Wifi Tracking Enschede

Read this page in English (google translate`)

Presentatie op MCH2022 hackercamp

Vandaag (29 april 2021) uitslag van AP ontvangen, Gemeente Enschede krijgt 6 ton boete. Gemeente gaat in beroep, rechtszaak moet nog voorkomen.

Lees het volledige rapport van AP hier.

Tekst en uitleg over wifi tracking staat onderaan deze pagina.

Historisch overzicht

2 feb 2023 – Uitspraak van de rechter, deze geeft gemeente Enschede gelijk. Uitspraak kun je hier vinden.
9 Jan 2024 – Brief van de rechtbank dat ze meer tijd nodig hebben. Ze verwachten over 6 weken uitspraak te doen en mij dat binnen twee weken toe te zenden.
29 Nov 2023 – Behandeling rechtzaak in rechtbank in Zwolle, uitspraak over uiterlijk 6 weken (=10 jan 2024)
24 Sept 2023 Datum voor rechtzaak in Zwolle is voorlopig vastgesteld op 29 november in de ochtend.
6 juli 2022 Officieel aankondiging van Gemeente Enschede dat ze rechtszaak aanspannen tegenover AP. ( Blog post )
30 mei 2022 Gemeente Enschede gaat in pro forma beroep, dit is dus start van de rechtszaak tegen AP.
16 sep 2021 Gemeente Enschede was een bezwaarprocedure opgestarte bij AP, Hiervoor is op 16 sept een hoorzitting bij het AP geweest. Na beoordeling van de bezwaar afdeling AP is beoordeeld dat alles volgens de regels is gegaan en dat de eindconclusie blijft staan.
13 juli 2021 Gemeente Enschede kiest voor frontale tegenaanval AP en maakt bezwaar tegen de boete.
29 april 2021 uitslag van AP ontvangen, Gemeente Enschede krijgt 6 ton boete. Leest meer in mijn blog artikel. Gemeente maakt wel bezwaar tegen de boete.
19 September 2020 Update van AP, “Het onderzoek naar aanleiding van uw klacht is afgerond en het dossier is op dit moment in behandeling bij de afdeling Juridische Zaken van AP. U ontvang een beslissing op uw klacht nadat deze behandeling is afgerond.” Over uiterlijk 3 maanden ontvang ik weer een update.
3 Juni 2020 Bericht van AP dat rapport is afgerond en naar gemeente Enschede is gestuurd zodat zij verweer kunnen geven. Deze zouden ze voor 15 juli 2020 moeten geven (of een gemotiveerde uitstel aanvragen)
29 Mei 2020 Email naar AP met vraag wanneer ik een inhoudelijke reactie zou mogen verwachten (met verwijzing naar artikel 4:14 lid 1 van de Awb). Tevens een klacht ingediend bij de Nationale Ombudsman, deze zou binnen 3 weken reageren.
4 Maart 2020 Aan het experimenteren geweest met de ‘City Traffic’ methode, ook met ‘dubbel hashen’ is de hash voor 17 Miljoen adressen nog steeds uniek. Om dit te testen heb ik een programma gemaakt waarmee je dit eenvoudig zelf kunt testen.
26 Feb 2020 : Verzoek van MOA om de inhoud van de site ‘tel-me-niet’ aan te passen (het is volgens hun wifi telling en puur onderzoek, dus hebben ze geen voorafgaande toestemming nodig. Tevens zou deze site inbreuk maken op hun ‘merk’. Zie ook mijn blog
1 Okt 2019 : Site ‘tel-me-niet’ wifi register gemaakt om geïnteresseerden te informeren  waarom dit een slecht idee is.
1 Okt 2019 : Brief van AP met mededeling dat onderzoek in ‘vergevorderd stadium’ is.
