GVB heeft in het bezwaarschrift tegen de last onder dwangsom gesteld dat de reisgegevens van studenten geen persoonsgegevens zijn en dat de Wet bescherming persoonsgegevens (Wbp) daarom niet van toepassing is. Bovendien achtte GVB het vertrouwensbeginsel geschonden, omdat het CBP in dit besluit een ruimer begrip ‘persoonsgegevens’ zou hanteren dan in een eerder onderzoek in 2007. Volgens GVB kon het bedrijf daarom ook niet als ‘verantwoordelijke’ in de zin van de Wbp worden aangemerkt.
Het CBP weerlegt deze argumenten in de beslissing op bezwaar. Volgens de wet is elk gegeven betreffende een geïdentificeerde of identificeerbare persoon een persoonsgegeven. Het CBP geeft aan dat identificatie van de persoon op verschillende manieren kan plaatsvinden. Bij de constatering dat het hier om persoonsgegevens gaat speelt een rol dat de reisgegevens gedetailleerde informatie geven over het reisgedrag van studenten. Ook weerlegt het CBP het argument dat het in dit besluit een ruimer begrip ‘persoonsgegevens’ toepast. Daarom handhaaft het CBP na heroverweging het eerder genomen besluit tot het opleggen van een last onder dwangsom.
Tegen de beslissing op bezwaar van het CBP staat beroep bij de rechtbank open.