RMC : “This is fine”

Dit artikel is aanvulling op mijn vorige artikel over boete AP aan de gemeente Enschede.

Mijn conclusie is dat ondanks alle beloftes van RMC de gegevens NIET anoniem zijn. Indien de gegevens echt anoniem zou zijn kun je niet leefpatronen uit de data halen. Het feit dat Autoriteit Persoonsgegeven (AP) in hun rapport heeft aangetoond dat dit wel kan (voor 4 personen, o.a. een nachtelijke wandelaar) geeft aan dat de ‘CittyTraffic methode’ niet afdoende is om de gegevens te anonimiseren. Bovendien moet privacy belang worden afgewogen tegen belang van bijhouden statistieken. Hierbij geeft AP aan dat je onbespied moet kunnen rond bewegen, dus wifitracking niet is toegestaan.

RMC geeft aan dat men niet de methode heeft aangepast sinds 1 januari 2019, dus de situatie nu is nog gelijk aan wat AP heeft onderzocht en in hun rapport hebben aangegeven.

Het lijkt me dat gemeenten die de wifi tracking van RMC (en andere soortgelijke partijen) gebruiken nog eens goed kijken naar de uitslag van AP en zich kritisch opstellen naar RMC. Deze partij levert wel de dienst maar krijgen niet te boete, de gemeente krijgt deze en zij zijn ook de partij die nu risico op de boete lopen.

RMC heeft naar aanleiding van uitspraken AP een FAQ gemaakt. Naar mijn mening word het wel erg positief voorgesteld voor RMC, dus hieronder herhaal ik de vragen waarbij ik commentaar heb.

Korte samenvatting :

  • Gegevens worden niet voor 24 uur maar uiteindelijk voor 6 maanden opgeslagen.
  • Sensor staat op een specifieke lokatie, de wifi gegevens kun je hiermee combineren.
  • Van MAC adres word een hash gemaakt van 9 posities. Deze is nog steeds uniek genoeg om een telefoon (en dus persoon) te volgen, wat AP dan ook voor 4 personen heeft gedaan (vanaf pg 48 rapport). Zie ook artikel AP over hashes.

FAQ RMC nav uitspraak AP

Bezoekerstellingen middels wifi, hoe werkt dat?

Eigenlijk is de methode vergelijkbaar met de ouderwetse handklikker. Wij tellen en turven, maar dan automatisch aan de hand van wifi-signalen. Alleen als wifi op een smartphone staat ingeschakeld wordt deze dus geteld.

De wifi-sensoren registreren alle passanten die een apparaat bij zich hebben en daarop wifi aan hebben staan (het apparaat zendt regelmatig zogenaamde probe requests). De wifi-sensor registreert het MAC-adres, tijdstip en signaalsterkte. Dus niet de locatie.

Sensor staat op locatie, dus deze is wel bekend en word later in de statistieken ook hiermee gekoppeld.

Het MAC-adres wordt op de sensor gepseudonimiseerd.

Hash naar 12 posities

Als de sensor gedurende een bepaalde tijd geen signaal meer ontvangt, dan wordt de status aangepast. De data worden met vertraging doorgestuurd naar een centrale server waar de data worden geanonimiseerd en verder worden verwerkt om tot tellingen te komen.

Dezelfde hash maar dan 9 posities (laatste 3 posities verwijderd). Nog steeds uniek

De bewerkingen worden slechts gedaan om te komen tot het aantal bezoekers. De data worden op geen andere wijze bewerkt en/of geanalyseerd en niet langer dan noodzakelijk opgeslagen maar nooit langer dan 24 uur.

Dagtabel is max 24 uur, deze word overgezet naar database waar het 6 maanden wordt opgeslagen.

De tellingen van Citytraffic zijn vergelijkbaar met de methode hoe files in Nederland worden gemeten. De methode voldoet aan alle Europese wetgeving.

Waar worden de verzamelde gegevens voor gebruikt?

De gegevens kunnen worden gebruikt om de drukte in een winkelstraat te meten. Dit levert hele relevante en noodzakelijke informatie op in het kader van openbare bestuur en veiligheid. Het is informatie die door zowel lokale als nationale overheidsorganen wordt gebruikt, zeker bij de bestrijding van de coronapandemie.

