Enschede moet 600.000 euro betalen omdat het mensen op individuele basis volgde. Dat is een inbreuk op de Europese privacywetgeving.
Enschede zet sinds mei 2018 wifi-sensoren in om informatie te verzamelen over bezoekers en bewoners in de stad en hun bewegingen. De trackers houden de MAC-adressen bij (unieke identificatienummers van internettoestellen zoals smartphones en laptops), hoe lang ze op bepaalde plaatsen verblijven en de signaalsterkte.
Omdat dat over een langere periode wordt bijgehouden valt dat volgens de Nederlandse Autoriteit Persoonsgegevens onder ‘volgen’ en niet langer het louter tellen van mensen. Het was van de gemeente niet de bedoeling om individuen te volgen, maar dat de wifi-tracking het mogelijk maakt is op zich al een overtreding zegt de privacyautoriteit.
Filters en pseudonimisering onvoldoende
De AP deed verder onderzoek en is van oordeel dat de privacy van burgers onvoldoende gewaarborgd was en dat beloofde filters om de privacy te bewaren ontoereikend waren. Een filter voor mensen die expliciet zeggen niet te willen deelnemen en voor bewoners moest er voor zorgen dat hun gegevens niet op lange termijn werden bewaard. Dat systeem was niet waterdicht.
Ook werden de MAC-adressen gepseudonimiseerd, maar in praktijk ging het om hetzelfde pseudoniem doorheen de verschillende wifi-trackers waardoor deze alsnog als één patroon werden bewaard en dat gedurende zes tot zeven maanden.
In totaal is er op een kleine twee jaar tijd data van 1,8 miljoen unieke apparaten verwerkt door de gemeente.
‘Het is niet de bedoeling dat iemand kan volgen welke winkel, arts, kerk of moskee we bezoeken. Dat is privé en dat moet privé blijven. Zodat mensen zichzelf kunnen zijn, zonder zich geremd te voelen door mogelijke registratie.’ Aldus AP-vicevorzitter Monique Verdier in een verklaring. Het volledige besluit is hier na te lezen.
In beroep
De data was toegankelijk voor de gemeente en twee betrokken bedrijven. Sinds 1 mei 2020 is Enschede gestopt met de praktijk, nadat de AP een interventie deed. De gemeente heeft wel bezwaar aangetekend tegen de boete.
Belgisch systeem privacyvriendelijker
De opzet van Enschede doet denken aan wat steden als Kortrijk momenteel doet. Daar levert Proximus de gemeente inzichten over waar bezoekers zich doorheen de stad bewegen op basis van gsm-data.
Dat project was controversieel omdat er op het moment van de aankondiging geen enkele mogelijkheid was om je als burger en Proximusklant uit te schrijven. Pas een kleine maand later bleek dat toch mogelijk door een email te sturen naar Proximus zelf.
Maar dat systeem is wel iets privacyvriendelijker. Zo ontvangt de Kortrijk geen gegevens over individuele geanonimiseerde gegevens, maar wel algemene trends, zoals hoeveel bezoekers uit welke provincie komen. Ook werd het project nadien nader bekeken door de Gegevensbeschermingsautoriteit.
Fout opgemerkt of meer nieuws? Meld het hier