26 Juni 2019 Hengelo : In antwoord op vragen Groen Links geeft RCM aan dat men  SHA/hash collisions wil voorkomen, terwijl als je privacy wil waarborgen dit wel wil hebben.
21 Januari 2019 : Brief van AP dat ze meer tijd nodig hebben door nieuwe ontwikkeling in Enschede (het tijdelijk stoppen en starten van de wifitracking)
Gemeente Hengelo is inmiddels ook gestart met wifitracking door CityTraffic. Groenlinks Hengelo heeft hierover vragen gesteld.
19 December, Gemeente Enschede geeft in brief aan gemeenteraad aan dat ze per 1 jan. 2019 weer starten met wifi tracking.
13 December 2018 Locatus stopt met wifitracking in Nederland. (Inmiddels zijn ze weer gestart)
10 December Gemeente Enschede geeft in brief aan gemeenteraad aan voorlopig te stoppen met wifitracking. Zie ook persbericht van Tubantia
30 November 2018 persbericht van Autoriteit Persoonsgegevens dat wifi tracking alleen in uitzonderlijke omstandigheden zijn toegestaan. Dit is naar mijn mening in lijn met mijn handhavingsverzoek, helaas nog geen formeel antwoord op mijn handhavingsverzoek zelf.
19 oktober 2018 brief ontvangen van Autoriteit Persoonsgegevens, deze heeft contact met Gemeente Enschede en heeft meer tijd nodig om het goed te onderzoeken, ik krijg over 3 maanden weer een update.
17 Juli 2018 Aan Autoriteit Persoonsgegevens een verzoek voor handhaving gestuurd, ik zou binnen 3 maand een reactie krijgen.
23 Feb 2018 Brief nav gesprek 6 Feb
6 Feb 2018 Uitgenodigd voor gesprek bij Gemeente
24 Jan 2018 Bordjes toelichting wifi-tracking hangen in de stad
16 Jan 2018 Verzoek aan gemeente verdere toelichting
5 Jan 2018 Telefonisch contact met AP, mijn klacht is hier nu geregistreerd.
2 Jan 2018 Bij klachten commissie aangegeven dat ik meer concrete antwoorden wou, zij geven aan om contact te zoeken met persoon in kwestie.
22 Dec 2017 Antwoord van Gemeente (lag op tijd in mijn brievenbus)
28 Nov 2017 Telefonische reactie klachtencommissie dat het beantwoorden iets langer duurt. Ik zou in ieder geval een reactie binnen 6 weken moeten krijgen (dus voor 22 December).
24 Nov 2017 Email naar klachtencommissie met vraag wanneer ik een reactie zou mogen verwachten.
14 Nov 2017 Gebeld met klachten commissie, E. Bloemink (Functionaris Personen Gegevens) zou me een van deze dagen antwoord moeten geven.
10 Nov 2017 Klacht per email verstuurd aan gemeente Enschede
3 Nov 2017 Gemeente Enschede heeft me geinformeerd dat de hash die City Traffic gebruikt gebaseerd is op SHA256.
31 Okt 2017 Verslag van gemeente met opmerking dat ik geen inzage krijg hoe de hash word berekend.
27 Okt 2017 Telefonisch contact gehad met AP
19 Oktober 2017 Overleg tussen gemeenteraadsleden en City Traffic, hierbij was ik ook bij aanwezig.
Wifi Tracking 2017 komt ook in de pers ruim aan bod
29 September 2017 vragen SP aan gemeente beantwoord
28 September 2017 vragen CDA aan gemeente beantwoord
6 September 2017 start gemeente Enschede met  Wifi Tracking, hierdoor ontstaan veel vragen over privacy en MAC adres
5 September 2017 Gemeente Enschede informeert de raad over wifi tracking.
15 juni 2016 Brief van AP aan gemeenten via VNG dat wifi tracking inbreuk maakt op Wbp (voorloper AVG)

