Gemeente Enschede krijgt boete van EUR 600.000 opgelegd voor verwerking van persoonsgegevens via wifitracking. Met die verwerking overtrad de gemeente de Algemene Verordening Gegevensbescherming (“AVG” of “GDPR”). Dat blijkt uit een vandaag gepubliceerd boetebesluit van de Autoriteit Persoonsgegevens.

Om de drukte in de binnenstad te meten, liet de gemeente Enschede de wifisignalen van de mobiele telefoons van passanten registreren. Iedere telefoon kreeg daarbij een unieke code toegewezen. Op deze manier kon worden vastgesteld hoeveel mensen zich op een bepaald moment op een bepaalde plek bevonden.

Aan de hand van de gegevens die werden verwerkt, was het namelijk mogelijk om natuurlijke personen te identificeren.

De gemeente hield echter niet alleen bij hoeveel telefoons zich op een bepaald moment rond een meetkast bevonden. Over langere periode werd ook geregistreerd wélke telefoon langs welk meetkastje kwam. Daar zat ook direct de crux. Aan de hand van de gegevens die werden verwerkt, was het namelijk mogelijk om natuurlijke personen te identificeren. Dat dit niet de bedoeling was van de gemeente, en dat de gemeente dit naar eigen zeggen ook niet deed, was niet van belang. De verwerkte gegevens kwalificeerden als persoonsgegevens in de zin van de AVG. Daarom had de gemeente Enschede -als verwerkingsverantwoordelijke- een grondslag moeten hebben voor de verwerking daarvan. Volgens de AP had de gemeente die grondslag niet.

Dat dit niet de bedoeling was van de gemeente, en dat de gemeente dit naar eigen zeggen ook niet deed, was niet van belang.

De AP oordeelt dan ook dat de gemeente Enschede in strijd heeft gehandeld met artikel 5 lid 1 onder a jo. artikel 6 lid 1 AVG, door het onrechtmatig verwerken van persoonsgegevens van eigenaren/gebruikers van mobiele apparaten met ingeschakelde wifi in de binnenstad van Enschede. Daarvoor legt de AP een boete op van EUR 600.000: de basisboete van EUR 525.000 en een verhoging van EUR 75.000 vanwege de aard, ernst en duur van de inbreuk.

Lees hier het persbericht van de Autoriteit Persoonsgegevens en hier het volledige boetebesluit.