Verzamelen van gegevens moet worden afgewogen met belang privacy burgers. AP concludeert dat privacy gegeven zwaarder wegen dan belangen van gemeente. Bovendien zijn er andere privacy vriendelijke methoden beschikbaar, wifitracking is niet de enige manier om bezoekersaantallen te verkrijgen.

Deze gegevens worden ook gebruikt door retailers die vergelijkingen maken met hun eigen bezoekersaantallen of beter personeel willen plannen.

Op basis van deze informatie kan er worden besloten om de toegang tot een winkelstraat tijdelijk te beperken, wanneer blijkt dat het te druk wordt, of worden winkeltijden in algemene zin aangepast

Wat is het verschil tussen wifi-tracking en wifi-tellen?

Bij wifi­-tracking worden individuen gevolgd, aaneengesloten in tijd en plaats. Een wi­fi-telling is gericht op het tellen van groepen op een bepaald moment op een bepaalde plaats. Het verschil tussen wifi­-tracking en wi­fi-telling is simpel: Passanten worden niet gevolgd, maar geteld. Er is niet bekend wie zij zijn, waar zij wonen, waar zij naar toe gaan en welke winkels zij binnen gaan. Buiten het bereik (20meter) van de sensor wordt niets gemeten.

De telefoon kan worden gevolgd door de stad omdat die een uniek (hash) nummer krijgt. Iedere sensor waar deze langs komt krijgt deze hetzelfde hash en dus zou je hem kunnen volgen. AP geeft 4 voorbeelden in rapport dat ze aan hand van de data mensen kunnen volgen.

Hoe anonimiseren jullie de telgegevens?

Om te voorkomen dat een MAC-adres kan worden herleid naar één specifiek apparaat, wordt dit bij telling direct omgezet naar een ander willekeurig nummer op de sensor.

Een MAC adres word omgezet naar hash, hiermee heb je nog steeds een uniek nummer. Iedere keer als je de hash uitrekent van MAC krijg je dezelfde uitkomst, dus kun je terugkijken in de database of je het eerder gezien hebt. Op deze manier kunnen ze zien of je een nieuwe bezoeker bent. Je kunt dezelfde hash terug zijn bij andere sensors, zelfs in andere steden waar RMC deze methode gebruikt. Zo zou je een bezoeker in zowel Enschede als Hengelo terug kunnen zien.

Hierdoor versturen de sensoren nooit MAC-adressen naar de server waar de ruwe tellingen worden verwerkt. CityTraffic werkt alleen met deze niet bestaande nummers. Zodra dit nummer aankomt op de server, wordt het geanonimiseerd.

Hash word word afgeknipt van 12 naar 9 posities, hiermee is het nog steeds uniek.

Dat betekent dat het voor de tweede keer wordt veranderd. We kunnen daarna nooit het nummer meer herleiden naar één apparaat.

Een hash werkt inderdaad maar 1 kant op, maar geeft wel altijd hetzelfde resultaat. Je kunt dus wel kijken of een bepaalde MAC adres dezelfde hash geeft en zo later koppelen met de gegevens in de database. Ik snap hier niet de opmerking ‘tweede keer wordt veranderd’, er word een hash uitgerekend en als het naar server gestuurd worden de laatste 3 posities afgeknipt.

Tot slot wordt de informatie maximaal 24 uur bewaard. De methode voldoet daarmee aan alle Europese wetgeving.

De hash van 9 posities word inderdaad eerst 24 uur opgeslagen in een tijdelijke tabel, deze worden dan dagelijks omgezet naar definitieve database waarin het 6 maanden in opgeslagen blijft.

Wat is de reden dat de AP een boete heeft opgelegd in de zaak rondom wifi-tellingen?

De AP is van mening dat de gemeente zonder grondslag indirecte persoonsgegevens (Mac-adressen) heeft verwerkt van eigenaren/gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld in de binnenstad van Enschede, wifitracking genaamd door de AP. De gemeente Enschede heeft bezwaar aangetekend tegen dit besluit.

We zijn zeer ongelukkig met de boete voor een van onze opdrachtgevers en vinden deze disproportioneel. Het bezwaar van de Gemeente Enschede tegen dit besluit wordt door ons ondersteund. Het tellen van passanten is, zeker in tijden van een pandemie, van groot maatschappelijk belang.

Tellen moet worden afgewogen tegen privacy belang. Dat we nu in periode van covid zitten veranderd dit niet.

