Even boodschappen doen of met de trein op pad. Je hebt het niet door, maar je wordt gevolgd.. Iedere stap die je zet wordt bijgehouden en verwerkt. Zonder dat je het merkt is je mobiele telefoon een belangrijke informatiebron. Door de huidige technologie is het mogelijk loopstromen in winkels in kaart te brengen en te bepalen hoeveel mensen zich op een bepaald moment op een bepaalde plek bevinden. Gemeenten gebruiken tracking als veiligheidsmaatregel bij grote evenementen, om bezoekersstromen te meten en sneller in te kunnen spelen op mogelijke problemen.1 Hiernaast wordt het gebruikt door winkels om bij te houden hoe lang mensen in de winkel blijven, hoe vaak ze terugkomen en naar welke artikelen ze kijken. Ook kan de drukte in de winkel gemeten worden zodat kan worden nagegaan hoeveel personeel en kassa’s moeten worden ingezet. Deze informatie is privacygevoelig: locatiegegevens in combinatie met een uniek identificatiegegevens kunnen iets zeggen over de gewoonten en gedragspatronen van een persoon.

De vraag die in dit stuk centraal staat is of het nut van dit trackingsysteem in verhouding staat tot de inbreuk die hiermee wordt gemaakt op de privacy. Om hier antwoord op te kunnen geven wordt eerst inzichtelijk gemaakt hoe wifi-tracking werkt. Vervolgens wordt aangegeven wie de verwerkingsverantwoordelijke en verwerker zijn. Ook worden de mogelijke verwerkingsgrondslagen genoemd en relevante wet- en regelgeving uit de AVG uiteengezet. Tot slot zal ik mijn antwoord geven op voornoemde vraag.

De werking van wifi-tracking

Indien de wifi-functionaliteit van een smartphone is ingeschakeld, stuurt een smartphone een signaal uit dat een uniek identificatienummer bevat.2 Dit wordt ook wel het MAC-adres genoemd. De Autoriteit Persoonsgegevens beschouwt de MAC-adressen dan als indirect identificeerbare persoonsgegevens.3 In combinatie met andere gegevens, zoals camerabeelden of gebruik van toegangspoortjes kan je identiteit worden onthuld.  Wifi-tracking is relatief “makkelijk”, omdat de telefoon niet verbonden hoeft te zijn met een wifi-netwerk.4 Mobiele apparaten zenden continu een signaal uit om een verbinding te kunnen maken met een wifi-hotspot. Door het opvangen van dit signaal kan in kaart worden gebracht waar een telefoon, en dus een persoon, zich bevindt. Door het MAC-adres van de telefoon is de desbetreffende telefoon goed te onderscheiden van andere apparaten. Op basis van gegevens als de locatie van de telefoon, de datum en het tijdstip van de meting kan een data-analist informatie leveren over de verschillende apparaten. Op deze manier genereren bedrijven bedrijfseconomische gegevens rondom het winkelgedrag en de loopstromen binnen bepaalde gebieden.

De verwerkingsverantwoordelijke en verwerker

De verwerkingsverantwoordelijke is degene die vaststelt voor welke doeleinden de gegevens worden verwerkt en met welke middelen.5 De verwerker is degene die persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke.6 Hierbij is van belang dat de verwerkingsverantwoordelijke een verwerkersovereenkomst sluit met de verwerker. Hierdoor kan worden vastgesteld dat de reeds verwerkte persoonsgegevens niet voor andere doeleinden worden (her)gebruikt. Het is mogelijk dat de verwerkingsverantwoordelijke tevens verantwoordelijk is voor het waarborgen van de persoonlijke levenssfeer van betrokkenen. Dit is het geval wanneer het trackingbedrijf de gegevens ook voor eigen doeleinden verwerkt. Hierbij kan worden gedacht als het genereren van statistieken.