Locatus is inmiddels weer gestart met wifitracking, hierover kan ik geen persbericht oid vinden dus is me niet duidelijk per wanneer ze dit weer doen.

Onderaan dit artikel staan nog meer links naar algemene informatie bronnen.

Wifi tracking Enschede in de media

Inleiding

In Enschede wordt sinds 6 September 2017 het winkelend publiek door City Traffic gevolgd. Dit gebeurt door middel van WiFi tracking en de resultaten worden wekelijks doorgegeven aan de opdrachtgever Gemeente Enschede. Hiervoor werden de bezoekers aantallen 1x per jaar geteld, met deze nieuwe methode hebben ze een beter meer up-to-date inzicht in bezoekersaantallen.

Meetpunten staan op negen plekken: aan de Kalanderstraat, Langestraat, Haverstraatpassage, De Heurne, Van Loenshof, Walstraat, Zuiderhagen, Marktstraat en Korte Hengelosestraat.

City Traffick ‘versleuteld’ de MAC adressen direct op het meetpunt, hiervoor wordt door heel Nederland dezelfde methode gebruikt.

Volgens Autoriteit Persoonsgegevens (AP) is het 24/7 tracken van het winkelend publiek een grote inbreuk op de privacy en worden hieraan strenge eisen gesteld. Zo moet er een ‘grondslag’ zijn, dus bijvoorbeeld een evenement waarbij voor een korte tijd / specifieke plek mensen gevolgd worden. Het winkelend publiek zou via een opt-in moeten goedkeuren dat zij gevolgd word. De privacy moet kunnen worden gewaarborgd.

Mijn persoonlijke mening

24/7 Tracking

In Enschede worden de mensen zonder vooraf gegeven toestemming 24/7 gevolgd. Hiermee word mijn inziens niet de regels van AP gevolgd en is gemeente Enschede in overtreding van de aanbeveling AP.

Opt in

Er word niet vooraf toestemming gevraagd aan het winkelend publiek. Je kunt via website City Traffic opt-out doen, dit is een beetje de omgekeerde wereld. Als alternatief kun je wifi uitzetten, maar persoonlijk ben ik van mening dat de verantwoordelijkheid bij de andere partij ligt, het moet niet zo zijn dat winkelend publiek allerlei handelingen moet uitvoeren om onbespied te kunnen winkelen.

Vooraf informeren

Als je een opt-in hebt kun je hiermee meteen informeren. Op dit moment gebeurt het informeren door middel van stickers op bordjes, ik vermoed dat veel mensen deze niet zien en ook niet weten wat dit betekend en wat je er aan kunt doen. De huidige voorlichting is dus erg karig.

Edit: Sinds 24 Jan hangen er bordjes bij de ingangen van de stad.

MAC adress

In gesprek met City Traffic geven ze aan dat de MAC adressen op de sensor / meetpunt meteen word versleuteld door een eigen ontwikkelde methode. Voor heel Nederland word dezelfde methode gebruikt, op deze manier kan City Traffic zien of je in meerdere steden gezien bent.

Het probleem is niet zozeer het MAC adres zelf maar dat je een uniek nummer hebt, hierbij maakt het niet uit of het wel of niet versleuteld is. Je vervangt dan het ene nummer met een ander nummer. Als je dit combineert met andere databases kun je nog steeds dezelfde conclusies trekken. Met andere woorden, door het versleutelen van de de MAC zijn niet ineens alle privacy gegevens opgelost.

Mogelijke oplossingen

Persoonlijk vind ik altijd als je een probleem constateert moet je ook indien mogelijk meedenken voor een oplossing. Hierbij een paar tips aan Gemeente Enschede, helaas kan ik zelf niet beoordelen welke technisch / praktisch realiseerbaar zijn.

  • In het gesprek van 19 Oktober heb ik aangeven dat men eventueel via het WiFi netwerk dat Enschede in de binnenstad beschikbaar stelt zou kunnen zien hoe druk het is. Grote voordeel is dat je via ‘opt-in’ werkt, dus je moet zelf toestemming geven dat je akkoord gaat met de voorwaarden. Hierbij gaf gemeente Enschede aan dat hiernaar wel gekeken was maar toch is gekozen voor de oplossing van City Traffic.
  • Regelmatig / vaker handmatig tellen. Ja dit is meer werk maar hiermee is wel de privacy gewaarborgd.
  • Relatie zoeken met andere gegevens die (al) beschikbaar zijn. Te denken valt aan verkeerstellingen, bezetting parkeergarage, gegevens openbaar vervoer, analyseren camerabeelden. Hierbij moet je natuurlijk ook goed kijken naar de consequenties voor privacy.
  • Edit : Op hotspot totalen bijhouden en alleen de totalen periodiek naar server sturen. Hierbij word je MAC adres dus helemaal niet gebruikt en zijn alle privacy uitdagingen opgelost.

Indien jij nog suggesties hebt voor een mogelijke oplossing hoor ik het graag.

Bronnen

links