Tellen op basis van wifi is daarmee een privacy-veilige en nauwkeurige manier om bijvoorbeeld de drukte in een winkelstraat te meten. Een MAC-adres is niet direct te herleiden naar een individu. Gemeente Enschede telt en volgt niet!

Gegevens zijn wel te traceren naar personen, AP heeft aan de hand van data 4 leefpatronen gemaakt. Als je bekend bent met leefpatronen zou je via een camera of ter plekke kunnen kijken wie dit is. Cittytrafic methode volgt telefoons (en hiermee personen)

Welk standpunten heeft de Gemeente Enschede ingenomen?

De gemeente kan zich niet vinden in deze uitspraak en beraadt zich op eventuele vervolgstappen. De gemeente Enschede neemt de privacy en de bescherming van persoonsgegevens van haar inwoners zeer serieus. Bij de opdrachtverlening voor de wifimetingen in 2017 is binnen het kader van de destijds geldende privacywet- en regelgeving gewerkt. Toen een jaar later de Algemene Verordening Gegevensbescherming (AVG) werd ingevoerd, is actief gehandeld om ook aan de AVG te voldoen. De Autoriteit Persoonsgegevens gaat uit van een theoretisch scenario dat mogelijk individuen zouden kunnen worden geïdentificeerd. De gemeente is van mening dat identificatie van individuen aan de hand van de verwerkte data uit de anonieme wifimeting niet mogelijk is.

“Wij voelen ons ten onrechte gestraft voor iets dat wij niet beoogden en wat ook feitelijk niet is gebeurd. Het waarborgen van de privacy van onze binnenstadbezoekers is altijd een voorwaarde geweest. Bezoekerstellingen zijn nodig om het effect van investeringen en beleid in je stad te meten. Het kunnen monitoren van de drukte in je stad is nu actueler dan ooit, en wij zijn geblinddoekt. Extra wrang is dat bij de Autoriteit Persoonsgegevens nu een door de MOA – expertise center voor marktonderzoek – opgestelde gedragscode voor statistische wifitellingen ter goedkeuring is voorgelegd. De Autoriteit Persoonsgegevens is dus aan de ene kant aan het meedenken, terwijl het aan de andere kant een zware boete uitdeelt.”

Het is voorgelegd, maar ivm onderzoek gaf AP geen antwoord. Brief AP 30 Nov 2018 wifitracking alleen onder specifieke voorwaarden is toegestaan. Volgens gemeente ‘expert’ geraadpleegd die heeft beoordeeld dat het goed was. Het is mij niet duidelijk welke expert dit was en hoe deze evaluatie heeft plaatsgevonden. Als de expert iemand van RMC was krijg je natuurlijk ‘slager keurt zijn eigen vlees’ en is de uitkomst alles behalve objectief. Als op dit punt de gemeente kritisch was geweest hadden ze kunnen inzien dat de privacy van de burgers niet gewaarborgd kon worden en wellicht gestopt met de wifitracking.

Is wifitellen nu verboden in Nederland?

Nee. Wifitellen – volledigheidshalve  “statistisch passantenonderzoek met behulp van een wifi-signaal” genoemd – is toegestaan, mits er goed wordt uitgelegd waarvoor het nodig is en de persoonsgegevens geanonimiseerd zijn. In een brief aan de VNG gaf toenmalig minister Dekker aan dat hiervan sprake kan zijn als toepassing van deze methode nodig is voor het handhaven van de veiligheid of het bewaken van de openbare orde. Dit wordt ook onderschreven in de meest recente uitspraak van de Autoriteit Persoonsgegevens.

Volgens brief AP 30 November 2018 alleen in uitzonderlijke omstandigheden. Denk aan evenementen waarbij belangrijk is om aan crowdcontrol te doen. Dat is dan voor een beperkt gebied voor een beperkte periode. Dit is heel wat anders dan personen 24/7 in gehele binnenstad te volgen, waarvoor deze uitspraak ligt van AP dat dit niet mag.

Wat betekent deze uitspraak voor andere gemeenten die gebruikmaken van wifitellen?

Als uitvoerder garandeert Bureau RMC dat de huidige Citytraffic telmethode technisch voldoet aan alle huidige wet- en regelgeving. Telgegevens worden, nadat ze zijn geanonimiseerd,

AP heeft aan de hand van de gegevens database van 4 personen leefpatronen kunnen bepalen. Indien gegevens echt geanonimiseerd waren had je dit niet kunnen doen. Conclusie is dus dat gegevens NIET geanonimiseerd zijn!

niet langer dan 24 uur bewaard.

