Is een verplichte pinbetaling in strijd met de AVG?
Contant geld, wie heeft het tegenwoordig nog op zak? Steeds meer ondernemingen kiezen ervoor om geen contant geld meer te accepteren. Dat lijkt praktisch en veilig. Maar hoe zit dat onder de AVG? Mag u klanten verplichten om met pin of creditcard te betalen, terwijl daarbij persoonsgegevens (denk daarbij o.a. aan het rekeningnummer) worden verwerkt?
In een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State is hier antwoord op gegeven.
Een bioscoop besloot om geen contante betalingen meer te accepteren, maar uitsluitend nog pin- en creditcardbetalingen. De reden die de bioscoop hiervoor gaf was dat zij daarmee beter de veiligheid van haar horecamedewerkers en filmtheaterkassiers kon garanderen. Een bezoeker vond dat dit in strijd was met zijn recht op privacy, omdat hij van mening was dat hij daardoor niet meer anoniem een bioscoopkaartje kon kopen. Volgens hem werden bij pinbetalingen namelijk onnodig persoonsgegevens verwerkt, zoals zijn bankrekeningnummer. De kwestie kwam uiteindelijk voor bij de rechter (Afdeling bestuursrechtspraak).
Onjuiste aanname: persoonsgegevens verwerken is verboden?
Een veel voorkomende en onjuiste aanname is dat men geneigd is te denken dat persoonsgegevens verwerken verboden is. Dat is niet het geval. De AVG staat verwerking van persoonsgegevens toe, maar wel onder strikte vereisten. Zo moet er allereerst sprake zijn van een rechtmatige grondslag op basis waarvan de persoonsgegevens mogen worden verwerkt. De AVG kent daarvoor zes verschillende grondslagen; om persoonsgegevens te mogen verwerken moet men een rechtsgeldig beroep op een van die grondslagen kunnen doen. Een voorbeeld van zo’n grondslag is de grondslag dat de verwerking noodzakelijk is voor de uitvoering van een overeenkomst tussen de verwerkingsverantwoordelijke en de betrokkene.
Daarnaast geldt op grond van de AVG dat voor een rechtmatige verwerking van persoonsgegevens vereist is dat de persoonsgegevens voor een gerechtvaardigd doeleinde worden verzameld.
Het oordeel: een gerechtvaardigd doel onder de AVG vraagt om concrete onderbouwing
Centraal in deze kwestie staat de vraag of de persoonsgegevensverwerking van de bioscoop rechtmatig is. De rechter oordeelt hierover als volgt: als een bezoeker een kaartje bij de bioscoop koopt, komt er een overeenkomst tot stand. In die zin zou een bioscoop dus een beroep kunnen doen op de verwerkingsgrondslag dat de verwerking noodzakelijk is voor de uitvoering van een overeenkomst tussen de verwerkingsverantwoordelijke (bioscoop) en de betrokkene (bezoeker). De rechter kijkt vervolgens naar het gerechtvaardigd doel waar de bioscoop een beroep op doet (veiligheid van medewerkers). De rechter stelt vast dat de sociale veiligheid een gerechtvaardigd doel kan zijn voor het invoeren van verplichte pinbetalingen. Echter, er moet dan vervolgens wel daadwerkelijk een gevaar voor de sociale veiligheid van de medewerkers bestaan. Nu dit niet werd aangetoond oordeelde de rechter dat hier geen sprake van was. De bioscoop volstond namelijk met de enkele stelling dat de afwezigheid van contant geld in een bedrijf de aantrekkelijkheid daarvan voor potentiële overvallers vermindert. De bioscoop had in dit geval moeten aantonen dat er een reëel risico bestond en dat het afschaffen van contante betalingen de veiligheid van medewerkers bevorderde. De vraag dringt zich wel op hoe de bioscoop dat dan had moeten aantonen. Hoe dan ook: dit betekende dat de bioscoop de persoonsgegevens niet voor een gerechtvaardigd doeleinde verzamelde en de pinbetalingen dus niet verplicht mocht stellen.
Wat betekent dit voor uw onderneming?
Deze uitspraak onderstreept dat het naleven van de AVG meer vraagt dan een algemene verwijzing naar bijvoorbeeld veiligheid. Wie persoonsgegevens verwerkt, moet concreet en juridisch kunnen onderbouwen welk belang wordt gediend, waarom dat belang gerechtvaardigd is en waarom de verwerking daarvoor noodzakelijk is. Een abstract of algemeen geformuleerd doel volstaat niet.
Indien uw organisatie in strijd handelt met voornoemde verplichtingen kunt u fikse boetes riskeren. Het is daarom essentieel dat u voldoende geïnformeerd bent en zodoende in staat bent te handelen in overeenstemming met de geldende wet- en regelgeving.
Heeft u vragen over het privacyrecht (AVG)? Wij hebben veel ervaring in privacyrechtelijke kwesties en denken graag met u mee!
Uitspraak: Afdeling bestuursrechtspraak van de Raad van State, 11 februari 2026, ECLI:NL:RVS:2026:746.
