Wat zegt de AVG over wifi-tracking?

De Autoriteit Persoonsgegevens heeft in december 2018 verduidelijkt dat het tellen van het aantal bezoekers in (semi) openbare ruimtes met behulp van trackingtechnologieën slechts onder zeer strikte voorwaarden is toegestaan. Naar aanleiding van dit bericht hebben een aantal gemeenten wifi-tracking in de binnenstad tijdelijk op stop gezet. Een trackingsbedrijf heeft ook bekend gemaakt te stoppen met het bieden van wifi-tracking als dienstverlening. Begin januari heeft een gemeente het volgen van bezoekers via wifi-tracking weer opgepakt.

In deze blog wordt uitgelegd waarom de Algemene verordening gegevensbescherming (AVG) van toepassing is op wifi-tracking, hoe het zit met de rollen Verantwoordelijke en Verwerker en op welke grondslagen organisaties een beroep kunnen doen als zij wifi-tracking willen inzetten.

Wat is wifi-tracking en welke persoonsgegevens worden verwerkt bij wifi-trackingtechnologie?

Wifi-tracking houdt in dat met behulp van het signaal van mobiele apparaten mensen gevolgd kunnen worden. Wifi-tracking is ‘’makkelijk’’ omdat de telefoon niet verbonden hoeft te zijn met een wifi-netwerk om getrackt te worden door een sensor. Mobiele apparaten zenden continu wifi-signalen uit om een verbinding te kunnen maken met een wifi-hotspot. De sensor vangt de wifi-signalen op van de telefoon. Deze signalen bevatten het MAC-adres van de telefoon. Hierdoor is de telefoon onderscheidbaar van andere apparaten. De sensor verwerkt het MAC-adres in combinatie met andere gegevens, namelijk de signaalsterkte van het geregistreerde wifisignaal van het apparaat, de locatie van de telefoon, de datum en het tijdstip van de meting. Op basis van deze gegevens kan een data-analist informatie leveren over het aantal apparaten binnen het bereik van de sensor en het bewegingsgedrag van mensen. Bedrijven genereren op deze manier bedrijfseconomische gegevens rondom winkelgedrag en loopstromen binnen bepaalde gebieden.

Een MAC-adres is een persoonsgegeven op het moment dat dit wordt gecombineerd met andere (persoons) gegevens die te herleiden zijn naar een persoon. Die herleiding is mogelijk via de geobserveerde locatiegegevens van de mobiele telefoon. De gezamenlijke Europese privacy-toezichthouders (voorheen Artikel 29 -werkgroep) hebben dit standpunt nader uitgewerkt in Advies 13/2011 over geolocatiedienst en op slimme mobiele apparaten.

Wie is verantwoordelijke, wie is verwerker in het geval van wifi-tracking?

De verwerkingsverantwoordelijke is diegene die vaststelt voor welk doeleinden de gegevens worden verwerkt en met welke middelen. De verwerker is degene die persoonsgegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke. In de context van wifi-tracking kan dit per case verschillen. Overheidspartijen en bedrijven nemen diverse rollen aan. Er zijn meerdere constructies mogelijk. De Verwerkingsverantwoordelijke moet een verwerkersovereenkomst sluiten met de Verwerker om te zorgen dat de verwerkte persoonsgegevens niet voor andere doelen worden (hergebruikt). Bijvoorbeeld een gemeente huurt een trackingbedrijf in voor het volgen van de mensenmassa bij een evenement. Volgens de verwerkersovereenkomst mag het bedrijf deze gegevens alleen verzamelen voor dit doeleinde en niet voor eigen doeleinden (her)gebruiken. In dit geval is de gemeente de Verwerkingsverantwoordelijke en het trackingbedrijf de Verwerker. Het kan ook andersom. Als het trackingbedrijf de gegevens ook voor eigen doeleinden verwerkt, zoals het genereren van statistieken of het ontwikkelen van andere diensten, dan kunnen het bedrijf en de opdrachtgevers (zoals de gemeente) gezamenlijk Verwerkingsverantwoordelijke zijn. Dan zijn ze samen verantwoordelijk voor het waarborgen van de persoonlijke levenssfeer van betrokkenen, zoals winkelbezoekers en voorbijgangers.

