Autoriteit Persoonsgegevens beboet gemeente Enschede voor wifitracking. Is Bluetrace alweer vergeten?

De gemeente Enschede heeft tussen 2017 en 2020 wifimetingen in haar binnenstad laten verrichten. Dit zijn metingen gebaseerd op sensoren in de binnenstad die het wifisignaal van passanten registreert. Hiermee wilde de gemeente het effect van haar investeringen in de binnenstad in kaart brengen. Middels een klacht wordt de Autoriteit Persoonsgegevens (‘AP’) geïnformeerd over de vermeende onrechtmatigheid van het wifitrackingsysteem. De AP is hierop een onderzoek gestart. Dit onderzoek heeft geresulteerd in een boete van € 600.000,- voor de gemeente.

Situatieschets

De gemeente heeft om en nabij de 11 sensoren laten ophangen. Elk met een bereik van 70 meter. Deze sensoren registreerden 24 uur per dag 7 dagen per week alle passanten die binnen het bereik liepen en wiens telefoon, tablet en/of smartwatch zocht naar beschikbare netwerken. Ook bij omwonenden. Een uitschrijfmogelijkheid voor bewoners bleek niet juist te functioneren. De informatie die de gemeente op haar website ter beschikking had gesteld bleek onjuistheden te bevatten. De gemeente registreerde onder meer de datum, (verblijfs)tijd, signaalsterkte (locatiegegevens), en (afgeknipt) gepseudonimiseerd MAC-adres van het gebruikersapparaat, alsmede de sensor-id van de betreffende sensor.

Privacygevolgen

Locatiegegevens kunnen resulteren in een schat aan informatie. Nog meer als ze te herleiden zijn naar natuurlijke personen. Deze gegevens kunnen de persoonlijke levenssfeer van de betrokkene ernstig schenden.

De gemeente kon de identiteit van passanten achterhalen middels een combinatie van het geregistreerde (gepseudonimiseerd) MAC-adres en locatiegegevens. Al dan niet met behulp van alle bewakingscamera’s die in de binnenstad zijn opgehangen. De verkregen informatie werd voor zes maanden bewaard. Uit het onderzoek van de AP blijkt dat er uit de verwerkte informatie ook leefpatronen herkend konden worden. Dit bood de gemeente een persoonlijk inkijkje in de zakelijke en/of privéagenda van alle betrokkenen. De AP concludeert dat de privacy van passanten en bewoners hierdoor werd geschonden.

Bluetrace

Eenieder die zich het Bluetrace-onderzoek herinnert, zal de overeenkomsten met deze kwestie herkennen. Ook in de Bluetrace-zaak ging het om een wifitrackingsysteem waarbij MAC-adressen niet werden geanonimiseerd, de uitschrijfmogelijkheden voor bewoners en passanten niet goed waren geregeld, waarbij de verwerking onevenredig was aan het gestelde doel, en waarbij uiteen werd gezet dat een MAC-adres een direct herleidbaar persoonsgegeven kan zijn.

Ondanks bovenstaande, heeft de gemeente zich verweert met argumenten die nagenoeg identiek waren aan de reeds uitvoerig in het Bluetrace-rapport onderuit gehaalde argumenten; om tenslotte zelfs (onbedoeld) te stellen dat de verwerking onevenredig was. De gemeente wilde namelijk slechts de hoeveelheid personen per sensor weten. De in kaart gebrachte bezoekersstromen waren niet nodig voor haar doeleinden. Dit doel had de gemeente ook kunnen bereiken met bijvoorbeeld (infrarood) bezoekerstellers. Een methode waarbij doorgaans geen persoonsgegevens worden verzameld.

Slot

Het is opmerkelijk dat de gemeenten Hengelo, Breda, Roosendaal na de publicatie van het onderzoeksrapport te kennen hebben gegeven dezelfde systemen offline te laten halen. Kan daarmee worden geconcludeerd dat de Bluetrace-zaak blijkbaar alweer in de vergetelheid is geraakt? Zelfs bij organisaties die gebruik maken van dezelfde soort trackingsystemen en uitvoerig voorafgaand onderzoek zouden moeten hebben verricht?

Wenst u, evenals vermoedelijk vorengaande gemeenten, ook een opfriscursus wifitracking? Of heeft u andere privacyrechtelijke vraagstukken? Neem dan gerust vrijblijvend contact met op met Samuel Wiegerinck of één van de andere leden van het Privacyteam.