AVG-boete van AP wegens wifi-tracking door gemeente ongegrond?
De rechtbank Overijssel deed onlangs uitspraak in een privacy kwestie tussen de Autoriteit Persoonsgegevens en de gemeente Enschede. De gemeente zou door middel van wifi-tracking beginselen uit de Algemene Verordening Gegevensbescherming schenden, waarvoor de AP een boete heeft opgelegd. De gemeente Enschede was het niet eens met de opgelegde boete, en ging in beroep bij de rechtbank Overijssel. In dit artikel ga ik dieper in op de zaak en zal ik uiteindelijk behandelen wat de uitspraak van de rechtbank is.
De feiten
Sinds 2017 maakt de gemeente Enschede gebruik van sensoren in de binnenstad om het aantal passanten te tellen. Deze sensoren detecteerden de wifi-signalen van voorbijkomende smartphones.
De Autoriteit Persoonsgegevens (AP) startte een onderzoek na aanleiding van verschillende klachten die zij had ontvangen. De AP oordeelde in haar onderzoeksrapport dat de gemeente met deze ‘wifi-tracking’ inderdaad de Europese privacyregels schond.
De AP had naar aanleiding van het rapport het voornemen bekend gemaakt om een bestuurlijke boete en/of een last onder dwangsom op te leggen. De gemeente heeft tegen dit voornemen een zienswijze ingediend. Dit echter zonder succes. De AP legde een boete op aan de gemeente van €600.000,- voor overtreding van de Algemene Verordening Gegevensbescherming (AVG), omdat zij zonder grondslag persoonsgegevens heeft verwerkt van gebruikers van mobiele telefoons waarop de wifi stond ingeschakeld in de binnenstad van Enschede
Wanneer mag de AP een boete opleggen aan een overheidsorgaan?
Onder overweging 26 van de AVG is vastgesteld dat de principes van gegevensbescherming van toepassing zijn op alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Bij het bepalen of een natuurlijke persoon als identificeerbaar wordt beschouwd, wordt rekening gehouden met alle objectieve factoren. Dit omvat de kosten en de tijd die nodig zijn voor de identificatie, evenals de middelen die redelijkerwijs kunnen worden ingezet voor dit doel.
Op grond van artikel 18, eerste lid van de Uitvoeringswet AVG is de AP bevoegd een bestuurlijke boete op te leggen aan een overheidsinstantie of overheidsorgaan. Inbreuken op de basisbeginselen zoals de doelmatigheid, rechtmatigheid en transparantie, kunnen leiden tot geldboetes tot €20.000.000,-.
Het oordeel van de rechtbank
De rechtbank oordeelde dat er onvoldoende bewijs was dat de tracking techniek het daadwerkelijk mogelijk maakte om mensen te identificeren. De sensoren slaan namelijk tijdelijk de MAC-adressen op. Een MAC-adres is een uniek identificatienummer van de netwerkmodule in mobiele apparaten, waarmee je met het internet kunt verbinden.
Het MAC-adres op zichzelf is geen persoonsgegeven. Maar volgens de AP kan het MAC-adres in combinatie met de locatiegegevens wel kwalificeren als een persoonsgegeven.
Doordat de AP de discretionaire bevoegdheid heeft om al dan niet een boete op te leggen, rust volgens vaste rechtspraak een verzwaarde bewijslast op dat bestuursorgaan om, door middel van overtuigend bewijs, aan te tonen dat de regels zijn overtreden. Volgens de rechtbank heeft de AP niet bewezen dat de gemeente met haar gebruikte methode persoonsgegevens heeft verwerkt.
De rechtbank oordeelde dat de AP niet adequaat had onderzocht of het realistisch was om te verwachten dat medewerkers van door de gemeente ingehuurde bureaus of gemeentemedewerkers, die toegang hadden tot de gegevens, in staat waren om natuurlijke personen direct of indirect te identificeren met behulp van de beschikbare middelen.
Dit onderzoek had mede moeten kijken naar de kosten en de tijd die nodig zijn voor identificatie, rekening houdend met de op het moment van gegevensverwerking beschikbare technologie en de technologische ontwikkelingen.
Hierdoor kon het besluit tot een bestuurlijke boete niet in stand blijven en werd de boete geschrapt.
Conclusie
De Autoriteit Persoonsgegevens heeft als bestuursorgaan met een discretionaire bevoegdheid om boetes op te eggen een verzwaarde bewijslast om aan te tonen dat er sprake is van een schending van de AVG. De eisen aan deze bewijsvoering zijn hoog zodat de rechten van de betrokkenen worden beschermd en dat boetes niet lichtzinnig of zonder voldoende bewijs worden opgelegd, zeker nu deze boetes hoog kunnen oplopen.
Er kan pas sprake zijn van een overtreding van de AVG als voldoende aannemelijk is dat een persoon geïdentificeerd was of kon worden met behulp van de beschikbare middelen.
Heeft u vragen over de AVG, of heeft u een privacy kwestie? Neem dan contact op met een van onze specialisten.