Grondslag voor het verwerken van MAC-adressen en locatiegegevens

De verantwoordelijke moet op grond van de AVG een grondslag hebben om persoonsgegevens te verwerken. Dit geldt dus ook wanneer een organisatie persoonsgegevens verwerkt met wifi-tracking. De AVG somt in artikel 6, lid 1, zes mogelijke grondslagen op voor de verwerking van persoonsgegevens:

1. De betrokken persoon geeft toestemming voor de verwerking voor specifieke doeleinden.
2. De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst met de betrokkene.
3. De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting die op de verantwoordelijke rust.
4. De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokkene, alleen voor levensbedreigende situaties.
5. De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.
6. De gegevensverwerking is noodzakelijk voor de behartiging van het gerechtvaardigde belang van de organisatie of van de derde partij aan wie zij de gegevens verstrekt.

Niet elke grondslag kan van toepassing zijn op het verwerken van MAC-adressen en locatiegegevens bij wifi-tracking. De grondslagen onder c en d kunnen niet van toepassing zijn, omdat er geen wettelijke verplichting is om mensen via wifi-tracking te volgen, en omdat er met wifi-tracking geen levens gered kunnen worden in acute noodsituaties. Hieronder worden de relevante grondslagen nader toegelicht.

Als de verantwoordelijke zich wil baseren op de grondslag van toestemming (Artikel 6(1) onder a van de AVG), moet de betrokkene van tevoren zijn toestemming kunnen geven aan de partij die hem wil tracken met behulp van wifi-signalen. Die toestemming is alleen geldig als een betrokkene uit vrije wil geeft en als zijn toestemming berust op specifieke informatie, zonder enig dubbelzinnigheid. Het is vrij lastig om vooraf aan een voorbijganger toestemming te vragen. De sensor maakt immers geen onderscheid tussen de telefooneigenaar die wel of niet akkoord is gegaan om gevolgd te worden met behulp van wifi-tracking. Om rechtsgeldige toestemming te krijgen, moet het trackingbedrijf of de opdrachtgever de betrokkenen goed informeren over de verwerking van de MAC-adressen en andere gegevens van de telefoon. Maar alleen het ophangen van informatieborden is niet genoeg. Kortom, de grondslag ‘’toestemming vragen aan de betrokkene’’ biedt meestal geen goede grondslag voor wifi-tracking, omdat in het praktijk lastig is om vooraf toestemming te vragen aan willekeurige voorbijgangers of winkelend publiek.

De grondslag van het verwerken op basis van een overeenkomst (Artikel 6(1), onder b van de AVG) is ook niet van toepassing in deze context, omdat winkeliers en gemeenten geen overeenkomsten hebben met willekeurige voorbijgangers of het winkelend publiek.

Alleen bestuursorganen kunnen een verwerking van een persoonsgegeven baseren op de grondslag van de noodzaak voor het vervullen van een taak van algemeen belang of bij het uitoefenen van een openbaar gezag (artikel 6(1) onder e van de AVG). Bestuursorganen kunnen wifi-tracking inzetten wanneer dat echt noodzakelijk is om een publieke taak uit te voeren. Het is dus niet genoeg dat de verwerking “handig” is voor de uitvoering van een publieke taak, zoals het handhaven van de openbare orde of het kunnen nemen van datagestuurde beslissingen over de inrichting van bijvoorbeeld winkelgebieden. Het bestuursorgaan moet kunnen onderbouwen dat de inbreuk op de persoonlijke levenssfeer noodzakelijk is. Daarbij moeten de verantwoordelijken, net als bij de grondslag van gerechtvaardigd belang, toetsen aan de beginselen van proportionaliteit en subsidiariteit. Dat betekent dat je je moet afvragen of de verwerking op deze wijze echt noodzakelijk is, dus of je niet teveel of te gevoelige gegevens verwerkt, en of je de gegevens niet op een andere manier kunt verzamelen, waarbij je de privacy van de betrokken mensen niet of minder schaadt.

