Het bedrijf Bluetrace dat technologie levert om mensen via wifi-signalen te volgen overtreedt de Wet bescherming persoonsgegevens (Wbp), zo stelt de Autoriteit Persoonsgegevens dat het bedrijf een last onder dwangsom van 5.000 euro oplegde met een maximum van 100.000 euro.

Via wifi-tracking kunnen winkels en gemeenten zien waar mensen zich bevinden en hoe ze zich op een bepaalde locatie bewegen. Hiervoor worden locatiegegevens samen met het unieke nummer van een smartphone opgeslagen en verwerkt. Uit onderzoek van de toezichthouder blijkt dat Bluetrace via wifi-tracking in strijd met de Wet bescherming persoonsgegevens locatiegegevens van winkelbezoekers en voorbijgangers verzamelt zonder hen hier goed over te informeren. Bovendien verzamelt en bewaart Bluetrace meer gegevens dan noodzakelijk is voor het in kaart brengen van bezoekersaantallen.

Na het onderzoek heeft Bluetrace maatregelen getroffen. Zo heeft het bedrijf de wifi-trackmetingen beperkt tot winkelopeningstijden en heeft het een bewaartermijn voor alle gegevens van ten hoogste 24 uur vastgesteld. Volgens de toezichthouder zijn deze maatregelen echter onvoldoende om de overtredingen te beëindigen. De Autoriteit Persoonsgegevens acht een bewaartermijn van 24 uur voor persoonsgegevens van winkelbezoekers passend. Daarnaast moeten de persoonsgegevens van voorbijgangers direct na het verzamelen anonimiseren of verwijderen.

"In de openbare ruimte moeten mensen zich kunnen bewegen zonder te worden gevolgd. Van omwonenden mag Bluetrace überhaupt geen persoonsgegevens verzamelen en bewaren", zo laat de toezichthouder verder weten. Tevens heeft Bluetrace een privacybeleid opgesteld en stickers en informatiebrochures over de wifi-trackingmetingen ontwikkeld. De informatie is echter onvolledig en onjuist, zo stelt de Autoriteit Persoonsgegevens. Ook wordt de informatie niet in alle gevallen op tijd, uiterlijk op het moment van vastleggen van de gegevens, gecommuniceerd.

Last onder dwangsom

In de last onder dwangsom, die onherroepelijk is, wordt Bluetrace gesommeerd de overtredingen binnen zes maanden te stoppen. Het bedrijf mag geen persoonsgegevens van omwonenden in aangrenzende of nabijgelegen woningen verzamelen, moet de persoonsgegevens van winkelvoorbijgangers na het verzamelen direct verwijderen of anonimiseren en moet het bedrijf mensen in en buiten winkels begrijpelijke informatie geven over wie voor welk doel welke persoonsgegevens verwerken, hoe lang deze worden bewaard en waar men meer informatie kan vinden. Als Bluetrace na zes maanden niet aan de last voldoet, moet het bedrijf een dwangsom van vijfduizend euro betalen voor iedere week dat de last niet is uitgevoerd tot een maximum van honderdduizend euro.