Ze staan max 24 uur in dagtabel, gegevens worden dagelijks omgezet in de database waar ze 6 maanden blijven opgeslagen.

Hiermee wordt voldaan aan de AVG voor de verwerking van persoonsgegevens.

Volgens AP niet, vandaar de boete

Opdrachtgevers dienen ook te voldoen aan de AVG. Dat houdt onder andere in dat:

  • Een wettelijke grondslag is bepaald en dat dit goed is vastgelegd. Zie artikel 6, lid 1e op pagina 36.
  • Organisaties die wifi-tellingen inzetten, passanten en/of bezoekers hierover helder dienen te informeren.
  • De bewaartermijn is afgestemd op het doel van de meting.
  • De persoonsgegevens privacy proof worden verwerkt in overeenstemming met de verwerkersovereenkomst en de daaraan ten grondslag liggende wettelijke bepalingen.
  • Er een verwerkersovereenkomst is. Neem gerust contact met ons op als er geen verwerkersovereenkomst is zodat we u kunnen helpen.

Zie hier voorbeelden die kunnen worden gebruikt: VNG en MOA 

Gaat Bureau RMC haar methode veranderen naar aanleiding van de uitspraak in Enschede?

Op dit moment is daar geen reden toe. Bureau RMC behandelt alle gegevens als persoonsgegevens en handelt in lijn met de gedragscode die is opgesteld door de MOA, brancheorganisatie voor marktonderzoekbureaus. Onze methode is privacy proof.

Vind AP niet, zie 4 voorbeelden van persoenen.

Zodra deze gedragscode of andere vorm van wetgeving vereisen dat de meetmethodes aangepast moeten worden, dan zullen we dit uiteraard doen.

Graag, ik zie jullie nieuwe methode graag tegemoet.

Wifi tracking – verweer gemeente Enschede

Ik heb 3 Juni bericht van AP ontvangen dat het onderzoek is afgerond en dat het rapport nu bij de gemeente Enschede ligt zodat zij hun reactie / verweer kunnen geven.

Als deze reactie door het AP is ontvangen zullen zij een eindrapport maken waarin een eindconclusie te vinden is. Deze zal dan ook openbaar zijn.

Met andere woorden het lijkt er op dat na 2 jaar het einde van dit proces in zicht is. De bal ligt nu bij de gemeente Enschede en zou niet zo heel lang moeten duren voordat zij een reactie hebben geformuleerd (hopelijk hooguit een paar maanden).

City Traffic methode

De methode van City Traffic om gegevens te anonimiseren blijft me toch bezig houden. Hoe ze precies van een MAC adres hun eigen hash maken die opgeslagen wordt in de database is me ondanks vele vragen nog steeds niet duidelijk. Om toch iets te kunnen doen doe ik hieronder wat aannames, als het ander is hoor ik graag van de specialisten hoe het dan wel moet ( of beter laat het zien in deze github code). Wat ik van ze begrijp doen ze het volgende :

  • Pseudo anonimiseren door hashen het MAC adres naar ‘op sha256 gebaseerde eigen methode’. Normaal geeft een sha256() een hex string van 64 tekens, dus ga ik hier van uit.
  • Nogmaals iets met de hash doen wat een resultaat geeft van 17 tekens. Ondanks meerdere malen te hebben gevraagd hoe/wat ze het terug brengen naar 17 teken heb ik geen idee wat ze precies doen. Voor nu ga ik van uit dat ze van de 64 tekens de eerst 17 tekens gebruiken.

Als ik van de hierboven gestelde methode uitga en ik ga voor 17.000.000 ‘adressen’ (ALLE inwoners van Nederland) de eerste 17 tekens van sha256 opslaan in een database, hoeveel dubbele hashes denk je dat ik dan heb? Ik heb het programma gemaakt die precies dit doet, het antwoord is dat ik 0 (!!) dubbele hashes heb. Dus als we deze methode vertalen naar de ‘City Trafic’ methode betekent dit dat het ‘dubbel hashen’ van getallen leuk is maar nog steeds 1 persoon is, en dus een persoonlijk gegeven. Als ik uitga van een stad van Enschede met 5000 bezoekers moet je het aantal karakters terugbrengen naar 4 of minder om een beetje te anonimiseren , (met 4 tekens 184 dubbele records (nog steeds te weinig naar mijn mening), met 5 krijgt men 8 dubbele records, met 6 is iedere record uniek).

