Raad van State bevestigt oordeel rechtbank: €600.000 wifiboete voor gemeente Enschede terecht vernietigd

Achtergrond: wifisensoren voor passantentellingen

Om inzicht te krijgen in de bezoekersaantallen in de binnenstad gebruikte de gemeente Enschede van mei 2018 tot en met april 2020 tien wifisensoren. Deze sensoren vingen de MAC-adressen op van voorbijgangers met ingeschakelde wifi op hun mobiele apparaat. De MAC-adressen werden direct gehasht en — vanaf 1 januari 2019 — tevens getruncate (de laatste drie karakters werden afgekapt), waarna de gepseudonimiseerde gegevens werden doorgestuurd naar de server van de ingehuurde externe partij. Het doel was uitsluitend het tellen van unieke passanten; van het volgen van identificeerbare individuen was geen sprake.

De boete van de AP en het oordeel van de rechtbank

De AP concludeerde na een onderzoek van bijna drie jaar dat de gemeente met deze methode zonder rechtsgeldige grondslag persoonsgegevens had verwerkt in de zin van de Algemene Verordening Gegevensbescherming (AVG). Op 11 maart 2021 legde de AP een boete van € 600.000 op. Zij baseerde zich daarbij op drie theoretische identificatiemethoden waarmee de identiteit van betrokkenen achterhaald zou kunnen worden aan de hand van de gehashte en getruncate MAC-adressen en locatiegegevens.

Na een bezwaarprocedure — waarin de AP bij beslissing op bezwaar van 6 april 2022 haar standpunt handhaafde — ging de gemeente Enschede in beroep bij Rechtbank Overijssel. Op 2 februari 2024 oordeelde de rechtbank dat de AP de boete op onjuiste gronden had opgelegd. De rechtbank overwoog dat de AP onvoldoende had onderzocht of de door haar genoemde identificatiemethoden het in de concrete situatie daadwerkelijk mogelijk maakten om de identiteit van apparaatgebruikers te achterhalen. Gelet op de zware bewijslast die op een bestuursorgaan rust bij het opleggen van een bestuurlijke boete, had de AP niet bewezen dat de gemeente de verweten overtreding had begaan. De rechtbank herriep de boete en veroordeelde de AP in de proceskosten.

De Autoriteit Persoonsgegeven krijgt in hoger beroep geen gelijk bij de Raad van State

De AP stelde hoger beroep in bij de Afdeling bestuursrechtspraak van de Raad van State. Zij voerde aan dat de rechtbank had moeten ingaan op haar standpunt dat identificatie van natuurlijke personen al bij de tellingen van unieke bezoekers had plaatsgevonden, en dat daarmee reeds sprake was van de verwerking van persoonsgegevens.

De Afdeling bestuursrechtspraak volgt dit betoog niet. Zij stelt vast dat de AP dit standpunt niet in haar boetebesluit had ingenomen, terwijl dat wel mogelijk was geweest. Naar vaste jurisprudentie van de Afdeling geldt bij een bestuursrechtelijk boetebesluit als uitgangspunt dat het bestuursorgaan het dragend bewijs van een overtreding bij de voltooiing van de bestuurlijke besluitvorming moet leveren — mede in het licht van de rechtszekerheid. De AP kon dit bewijs dan ook niet pas in beroep bij de rechtbank aanvullen. Zie: https://www.raadvanstate.nl/uitspraken/@159747/202401622-1-a3/

Conclusie

De Afdeling bestuursrechtspraak verklaart het hoger beroep van de AP dan ook ongegrond. Dit betekent dat de uitspraak van de rechtbank in stand blijft en dat de gemeente Enschede definitief is gevrijwaard van betaling van de boete van zes ton. 

Heeft u vragen over AVG-compliance, bestuurlijke boetes van de Autoriteit Persoonsgegevens of de kwalificatie van technische gegevens als persoonsgegevens? Neem contact op met onze specialisten.