4 vragen

Enschede volgde – onbedoeld – individuen via hun mobiel: hoe voorkom je dat je zelf gevolgd wordt?

De Autoriteit Persoonsgegevens (AP) heeft de gemeente Enschede op de vingers getikt omdat zij twee jaar lang burgers via hun mobiele telefoon volgde. Het is voor het eerst dat een overheidsinstantie een boete krijgt van de AP. Wat ging er fout en hoe voorkom je dat je zelf gevolgd wordt?

Een winkelstraat in Enschede.  Beeld Vincent Jannink / ANP
Een winkelstraat in Enschede.Beeld Vincent Jannink / ANP

Wat deed de gemeente Enschede volgens de Autoriteit Persoonsgegevens precies fout?

In de Enschedese binnenstad hingen vanaf mei 2018 elf sensoren die continu contact legden met de mobiele telefoons van passanten. Door het aantal telefoons rond een meetkastje te tellen, wilde de gemeente nagaan hoe druk het in de winkelstraten was. Als bijvangst werden ook omwonenden geregistreerd.

‘Het volgen van mensen mag wel’, zegt vicevoorzitter Monique Verdier van de Autoriteit Persoonsgegevens (AP). ‘Dan moet het echter wel met ongelooflijk veel redenen omkleed zijn en heel goed ingebed. Bijna nooit kun je het volledig anonimiseren. Dat maakt het zo ingewikkeld.’

Het bedrijf dat deze wifitracking voor de gemeente Enschede uitvoerde, gebruikte voor iedere passerende telefoon een unieke code. Omdat deze codes door elke sensor op dezelfde manier werden ‘versleuteld’, bleven burgers volgens de Autoriteit Persoonsgegevens (AP) toch traceerbaar. Via bijvoorbeeld camerabeelden is op een rustig moment alsnog precies te zien wie bij welke code hoort.

Het was niet de bedoeling van de gemeente om individuele personen te volgen. Maar alleen al om het feit dat Enschede de mogelijkheid hiervoor schiep, legde de Autoriteit Persoonsgegevens een boete van 600 duizend euro op. Saillant detail: Ayfer Koç, fractievoorzitter van het CDA in Enschede en getrouwd met Pieter Omtzigt, liet op Twitter weten in de gemeenteraad meermaals vragen over de wifitracking te hebben gesteld.

De belangrijkste vraag is of het hier daadwerkelijk om persoonsgegevens gaat. In het privacy-werkveld bestaat daarover verdeeldheid: er is nog niet veel jurisprudentie beschikbaar. De gemeente Enschede, die vorig jaar al stopte met de wifitracking, heeft bezwaar aangetekend tegen de boete.

Maken meer gemeenten gebruik van wifitracking?

Absoluut. Twee jaar geleden deed de Volkskrant navraag bij de twee grootste leveranciers van technologie voor wifitracking: CityTraffic en Locatus. Toen al bleken minimaal zestig gemeenten gebruik te maken van de diensten van deze bedrijven.

Het klantenbestand van de twee bedrijven is de afgelopen jaren flink uitgebreid. CityTraffic meldt op eigen website in 614 winkelstraten verdeeld over 229 gemeenten mensen te tellen. Locatus biedt ‘winkelpassantenrapporten’ aan van de 190 belangrijkste winkelgebieden in de Benelux.

Bureau RMC, het bedrijf dat Enschede voor de telpraktijken inschakelde, maakt doorgaans gebruik van de technieken van CityTraffic. In een reactie noemt Bureau RMC de boete ‘onterecht en disproportioneel’. Het oordeel van de AP is volgens het bedrijf ‘op hypothetische situaties en aannames’ gebaseerd.

Waarom deelt de Autoriteit Persoonsgegevens nu pas een eerste boete uit?

De gemeente Enschede is niet alleen de eerste overheidsinstelling die een boete door de AP krijgt opgelegd, zij is ook de eerste organisatie die voor wifitracking wordt berispt. Dat komt doordat goed onderzoek veel tijd in beslag neemt, zegt Verdier. ‘Je bent zo twee jaar bezig om alle feiten op tafel te hebben. Het kost ook veel tijd om het juridisch helemaal dicht te timmeren.’

Verdier wijst erop dat de AVG, de privacywet die Enschede overtrad, nog niet zo oud is. ‘Alles wat we nu gedaan hebben, was voor de eerste keer. In het begin duurt het daardoor extra lang.’

In feite ligt er een capaciteitsprobleem aan ten grondslag. ‘Ons onderzoeksveld is onvoorstelbaar groot’, aldus Verdier. ‘Het betreft alles wat er in Nederland gebeurt, inclusief de regering, overheidsinstellingen en het bedrijfsleven. Wij moeten echt keuzes maken. Overheidsinstellingen vinden wij dan extra belangrijk, omdat de burger daarvan afhankelijk is.’

Hoe kun je zelf voorkomen dat je gevolgd wordt?

De eenvoudigste oplossing is om tijdens het winkelen geen wifi meer te gebruiken. Smartphonegebruikers kunnen op hun telefoon de wifiverbinding uitzetten. Internet via de mobiele databundel kan dan nog wel.

Een andere oplossing is om het het unieke adres van iedere telefoon – het zogenoemde ‘MAC-adres’, een acroniem voor Media Access Control – regelmatig te wisselen. Apple biedt sinds een paar maanden de optie aan om deze code voor ieder netwerk te veranderen. Ook in Googles besturingssysteem Android zijn hier trucjes voor.

Maar als het aan de AP ligt, hoeven burgers niet voor hun privacy in de bres te springen. Verdier: ‘Een gemeente moet goed voor haar burgers zorgen. Dat betekent ook goede zorg voor persoonsgegevens.’

Verbetering: In een eerdere versie van dit artikel stond dat Bureau RMC zijn werkwijze niet zal aanpassen. Het bedrijf heeft echter zijn werkwijze vorig jaar al aangepast aan de door de Autoriteit Persoonsgegevens geschetste kaders.

Meer over

Wilt u belangrijke informatie delen met de Volkskrant?

Tip hier onze journalisten


Op alle verhalen van de Volkskrant rust uiteraard copyright. Linken kan altijd, eventueel met de intro van het stuk erboven.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar copyright @volkskrant.nl.
© 2021 DPG Media B.V. - alle rechten voorbehouden