Even boodschappen doen of met de trein op pad. Je hebt het niet door, maar je wordt gevolgd.. Iedere stap die je zet wordt bijgehouden en verwerkt. Zonder dat je het merkt is je mobiele telefoon een belangrijke informatiebron. Door de huidige technologie is het mogelijk loopstromen in winkels in kaart te brengen en te bepalen hoeveel mensen zich op een bepaald moment op een bepaalde plek bevinden. Gemeenten gebruiken tracking als veiligheidsmaatregel bij grote evenementen, om bezoekersstromen te meten en sneller in te kunnen spelen op mogelijke problemen.1 Hiernaast wordt het gebruikt door winkels om bij te houden hoe lang mensen in de winkel blijven, hoe vaak ze terugkomen en naar welke artikelen ze kijken. Ook kan de drukte in de winkel gemeten worden zodat kan worden nagegaan hoeveel personeel en kassa’s moeten worden ingezet. Deze informatie is privacygevoelig: locatiegegevens in combinatie met een uniek identificatiegegevens kunnen iets zeggen over de gewoonten en gedragspatronen van een persoon.

De vraag die in dit stuk centraal staat is of het nut van dit trackingsysteem in verhouding staat tot de inbreuk die hiermee wordt gemaakt op de privacy. Om hier antwoord op te kunnen geven wordt eerst inzichtelijk gemaakt hoe wifi-tracking werkt. Vervolgens wordt aangegeven wie de verwerkingsverantwoordelijke en verwerker zijn. Ook worden de mogelijke verwerkingsgrondslagen genoemd en relevante wet- en regelgeving uit de AVG uiteengezet. Tot slot zal ik mijn antwoord geven op voornoemde vraag.

De werking van wifi-tracking

Indien de wifi-functionaliteit van een smartphone is ingeschakeld, stuurt een smartphone een signaal uit dat een uniek identificatienummer bevat.2 Dit wordt ook wel het MAC-adres genoemd. De Autoriteit Persoonsgegevens beschouwt de MAC-adressen dan als indirect identificeerbare persoonsgegevens.3 In combinatie met andere gegevens, zoals camerabeelden of gebruik van toegangspoortjes kan je identiteit worden onthuld.  Wifi-tracking is relatief “makkelijk”, omdat de telefoon niet verbonden hoeft te zijn met een wifi-netwerk.4 Mobiele apparaten zenden continu een signaal uit om een verbinding te kunnen maken met een wifi-hotspot. Door het opvangen van dit signaal kan in kaart worden gebracht waar een telefoon, en dus een persoon, zich bevindt. Door het MAC-adres van de telefoon is de desbetreffende telefoon goed te onderscheiden van andere apparaten. Op basis van gegevens als de locatie van de telefoon, de datum en het tijdstip van de meting kan een data-analist informatie leveren over de verschillende apparaten. Op deze manier genereren bedrijven bedrijfseconomische gegevens rondom het winkelgedrag en de loopstromen binnen bepaalde gebieden.

De verwerkingsverantwoordelijke en verwerker

De verwerkingsverantwoordelijke is degene die vaststelt voor welke doeleinden de gegevens worden verwerkt en met welke middelen.5 De verwerker is degene die persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke.6 Hierbij is van belang dat de verwerkingsverantwoordelijke een verwerkersovereenkomst sluit met de verwerker. Hierdoor kan worden vastgesteld dat de reeds verwerkte persoonsgegevens niet voor andere doeleinden worden (her)gebruikt. Het is mogelijk dat de verwerkingsverantwoordelijke tevens verantwoordelijk is voor het waarborgen van de persoonlijke levenssfeer van betrokkenen. Dit is het geval wanneer het trackingbedrijf de gegevens ook voor eigen doeleinden verwerkt. Hierbij kan worden gedacht als het genereren van statistieken.

De AVG en verwerkingsgrondslagen

De autoriteit persoonsgegevens stelt dat slechts onder strikte voorwaarden wifi-tracking is toegestaan.7 Wifi-tracking betreft vrijwel altijd een verwerking van persoonsgegevens, waardoor de volgmethode onder de privacyregels valt. De verantwoordelijke moet op grond van de AVG een grondslag hebben om persoonsgegevens te verwerken. In artikel 6 lid 1 van de AVG worden zes mogelijke grondslagen opgesomd wanneer de verwerking van persoonsgegevens is toegestaan.8 Niet elke grondslag kan van toepassing zijn op het verwerken van MAC-adressen en locatiegegevens bij wifi-tracking. Hiervan zijn vier grondslagen relevant in het geval van wifi-tracking.  

De eerste grondslag betreft het geval waarin de betrokken persoon toestemming geeft voor de verwerking voor specifieke doeleinden. In de praktijk is het lastig om vooraf aan een voorbijganger toestemming te vragen. Recent is bekend geworden dat Wifi-tracking bureau’s gebruik willen gaan maken van een landelijk opt-out register.9 Bureaus die passanten in winkelgebieden tellen komen voor de zomer met een gezamenlijk, landelijk register waarmee burgers zich voor die telling kunnen uitschrijven. Het wordt het “wifi-me-nietregister” genoemd. Indien men zich eenmalig inschrijft voor dat register worden burgers in het hele land niet meer gevolgd door wifi-trackingsystemen. Dit lijkt een stap in de goede richting, maar hierbij wordt voorbijgegaan aan het feit dat je volgens de AVG vooraf toestemming moet vragen.10 In de praktijk is hiervoor geen techniek om dit mogelijk te maken. Ten tweede is wifi-tracking mogelijk indien het noodzakelijk is voor de uitvoering van een overeenkomst met de betrokkene. Hier kan echter in het geval van wifi-tracking momenteel ook geen sprake van zijn. Er gelden namelijk geen overeenkomsten tussen wifi-tracking bureau’s en willekeurige voorbijgangers of het winkelend publiek. Ten derde indien de gegevensverwerking noodzakelijk is voor de vervulling van een taak van algemeen be