Rechtbank vernietigt privacyboete (€600.000,-) aan gemeente Enschede

Achtergrond van de zaak

In de periode van 2018 tot 2020 gebruikte de gemeente Enschede sensoren om de drukte in de binnenstad te meten. De sensoren registreerden wifisignalen van mobiele telefoons (MAC-adressen) in de winkelstraten, waarbij elke telefoon een unieke code kreeg. Door over een langere periode bij te houden welke telefoon bij welke sensor passeerde, kon de gemeente individuele personen volgen. Dit leidde tot een geschil, omdat de AP na klachten concludeerde dat deze gegevensverwerking in strijd zou zijn met de Algemene Verordening Gegevensbescherming (AVG).
 

Identificatiemogelijkheden

Het vraagstuk dat voorlag bij de rechtbank Overijssel was of er überhaupt sprake was van een verwerking van persoonsgegevens. Hiervoor was het nodig dat passanten in de binnenstad door middel van de registratie van de wifisignalen geïdentificeerd konden worden. De AP stelt dat het mogelijk was om personen te identificeren, ook al werd het MAC-adres gepseudonimiseerd opgeslagen. De AP noemt drie methoden voor identificatie:

• Het zou mogelijk zijn om op stille momenten in de binnenstad personen direct te identificeren door ter plaatse waarnemingen te doen met behulp van de exacte locatie van sensoren, toegang tot het systeem, en het opzoeken van het MAC-adres.
• Met toegang tot het systeem zou het mogelijk zijn personen identificeren door leef- en bewegingspatronen te analyseren, dit zou gebruikt kunnen worden om personen ter plaatse te herkennen en te identificeren.
• Zelfs met gepseudonimiseerde MAC-adressen zou het mogelijk zijn om leefpatronen te herkennen en personen te identificeren op basis van historische gegevens.

Oordeel rechtbank Overijssel

De rechtbank is kritisch op de onderbouwing van de AP, waarbij ze benadrukt dat door de AP onvoldoende is onderzocht of voorgenoemde identificatiemethoden daadwerkelijk personen identificeerden. De rechtbank vindt dat de AP onvoldoende heeft uitgezocht of de identiteit van passanten kon worden vastgesteld. Dat identificatie technisch gezien mogelijk was, is hiervoor volgens de rechtbank onvoldoende.

De rechtbank stelt dat de AP ook had moeten onderzoeken hoeveel tijd en geld het kostte om de identificatie uit te voeren en of het redelijk was om te verwachten dat dit daadwerkelijk zou worden gedaan. Hierdoor kan volgens de rechtbank niet worden aangetoond dat het college daadwerkelijk persoonsgegevens heeft verwerkt. Als gevolg hiervan is het beroep van het college gegrond verklaard, het bestreden besluit vernietigd en het boetebesluit herroepen.

Voor de (gemeentelijke) privacypraktijk is het jammer dat met dit oordeel van de rechtbank geen aanleiding meer bestond om te oordelen of het college in deze kwestie wel over een grondslag voor verwerking van persoonsgegevens beschikt. Naar aanleiding van het boetebesluit schreven wij hier eerder dit blogbericht over.
 

Conclusie

Deze uitspraak laat zien dat, zelfs als identificatie van een persoon technisch gezien mogelijk is, dit niet automatisch hoeft te betekenen dat er sprake is van de verwerking van persoonsgegevens. De AP had volgens de rechtbank Overijssel beter moeten onderzoeken hoeveel tijd en geld het kostte om de identificatie van passanten uit te voeren, en of het redelijk was om te verwachten dat dit daadwerkelijk werd gedaan. De rechtbank Overijssel verwacht van de AP zorgvuldig onderzoek en overtuigend bewijs bij het opleggen van bestuurlijke boetes voor schenden van de AVG. Organisaties die geconfronteerd worden met dergelijke boetes doen er daarom goed aan om kritisch te kijken naar de onderbouwing van de toezichthouder.

Het is momenteel –8 februari 2024– nog onbekend of de AP in beroep gaat tegen de uitspraak.
 

Meer weten?

Heeft uw vragen over de verwerking van persoonsgegevens, of wilt u meer weten over de AVG? Neem dan contact op met Marit Gorissen, E: marit.gorissen@nysingh.nl | M: 06 23 81 54 38 of Carola van Andel, E: carola.vanandel@nysingh.nl | M: 06 13 00 45 93