Mag u gebruikmaken van wifitracking onder de AVG?

17 mei 2021
Artikel

Recent heeft de Autoriteit Persoonsgegevens (AP) aan de gemeente Enschede een boete opgelegd van € 600.000, omdat de gemeente wifitracking gebruikte op een manier die niet AVG-conform bleek. Wat is wifitracking en onder welke voorwaarden is het toelaatbaar onder de Algemene Verordening Gegevensbescherming (AVG)?

Portretfoto van Niels Ista
Neem contact op met:
Niels Ista Jurist ondernemingsrecht en ICT-recht
Telefoon waarop wifitracking wordt toegepast

Wifitracking door de gemeente Enschede

De gemeente Enschede besloot in 2017 om met meetapparatuur de drukte in de binnenstad te gaan meten. Daarom schakelde zij een bedrijf in dat is gespecialiseerd in wifitracking en het plaatsen van de benodigde apparatuur hiervoor. Nadat het bedrijf de meetapparatuur in de winkelstraten had geïnstalleerd, werden de wifisignalen van de mobiele telefoons van passerende personen opgevangen. Elke telefoon werd daarbij geregistreerd en volgens getrackt.

Uit onderzoek van de Autoriteit Persoonsgegevens (AP) blijkt dat de gemeente Enschede de mobiele telefoons van passerende personen gedurende een lange periode heeft gevolgd. De Autoriteit Persoonsgegevens stelt dat de privacy van burgers daarbij onvoldoende gewaarborgd werd. Zij konden immers worden gevolgd zonder dat dit noodzakelijk was. De gemeente Enschede stelt dat zij nooit de intentie heeft gehad om personen te volgen. Dit verweer trof echter geen doel, omdat de inzet van wifitracking op deze manier niet is toegestaan onder de Algemene Verordening Gegevensbescherming (AVG).  

Wat is wifitracking?

Met wifitracking kunnen signalen van bijvoorbeeld smartphones of tablets worden opgevangen door speciaal geplaatste meetapparatuur. Vervolgens kan de locatie van deze apparaten worden bepaald en kunnen deze apparaten zelfs worden gevolgd. Wifitracking is vrij eenvoudig toepasbaar. Apparaten hoeven namelijk niet verbonden te zijn met een wifinetwerk om getrackt te worden door de meetapparatuur. Trackingbedrijven kunnen met behulp van deze gegevens informatie leveren over het aantal apparaten binnen het bereik van de meetapparatuur en het bewegingsgedrag van personen.

Wettelijk kader en wifitracking

Zodra de meetapparatuur wifisignalen van de apparaten opvangt, krijgt deze toegang tot het MAC-adres. Elk MAC-adres is uniek, waardoor de meetapparatuur het desbetreffende apparaat kan onderscheiden van andere apparaten. De meetapparatuur verwerkt het unieke MAC-adres van apparaten. Een MAC-adres wordt een persoonsgegeven op het moment dat dit wordt gecombineerd met andere persoonsgegevens die uiteindelijk te herleiden zijn naar een persoon. Die herleiding is mogelijk via de geobserveerde locatiegegevens van de mobiele telefoon.

De AVG bepaalt dat voor het verwerken van persoonsgegevens een wettelijke grondslag verreist is. De wet noemt in dit kader zes grondslagen:

  • toestemming van de betrokkene;
  • uitvoering van een overeenkomst met de betrokkene;
  • nakomen van een wettelijke verplichting die op de verantwoordelijke rust;
  • noodzakelijk ter bescherming van de vitale belangen van de betrokkene;
  • noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag;
  • behartiging van het gerechtvaardigde belang.

Als we naar deze grondslagen kijken, kunnen we concluderen dat de meeste hiervan direct afvallen omdat zij ongeschikt en/of niet mogelijk zijn. De mogelijkheden beperken zich tot toestemming van de betrokkene, uitvoering van een overeenkomst met de betrokkene en behartiging van het gerechtvaardigd belang.

A. Als de gemeente zich wil baseren op de grondslag van toestemming van de betrokkene, dan moet iedere betrokkene vooraf zijn of haar toestemming geven voor de wifitracking. De AVG bepaalt daarnaast dat de toestemming slechts geldig is als de betrokkene deze uit vrije wil geeft en als zijn of haar toestemming berust op specifieke informatie, zonder enige dubbelzinnigheid. Dit is in de praktijk natuurlijk niet werkbaar.

B. De verwerking baseren op de grondslag uitvoering van een overeenkomst, lijkt ook niet werkbaar. In dat geval zouden organisaties namelijk overeenkomsten moeten sluiten met willekeurige betrokkenen.

C. Tot slot zou de verwerking op basis van de grondslag ‘behartiging van het gerechtvaardigd belang’ uitkomst kunnen bieden. De Autoriteit Persoonsgegevens gaf echter al eerder aan dat deze grondslag streng geïnterpreteerd moet worden. Daarnaast stelt de AP dat wifitracking überhaupt in zeer weinig gevallen en slechts onder zeer strikte voorwaarden is toegestaan.

Samengevat: het selecteren van een grondslag voor wifitracking blijkt zeer lastig. Helemaal als u te maken heeft met de verwerking van bijzondere persoonsgegevens. zoals iemands religieuze overtuiging als hij een kerk bezoekt. De hiervoor genoemde grondslagen B en C vallen in dat geval namelijk direct af. Kortom: wees als organisatie (en als overheid) kritisch bij de beoordeling of, wanneer en op welke specifieke plaats wifitracking kan worden toegepast. Een goede beoordeling vooraf, bespaart u een hoop ellende achteraf.

Meer weten?

De juristen van ABAB Legal hebben uitgebreide kennis en ervaring op het gebied van privacyrecht en kunnen u bijstaan bij het opmaken van privacybeleid en kunnen uw vragen over wifitracking beantwoorden. 

Neem voor meer informatie of advies over privacywetgeving contact op met Niels Ista, jurist ondernemingsrecht en ICT-recht, via telefoonnummer 0165-531330 of stuur Niels een e-mail.

Wilt u meer weten over wifitracking? Onze jurist helpt u graag verder!

E-mail Niels
Portretfoto van Niels Ista
Jurist ondernemingsrecht en ICT-recht
Bel
013-4647180
Icoon download whitepaper

De AVG en de gevolgen voor uw organisatie

Download het whitepaper