Toby Kuiper heeft ook wat meer inhoudelijk naar deze getallen gekeken en komt tot de conclusie dat kans op een dubbel hash wel heel erg klein is (gelijk aan 1500000 x achter elkaar de staatsloterij winnen).

MOA en mijn site telmeniet.nl

Van de week heb ik een leuk gesprek gehad met de MOA (belangen vereniging marketing bureau) over mijn site ‘telmeniet.nl‘. In een per email gestuurde brief geven ze aan dat ik deze site heb geregistreerd na die van hun (klopt maar wat dan nog?) en dat deze site inbreuk zou maken op hun merk. In de eerste regel van mijn site geef ik aan dat het niet het officiële register is maar uitleg waarom dit naar mijn mening een slecht idee zou zijn. Ik doe me niet voor als MOA of het echte register, dus ik heb geen idee waar deze verwarring dan vandaan zou kunnen komen. De MOA directeur beschuldigde me van ‘fake nieuws’ en eiste min of meer dat ik mijn site aanpast naar mening van MOA (en Citty Trafic) dat ze niet aan wifi tracking doen maar wifi telling. Bovendien stelde hij dat onderzoek vrijgesteld was aan toestemming vooraf vragen (later per email gevraagd in welke wet dit dan precies staat, maar hier heb ik nog geen antwoord op gekregen). Wel even bij een onderzoeker op UT nagevraagd of zoiets bestaat, deze gaf aan dat de regels voor onderzoek eerder veel strikter is ipv vrijgesteld van privacy regels. Als het vrijgesteld zou zijn waarom heeft MOA dan een site voor het uitschrijven voor onderzoeken ?

Als je de site zelf bekijkt zijn er wel wat opmerkingen te maken :

  • Indien je inschrijft en je verstuurd de aanvraag krijg je een php foutmelding. Je weet dan niet of het wel/niet gelukt is (je krijgt dan wel een email om je inschrijving te bevestigen. Deze fout zit er al minstens 2 maanden in, dus is niet een tijdelijke fout.
  • Je bent verplicht je email (en telefoonnummer ?) achter te laten, ook als je geen herinneringen wilt ontvangen en dus email niet nodig is.
  • Zoals een deelnemer van TkkLab aangaf er wordt nergens aangegeven wat en hoe het wordt opgeslagen. Indien men het MAC adres zelf opslaat ontstaan hierdoor weer privacy risico’s (helemaal met combinatie van je email adres & telefoonnummer). Men zou dit kunnen voorkomen door het MAC adres te hashen, of zoals City Traffic het noemd “pseudo anonimiseren”.

Ik vraag me dus echt af of ze zelf wel naar de site hebben gekeken en of ze getest hebben of het werkt. Als je in de basis functionaliteit al dit soort fouten maakt kun je vraagtekens zetten bij de (kwaliteit) van de rest van de site.

Het zou heel vervelend voor de MOA zijn als mijn site hoger in de zoekresultaten van google staat als hun eigen site. Om dit te voorkomen wil ik je vragen om niet een link op je site/blog/etc te plaatsen naar telmeniet.nl

Uitleg nieuwe methode CityTraffic

Edit 9-1-2019 : Inmiddels met CityTraffic gesproken en er gebeurd wat meer dan 2x hashen. Er worden ook gegevens getruncate, dit zou dan voor voldoende privacy moeten zorgen. Hiermee kunnen ze niet meer de tijdsduur in de stad of zien of iemand nieuw is zien.  Ik probeer nog meer technische details te achterhalen en zal het hier aanvullen.

CityTraffic geeft aan dat zij van een pseudo geanonimiseerde data naar geanonimiseerd data. Als ik de informatie goed begrijp doen ze dit door een extra hash of versleuteling uit te voeren op de gegevens die van de sensor binnen komen en in de database gezet wordt.