De AVG en verwerkingsgrondslagen

De autoriteit persoonsgegevens stelt dat slechts onder strikte voorwaarden wifi-tracking is toegestaan.7 Wifi-tracking betreft vrijwel altijd een verwerking van persoonsgegevens, waardoor de volgmethode onder de privacyregels valt. De verantwoordelijke moet op grond van de AVG een grondslag hebben om persoonsgegevens te verwerken. In artikel 6 lid 1 van de AVG worden zes mogelijke grondslagen opgesomd wanneer de verwerking van persoonsgegevens is toegestaan.8 Niet elke grondslag kan van toepassing zijn op het verwerken van MAC-adressen en locatiegegevens bij wifi-tracking. Hiervan zijn vier grondslagen relevant in het geval van wifi-tracking.  

De eerste grondslag betreft het geval waarin de betrokken persoon toestemming geeft voor de verwerking voor specifieke doeleinden. In de praktijk is het lastig om vooraf aan een voorbijganger toestemming te vragen. Recent is bekend geworden dat Wifi-tracking bureau’s gebruik willen gaan maken van een landelijk opt-out register.9 Bureaus die passanten in winkelgebieden tellen komen voor de zomer met een gezamenlijk, landelijk register waarmee burgers zich voor die telling kunnen uitschrijven. Het wordt het “wifi-me-nietregister” genoemd. Indien men zich eenmalig inschrijft voor dat register worden burgers in het hele land niet meer gevolgd door wifi-trackingsystemen. Dit lijkt een stap in de goede richting, maar hierbij wordt voorbijgegaan aan het feit dat je volgens de AVG vooraf toestemming moet vragen.10 In de praktijk is hiervoor geen techniek om dit mogelijk te maken. Ten tweede is wifi-tracking mogelijk indien het noodzakelijk is voor de uitvoering van een overeenkomst met de betrokkene. Hier kan echter in het geval van wifi-tracking momenteel ook geen sprake van zijn. Er gelden namelijk geen overeenkomsten tussen wifi-tracking bureau’s en willekeurige voorbijgangers of het winkelend publiek. Ten derde indien de gegevensverwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag. Deze grondslag geldt alleen voor bestuursorganen wanneer dat echt noodzakelijk is om een publieke taak uit te voeren.11 Er moet sprake zijn van een concrete onderbouwing die de inbreuk op de  persoonlijke levenssfeer noodzakelijk maakt. Hierbij moet worden getoetst aan de beginselen van proportionaliteit en subsidiariteit. Tot slot ter behartiging van het gerechtvaardigde belang van de organisatie of van de derde partij aan wie zij de gegevens verstrekt. Deze grondslag is niet geschikt voor bestuursorganen, maar wel voor bedrijven. Ook in dit geval moet het bedrijf dit belang afwegen tegen het belang van de winkelbezoekers en voorbijgangers. Commerciële doeleinden vormen in ieder geval geen gerechtvaardigd belang.

De praktijk

De Autoriteit Persoonsgegeven heeft een publicatie uitgebracht waarin het standpunt over privacy flink wordt aangescherpt ten opzichte van eerder gepubliceerde standpunten.12 Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens stelt hierin “Het digitaal volgens van mensen op (semi) openbare plekken is een inbreuk op de privacy die slechts bij uitzondering gebruikt mag worden. Er zijn vrijwel geen redenen die het volgen van winkelend publiek of reizigers rechtmatig maakt. Bovendien zijn er minder ingrijpende methoden om hetzelfde doel te bereiken zonder schending van de privacy.”13 Naar aanleiding van deze uitspraak van de privacytoezichthouder hebben inmiddels bedrijven in verschillende grote steden besloten om te stoppen met wifi-tracking.14 Het bedrijf Locatus is een belangrijke wifi-tracker in Nederland en meet in tal van Nederlandse binnensteden de bezoekersstromen via wifi-sensoren.15 In Enschede, Deventer, Zutphen, Apeldoorn, Arnhem, Groningen, Leeuwarden en Den Haag is het bedrijf per direct gestopt met wifi-tracking. Ook Citytraffic, een concurrent van Locatus, stopte in Enschede al met de metingen.   

