Enschede registreerde twee jaar lang ‘zomaar’ telefoons van passanten. Geen probleem, zegt de Raad van State

Enschede deed vanaf mei 2018 twee jaar lang een permanente telling van passanten in het centrum van de stad. Die was bedoeld om zicht te krijgen op het aantal bezoekers van de binnenstad en hun bewegingen. Met ‘in ieder geval tien sensoren’ onderschepte een ingehuurd bedrijf de zogenoemde MAC-adressen van telefoons waarop wifi stond ingeschakeld. Zo werden honderdduizenden unieke bezoekers geregistreerd. Met data-analyses kon Enschede zicht krijgen op de mensenstromen in de binnenstad.

Volgens de Autoriteit Persoonsgegevens verwerkte de Twentse stad daarmee ‘zonder grondslag persoonsgegevens’. De combinatie van het unieke MAC-adres, locatiegegevens en het tijdstip zegt op zichzelf nog niets over de identiteit van een persoon. Maar volgens de autoriteit maakt al die informatie samen het identificeren van een natuurlijke persoon wel mogelijk. Dat zou de methode onwettig maken en leidde in 2021 tot een boete van zes ton.

Geen bewijs

Nadat de gemeente tevergeefs bij de autoriteit bezwaar had aangetekend tegen dit besluit, stapte ze naar de rechter. Die stelde haar twee jaar geleden in het gelijk. De rechter zag geen bewijs dat het stadsbestuur met de gebruikte methode ‘daadwerkelijk persoonsgegevens heeft verwerkt’ van eigenaren van mobiele apparaten waarop de wifi stond ingeschakeld in de binnenstad van Enschede.

‘De enkele stelling dat het college (van de gemeente Enschede, red.) dit redelijkerwijs zou kunnen doen, overtuigt de rechtbank niet.’

Tijdens de zitting in hoger beroep betoogde de Autoriteit Persoonsgegevens dat de rechtbank er in haar vonnis aan voorbijging dat met de geplaatste sensoren werd ‘bepaald waar een en dezelfde natuurlijke persoon zich in de binnenstad begaf’ en ‘dat op die manier unieke bezoekers in de binnenstad werden geteld’. Daarmee is volgens de autoriteit al ‘sprake van verwerking van persoonsgegevens’.

Vernietiging boetebesluit blijft in stand

De Raad van State gaat hier niet in mee, omdat de autoriteit dit laatste standpunt – dat er al sprake was van verwerking van persoonsgegevens – pas in hoger beroep naar voren bracht. De Raad van State ziet niet in waarom de Autoriteit Persoonsgegevens niet al bij het uitdelen van de boete kon ‘bewijzen dat sprake is van (een onrechtmatige verwerking van) persoonsgegevens’. En dus blijft ‘de vernietiging van het boetebesluit in stand’.

Verantwoordelijk wethouder Barry Overink is tevreden met de uitkomst voor zijn stad. ‘We hebben altijd zorgvuldig gehandeld’, zegt hij. ‘De tellingen waren bedoeld om meer inzicht te krijgen in bezoekersaantallen in onze binnenstad. Dat was ook het enige doel waarvoor deze gegevens werden gebruikt.’