regionale treinen en een groot deel van het stadsvervoer bestaat het anonieme ticket nog altijd. Het strippenboekje of het papieren kaartje dat u aan het loket contant koopt blijft een van de zeldzame alledaagse transacties die geen enkel spoor op naam nalaat. Dat is geen marginaal trucje: voor een gevoelige verplaatsing is het de eenvoudigste oplossing.
Algemene regel: hoe duurder en langer de afstand van het vervoerbewijs, hoe minder anoniem het is. Hoe korter en lokaler, hoe meer speelruimte u hebt.
Het spoor van een ticket op naam verkleinen
Een paar gecombineerde handelingen maken veel verschil:
- Maak een account aan met een e-mailadres dat u apart voor reizen gebruikt, los van uw hoofdadres en van uw professionele identiteit. Datalekken bij vervoerders zijn geen theorie.
- Koppel het account niet aan uw sociale media. Inloggen « met Google » of « met Facebook » opent een kanaal waarlangs uw sociale identiteit en uw verplaatsingen aan elkaar gekoppeld worden.
- Weiger niet-essentiële cookies op de boekingssite: de CNIL herhaalt regelmatig dat weigeren even eenvoudig moet zijn als aanvaarden, en beboet sites die dat bemoeilijken.
- Vink elke reclamepersonalisatie uit in de accountinstellingen. Precies die instelling voedt de doorverkoop van doelgroepsegmenten van het type « frequente zakenreiziger Parijs-Bordeaux ».
- Betaal met een virtuele eenmalige kaart als uw bank die aanbiedt. De vervoerder krijgt dan geen herbruikbaar kaartidentificatienummer om gegevens te kruisen.
Het loyaliteitsprogramma, dat dagboek
Een kortingskaart of loyaliteitsprogramma van een vervoerder is een uitputtende, gedateerde geschiedenis van al uw verplaatsingen, jarenlang bewaard. De vraag die u zich moet stellen is rekenkundig: hoeveel bespaart u er werkelijk mee per jaar, en bent u bereid dat bedrag te betalen met volledige zichtbaarheid op uw mobiliteit?
Is het antwoord ja — voor een dagelijkse abonnee is dat vaak rationeel — dan blijft het mogelijk het secundaire gebruik te beperken: het delen met partners uitschakelen, gerichte aanbiedingen weigeren, en periodiek om wissing van de oude geschiedenis vragen op grond van artikel 17 van de AVG. Vervoerders werpen vaak een wettelijke bewaartermijn voor de facturatie tegen; die dekt het marketinggebruik niet.
Poortjes, biometrie en controles: waar de verplichting ophoudt
Biometrie is bijna altijd facultatief
De automatische sluizen voor grenscontrole (PARAFE in Frankrijk) werken op basis van het lezen van het biometrische paspoort en gezichtsvergelijking. Het gebruik ervan is facultatief: er blijft een rij met een grenspolitieagent beschikbaar. Die is trager, en dat is de enige echte kost.
Dezelfde logica geldt voor de commerciële diensten die sommige maatschappijen of luchthavens aanbieden: instappen via gezichtsherkenning, « contactloos » bagage afgeven, een « vlotte » doorstroming waarbij u uw gezicht bij het inchecken laat registreren. Die diensten vallen onder toestemming in de zin van de AVG, aangezien biometrische gegevens gevoelige gegevens zijn die door artikel 9 worden beschermd. De CNIL heeft herhaaldelijk herinnerd, onder meer in haar standpunten over biometrie op luchthavens, dat het systeem optioneel moet blijven, dat de biometrische mal bij voorkeur onder controle van de persoon zelf moet blijven (op een eigen drager), en dat er een niet-biometrisch alternatief moet bestaan.
Concreet: u mag nee zeggen, uw instapkaart en identiteitsbewijs aan een mens tonen, en dat vertraagt uw reis maar met een paar minuten.
