De Nederlandse gemeente Enschede hoeft de AVG-boete van 600.000 euro voor het tracken van burgers via wifi definitief niet te betalen. De rechtbank vernietigde de boete eerder al. Nu bevestigt de Raad van State dat oordeel. De AP was, zoals vaker, te streng en kon niet bewijzen dat macadressen volgen automatisch betekent dat mensen ook gevolgd worden.
Dit nieuws in het kort
- De gemeente Enschede kreeg in 2021 een AVG-boete voor het volgen van winkelstraatbezoekers met wifitracking.
- De gemeente stapte naar de rechter en kreeg in 2024 gelijk: de boete werd vernietigd.
- De Afdeling bestuursrechtspraak van de Raad van State bevestigt dat Enschede de boete niet hoeft te betalen.
- De Raad van State beoordeelt niet of wifitracking mag, maar beoordeelt alleen het verloop van de rechtszaak.
De Afdeling bestuursrechtspraak van de Raad van State schrijft dat in een uitspraak over het hoger beroep dat de Autoriteit Persoonsgegevens instelde. De uitspraak gaat over een zaak uit 2021. De gemeente Enschede kreeg toen een AVG-boete van 600.000 euro. De gemeente zette wifitracking in de winkelstraat om bezoekersstromen te meten. De AP vond het volgen van macadressen een privacyinbreuk.
Het was de eerste keer dat een Nederlandse overheidsinstelling een AVG-boete kreeg. Tweakers schreef eerder al eens een achtergrondartikel over wat er gebeurt als de AP een boete oplegt aan een overheidsinstelling.
In 2024 vernietigde de rechtbank in Zwolle de boete al. De rechter noemde de AP veel te streng in haar beoordeling. Ook kon de AP niet goed bewijzen dat de wifitracking daadwerkelijk bezoekers volgde.
Hoe zat het ook alweer?
De zaak draait om de manier waarop de gemeente Enschede via wifitellingen mensenstromen trackte. De gemeente verzamelde de data en knipte vervolgens een stuk van het macadres af. De overgebleven string werd nog eens gehasht zodat de oorspronkelijke reeks cijfers en letters niet te achterhalen was. Op die manier was het vrijwel niet mogelijk te achterhalen wat het oorspronkelijke macadres precies was. Bezoekers bleven daardoor anoniem, betoogde de gemeente.
De AP stelde dat daarmee alsnog individuele leefpatronen konden worden achterhaald. Zo gaf de AP invulling aan een discussie die rond de AVG al lang speelt: wanneer zijn locatiegegevens anoniem of pseudoniem, en wanneer zijn ze aan personen toe te schrijven? Enschede gebruikte verschillende anonimiseringsmethodes. De AP vindt al jaren dat locatiegegevens nooit kunnen worden geanonimiseerd. Door iemands woon- en werklocaties te volgen, kunnen ook anonieme gegevens worden gekoppeld aan specifieke personen, zegt de AP. Dat betekent volgens de toezichthouder dat Enschede wel degelijk individuen volgde.
:strip_exif()/i/2008182544.jpeg?f=imagenormal)
Te strenge aannames
Maar daarin doet de AP aannames, zegt de rechter. Die aannames zijn ook veel te streng. De AP ging namelijk uit van theoretische scenario's. De toezichthouder onderzocht niet of het mogelijk was iemand daadwerkelijk te volgen.
Daarop liep de zaak stuk bij de rechter. Als de AP vindt dat geanonimiseerde of gepseudonimiseerde macadressen kunnen worden teruggeleid tot individuen, dan moet zij dat ook maar bewijzen, zegt de rechter.
Alleen procedures
De Afdeling bestuursrechtspraak van de Raad van State doet daar geen uitspraak over. De hoogste Nederlandse bestuursrechter kijkt bij zulke zaken alleen of het juridische proces correct is verlopen. Dat is zo, zegt de Raad nu.
De AP nam bepaalde argumenten voor de boete niet op in haar oorspronkelijke boetebesluit, maar bracht die pas bij de rechter in. De rechter negeerde die inhoudelijke argumenten. In het bestuursrecht beoordeelt een rechter namelijk alleen of de informatie in het boetebesluit klopt. Informatie die tijdens de rechtszaak wordt ingebracht, is niet relevant voor de rechter. Daar is de Raad van State het nu mee eens.
/i/2004364124.png?f=imagenormal)
Enschede is blij
De gemeente Enschede is blij met de uitspraak. "Deze uitspraak bevestigt wat de rechtbank eerder al heeft geoordeeld. We hebben altijd zorgvuldig gehandeld. De tellingen waren bedoeld om meer inzicht te krijgen in bezoekersaantallen in onze binnenstad. Dat was ook het enige doel waarvoor deze gegevens werden gebruikt", zegt wethouder Barry Overink.
Het is niet de eerste keer dat een rechter de AP op de vingers tikt. In meerdere zaken hebben rechters en de Raad van State gezegd dat de AP vaak te streng straft. De AP moet boetes regelmatig verlagen en krijgt het verwijt de AVG te streng te interpreteren.