Conclusie

De wijze van gegevensverwerking via wifi-tracking staat naar mijn mening niet in verhouding tot de belangen die hiermee worden geschaad. Er worden veel gevoelige gegevens verwerkt via wifi-tracking die mogelijk op een andere manier kunnen worden verzameld, waarbij de privacy van de betrokken mensen minder wordt geschaad. De hiervoor genoemde grondslagen voor wifi-tracking blijken in de praktijk slechts in enkele gevallen daadwerkelijk haalbaar te zijn. Inmiddels zijn er al een aantal bedrijven die in verschillende grote steden gestopt zijn met de wifi-tracking. Het is belangrijk dat dit op grotere schaal gebeurd. In de tussentijd kan mogelijk een systeem worden ontwikkeld waardoor de belangen van burgers beter worden beschermd. Het wifi-me-nietregister is naar mijn mening geen passende oplossing aangezien op deze manier nog steeds niet de toestemming van burgers vooraf nodig is.

Namens de redactiecommissie,

Lisa Céline Helfrich

  1. Nuttig instrument of inbreuk op de privacy?‘online via: www.closecontact.nl (laatst geraadpleegd: 12 april 2019)
  2. Autoriteit Persoonsgegevens: mensen volgen met wifi-tracking mag bijna nooit’, 4 december 2018, online via www.ploum.nl (laatst geraadpleegd op: 12 april 2019)
  3. Vraag bij het nieuws: wat is wifitracking?‘, 15 december 2018, online via www.destentor.nl (laatst geraadpleegd op: 13 april 2019)
  4. ‘Wat zegt de AVG over wifi-tracking?’, 31 januari 2019, online via www.privacycompany.eu (laatst geraadpleegd op: 13 april 2019)
  5. Verwerkingsverantwoordelijke of verwerker: wat is je rol onder de AVG?’, 1 februari 2019, online via www.solv.nl (laatst geraadpleegd op: 12 april 2019)
  6. Wat zegt de AVG over wifi-tracking?’, 31 januari 2019, online via www.privacycompany.eu (laatst geraadpleegd op: 13 april 2019)
  7. Bedrijven mogen mensen alleen bij hoge uitzondering met wifitracking volgen‘, 30 november 2018, online via: www.autoriteitenpersoonsgegevens.nl (laatst geraadpleegd op: 12 april 2019)
  8. Rechtmatigheid van de verwerking’, online via: www.privacy-regulation.eu (laatst geraadpleegd op 13 april 2019)
  9. Wifitrackingbureaus komen met landelijk volg-me-nietregister’, 2 maart 2019, online via: www.nu.nl (laatst geraadpleegd op 12 april 2019)
  10. Landelijk Wifi opt-out register’, 2 maart 2019, online via: www.daveborghuis.nl (laatst geraadpleegd op: 12 april 2019)
  11. Wat zegt de AVG over wifi-tracking?’, 31 januari 2019, online via www.privacycompany.eu (laatst geraadpleegd op: 13 april 2019)
  12. Is passanten tellen via wifi-sensoren nog mogelijk?’, online via: www,locatus.com (laatst geraadpleegd op: 12 april 2019)
  13. Locatus stopt wifi-tracking in Nederlandse gemeenten‘ 13 december 2018, online via: www.security.nl (laatst geraadpleegd op: 12 april 2019)
  14. Grote steden stoppen met wifi-tracking’, 13 december 2019, online via: www.winmagpro.nl (laatst geraadpleegd op: 12 april 2019)
  15. Bedrijven stoppen met tellen bezoekers in Nederlandse steden via wifitracking’, 13 december 2018, online via: www.tweakers.net (laatst geraadpleegd op: 13 april 2019)