Twijfelachtige primeur Enschede: eerste Nederlandse ‘overheidsboete’ onder de AVG

De gemeente Enschede maakt in strijd met de AVG gebruik van wifitracking in de binnenstad. De Autoriteit Persoonsgegevens heeft daarom een boete opgelegd van 600.000 euro. Het is voor het eerst dat de AP een overheidsinstantie beboet.

De Autoriteit Persoonsgegevens  heeft aan de gemeente Enschede een boete opgelegd van 600.000 euro wegens het onrechtmatig verzamelen van persoonsgegevens via wifitracking. Het is voor het eerst dat de AP een overheidsinstantie beboet.

In juli 2018 ontvangt de Autoriteit Persoonsgegevens (AP) een klacht van een Enschedese hacker. De gemeente Enschede zou in strijd met de Algemene verordening gegevensbescherming (AVG) gebruikmaken van wifitracking in de binnenstad. Vanaf september 2017 worden via elf sensoren wifisignalen opgevangen van passanten, onder meer om de drukte in de binnenstad te meten. Het gaat hierbij om gepseudonimiseerde ‘afgeknipte’ MAC-adressen (een MAC-adres is een unieke identificator voor een apparaat) en informatie over het tijdstip dat het apparaat een bepaalde sensor passeert. Deze gegevens worden maandenlang bewaard.

De AP start een onderzoek en geeft in het boetebesluit een lesje privacyrecht: er is sprake van het verwerken van locatiegegevens. Het pseudonimiseren en afknippen van de MAC-adressen doet daar niets aan af: uit de verzamelde gegevens (tussen 25 mei 2018 en 30 april 2020 van grofweg 1,8 miljoen unieke apparaten) zijn leefpatronen af te leiden. Wie ’s ochtends rond half negen langs een bepaalde sensor komt en daar ’s avonds tegen vijven weer langskomt, werkt vermoedelijk vlakbij die sensor. Je kunt dan volgens de AP ter plaatse kijken om wie het gaat en die persoon naar zijn of haar MAC-adres vragen (mijns inziens niet een heel realistisch scenario…) of via cameratoezicht identificeren (vraag is wel: zijn die camera’s er dan?). De gemeente kan haar verantwoordelijkheid niet afwentelen op het door haar voor de wifitracking ingeschakelde bedrijf: de gemeente heeft besloten om tracking te gaan inzetten en heeft met deze partij een bewerkersovereenkomst gesloten.

Vervolgens oordeelt de AP dat de grondslag voor de verwerking van de persoonsgegevens ex art. 6 AVG ontbreekt: er bestaat geen specifieke wettelijke verplichting om wifitracking uit te voeren (art. 6 lid 1 onder c AVG) en hoewel de wifitracking wordt ingezet ter invulling van de publieke taken van de gemeente (art. 6 lid 1 onder e AVG) ontbreekt een specifieke rechtsgrond. Art. 160 van de Gemeentewet is te ruim geformuleerd en in de APV zijn ook geen concretere bepalingen opgenomen. De AP wijst er ook nog op dat indien deze specifieke rechtsgrond er wel zou zijn, er nog steeds een probleem is met het voldoen aan het noodzakelijkheidsvereiste: het tellen van passanten kan op een veel minder inbreukmakende manier, bijvoorbeeld via de inzet van automatische tellers op basis van infraroodstraling.

Een beroep op het gerechtvaardigd belang (art. 6 lid 1 onder f AVG) snijdt ook geen hout: overheidsinstanties kunnen geen beroep doen op deze grondslag in het kader van de uitoefening van hun overheidstaken.

Art. 18 van de Uitvoeringswet AVG  bepaalt dat overheidsinstanties en overheidsorganen beboet kunnen worden en in deze zaak maakt de AP voor het eerst van deze mogelijkheid gebruik. Conform de boetebeleidsregels van de AP is de basisboete voor de onrechtmatige verwerking van persoonsgegevens (art. 5 jo. art. 6 AVG) 525.000 euro. Gelet op de ernst van de overtreding wordt de boete met 75.000 euro verhoogd tot 600.000 euro. De gemeente Enschede is verbolgen: de AP heeft zelf immers erkend dat het niet de intentie was van de gemeente om burgers te volgen en dat er geen aanwijzingen zijn gevonden dat dit niettemin is gebeurd. De gemeente gaat dan ook in bezwaar tegen de boete en ik blijf deze zaak uiteraard met belangstelling voor u volgen.

 

Delen:

Het belangrijkste nieuws wekelijks in uw inbox?

Abonneer u op de Mr. nieuwsbrief: elke dinsdag rond de lunch een update van het nieuws van de afgelopen week, de laatste loopbaanwijzigingen en de recentste vacatures. Meld u direct aan en ontvang elke dinsdag de Mr. nieuwsbrief.

Meest gelezen berichten

Van onze kennispartners

Juridische vacatures

Scroll naar boven