Anonimiseren van data heeft een lange geschiedenis en blijkt in de praktijk ook tegen te vallen om dit goed te doen. Er zijn vele gevallen bekend dat een anonieme dataset is vrijgegeven waarbij de onderzoekers er toch in slaagden om deze te koppelen met personen. In het kort zou het voor wifi telling alleen kunnen als je op het sensor al genoeg gegevens cummeleerd (waardoor meteen individuele gegevens verdwijnt). In het huidige verhaal van CityTraffic wordt eerst alle gegevens van de sensor doorgestuurd naar de database, dus 1 regel in de database is nog steeds 1 persoon. Dat daar een dubbel hash / versleuteld nummertje bijstaat die niet terug te voeren naar een MAC adres maakt niet uit, dit is niet wezenlijk anders dan in de oude situatie waarbij MAC adres dmv hash SHA265 wordt berekend.

In mijn optiek heeft CityTraffic de methode niet voldoende aangepast om echt te kunnen spreken van anonieme gegevens. Ze versleutelen de MAC adres 2x, een keer op de sensor en vervolgens op de server. Maar als de gegevens van 1 persoon nog steeds individueel in de database komt maakt dit allemaal niet uit, hoe vaak je ook het MAC adres hash / versleuteld.

 

 

Handhavingsverzoek aan Autoriteit Persoonsgegevens

Ik heb gisteren (16 juli) een handhavingsverzoek aan Autoriteit Persoonsgegevens gestuurd met het verzoek dat ze bij gemeente Enschede willen kijken naar de wifi tracking.

De AP heeft al een ontvangstbevestiging gestuurd met de mededeling dat ze binnen 3 maanden een reactie geven.

De volledige brief aan AP :

Dave Borghuis ook genaamd op de Borg
XXXXXXXXXXXXX
XXXX XX  Enschede

Autoriteit persoonsgegevens
Postbus 93374
2509 AJ Den Haag

16 Juli 2018

Betreft : Handhavingsverzoek Wifi tracking Gemeente Enschede

Geachte mevrouw / mijnheer,

Autoriteit Persoonsgegevens heeft op 15 Juni 2017 (kenmerk z2016-00087) een brief gestuurd aan alle gemeenten waarin een aantal aandachtspunten werden genomen voor Wifi tracking in de steden (publieke ruimte). Vanaf 25 mei is tevens de AVG van toepassing in Nederland, hierdoor moeten ook gemeenten aan deze nieuwe wetgeving voldoen.

Sinds 6 september 2017 wordt door CityTrafic in Gemeente Enschede aan Wifi tracking gedaan. Ik heb hierover op 10 November 2017 een klacht ingediend bij Gemeente Enschede, waarbij ik aangeef dat Wifi tracking op diverse vlakken een ernstige inbreuk is op de privacy van de inwoners en bezoekers van de binnenstad. Na het antwoord heb ik nog een gesprek gevoerd met Karin Ligthart van Gemeente Enschede, echter zijn we niet tot een oplossing gekomen. Op 5 januari 2018 heb ik contact met de Autoriteit Persoonsgegevens hierover gehad waarbij deze case geregistreerd is.

Mijn bezwaren tegen de handelswijze van de Gemeente Enschede zijn:

1) De gemeente beroept zich op gerechtvaardigd belang als grondslag voor de verwerking. Voor zover mijn AVG kennis reikt zijn overheden expliciet uitgesloten voor het gebruik van deze grondslag. De gemeente Enschede mag dus, volgens mij, geen beroep doen op een gerechtvaardigd belang.

2) Indien de gemeente zich inderdaad niet kan beroepen op het uitvoeren van de tellingen als onderdeel van de publiekrechtelijke taak blijft toestemming als mogelijke grondslag over. Echter worden de bezoekers van de binnenstad van Enschede niet vooraf en duidelijk naar een “ondubbelzinnige toestemming” gevraagd om te mogen tracken via wifi.

Wel geeft Gemeente Enschede aan dat men de bezoekers informeert door middel van bordjes bij ingang van stad, met een link naar opt-out, maar dit is niet gelijk aan vooraf toestemming verkrijgen. Mijns inziens is het informeren via bordjes en een tekst op de website onvoldoende en daarmee zal wifi-tracking zal voor de meeste bezoekers onopgemerkt blijven. Tevens staat de wijze van informeren niet niet in verhouding tot het continue volgen van de bezoekers.

