De gemeente Enschede nam in 2017 het besluit om via wifi-tracking de effecten van investeringen van de gemeente in de binnenstad te meten met het oog op het verantwoord omgaan met publieke gelden.

Bij het gebruik van wifi-tracking werd via sensoren van alle binnen het bereik van die sensoren komende mobiele apparaten waarop de wifi stond ingeschakeld, het MAC-adres (uniek nummer van een telefoon), signaalsterkte, datum en tijdstip opgevangen en (tijdelijk) opgeslagen op het geheugen van een sensor. Hoewel het MAC-adres werd gepseudonimiseerd oordeelt de AP dat de pseudonimisering in kwestie niet afdoende was om ervoor te zorgen dat burgers daadwerkelijk niet meer konden worden geïdentificeerd. Er werden aldus persoonsgegevens verwerkt.

De gemeente zette voor het gebruik van wifi-tracking twee bedrijven in. Deze bedrijven en de gemeente hadden volgens de AP toegang tot de data die werd verzameld. De AP stelt in haar boetebesluit dat het door de data die werd verzameld te combineren het (theoretisch) mogelijk was om onder andere bepaalde leefpatronen van burgers te onderscheiden. Als bijvoorbeeld een bepaalde burger iedere dag om 08:00 uur langs een bepaalde sensor liep en werd gesignaleerd, dan kon op een rustig moment met het gebruik van camera’s, een burger in principe worden geïdentificeerd. Op deze wijze konden er dus ook leefpatronen worden onderscheiden. Bijvoorbeeld informatie over waar een burger woont of werkt. Er werd bij het verzamelen van de data overigens een “bewoner filter” toegepast zodat de gegevens van bewoners uit de data zou worden gefilterd, maar deze filter werkte volgens de AP niet goed.

Het is niet zo dat wifi-tracking in zijn geheel verboden is. De AVG bepaalt persoonsgegevens mogen worden verwerkt op een wijze die ten aanzien van – in dit geval burgers – rechtmatig is. Voor rechtmatige gegevensverwerking is een grondslag vereist. Deze grondslagen worden in de AVG genoemd. Er staan in de wet zes grondslagen. De voor de gemeente in aanmerking komende grondslagen waren: noodzakelijk om te voldoen aan een wettelijke verplichting, noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag of het gerechtvaardigd belang. De AP constateert dat er op de gemeente geen wettelijke verplichting rust, om wifimetingen in de binnenstad te laten verrichten. Ook vindt de verwerking van persoonsgegevens geen basis in een ruimer geformuleerde zorgplicht of wettelijke verplichting volgens de AP. De AP constateert verder dat de wifimetingen ook niet noodzakelijk zijn voor een taak van algemeen belang. Hiervoor vereist is een voldoende precieze wettelijke grondslag. De gemeente baseerde het gebruik van wifimetingen op artikel 160 van de Gemeentewet, waaruit volgt dat het college van B&W bevoegd is om het dagelijks bestuur van de gemeente te voeren. De AP concludeert dat hiermee niet wordt voldaan aan de eisen dat er sprake moet zijn van een uitdrukkelijk en duidelijk wettelijk voorschrift. In casu is het voorschrift te ruim geformuleerd, niet concreet en daarmee niet voldoende voorspelbaar. Een burger kan namelijk onvoldoende opmaken op welke wijze zijn gegevens worden verwerkt. De grondslag gerechtvaardigd belang gold in deze kwestie niet omdat deze grondslag niet voor verwerkingen door overheidsinstanties in het kader van de uitoefening van hun taken is bedoeld. Dat is anders als sprake is van typisch bedrijfsmatige handelingen, maar volgens de AP was daar in casu geen sprake van.

Door de wijze waarop de gemeente wifi-tracking heeft ingezet werd de privacy van de burgers aldus niet gehandhaafd. Ondanks dat het niet de intentie van de gemeente was om burgers te volgen en dit in feite ook niet is gebeurd, is in dit geval het inzetten van wifi-tracking een overtreding van de AVG. De AP legt een boete van in totaal EUR 600.000,- op.

Conclusie

Hoewel wifi-tracking in principe is toegestaan, moet er aan strenge voorwaarden worden voldaan. De privacy van burgers moet bij wifitracking worden gehandhaafd. Pseudonimisering of anonimisering van gegevens kan ervoor zorgen dat wifi-tracking is toegestaan. Maakt u gebruik van wifi-tracking, zorg er dan voor dat de inzet daarvan aan de eisen van de AVG voldoet.

Heeft u vragen of wilt u meer informatie over wifi-tracking en de AVG? Neem dan contact op met een van de advocaten van team Privacy.

Mei 2021