Megaboete voor wifitellingen in Enschede niet van tafel, gemeente overweegt rechtszaak
De Autoriteit Persoonsgegevens en de gemeente Enschede staan mogelijk op korte termijn tegenover elkaar in de rechtbank. De privacywaakhond legde Enschede vorig jaar een boete van 600.000 euro op vanwege jarenlange wifitellingen in de binnenstad. De gemeente ging bij de Autoriteit in beroep, maar kreeg nul op het rekest bij een interne bezwarenprocedure. Een rechtszaak zou een volgende stap zijn.
Vanaf de zomer van 2017 tot en mei 2020 bracht het bedrijf City Traffic/RMC in opdracht van de gemeente Enschede bezoekersstromen in kaart. Dat deed het bedrijf aan de van wifi-signalen van passerende smartphones die met behulp van speciale sensoren op elf plekken in de binnenstad werden opgevangen. Om de tellingen te verrichten is gebruik gemaakt van het zogeheten MAC-adres, de code in het wifi-signaal die voor elke smartphone uniek is. Volgens de Autoriteit Persoonsgegevens (AP) is daarmee de privacy van voorbijgangers geschaad. De zaak werd aanhangig gemaakt door Enschedeër Dave Borghuis van Hackerspace Tkkrlab.
Bezoekers tellen een kerntaak?
Mede vanwege de omvang van de tellingen - er werden in totaal zo'n miljoen passanten geteld - kwam de AP na jaren onderzoek tot een boete van 600.000 euro voor de gemeente Enschede. Omdat de tellingen in opdracht van de gemeente zijn gedaan, ligt de verantwoordelijkheid daarvoor in Enschede.
Omdat de MAC-adressen in wifisignalen uniek zijn voor een telefoon - en nagenoeg elke telefoon gekoppeld is aan één persoon - worden deze data gezien als persoonsgegevens. Die mogen volgens de Europese privacywetgeving alleen verzameld worden als daarvoor een gegronde reden is en er geen alternatieven voorhanden zijn. Volgens de gemeente Enschede zijn de wifitellingen nodig om kerntaken (het meten van bezoekersstromen/crowd management) uit te voeren.
AP veegt bezwaren van tafel
De AP gaat niet mee in de bezwaren van de gemeente Enschede. Ook het verweer dat er geen sprake is van opslag van persoonsgegevens (omdat deze niet herleidbaar zijn naar individuen) is volgens de privacywaakhond ongegrond. De MAC-adressen werden weliswaar met een versleutelcode en in afgeknipte vorm op de servers opgeslagen, maar konden desondanks aan elkaar worden gekoppeld.
Lees verder onder de afbeelding
Onderzoekers van de Autoriteit Persoonsgegevens hebben op basis van de verzamelde data drie duidelijke leefpatronen ontdekt. Bijvoorbeeld de 'nachtelijke wandelaar', iemand die elke nacht tussen 4.00 en 5.00 uur een bepaalde sensor passeert. Volgens de AP kan met behulp van andere data of camerabeelden mensen vrij eenvoudig worden geïdentificeerd. Het gaat daarbij niet om de intentie van de tellingen, maar wat er in potentie met de data mogelijk is.
Juridische kosten
De gemeente Enschede beloofde direct na het uitdelen van de boete juridische stappen te ondernemen. In feite was dat al het geval, omdat het college zich juridisch liet bijstaan gedurende het feitenonderzoek van de AP. In totaal zijn er zo'n 150.000 euro aan juridische kosten gemaakt rond de zaak wifitellen. Dat is dus nog voordat er een rechtszaak heeft gediend.
Of die rechtszaak er nog gaat komen is onduidelijk. Volgens de Autoriteit Persoonsgegevens heeft de gemeente Enschede beroep aangetekend tegen de uitspraak van de interne hoorzitting (bezwaren gemeente ongegrond). Volgens het college van Enschede hebben zij nog tot 8 juli de tijd om een bezwaarschrift in te dienen bij de rechtbank. Of dat ook daadwerkelijk gaat gebeuren, wordt besproken met de woordvoerders van de gemeenteraadsfracties.
Gerelateerd
