Ik heb gisteren (16 juli) een handhavingsverzoek aan Autoriteit Persoonsgegevens gestuurd met het verzoek dat ze bij gemeente Enschede willen kijken naar de wifi tracking.

De AP heeft al een ontvangstbevestiging gestuurd met de mededeling dat ze binnen 3 maanden een reactie geven.

De volledige brief aan AP :

Dave Borghuis ook genaamd op de Borg
XXXXXXXXXXXXX
XXXX XX  Enschede

Autoriteit persoonsgegevens
Postbus 93374
2509 AJ Den Haag

16 Juli 2018

Betreft : Handhavingsverzoek Wifi tracking Gemeente Enschede

Geachte mevrouw / mijnheer,

Autoriteit Persoonsgegevens heeft op 15 Juni 2017 (kenmerk z2016-00087) een brief gestuurd aan alle gemeenten waarin een aantal aandachtspunten werden genomen voor Wifi tracking in de steden (publieke ruimte). Vanaf 25 mei is tevens de AVG van toepassing in Nederland, hierdoor moeten ook gemeenten aan deze nieuwe wetgeving voldoen.

Sinds 6 september 2017 wordt door CityTrafic in Gemeente Enschede aan Wifi tracking gedaan. Ik heb hierover op 10 November 2017 een klacht ingediend bij Gemeente Enschede, waarbij ik aangeef dat Wifi tracking op diverse vlakken een ernstige inbreuk is op de privacy van de inwoners en bezoekers van de binnenstad. Na het antwoord heb ik nog een gesprek gevoerd met Karin Ligthart van Gemeente Enschede, echter zijn we niet tot een oplossing gekomen. Op 5 januari 2018 heb ik contact met de Autoriteit Persoonsgegevens hierover gehad waarbij deze case geregistreerd is.

Mijn bezwaren tegen de handelswijze van de Gemeente Enschede zijn:

1) De gemeente beroept zich op gerechtvaardigd belang als grondslag voor de verwerking. Voor zover mijn AVG kennis reikt zijn overheden expliciet uitgesloten voor het gebruik van deze grondslag. De gemeente Enschede mag dus, volgens mij, geen beroep doen op een gerechtvaardigd belang.

2) Indien de gemeente zich inderdaad niet kan beroepen op het uitvoeren van de tellingen als onderdeel van de publiekrechtelijke taak blijft toestemming als mogelijke grondslag over. Echter worden de bezoekers van de binnenstad van Enschede niet vooraf en duidelijk naar een “ondubbelzinnige toestemming” gevraagd om te mogen tracken via wifi.

Wel geeft Gemeente Enschede aan dat men de bezoekers informeert door middel van bordjes bij ingang van stad, met een link naar opt-out, maar dit is niet gelijk aan vooraf toestemming verkrijgen. Mijns inziens is het informeren via bordjes en een tekst op de website onvoldoende en daarmee zal wifi-tracking zal voor de meeste bezoekers onopgemerkt blijven. Tevens staat de wijze van informeren niet niet in verhouding tot het continue volgen van de bezoekers.

3) CityTraffic verzamelt 24/7 van de gehele binnenstad informatie over alle voorbijgangers. In de brief van aan de VNG wordt genoemd dat wifi tracking aan beginselen van proportionaliteit moet voldoen. Gemeente Enschede wil graag bezoekersaantallen inzichtelijk hebben, mijn inziens is om daarvoor alle burgers 24/7 in binnenstad te volgen hiervoor niet proportioneel. Men zou bezoekersaantallen ook kunnen bepalen door bv de bezetting van locale garages of verkeersstromen te meten of op de Wifi “Stad van Enschede” (waarvoor je wel vooraf toestemming geeft om op in te loggen). Tevens is het niet een primaire taak van een gemeente om de winkeliers of anderen geïnteresseerden van deze gegevens te voorzien.

4) De MAC adressen van de Wifi worden door CityTraffic (actief voor gemeenten in 30 steden) versleuteld door een eigen op SHA256 gebaseerde hash. Deze hash is niet terug te rekenen naar MAC adres, maar nog wel steeds uniek en dus een herleidbaar gegeven. Ik heb begrepen dat CityTraffic landelijk hash op dezelfde methode gebruikt word waardoor het mogelijk is om een persoon in meerdere steden te volgen. Dit lijkt me een ernstige inbreuk van de privacy van de betreffende bezoeker, aan de hand van de hash kun je 1 persoon indivudueel volgen.

Op basis van bovenstaande bezwaren is de verwerking van deze gegevens zonder expliciete toestemming van de betrokkenen en zonder andere rechtmatige verwerkingsgrond onrechtmatig en zou om die reden onmiddellijk moeten worden beëindigd.

Daarom verzoek ik de Autoriteit Persoonsgegevens om handhavend op te treden bij de Gemeente Enschede rondom de Wifi tracking. Deze Wifi tracking maakt een grote inbreuk op de privacy van de inwoners en bezoekers van Enschede en andere steden waar CityTraffic en soortgelijke bedrijven actief zijn. Men moet zich volgens jullie brief, dd 15 Juni 2017, “onbespied kunnen bewegen”. In de stad met Wifi tracking is dit per definitie niet mogelijk.

Ik hoor graag of jullie dit verzoek in behandeling willen nemen. Mochten jullie nog aanvullende informatie nodig hebben kunt u mij mailen op xxxxxx@xxxxxxxxxx.xx of bellen op xxxxxxxxxx.

Voor mijn volledige dossier en contacten met CityTraffic en Gemeente Enschede kunt u terug vinden op mijn site http://daveborghuis.nl/wp/wifi-tracking/

Met vriendelijke groet,

Dave Borghuis ook genaamd op de Borg

Bijlagen :
– Mijn klacht aan gemeente Enschede dd 10 November 2017
– Antwoord van gemeente Enschede dd 21 December 2017
– Verzoek aan Gemeente Enschede verdere uitleg dd 16 Januari 2018