Vandaag heeft de Autoriteit Persoonsgegevens aangekondigd dat de Gemeente Enschede, een opdrachtgever van Bureau RMC, een bestuurlijke boete krijgt opgelegd. De AP is van mening dat de gemeente zonder wettelijke grondslag indirecte persoonsgegevens (Mac-adressen) heeft verwerkt van eigenaren/gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld in de binnenstad van Enschede. De AP spreekt over wifitracking, de gemeente Enschede spreekt over wifitelling en heeft bezwaar aangetekend tegen dit boetebesluit. Lees hier de reactie van gemeente Enschede.
We zijn zeer ongelukkig met de boete voor een van onze opdrachtgevers en vinden deze onterecht en disproportioneel. Het bezwaar van de Gemeente Enschede tegen dit besluit wordt door ons ondersteund. Het tellen van passanten is, zeker in tijden van een pandemie, van groot maatschappelijk belang. Tellen op basis van wifi is een privacy-veilige en nauwkeurige manier om bijvoorbeeld de drukte in een winkelstraat te meten. Een MAC-adres is niet direct te herleiden naar een individu. Gemeente Enschede telt slechts en volgt niet!
De uitspraak van de AP -waarin wordt gesteld dat mensen werden ‘gevolgd’ op basis van wifi-signalen- is gebaseerd op hypothetische situaties en aannames van de AP, die zich nooit voor hebben gedaan. Het is niet gebaseerd op gegevens die bij de gemeente voorhanden zijn, sterker nog de gemeente heeft alleen rapportages die anoniem zijn. Wij onderschrijven ook het standpunt van de gemeente Enschede dat identificatie van individuen aan de hand van de verwerkte data in de anonieme rapportages over de wifimeting niet mogelijk is. Dat is door de gemeente duidelijk aangetoond in haar antwoord aan de AP en gebaseerd op correcte kennis van onze systemen.
De AP stelt dat het tellen van passanten op basis van een wifi-signaal (Mac-adres) toegestaan is, mits aan de juiste voorwaarden wordt voldaan. Zolang deze informatie als persoonsgegevens, voor bepaalde doeleinden op basis van de juiste grondslag wordt verwerkt en er een duidelijke en concrete gegevensverwerkingsovereenkomst ligt, kan deze vorm van statistisch onderzoek worden toegepast.
Het is ook belangrijk om te vermelden dat de AP onderzoek heeft gedaan naar een oude telmethode die niet meer wordt gebruikt . De situatie waarin mensen, theoretisch gezien, kunnen worden ‘gevolgd’ door een Mac-adres te combineren met een direct persoonsgegeven, is onmogelijk gemaakt doordat telgegevens sinds vorig jaar korter dan 24 uur worden opgeslagen. Hiermee voldoet de huidige methode aan de door de AP geschetste kaders.
Enschede
De kaders voor de telmethode zoals deze nu door de AP worden geschetst waren nog onduidelijk ten tijde van de opdracht in Enschede in 2017. Het waarborgen van de privacy is echter altijd een van de topprioriteiten geweest van de gemeente en in haar voortrekkersrol heeft zij Bureau RMC meerdere malen verzocht het passantenonderzoek aan te scherpen.
Sindsdien zijn er naast dit onderzoek nog enkele andere relevante ontwikkelingen geweest. Afgelopen zomer is in een brief van toenmalig minister Sander Dekker nader aangegeven hoe gemeenten met passantenonderzoek dienen om te gaan. De MOA, de branchevereniging van onderzoeksbureaus, heeft een nieuwe gedragscode opgesteld waar statistische Passantentellingen onderdeel van is. Deze Gedragscode is ter goedkeuring ingediend bij de AP.
Ten slotte wordt de E-Privacy verordening in Europees verband waarschijnlijk dit jaar vastgesteld. Daarin wordt vastgelegd hoe gegevens uit telecommunicatieapparatuur kunnen worden verwerkt voor statistisch onderzoek en aan welke voorwaarden dient te worden voldaan. Alle bij statistisch onderzoek betrokken partijen van opdrachtgever tot opdrachtnemer krijgen dan kaders aangereikt.
Vanuit Bureau RMC kunnen we ons voorstellen dat dit besluit veel vragen bij u en uw organisatie zal oproepen. We hebben een Q&A op onze website gepubliceerd en zijn voor alle vragen te bereiken via h.lubbers@rmc.nl . Bedrijven en gemeenten kunnen voor meer informatie over de inzet van wifitracking ook terecht op de website van de AP.