De behartiging van het gerechtvaardigde belang (sub f) van de organisatie kan ook als grondslag dienen voor het verwerken van MAC-adressen bij wifi-tracking. Die grondslag is niet geschikt voor bestuursorganen bij het uitoefenen van een publiek taak, maar wel voor bedrijven. Een verhuurder van winkelruimte kan bijvoorbeeld een rechtmatig belang hebben bij het verzamelen van bedrijfseconomische informatie over de bezoekersaantallen per winkel door de tijd heen. Het bedrijf moet dit belang wel afwegen tegen het belang van de winkelbezoekers en voorbijgangers. Volgens de Autoriteit Persoonsgegevens kunnen commerciële doeleinden geen gerechtvaardigd belang dienen, als het gaat om het volgen van mensen in de openbare ruimte. De AP schrijft (in een openbare brief over camera’s in billboards):

“Een private partij zal niet snel een grondslag hebben om in de openbare ruimte, niet zijnde privaat eigendom, zonder toestemming van of contract met een betrokkene persoonsgegevens te verwerken via camera's in billboards. Dit omdat private partijen daar in beginsel geen gezag hebben en de verwerking van persoonsgegevens zonder toestemming en/of contract in de openbare ruimte primair valt onder de verantwoordelijkheid van, c.q. mogelijk moet zijn gemaakt door de (wetgevende) overheid.”

Het is de vraag of deze beoordeling standhoudt als een trackingbedrijf of een andere verantwoordelijke die gebruik maakt van de diensten van een trackingbedrijf, hiertegen in rechte zou opkomen.

De artikel 29-werkgroep geeft duidelijke uitleg dat verwerkingen snel door de toets komen van gerechtvaardigd belang, mits ze niet in strijd zijn met wet- en regelgeving. Daarom kan een commercieel belang wel degelijk een gerechtvaardigd belang zijn. Veel belangrijker zijn de volgende twee onderdelen van de f-grondslag: of de verwerking proportioneel is, en of de verwerking in individuele gevallen bepaalde mensen toch niet teveel schaadt. In dat laatste geval moet je maatregelen nemen om dat te voorkomen.

Het trackingbedrijf kan de negatieve gevolgen voor betrokkenen minimaliseren, bijvoorbeeld door de meetgegevens onmiddellijk, op de sensor, te anonimiseren. Bovendien lijkt het onderscheid nogal arbitrair of de ruimte in privaat of publiek eigendom is. De stations bijvoorbeeld, en afgesloten winkelcentra, zijn doorgaans privaat eigendom. Het valt niet uit te leggen dat die partijen wel een gerechtvaardigd belang kunnen hebben bij het inzetten van wifi-tracking.

Kortom de AVG is van toepassing op wifi-tracking doordat er persoonsgegevens (onder andere MAC-adressen van mobiele apparaten) worden verwerkt. Daarnaast kan in de context van wifi-tracking per case verschillen welke partijen Verantwoordelijke en Verwerker zijn, omdat er meerdere constructies mogelijk zijn. Hierbij is het belangrijk om te kijken welke partij de middelen en de verwerkingsdoeleinden bepaalt.

In de tweede blog wordt uitgelegd welke principes uit Privacy by Design van toepassing kunnen zijn bij het ontwerp van een volgtechniek zoals wifi-tracking. Door middel van Privacy by Design kan een trackingbedrijf statistieken genereren op basis van wifi-signalen met een minimale privacy-impact op de betrokkenen. Hulp nodig, neem dan gerust contact met ons op.