Dat heeft de rechtbank Overijssel gevonnist. De AP heeft eiser op onjuiste gronden een bestuurlijke boete opgelegd zodat het beroep van de gemeente Enschede 6 april 2022 vernietigd wordt en het oorspronkelijke boetebesluit van maart 2021. De AP moet 3.000 euro proceskosten van de gemeente vergoeden. De zaak heeft de gemeente tonnen gekost.

Enschede had tussen 2018 en 2020, net als veel gemeenten, de drukte in de binnenstad gemeten met het traceren van wifi-signalen van de mobiele telefoons van passanten. Dit is uitbesteed aan PFM Footfall Intelligence. (In het vonnis is dit bedrijf geanonimiseerd wat absurd is, want bedrijven hebben geen recht op priivacy – en zeker dit bedrijf niet red.)

 Tot de klanten van PFM behoren winkelcentra, winkels en gemeenten. Met name genoemd worden het Stedelijk Museum , hans Anders, De Bijenkorf, Libris en Vodafone. Namen van gemeenten ontbreken. PFM reageerde notabene verheugd op het vonnis dat immers ook voor andere toepassingen kan gelden.

Drie burgers dienden klachten in bij de AP. Volgens de AP werden hiermee inderdaad illegaal persoonsgegevens van die passanten vastgelegd, wat immers zonder goede grondslag verboden is volgens de AVG. Om tot dit oordeel te komen onderzocht de AP de gang van zaken bij het bedrijf en deden in mei 2019 plaatselijk onderzoek bij een aantal winkeliers in de binnenstad van Enschede waar een sensor hing.

Bij de passantentelling in de binnenstad van Enschede in de periode van 25 mei 2018 tot en met 30 april 2020 met tien sensoren het MAC-adres is opgevangen van eigenaren/gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld. De MAC-adressen werden tijdelijk op het werkgeheugen van de sensor opgeslagen en vervolgens gehasht (gepseudonimiseerd), waarna het gehashte MAC-adres direct naar de server van PFM werd doorgestuurd. Op de server werden van het gehashte MAC-adres (sedert 1 januari 2019) de laatste drie karakters afgeknipt.

Arrogantie van AP

Volgens de AP is de identiteit van de natuurlijke persoon weliswaar niet uit het (gepseudonimiseerde) MAC-adres en de locatiegegevens van de sensoren te halen, maar zijn burgers wel te identificeren, uit de gegevenstabellen maar ook: “Tegelijk met een nieuwe detectie van een mobiel apparaat door een sensor is het voor iemand van PFM mogelijk om ter plaatse waar te nemen welke persoon binnen het bereik van de sensor loopt. Vooral op stille momenten in de binnenstad leidt dit direct tot identificatie van natuurlijke personen. Ter controle kan de persoon worden gevraagd naar zijn/haar MAC-adres.”.

De rechtbank gispt de AP vanwege de arrogante houding met haar ongegronde veronderstellingen: “De rechtbank merkt op dat de AP bij de weerlegging van de bezwaren van eiser bij herhaling uitgaat van de onaannemelijkheid van omstandigheden en gelijkwaardige bewoordingen in plaats van zich te baseren op onderzoek naar feiten.”

Met opmerkingen als:

“De AP acht het niet aannemelijk dat de sensoren daadwerkelijk 70 meter rondom de sensor signalen opvangen.”

 “Dat dit bevragen er nooit, in geen enkel geval, toe zou leiden dat iemand zijn MAC-adres afgeeft, acht de AP niet aannemelijk. Het is in elk geval niet uitgesloten …”

“De AP heeft weliswaar niet vastgesteld dat inloggen op afstand mogelijk is (…) Hoewel de AP niet heeft onderzocht en vastgesteld (…)”

“(…) waardoor niet aannemelijk is dat het voor PFM onmogelijk zou zijn om toegang te krijgen tot de informatie die is opgeslagen in het cachegeheugen.”

“De AP vindt het aannemelijk dat bij PFM de kennis en de programmeervaardigheden aanwezig zijn om uit de langetermijntabel ook leefpatronen te kunnen destilleren.”

De rechtbank vindt dat de AP niet moet uitgaan van verdachtmakingen, veronderstellingen en te veel muggenzift, en “onvoldoende heeft onderzocht of de door haar genoemde manieren het inderdaad, in de gegeven situatie, mogelijk maken om de identiteit van een gebruiker van een mobiel apparaat met het blote oog te achterhalen.”

AP zeker van winst

Tegenover RTV Oost vertelde wethouder Jurgen van Houdt bij het aanspannen van de zaak al: “Enschede heeft met de passantentellingen nooit bezoekers in onze binnenstad geïdentificeerd of gevolgd. Dat wilden wij niet en dat konden wij ook niet. Het feit dat de AP die suggestie wel heeft gewekt in haar boetebesluit en in haar media-uitingen, vindt het college van Enschede zeer kwalijk.

Daarnaast blijft het gemeentebestuur van Enschede van mening dat het besluit van de AP niet voldoet aan meerdere beginselen van behoorlijk bestuur, zoals evenredigheid, zorgvuldigheid en gelijkheid.”

De Autoriteit Persoonsgegevens zei tegenover RTV Oost dat ze de zaak ging winnen. De woordvoerder zegt ervan overtuigd te zijn dat de rechter het met de toezichthouder eens is dat de gemeente “een ernstige overtreding van de AVG” heeft begaan.

*) Foto van Bernard Hermant via Unsplash