Het nieuwe Europese inreis-uitreissysteem
Het EES (Entry/Exit System) van de Europese Unie registreert, voor onderdanen van derde landen die de buitengrenzen overschrijden, gezichtsbeeld en vingerafdrukken. Het geldt niet voor EU-burgers die zich binnen de Schengenruimte verplaatsen, maar het verandert wel de algemene sfeer in luchthavens: biometrie wordt de standaardoptie, en weigeren vergt dat u weet waar u recht op hebt. Uw identiteitsbewijs fysiek meenemen, in een RFID-beschermhoesje, voorkomt bovendien dat de contactloze chip van uw paspoort opportunistisch wordt uitgelezen in een drukke rij.
Fouilles en de telefoon
Bij de veiligheidscontrole inspecteert men uw bagage, niet uw bestanden. Het verzoek om een telefoon te ontgrendelen valt onder een volledig ander juridisch kader, in wezen douane- of gerechtelijk, en dat hebben we apart behandeld. Onthoud simpelweg dat een luchthavenbeveiliger geen bevoegdheid heeft om toegang te krijgen tot de inhoud van uw apparaten.
Wifi in het station, op de luchthaven en aan boord: de zwakke schakel
Dit is het spoor dat het makkelijkst te vermijden valt, en toch het meest systematisch wordt weggegeven.
Een captive portal vraagt om een e-mailadres of telefoonnummer, registreert het MAC-adres van uw toestel en koppelt dat hardware-identificatienummer aan een gelokaliseerde aanwezigheid met tijdstempel. Herhaald over meerdere reizen volstaat die dataset om een verplaatsingsagenda te reconstrueren — ook wanneer u geen enkel ticket op uw naam koopt.
Drie eenvoudige tegenmaatregelen:
- Schakel MAC-adresrandomisatie in op uw telefoon. iOS en Android bieden dat standaard aan (« privé wifi-adres » / « willekeurig MAC-adres »): controleer of het voor elk netwerk actief is en niet uitgeschakeld door een oude verbinding.
- Geef de voorkeur aan tethering via uw mobiele abonnement. U betaalt toch al voor data; die gebruiken vermijdt een tussenpersoon. Voor lange ritten maakt een externe batterij met hoge capaciteit die gewoonte houdbaar.
- Gebruik een betrouwbare VPN wanneer openbare wifi onvermijdelijk is, met in het achterhoofd dat die het vertrouwen verplaatst naar de VPN-exploitant in plaats van het weg te nemen.
Daar komt de meest onderschatte reflex bij: schakel wifi en bluetooth uit wanneer u ze niet gebruikt. Een telefoon met actieve wifi zendt voortdurend signalen uit die telsensoren in bepaalde openbare ruimtes kunnen registreren. De CNIL reguleert die bezoekersmetingen strikt, maar een toestel dat niets uitzendt blijft de beste garantie.
Tot slot is reizen het moment waarop men in een gedeelde ruimte aan gevoelige documenten werkt. Een privacyfilter voor laptopscherm kost zoveel als een maaltijd en neutraliseert de buurman, de passagier in het gangpad en de plafondcamera.
Betalen, reserveren, aankomen: de bijkomende sporen
Geld vertelt de route
Uw bankafschrift is een logboek: koffie in Valence TGV, broodje in Nîmes, hotel in Montpellier. Voor een verplaatsing die u discreet wilt houden, blijft contant geld het doeltreffendste instrument — het is in Frankrijk legaal tot 1 000 € voor een fiscaal ingezeten particulier, wat ruimschoots een weekend dekt.
Herlaadbare prepaidkaarten, verkrijgbaar in de tabakszaak, bieden een compromis: ze vallen onder de antiwitwasverplichtingen, maar ontkoppelen dagelijkse aankopen van uw hoofdrekening.
De ritdienst, de taxi en de laatste kilometer
Het afzetadres is vaak het gevoeligste gegeven van de hele reis: het wijst een woning aan, een kliniek, een advocatenkantoor. U laten afzetten op een nabijgelegen kruispunt in plaats van op het exacte huisnummer is een gewoonte die niets kost. Denk er in apps aan om de opgeslagen adressen (« Thuis », « Werk ») te wissen; die blijven nog lang na de reis bewaard.
