De Autoriteit Persoonsgegevens heeft de gemeente Enschede een boete opgelegd van 600.000 euro. De gemeente had namelijk een wifitrackingsysteem gebruikt om de drukte in de binnenstad te meten. Echter, dit systeem kan ook worden gebruikt om mensen te tracken en dit is niet toegestaan. Het privacyvriendelijk organiseren van wifi- of bluetoothtracking blijft dan ook heel moeilijk.
Wanneer mensen tellen mensen tracken wordt
De gemeente Enschede had een bedrijf ingehuurd om de drukte in de binnenstad te meten, iets wat in deze coronatijden niet ongewoon is. De gemeente deed dit echter al sinds 2017 en was er in mei 2020 mee gestopt. Om het aantal personen te kunnen tellen, wat moeilijk is als iedereen kriskras door elkaar beweegt, werd gebruikgemaakt van wifisignalen. Hierbij werd aan iedere smartphone een unieke code gekoppeld. Door te tellen hoeveel unieke smartphones er waren, kon men bepalen hoe druk het was.
Het probleem is volgens de Autoriteit Persoonsgegevens dat dit systeem meer doet dan het tellen van mensen, want het kan worden gebruikt om mensen te volgen. Op een rustig moment zou je kunnen zien welke persoon bij welke code hoort. Vervolgens zou je patronen kunnen opmerken. De Autoriteit Persoonsgegevens haalt hierbij het voorbeeld aan van iemand die elke dag om 08.00 uur op dezelfde plek aankomt en om 17.00 uur opnieuw deze plek verlaat. Dit is wellicht iemand die hier werkt. Door over een langere periode unieke codes aan smartphones te koppelen, gaat men dus over van het tellen van mensen naar het tracken van mensen. Een gemeente mag mensen tellen, maar mag hen niet zomaar tracken en bespieden.
Boete van 600.000 euro voor de gemeente Enschede
Hoewel het niet de intentie van de gemeente was om burgers te volgen en er geen aanwijzingen zijn dat dit daadwerkelijk is gebeurd, greep de Autoriteit Persoonsgegevens toch in. Het vindt de inbreuk dan ook heel kwalijk en benadrukt dat burgers het recht hebben om vrij en onbespied over straat te gaan. Door de interventie van de Autoriteit Persoonsgegevens heeft de gemeente op 1 mei 2020 de praktijken stopgezet. Nu krijgt de gemeente dus ook een boete van 600.000 euro.
Niet geheel onmogelijk, maar moeilijk te organiseren
Deze situatie toont aan dat het gebruik van wifitracking of bluetoothtracking moeilijk privacyvriendelijk te organiseren is. Dit kan enkel onder heel strikte voorwaarden. Zo moet er een geldige grondslag zijn en moeten burgers of bezoekers hier helder over worden geïnformeerd. Voor een gemeente zou een geldige grondslag bijvoorbeeld het handhaven van de veiligheid in de stad kunnen zijn. Bovendien mogen de gegevens slechts voor een beperkte periode worden bewaard.
Andere voorwaarden moeten er dan weer voor zorgen dat de privacyschending beperkt blijft. Zo zou het systeem bijvoorbeeld enkel op specifieke momenten en op specifieke plaatsen kunnen worden ingeschakeld, dus enkel waar en wanneer het echt nodig is. Op de andere momenten en plaatsen zou het dan uitgeschakeld moeten blijven. Een andere oplossing kan het anonimiseren van de MAC-adressen zijn. Dan verwerk je namelijk geen persoonsgegevens. Zogenaamde hashing volstaat echter niet: dit is pseudonimiseren en niet anonimiseren
Hoewel wifi- of bluetoothtracking voordelen heeft, ook vanuit commercieel oogpunt, is het privacyvriendelijk organiseren ervan heel complex. Voorkom privacy-inbreuken en torenhoge boetes en win vooraf juridisch advies in. Plan vrijblijvend een intakegesprek in.
