Boete AP van € 600.000 aan Gemeente Enschede van tafel

Op 2 februari 2024 heeft de Rechtbank Overijssel het besluit van de Autoriteit Persoonsgegevens (AP), waarin de AP een boete van € 600.000 heeft opgelegd aan de gemeente Enschede, vernietigd. Gelet op de zware bewijslast van de AP bij het opleggen van een dergelijke boete, is de AP er volgens de rechtbank niet in geslaagd te bewijzen dat de gemeente persoonsgegevens heeft verwerkt. Dat betekent logischerwijs dat de AP niet heeft bewezen dat de gemeente de beweerdelijke overtreding heeft begaan.

Feiten

De Gemeente Enschede heeft opdracht gegeven aan een bedrijf om via wifi-tracking 24 uur per dag passanten in de binnenstad van Enschede te tellen. Op die manier wil de gemeente inzicht krijgen in de bezoekersaantallen in de binnenstad. Na daar diverse klachten over te hebben ontvangen, heeft de AP een onderzoek ingesteld.

De AP concludeert dat de gemeente zonder grondslag persoonsgegevens heeft verwerkt van eigenaren/gebruikers van mobiele apparaten met ingeschakelde wifi. De AP stelt dat de gemeente art. 5, lid onder a (rechtmatige, behoorlijke en transparante verwerking) en art. 6, lid 1 (grondslag voor de verwerking) van de AVG heeft overtreden. Na de gemeente te hebben gehoord, legt de AP de gemeente een bestuurlijke boete op van € 600.000. Het daarna door de gemeente ingestelde bezwaar wordt ongegrond verklaard.

Om het boetebesluit van tafel te krijgen, gaat de gemeente bij de Rechtbank Overijssel in beroep tegen de beslissing op bezwaar.

Standpunt AP en beoordeling door de rechtbank

De rechtbank stelt voorop dat op grond van vaste rechtspraak hoge eisen worden gesteld aan de bewijslast voor het opleggen van een boete waarbij het bestuursorgaan een discretionaire bevoegdheid heeft (zoals in dit geval). De AP moet dus genoegzaam bewijs hebben geleverd dat de gemeente art. 5, lid onder a en art. 6, lid 1 van de AVG heeft overtreden.

Kort gezegd heeft de AP aangevoerd dat natuurlijke personen aan de hand van de verkregen (gepseudonimiseerde) MAC-adressen en de locatiegegevens van de gebruikte sensoren zonder excessieve inspanning (theoretisch) te identificeren zijn. Het gaat er volgens de AP om dat de gemeente en de door haar ingeschakelde partijen redelijkerwijs de mogelijkheid hebben om personen te identificeren en niet of ze dat ook daadwerkelijk hebben gedaan. Daarom kwalificeert de AP de combinatie van de verkregen (gepseudonimiseerde) MAC-gegevens en locatiegegevens van de sensoren als persoonsgegevens.

De rechtbank gaat daar niet in mee en constateert dat de theoretische mogelijkheid om personen aan de hand van de verkregen gegevens te identificeren onvoldoende is om van persoonsgegevens onder de AVG te spreken. De AP heeft onvoldoende onderzocht of de theoretische mogelijkheden het daadwerkelijk mogelijk maken om de eigenaren/gebruikers van de betreffende apparaten met het blote oog te identificeren. Ook heeft de AP haar argumenten volgens de rechtbank te weinig gebaseerd op feiten, maar is de AP bij herhaling uitgegaan van de onaannemelijkheid van bepaalde omstandigheden.

In plaats daarvan had de AP (mede gelet op overweging 26 van de AVG) moeten onderzoeken of het redelijkerwijs te verwachten is dat genoemde middelen (wifi-tracking) worden gebruikt om personen direct of indirect te identificeren. Daarbij moet de AP de kosten en benodigde tijd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerken en de technologische ontwikkelingen betrekken.

De rechtbank concludeert dan ook dat de AP niet heeft bewezen dat de gemeente in dit geval persoonsgegevens heeft verwerkt en dus ook niet dat de gemeente de betreffende artikelen uit de AVG heeft overtreden. De rechtbank verklaart het beroep gegrond, vernietigt de beslissing op bezwaar en herroept het boete-besluit van de AP.

Reactie op de uitspraak

Het boetebesluit strandt uiteindelijk op bewijs en motivering. Maar wat als de AP haar onderzoek meer had gericht op de redelijke verwachting dat de wifi-tracking werd gebruikt om personen te identificeren? Zou de uitkomst van de procedure dan anders zijn geweest?

Ik verwacht van niet. Er moet uiteraard wel sprake zijn van objectieve factoren (zoals de kosten en benodigde tijd voor identificatie) om te concluderen dat er persoonsgegevens zijn verwerkt. Gezien het doel van het project (passanten-telling), de kosten van het inzetten van camera’s of mensen ter plaatse en de tijd en moeite die het kost om mensen aan de hand van de verkregen gegevens te identificeren, valt naar mijn mening niet redelijkerwijs te verwachten dat de gegevens voor identificatie worden gebruikt. Ik verwacht dat de AP, gelet op de zware bewijslast, het tegendeel niet eenvoudig kan aantonen.

Deze uitspraak is wederom een voorbeeld van een boete van de AP die door de rechtbank wordt vernietigd of gematigd. Dit kan gevolgen hebben voor zowel de geloofwaardigheid van de AP als voor hoe serieus de AVG in de markt wordt genomen. De AP moet ervoor waken dat het beeld ontstaat dat boetes van de AP toch geen stand houden en overtreding van de AVG geen gevolgen heeft.

De uitspraak van Rechtbank Overijssel van 2 februari 2024 (kenmerk ECLI:NL:RBOVE:2024:594 gepubliceerd op 2 februari 2024) is hier te vinden.

Meer informatie of vragen?

Wilt u meer informatie over dit onderwerp? Neemt u dan gerust contact op met onze advocaat Xander Alders. Hij is per e-mail bereikbaar via xander.alders@pellicaan.nl of telefonisch via 088 627 22 87.

Bronvermelding

Xander Alders is auteur voor Sdu. Dit artikel is gepubliceerd in Sdu OpMaat algemeen, OpMaat privacyrecht basis en OpMaat Privacyrecht Plus.