Wat u zelf publiceert
Geen enkele regelgeving beschermt tegen een foto van een instapkaart op sociale media. De streepjescode bevat uw naam, uw boekingsnummer en, bij sommige maatschappijen, genoeg om toegang te krijgen tot uw volledige dossier: route, contactgegevens, soms wijziging van de reservering. Hetzelfde geldt voor de automatische geolokalisatie van foto's: controleer vóór vertrek of het opslaan van gps-coördinaten in de camera-app is uitgeschakeld.
Uw rechten doen gelden na de reis
De AVG geeft concrete hefbomen, die zelden worden gebruikt:
| Recht | Artikel | Concreet gebruik in het vervoer |
|---|---|---|
| Inzage | 15 | De volledige reisgeschiedenis opvragen die een vervoerder bewaart |
| Wissing | 17 | Een account en de bijbehorende marketinggeschiedenis verwijderen |
| Bezwaar | 21 | Prospectie en reclameprofilering weigeren |
| Overdraagbaarheid | 20 | Uw gegevens ophalen voordat u een account sluit |
| Beperking | 18 | Een betwiste verwerking bevriezen zolang een klacht loopt |
De werkwijze is eenvoudig: schrijf naar de functionaris voor gegevensbescherming (DPO) van het bedrijf, wiens contactgegevens in het privacybeleid staan, bewaar een bewijs van verzending, en dien binnen een maand een klacht in bij de CNIL als er geen antwoord komt. Verzoeken om inzage in PNR-gegevens die bij de autoriteiten berusten, verlopen via een specifieke procedure — een indirect inzagerecht dat via de CNIL wordt uitgeoefend voor bestanden die de staatsveiligheid betreffen.
Om dat alles te organiseren zonder er uw avonden aan te besteden, voorkomt een notitieboek met code of zelfs een eenvoudig papieren schriftje voor administratieve stappen dat u het overzicht verliest over verstuurde brieven en termijnen.
Drie profielen, drie strategieën
De incidentele reiziger. Het wezenlijke zit in vier handelingen: een apart e-mailadres, reclamecookies weigeren, geen openbare wifi, geen foto van de instapkaart. Kostprijs: tien minuten instellingen, eenmalig.
De dagelijkse abonnee. Anonimiteit van de ritten is per constructie verloren: het abonnement op naam is de prijs van het tarief. Concentreer de inspanning op het secundaire gebruik — targeting uitschakelen, jaarlijkse opschoning van de geschiedenis, weigeren van externe loyaliteitsapps.
De risicovolle situatie (conflictueuze scheiding, journalistiek, gerechtelijke procedure, bescherming van een derde). Daar moet u ontkoppelen: vervoerbewijzen voor korte afstanden contant betaald, geen loyaliteitsaccount, telefoon in vliegtuigmodus tijdens de reis of een tweede toestel, verblijf geboekt volgens een andere logica, en vooral: alleen de strikt noodzakelijke personen op de hoogte brengen van uw verplaatsing — idealiter via een kanaal dat uw nummer niet blootgeeft.
Het wezenlijke in acht regels
- Een verplaatsing is via deductie een gezondheidsgegeven, een gegeven over uw liefdesleven en uw overtuigingen: behandel het als zodanig.
- In het vliegtuig is identiteit verplicht (PNR, API); al het overige is onderhandelbaar.
- In de regionale trein en het stadsvervoer bestaat het anonieme vervoerbewijs nog: gebruik het voor gevoelige verplaatsingen.
- Commerciële biometrie op luchthavens is facultatief — er is altijd een rij met mensen.
- Gratis wifi is het spoor dat het makkelijkst te vermijden is: MAC-randomisatie, tethering, VPN.
- Een loyaliteitskaart voor vervoer is een levensgeschiedenis; weeg de ruil af.
- Contant geld en eenmalige kaarten doorbreken de bancaire kruisverbanden.
- De AVG laat toe om wissing te vragen van wat niet wettelijk verplicht is: maak er één keer per jaar gebruik van.
Discreet reizen vraagt geen bijzondere uitrusting en geen technische kennis. Het vraagt dat u bij elk loket beslist of de informatie die men u vraagt noodzakelijk is voor de reis of gewoon nuttig voor wie ernaar vraagt. Het verschil tussen die twee, dertig keer per jaar herhaald, tekent twee heel verschillende digitale levens.
