De Nederlandse Toezichthouder laat weten dat het volgen van mensen in openbare ruimten via wifitracking alleen bij hoge uitzondering is toegestaan. De privacytoezichthouder meldt dat het vrijwel altijd leidt tot het verwerken van persoonsgegevens.
De Autoriteit Persoonsgegevens zegt dat de volgmethode van wifitracking door de verwerking van persoonsgegevens vrijwel altijd onder de privacyregels van de algemene verordening gegevensbescherming valt. En dan moet er een goede grondslag voor zijn. Volgens de toezichthouder waren er vragen over de uitleg van de normen, waarna de AP hier op de eigen website nader op in is gegaan.
Er zijn wel situaties waarin wifitracking is toegestaan, maar dan gelden er strikte voorwaarden. Er zijn drie wettelijke gronden op basis waarvan wifitracking mag: toestemming, een gerechtvaardigd belang of het uitvoeren van een overeenkomst. Het verkrijgen van toestemming is veelal niet aan de orde bij nietsvermoedende smartphonegebruikers in bijvoorbeeld winkelcentra. En bij het uitvoeren van een overeenkomst als grond gelden strikte voorwaarden voor bedrijven.
Bij de grond van een gerechtvaardigd belang ligt het volgens AP-voorzitter Aleid Wolfsen ook lastig: "Er zijn vrijwel geen redenen die het volgen van winkelend publiek of reizigers rechtmatig maken. Bovendien zijn er minder ingrijpende methoden om hetzelfde doel te bereiken, zonder schending van de privacy."
Het handhaven van de veiligheid zou een gerechtvaardigd belang kunnen zijn, al is dan meteen de vraag of er geen alternatieven voorhanden zijn die minder ingrijpen op de persoonlijke levenssfeer van de telefoongebruikers. Ook bij het pseudonimiseren van de persoonsgegevens is de algemene verordening gegevensbescherming van toepassing.
De privacywaakhond heeft organisaties al vaker op de strenge wettelijke eisen voor de toepassing van wifi-tracking gewezen. Zo wees de toezichthouder in 2016 gemeenten en bedrijven al op de toenmalige geldende regels omtrent wifi-tracking, die deels overeenkomen met de huidige regelgeving van de algemene verordening gegevensbescherming.