De Autoriteit Persoonsgegevens (AP) geeft de gemeente Enschede een boete van 600.000 euro. Dit omdat de gemeente wifitracking gebruikte in de binnenstad op een manier die niet mag. Daardoor was het mogelijk winkelend publiek en mensen die in de binnenstad wonen of werken te volgen.

De gemeente Enschede besloot in 2017 om via sensoren de drukte in de binnenstad te gaan meten. De gemeente huurde daarvoor een bedrijf in dat is gespecialiseerd in het tellen van passanten.

Volgen van mensen
Meetkastjes in de winkelstraten vingen de wifisignalen op van de mobiele telefoons van passerende mensen. Ieders telefoon werd apart geregistreerd, met een unieke code. Door te tellen hoeveel telefoons er op een bepaald moment rond een meetkastje zijn, weet je hoe druk het is. Maar houd je over een langere periode bij welke telefoon langs welk meetkastje komt, dan verandert dit ‘tellen’ in het volgen van mensen, aldus de AP.

Privacy niet gewaarborgd
Uit onderzoek van de AP bij de gemeente Enschede blijkt dat dit laatste aan de hand was. De privacy van burgers was dus niet goed gewaarborgd, omdat zij konden worden gevolgd zonder dat dit noodzakelijk was. Het was overigens niet de intentie van de gemeente om individuen te volgen. De AP heeft ook geen aanwijzingen gevonden dat dit is gebeurd. Maar het inzetten van wifitracking die dit mogelijk maakt, is op zichzelf al een ernstige overtreding van privacywet AVG.

‘Privacy burgers moet voorop staan’
“Als je mensen via hun telefoon kunt volgen, is dat heel kwalijk”, zegt AP-vicevoorzitter Monique Verdier. “Want iedereen heeft het recht om vrij en onbespied over straat te gaan, zonder dat de overheid of een andere partij kan meekijken of noteren wat je doet. Dat past bij onze vrije en open samenleving. Het is dus niet de bedoeling dat iemand kan volgen welke winkel, arts, kerk of moskee we bezoeken. Dat is privé en dat moet privé blijven. Zodat mensen zichzelf kunnen zijn, zonder zich geremd te voelen door mogelijke registratie. Een gemeente moet dit grondrecht van haar inwoners voorop stellen. Om drukte in de binnenstad te meten, moet een systeem mensen téllen. Niet volgen.”

Interventie
De gemeente en twee betrokken bedrijven hadden toegang tot de data. Verdier: “Met die data kon je dus mensen volgen door de binnenstad van Enschede. Op een rustig moment zie je precies wie bij welke code hoort. Of kijk naar een patroon: komt iemand elke dag om 08.00 uur op dezelfde plek aan? En gaat zij of hij om 17.00 weer weg? Dan is het dus iemand die daar werkt.”
De overtreding begon in mei 2018. De interventie van de AP was aanleiding voor de gemeente om op 1 mei 2020 te stoppen met wifitracking. Tientallen andere gemeenten maken overigens eveneens gebruik van wifitracking. Het is niet bekend of die wel aan de regels voldoen.

Wifitracking meestal verboden
De inzet van wifitracking is aan strenge eisen gebonden en in de meeste gevallen verboden. “Omdat deze techniek zo ingrijpt in het leven van mensen, mag je het alleen in uiterste gevallen inzetten”, zegt Verdier. “Gemeenten mogen in sommige situaties via wifitracking persoonsgegevens verwerken, bijvoorbeeld als dit noodzakelijk is voor hun wettelijke taak. Maar constateert de AP dat een gemeente of bedrijf onrechtmatig wifitracking inzet, dan is er kans op een flinke boete.”
De AP raadt gemeenten aan hun voorgenomen of lopende projecten met wifitracking nog eens goed tegen het licht te houden. De gemeente Enschede heeft bezwaar aangetekend tegen de boete.

Bedrijven en gemeenten kunnen voor meer informatie over de inzet van wifitracking terecht op de website van de AP.