zienswijze wifitellingen Enschede14 juli 2020

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 1. INLEIDING EN LEESWIJZER 1. De Autoriteit Persoonsgegevens (hierna: ‘AP’, ‘de Autoriteit’ of ‘uw Autoriteit’) heeft onderzoek gedaan naar de wifitellingen die in de binnenstad van Enschede worden uitgevoerd. Het college van Burgemeesters en Wethouders van de gemeente Enschede (hierna te noemen: ‘het college (van) B&W Enschede’, ‘het college’, ‘de gemeente Enschede’ of ‘de gemeente’) heeft op 5 september 2017 het besluit genomen om passanten te tellen middels wifisensoren. Het doel van de passantentellingen is om inzicht te verkrijgen in bezoekersaantallen in de Enschedese binnenstad. Het college B&W Enschede beschikte zelf echter niet over de middelen en technieken om passantentellingen uit te voeren en heeft daartoe een gespecialiseerd bureau in de arm genomen: (de voorloper van) Bureau RMC. 2. In vervolg op haar onderzoek heeft de AP het college van B&W Enschede op 21 april 2020 haar onderzoeksrapport doen toekomen. Uit dit rapport volgt dat de AP zich – kort gezegd – op het standpunt stelt dat er in het kader van de wifitellingen:

-

persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (hierna: ‘AVG’) worden verwerkt; waarvoor het college van B&W Enschede als verwerkingsverantwoordelijke in de zin van de AVG dient te worden aangemerkt, en; dat het college van B&W Enschede de betreffende persoonsgegevens op onrechtmatige wijze verwerkt, omdat zij geen beroep zou kunnen doen op een van de wettelijke grondslagen uit artikel 6 van de AVG om persoonsgegevens te mogen verwerken.

3. Het college van B&W Enschede is het echter uitdrukkelijk niet eens met de bevindingen en conclusies van de AP. Het college zet daarom haar standpunt uiteen in deze zienswijze. In deze zienswijze betoogt het college achtereenvolgens dat: 1. zij in het kader van de wifitellingen geen persoonsgegevens verwerkt (paragraaf 2); 2. zij als overheid ten aanzien van de wifitellingen op zich zelf verantwoordelijk is, maar dat zij twijfelt of zij aan te merken is als verwerkingsverantwoordelijke in de zin van de AVG dan wel, subsidiair, dat er sprake is van gezamenlijke verwerkingsverantwoordelijkheid (paragraaf 3); 3. de gemeente – indien zij in het kader van de wifitellingen als (gezamenlijke) verwerkingsverantwoordelijke persoonsgegevens zou verwerken – wèl een beroep kan doen op een wettelijke grondslag uit de AVG voor de verwerkingen (paragraaf 4); 4. er sprake is van een aantal omstandigheden die met zich meebrengen dat het niet passend c.q. redelijk is om aan de gemeente Enschede een sanctie op te leggen dan wel dat er bij een eventueel op te leggen sanctie rekening dient te worden gehouden met de betreffende omstandigheden (paragraaf 5). 4. In het kort betoogt het college van B&W Enschede in deze zienswijze derhalve in eerste instantie dat zij geen persoonsgegevens verwerkt in het kader van de wifitellingen.

Identificatie van individuen is namelijk aan de hand van de verwerkte data niet mogelijk c.q. praktisch ondoenlijk. Bureau RMC – dan wel haar onderaannemer PFM – verwerken in het kader van de wifitellingen derhalve ook geen persoonsgegevens. Daarnaast ontvangt de gemeente Enschede van Bureau RMC slechts anonieme, geaggregeerde data over de bezoekersaantallen in de Enschedese binnenstad; derhalve geen persoonsgegevens. Kortom, er is geen sprake van persoonsgegevensverwerkingen, zodat de AVG niet van toepassing is.

1

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 5. In de tweede plaats stelt het college van B&W Enschede – indien en voor zover de AP tóch van mening blijft dat er persoonsgegevens worden verwerkt in het kader van de wifitellingen – zich op het standpunt dat zij weliswaar verantwoordelijk is voor de opdracht tot het uitvoeren van de wifitellingen door Bureau RMC én dat zij verantwoordelijk is voor het tel-project op zich zelf, maar dat zij twijfelt of zij wel is aan te merken als een verwerkingsverantwoordelijke in de zin van de AVG. Subsidiair betoogt de gemeente dat er sprake is van gezamenlijke verwerkingsverantwoordelijkheid. 6. Er zijn in de ogen van de gemeente in deze kwestie twee soorten verantwoordelijkheden te onderscheiden: 1. de (contractuele) verantwoordelijkheid van de gemeente Enschede als opdrachtgever van de opdrachtovereenkomst aan Bureau RMC, waarbij opdracht is gegeven om passantentellingen uit te voeren, alsmede de verantwoordelijkheid die zij als overheid heeft voor het tel-project op zich zelf; 2. de verantwoordelijkheid voor de verwerking van de persoonsgegevens. 7. De gemeente erkent haar verantwoordelijkheid voor het gehele wifitel-project. De gemeente meent dat zij de opdracht voor die tellingen goed kan verantwoorden binnen de verantwoordelijkheden die zij als overheid heeft.