3) CityTraffic verzamelt 24/7 van de gehele binnenstad informatie over alle voorbijgangers. In de brief van aan de VNG wordt genoemd dat wifi tracking aan beginselen van proportionaliteit moet voldoen. Gemeente Enschede wil graag bezoekersaantallen inzichtelijk hebben, mijn inziens is om daarvoor alle burgers 24/7 in binnenstad te volgen hiervoor niet proportioneel. Men zou bezoekersaantallen ook kunnen bepalen door bv de bezetting van locale garages of verkeersstromen te meten of op de Wifi “Stad van Enschede” (waarvoor je wel vooraf toestemming geeft om op in te loggen). Tevens is het niet een primaire taak van een gemeente om de winkeliers of anderen geïnteresseerden van deze gegevens te voorzien.

4) De MAC adressen van de Wifi worden door CityTraffic (actief voor gemeenten in 30 steden) versleuteld door een eigen op SHA256 gebaseerde hash. Deze hash is niet terug te rekenen naar MAC adres, maar nog wel steeds uniek en dus een herleidbaar gegeven. Ik heb begrepen dat CityTraffic landelijk hash op dezelfde methode gebruikt word waardoor het mogelijk is om een persoon in meerdere steden te volgen. Dit lijkt me een ernstige inbreuk van de privacy van de betreffende bezoeker, aan de hand van de hash kun je 1 persoon indivudueel volgen.

Op basis van bovenstaande bezwaren is de verwerking van deze gegevens zonder expliciete toestemming van de betrokkenen en zonder andere rechtmatige verwerkingsgrond onrechtmatig en zou om die reden onmiddellijk moeten worden beëindigd.

Daarom verzoek ik de Autoriteit Persoonsgegevens om handhavend op te treden bij de Gemeente Enschede rondom de Wifi tracking. Deze Wifi tracking maakt een grote inbreuk op de privacy van de inwoners en bezoekers van Enschede en andere steden waar CityTraffic en soortgelijke bedrijven actief zijn. Men moet zich volgens jullie brief, dd 15 Juni 2017, “onbespied kunnen bewegen”. In de stad met Wifi tracking is dit per definitie niet mogelijk.

Ik hoor graag of jullie dit verzoek in behandeling willen nemen. Mochten jullie nog aanvullende informatie nodig hebben kunt u mij mailen op xxxxxx@xxxxxxxxxx.xx of bellen op xxxxxxxxxx.

Voor mijn volledige dossier en contacten met CityTraffic en Gemeente Enschede kunt u terug vinden op mijn site http://daveborghuis.nl/wp/wifi-tracking/

Met vriendelijke groet,

Dave Borghuis ook genaamd op de Borg

Bijlagen :
– Mijn klacht aan gemeente Enschede dd 10 November 2017
– Antwoord van gemeente Enschede dd 21 December 2017
– Verzoek aan Gemeente Enschede verdere uitleg dd 16 Januari 2018

Reactie van Gemeente Enschede Wifi Tracking

De gemeente Enschede heeft netjes op tijd antwoord gegevens op de klacht die ik had ingediend. Heel kort samengevat vind gemeente Enschede dat zij binnen de opgestelde regels van AP blijft en dus dat men door kan gaan met Wifi Tracking.

Mijn reactie van op aantal punten :

Gemeente Enschede : CityTraffic voor wifi telling uit, geen wifi tracking

Dit lijkt me meer een semantische discussie, uiteindelijk gaat het er om wat je precies doet. Als je personen kunt volgen in de stad lijkt me dit tracking, ook al noem je het anders.

Loopstromen op site CityTraffic

Als je “meerdere meetpunten koppelt om personen te volgen ben je aan het tracken.

Gemeente Enschede : Er is sprake van proportionaliteit/subsidiariteit (we meten alleen in winkel- en uitgaansgebied van de binnenstad van Enschede)

In de brief van AP staat “Het afbakenen van gebieden en periodes waarbinnen gemeten wordt is een voorbeeld van een waarborg op het gebied van proportionaliteit.”, gemeente Enschede / CityTraffic doet dit dus 24/7 voor vrijwel gehele binnenstad. Mijn inziens is dit niet echt een afgebakend gebied, laat staan een periode.

Gemeente Enschede : Betrokkenen kunnen zich onttrekken aan de tellingen (door wifi uit te zetten of door opt-out)

In de brief van AP staat “Voorafgaande toestemming van de betrokkenen “, dus opt-in als eis en niet opt-out.

