De Autoriteit Persoonsgegevens heeft het college van burgemeester en wethouders van de gemeente Enschede een boete van 600.000 euro opgelegd voor wifi-tracking.
Met de boete wordt duidelijk dat de mogelijkheid om boetes aan gemeenten op te leggen niet alleen een theoretische mogelijkheid is. De AP maakte in 2019 bekend dat haar focus in toezicht voor 2020-2023 onder meer op de digitale overheid is gericht. Ook is de AP in dat jaar een onderzoek gestart naar Smart City-toepassingen.
De gemeente Enschede maakt, net als veel andere gemeenten, gebruik van dergelijke Smart City toepassingen. De gemeente wilde de drukte meten in de binnenstad. Hiervoor schakelde de gemeente een bedrijf in dat door middel van meetkastjes kon registreren hoeveel personen zich op een bepaalde locatie in de stad bevonden. Voor de uitvoering van de meting maakte het bedrijf gebruik van de wifi-signalen van de mobiele telefoons van passanten. Dit wordt ook wel wifi-tracking genoemd.
Aan deze wifi-tracking kleven een aantal problemen. Uit de verzamelde data kan een gedetailleerd beeld worden opgemaakt van het gedrag van (individuele) burgers. De data kan bijvoorbeeld inzicht geven in de leefpatronen van burgers, of iemands woon- of werkplek prijsgeven. Het enkele feit dat dit mogelijk is, kan ertoe leiden dat burgers zich niet langer onbespied wanen door de overheid. Gelet hierop is er volgens de AP sprake van een ernstige situatie.
Aanleiding voor het onderzoek van de AP was een klacht van een betrokkene. Gedurende het onderzoek ontving de AP nog twee soortgelijke klachten.
Het boetebesluit is interessant om te lezen vanwege de discussie of de toegepaste anonimiseringstechnieken volstaan. De AP concludeert van niet. Ook heeft het college zich op het standpunt gesteld geen (zelfstandig) verwerkingsverantwoordelijke te zijn. Dit standpunt volgt de AP evenmin. Zeer lezenswaardig voor de gemeentelijke (privacy)jurist is het hoofdstuk over de rechtmatigheid van de verwerking en op welke grondslag de verwerking gestoeld kan worden.
Artikel 160 Gemeentewet biedt geen grondslag
Het college heeft zich op het standpunt gesteld dat de passantentellingen nodig zijn om inzicht te verkrijgen in diverse aspecten die voor de gemeente van belang zijn bij het opstellen en uitvoeren van het beleid en derhalve om invulling te geven aan de ‘publieke taak’ die de gemeente jegens haar inwoners heeft. Deze publieke taak volgt volgens het college uit artikel 160 Gemeentewet.
De AP volgt het college niet in dit betoog. Een burger kan uit artikel 160 Gemeentewet onvoldoende opmaken welke op zijn privéleven betrekking hebbende gegevens kunnen worden verzameld en vastgelegd met het oog op de vervulling van deze overheidstaak, en onder welke voorwaarden die gegevens met dat doel kunnen worden bewerkt, bewaard en gebruikt. Gelet op het feit dat de wetgever artikel 160 Gemeentewet doelbewust ruim heeft geformuleerd, kan deze bepaling niet zonder meer kan dienen als rechtsgrond voor deze gegevensverwerking.
Omdat het college de verwerking evenmin kan baseren op een wettelijke plicht of op een gerechtvaardigd belang, heeft het college volgens de AP geen verwerkingsgrondslag voor de wifi-tracking. Daarnaast is niet gebleken dat de metingen noodzakelijk zijn en dat hetzelfde resultaat niet met minder vergaande middelen kan worden bereikt. Daarmee handelt het college in strijd met artikel 5 sub a en artikel 6 AVG.
Hoogte van de boete
Voor de hoogte van de boete acht de AP van belang dat de overtreding op structurele wijze plaatsvond (van 25 mei 2018 tot 30 april 2020) en dat het college de persoonsgegevens bovenmatig en langer heeft verwerkt dan noodzakelijk was voor de beoogde doeleinden. Bij het verwerken van locatiegegevens moet de grootst mogelijke zorgvuldigheid in acht worden genomen om te voorkomen dat deze gegevens (indirect) identificeerbaar worden.
Mogelijk gaat er van deze boete een signalerende werking uit. Gemeenten weten nu zeker dat ook zij een boete opgelegd zullen krijgen, indien de AVG niet wordt nageleefd. Of de boete (in volle omvang) standhoudt, is afwachten. Wij houden u hiervan vanzelfsprekend op de hoogte!