Enschede ontsnapt definitief aan megaboete voor wifitellen: niet met blote oog aangetoond dat bezoekers te achterhalen waren

Om inzicht te krijgen in de bezoekersaantallen in de binnenstad, liet het college vanaf mei 2018 passantentellingen uitvoeren aan de hand van zo'n tien sensoren in de binnenstad. Die sensoren vingen het zogeheten MAC-adres op, unieke code van twaalf cijfers en letters die aan de netwerkkaart in een wifi-apparaat, zoals een telefoon, is toegewezen. Door de wifisignalen op te vangen, kan je aan de hand van het aantal MAC-adressen zien hoeveel unieke bezoekers er op welke tijdstippen zijn gepasseerd, maar dus ook welke route ze door de binnenstad bewandelen.

Miljoen bezoekers geteld

En dat is precies wat er in eerste instantie ook gebeurde. De eerste resultaten toonden kaart waarop looproutes zichtbaar waren. Een schat aan informatie voor een stad, zeker bij de acquisitie van nieuwe bedrijven. De Enschedese 'hacker' Dave Borghuis trok aan de bel. Na een waarschuwing over het verzamelen van herleidbare persoonsgegevens, paste Enschede de werkwijze aan. De MAC-adressen werden op een centrale server 'gepseudonimiseerd', ofwel omgezet in een andere combinatie van twaalf cijfers en letters. De laatste drie tekens van deze code werden afgeknipt. Zo zijn uiteindelijk een miljoen bezoekers van de binnenstad door de sensoren waargenomen. De tellingen werden overigens verricht door een bedrijf.

Maar volgens de Autoriteit Persoonsgegevens maakte de gemeente zich ook na het aanpassen van de werkwijze schuldig aan het verwerken van persoonsgegevens zonder grondslag. Bij het aanpassen van de MAC-adressen is telkens gebruik gemaakt van dezelfde versleutelcode, waardoor het in feite nog een unieke reeks van cijfers en letters is. En ondanks dat de laatste drie tekens zijn afgeknipt, toonde de AP in een rapport aan dat er in bepaalde gevallen een patroon te herkennen is. Zo werd een nachtelijke wandelaar in de binnenstad eruit gepikt. De Autoriteit Persoongegevens legde de gemeente daarom een boete op van 600.000 euro, maar de gemeente Enschede ging uiteindelijk bij de rechtbank in beroep. 

'Niet voldoende onderzocht'

Waar niet aan wordt getwijfeld is dat een MAC-adres - ook na het gebruik van een standaard versleutelcode - een persoonsgegeven is. De vraag is echter of de wijze waarop de persoonsgegevens door de gemeente Enschede zijn verzameld en gebruikt, het redelijkerwijs mogelijk maakt om personen te herleiden. En volgens de rechtbank heeft de Autoriteit Persoonsgegevens zich er te makkelijk vanaf gemaakt. In het onderzoek dat als onderbouwing voor de boete van 600.000 euro dient zijn weliswaar drie personen - waaronder de nachtelijke wandelaar - eruit gepikt. Maar dit is puur gedaan vanachter een bureau, op basis van een lijst met data, tijdstippen en locaties van de MAC-adressen.

Volgens de Raad van State heeft de AP haar besluit dus gebaseerd op de theoretische mogelijkheid dat gebruikers van een mobiel apparaat te identificeren (en dus te volgen) zijn, in plaats van het blote oog. En daarvan is de rechter niet overtuigd geraakt. 'De AP had (...) moeten onderzoeken of het redelijkerwijs te verwachten is dat de genoemde middelen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren, waarbij de kosten en de benodigde tijd voor identificatie met in achtneming van de beschikbare technologie op het tijdstip van verwerken en de technologische ontwikkelingen betrokken hadden moeten worden', aldus de Raad van State. De boete is daarmee definitief van tafel.