De gemeente Enschede hoeft een boete van 600.000 euro die de Autoriteit Persoonsgegevens (AP) wegens wifi-tracking had opgelegd niet te betalen, zo heeft de Raad van State geoordeeld, dat het hoger beroep van de privacytoezichthouder ongegrond verklaart. Eerder stelde de rechtbank dat de AP de boete “op onjuiste gronden” had opgelegd, omdat niet is bewezen dat de gemeente Enschede persoonsgegevens heeft verwerkt van eigenaren van mobiele telefoons waarop de wifi bij de passantentellingen stond ingeschakeld.

In 2017 besloot de gemeente Enschede om door middel van sensoren de drukte in de binnenstad te meten. Hiervoor werd een bedrijf ingehuurd dat gespecialiseerd is in het tellen van passanten. Het bedrijf plaatste meetkastjes in de winkelstraten die de wifi-signalen van mobiele telefoons van passerende mensen opvingen. Daarbij werd elke telefoon middels een unieke code apart geregistreerd. Door het aantal telefoons dat op een bepaald moment rond een meetkastje is te registreren kan de drukte worden gemeten.

"Houd je over een langere periode bij welke telefoon langs welk meetkastje komt, dan verandert dit 'tellen' in het volgen van mensen", zo stelde de Autoriteit Persoonsgegevens. Dit bleek bij de gemeente Enschede aan de hand te zijn. Volgens de privacytoezichthouder was de privacy van burgers niet goed gewaarborgd, omdat zij konden worden gevolgd zonder dat dit noodzakelijk was. Daarop legde de AP een boete van 600.000 euro op. De gemeente was het niet eens met de boete en stapte naar de rechter. Die oordeelde dat de AP onvoldoende had onderzocht of de identiteit van de gebruikers daadwerkelijk te achterhalen was.

De Autoriteit Persoonsgegevens ging bij de Raad van State in hoger beroep, maar trekt wederom aan het kortste eind. De toezichthouder stelde in het hoger beroep dat de rechtbank ten onrechte niet heeft beslist op haar standpunt dat natuurlijke personen direct zijn geïdentificeerd aan de hand van hun (gepseudonimiseerde en later ingekorte) MAC-adres in combinatie met locatiegegevens. Via de sensoren werd aan de hand van een MAC-adres bepaald waar personen zich bevonden en hoeveel unieke bezoekers er waren.

Daarmee is er volgens de AP al sprake van verwerking van persoonsgegevens. De opvatting van de rechtbank, dat de toezichthouder niet heeft bewezen dat de gemeente via wifi-tracking persoonsgegevens heeft verwerkt, is daardoor niet relevant, aldus de AP. Die stelde tijdens de zitting dat de rechtbank het standpunt niet heeft getoetst dat er mensen zijn geïdentificeerd, omdat het door de combinatie van MAC-adressen en locatiegegevens voor de gemeente mogelijk was om unieke bezoekers in de binnenstad te tellen.

De Afdeling bestuursrechtspraak van de Raad van State merkt op dat de AP dit standpunt in haar besluitvorming echter niet heeft ingenomen. "Bij een bestuursrechtelijk boetebesluit geldt volgens vaste jurisprudentie van de Afdeling als uitgangspunt dat het bestuursorgaan het dragend bewijs van een overtreding bij de voltooiing van de bestuurlijke besluitvorming dient te leveren." De AP kan dan ook niet stellen dat de rechtbank haar standpunt ten onrechte niet heeft getoetst, aldus de Raad van State, die het standpunt daarom ook niet toetst. Daardoor blijft het oordeel van de rechtbank staan en hoeft de gemeente Enschede de boete niet te betalen.