Gemeente Enschede heeft al wel aangegeven dat men met bordjes wil gaan aangeven dat er aan wifi tracking word gedaan met een duidelijke link naar de opt-out.

Ik moet verder kijken wat ik met deze antwoorden kan, Gemeente Enschede geeft wel antwoorden maar naar mijn mening vullen ze het wel erg naar hun eigen belang in. De genoemde punten zoals in de brief van AP word genoemd zijn niet opgelost, inhoudelijk zijn we dus net zover als 6 weken geleden.

Wifi Tracking / Deel 2

Donderdag 19 Oktober was ik door raadslid Vic van Dijk (D66) uitgenodigd om aanwezig te zijn bij de uitleg van de diverse vragen die raadsleden hebben aan City Traffic. Gemeente Enschede heeft het Wi-Fi tracking uitbesteed aan dit bedrijf om bezoekers aantallen te verzamelen. 
Na aanleiding van dit overleg hier een overzicht van punten die hieruit zijn voortgekomen:
  • Versleutelen van MAC adressen gebeurt op de sensor nog voordat het verstuurd wordt naar de database. In alle databases etc. staan dus alleen de versleutelde adressen. Voor het versleutelen wordt momenteel altijd dezelfde key gebruikt
  • Het versleutelen wordt beschreven in 10 pagina’s hoe dit gebeurt. deze is op aanvraag beschikbaar.  City Traffic heeft dit zelf ontwikkeld, normaal is dit in de wereld van veiligheid een red flag (omdat deze dan niet door onafhankelijke partijen zijn onderzocht). De gemeente gaat deze opvragen en indien dit kan krijg ik een exemplaar, eventueel kan ik dan hier een oordeel over geven of het veilig e.d. is.
  • Er word alleen WiFi getrackt (dus geen bluetooth of camera) en tot overkant van de straat. (Een sensor zou veel meer ontvangen, omdat deze dan te ver weg zijn worden deze niet ‘gemeld’)
  • Er zijn “Wi-Fi Tracking” stickers geplakt op diverse punten in Enschede, dus hieraan zou het publiek moeten zien dat Wi-Fi tracking plaats vind.
  • Gemeente Enschede heeft voor Wi-Fi tracking City Traffic opdracht gegeven om (wekelijks) inzicht te krijgen in bezoekers aantallen. In het verleden werd 1x per jaar de bezoekers aantallen geteld.
  • Gemeente Enschede heeft diverse opties overwogen om bezoekers aantallen te verkrijgen, hieruit is Wi-Fi tracking als de beste optie uitgekomen.
  • Weinig mensen nemen de moeite om uit te schrijven, is normaal rond de 20-30 personen per stad. Laten we dit voor Enschede iets meer maken, uitschrijven kan HIER !
Sinds 2014 heeft tracking van winkelend publiek de aandacht van Autoriteit Persoonsgegevens (AP), waarna het in 2016 deze brief heeft geschreven naar de gemeenten en winkeliers. In deze brief staan een aantal aandachtspunten waar je rekening mee moet houden. 
AP staat kritisch tegenover Wi-Fi Tracking omdat dit een te grote inbreuk maak op de privacy van de bezoekers. Enkele standpunten van de AP : 
  • Er mag alleen in díe periodes en in díe gebieden waarin het echt nodig is, worden gemeten. Op andere momenten en plaatsen zou de meetapparatuur uit moeten staan.
  • Tracking zou via opt-in moet plaatvinden (dus bv inloggen op Wi-Fi netwerk). Zonder opt-in mag je geen mensen volgen.
  • Dat men via Wi-Fi getrackt word moet duidelijk zichtbaar zijn dmv bordjes e.d.
  • In de openbare ruimte moeten mensen zich onbespied kunnen bewegen. De gegevens moeten dan bijvoorbeeld onmiddellijk en onomkeerbaar worden geanonimiseerd.
Disclamer, ik ben geen advocaat. Dit gezegd hebbende lijkt me dat Wi-Fi tracking van winkelend publiek voor een lange periode niet mag omdat dit een te grote inbreuk is op je privacy. Ik wil dit de komende tijd nog verder onderzoeken of binnen de wettelijke kaders is opgetreden en of hier de privacy kan worden gewaarborgd.
PS : Had je uit ingeschreven in de opt-out register? Doe het nu hier.
Bronnen: