De gemeente Enschede hoeft de boete van 600.000 euro die de Autoriteit Persoonsgegevens (AP) oplegde voor het meten van bezoekersstromen via wifitracking definitief niet te betalen. De Raad van State heeft het hoger beroep van de privacytoezichthouder ongegrond verklaard. Daarmee komt een einde aan een zaak die jarenlang richtinggevend was voor de toepassing van de AVG op nieuwe technologie.
Wifitracking in de binnenstad
Tussen mei 2018 en april 2020 gebruikte de gemeente Enschede tien wifi-sensoren in de binnenstad om inzicht te krijgen in bezoekersstromen. De sensoren registreerden de wifi-signalen die smartphones automatisch uitzenden wanneer wifi is ingeschakeld. Op basis daarvan wilde de gemeente onder meer zien hoe druk bepaalde locaties waren, welke looproutes bezoekers namen en hoe lang mensen gemiddeld in het centrum verbleven.
Volgens de gemeente was het nadrukkelijk niet de bedoeling om individuele personen te volgen. Het systeem was uitsluitend bedoeld om geanonimiseerde bezoekersstatistieken te maken die konden worden gebruikt voor het verbeteren van de inrichting en bereikbaarheid van de binnenstad.
Hoe werden de gegevens bewerkt?
Een belangrijk onderdeel van de rechtszaak was de manier waarop de gegevens werden verwerkt. De sensoren sloegen de volledige MAC-adressen van smartphones niet rechtstreeks op. Zodra een apparaat werd gedetecteerd, werd het MAC-adres met een cryptografisch hash-algoritme omgezet in een versleutelde code. Daardoor was het oorspronkelijke MAC-adres niet meer zichtbaar.
Alle sensoren gebruikten dezelfde hashmethode, zodat hetzelfde apparaat telkens dezelfde versleutelde code kreeg. Vervolgens werden verschillende filters toegepast. Apparaten die gebruikmaakten van MAC-randomisatie, toestellen uit een opt-outregister en apparaten die vermoedelijk van bewoners waren, werden uit de dataset verwijderd. Vanaf 1 januari 2019 werden bovendien de laatste drie tekens van de gehashte code verwijderd voordat de gegevens maximaal zes maanden werden bewaard voor statistische analyses.
Volgens Enschede waren de gegevens daardoor niet meer tot individuele personen te herleiden. De AP zag dat anders. Omdat dezelfde gehashte code telkens terugkwam wanneer een apparaat opnieuw werd gedetecteerd, vond de toezichthouder dat bezoekers nog steeds over meerdere locaties en tijdstippen konden worden gevolgd. Volgens de AP bleef daarom sprake van persoonsgegevens waarop de AVG van toepassing was.
Boete van 600.000 euro
In 2021 legde de AP de gemeente een boete van 600.000 euro op wegens overtreding van de AVG. De toezichthouder stelde dat de gemeente zonder geldige wettelijke grondslag persoonsgegevens had verwerkt. De zaak kreeg veel aandacht, omdat verschillende gemeenten destijds vergelijkbare technieken gebruikten of daarmee experimenteerden. Na het optreden van de AP stopten diverse gemeenten met wifitracking.
De gemeente Enschede vocht de boete aan en kreeg begin 2024 gelijk van de rechtbank Overijssel. Volgens de rechtbank had de AP onvoldoende bewezen dat de verwerkte gegevens daadwerkelijk persoonsgegevens waren. Bovendien mocht de toezichthouder de motivering van het oorspronkelijke boetebesluit tijdens de procedure niet alsnog uitbreiden met nieuwe argumenten.
Raad van State bevestigt oordeel Rechtbank
De AP ging in hoger beroep, maar de Raad van State heeft het oordeel van de rechtbank nu bevestigd. Daarmee blijft de vernietiging van de boete in stand.
De hoogste bestuursrechter oordeelt niet dat gehashte MAC-adressen nooit persoonsgegevens kunnen zijn. Wel stelt de Raad van State dat de AP in deze zaak onvoldoende heeft onderbouwd dat de door Enschede verwerkte gegevens als persoonsgegevens moesten worden aangemerkt en dat sprake was van een overtreding van de AVG. Bij een bestuurlijke boete rust die bewijslast volledig op de toezichthouder.
Belang voor toekomstige handhaving
De uitspraak is vooral van belang voor toekomstige privacyzaken waarin complexe technische systemen worden gebruikt. De Raad van State maakt duidelijk dat een toezichthouder zorgvuldig moet aantonen hoe een techniek werkt en waarom gegevens in de praktijk nog tot personen zijn te herleiden. Algemene aannames zijn daarvoor niet voldoende.
Dat betekent niet dat organisaties vrij spel hebben om wifi-, bluetooth- of andere detectietechnieken toe te passen. Ook in de toekomst kunnen dergelijke systemen onder de AVG vallen wanneer personen direct of indirect identificeerbaar zijn. De beoordeling zal steeds afhangen van de concrete technische inrichting en de feitelijke mogelijkheden om gegevens tot personen te herleiden.
Wat betekent dit voor HCC-leden?
Voor HCC-leden is deze uitspraak interessant omdat zij laat zien hoe techniek en privacywetgeving elkaar raken. Begrippen als hashing, pseudonimisering en anonimisering worden vaak door elkaar gebruikt, terwijl zij juridisch een verschillende betekenis hebben. Deze zaak maakt duidelijk dat niet alleen de gebruikte techniek belangrijk is, maar ook de vraag of iemand met de beschikbare gegevens in de praktijk nog kan worden geïdentificeerd. Daarnaast bevestigt de uitspraak dat een toezichthouder bij hoge boetes zorgvuldig en overtuigend moet aantonen dat de AVG daadwerkelijk is overtreden.
Standpunt van HCC
HCC vindt dat innovatieve technieken voor het verzamelen van statistische informatie waardevol kunnen zijn, mits privacy vanaf het ontwerp is ingebouwd. Organisaties moeten transparant zijn over welke gegevens zij verzamelen, waarom zij dat doen en hoe zij die beschermen. Tegelijkertijd is het belangrijk dat toezichthouders hun besluiten technisch en juridisch zorgvuldig onderbouwen. Duidelijke rechtspraak zoals deze helpt zowel burgers als organisaties om beter te begrijpen waar de grenzen van de AVG liggen bij nieuwe technologieën.
Foto Wikipedia