De gemeente twijfelt echter of zij wel is aan te merken als verwerkingsverantwoordelijke. Zij heeft daarvoor een aantal aanwijzingen. Zij verzoekt de AP om de kwalificatie van de rollen van de diverse actoren in deze casus, nader te onderzoeken en uitdrukkelijk bij haar besluitvorming te betrekken. 8. Het college van B&W Enschede is – indien de AP desondanks meent dat het college verwerkingsverantwoordelijke is voor de persoonsgegevensverwerkingen – hooguit gezamenlijk verwerkingsverantwoordelijke in de zin van artikel 26 AVG, tezamen met Bureau RMC. 9. Mocht de AP van oordeel zijn dat er persoonsgegevens worden verwerkt in het kader van wifitellingen en dat het college van B&W Enschede daarvoor (gezamenlijke) verwerkingsverantwoordelijke is, dan stelt het college zich op het standpunt dat zij wèl een wettelijke grondslag uit de AVG heeft voor de verwerkingen. 10. Primair beroept het college zich op de grondslag ‘publieke taak’ ex artikel 6 lid 1 sub e AVG. Het college is namelijk op grond van artikel 160 Gemeentewet bevoegd tot het voeren van ‘dagelijks bestuur’ binnen de gemeente. Dat is een zeer ruim omschreven taak, waaronder volgens het college eveneens wifitellingen in het kader van de gemeentelijke overheidstaken vallen.

Met de passantentellingen kan immers inzicht worden verkregen in diverse aspecten die voor de gemeente van belang zijn om haar beleid op diverse vlakken te kunnen baseren en derhalve om invulling te geven aan de ‘publieke taak’ die zij als gemeente jegens haar inwoners heeft. Secundair stelt het college van B&W Enschede zich op het standpunt dat de verwerkingen in het kader van wifitellingen kunnen worden gebaseerd op de grondslag ‘gerechtvaardigd belang’ ex artikel 6 lid 1 sub f AVG. Deze verwerkingen strekken er immers toe om de gerechtvaardigde belangen van zowel het college van B&W Enschede als derden – te weten de ondernemers, investeerders en bezoekers van de binnenstad in Enschede – te behartigen. Niet alleen de gemeente zelf, ook deze derden hebben allen een evident belang bij een aantrekkelijke, leefbare en veilige binnenstad. Daarbij is van belang dat de verwerkingen in het kader van wifitellingen noodzakelijk zijn om de nagestreefde belangen te verwerkelijken. Het is niet mogelijk om deze informatie op een minder ingrijpende wijze te verzamelen; er bestonden hiervoor op het moment van opdrachtverstrekking geen goede alternatieven. Daar komt bij dat – in het kader van de te maken belangenafweging – zowel het college van B&W als Bureau RMC diverse maatregelen hebben getroffen om de inbreuk op de persoonlijke levenssfeer van de individuen terug te brengen tot nihil.

2

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 11. Tot slot wijst het college van B&W Enschede de AP op een aantal omstandigheden die met zich meebrengen dat een eventueel op te leggen sanctie niet passend c.q. redelijk is, dan wel dat er bij de sanctie – indien de AP ondanks deze zienswijze overgaat tot het opleggen van een sanctie – daarmee rekening dient te worden gehouden. Zo er al sprake zou zijn van persoonsgegevensverwerking dan vindt deze – in minimale vorm – plaats bij Bureau RMC dan wel haar onderaannemer PFM. Identificatie van individuen is aan de hand van de verwerkte gegevens immers niet mogelijk c.q. praktisch ondoenlijk. De gemeente Enschede heeft in dit verband steeds te goeder trouw gehandeld en is uitgegaan van de deskundigheid van Bureau RMC als professioneel opdrachtnemer. Daarnaast heeft de gemeente een zeer beperkte rol gespeeld in het kader van de gegevensverwerkingen rondom de wifitellingen. Als gevolg van onder meer de genoemde omstandigheden dient een eventueel op te leggen sanctie dan ook achterwege te blijven, althans er zal in ieder geval rekening moeten worden gehouden met deze omstandigheden. Bijvoorbeeld door matiging. 2. COLLEGE VAN B&W ENSCHEDE ONTVANGT GÉÉN PERSOONSGEGEVENS; BUREAU RMC / PFM VERWERKEN GEEN PERSOONSGEGEVENS 2.1. Inleiding 12. Het college van B&W Enschede ontvangt slechts anonieme, geaggregeerde data van Bureau RMC.

Dat standpunt zal hierna uitgebreid nader worden toegelicht onder het kopje “techniek van de tellingen”. Het college van B&W Enschede weet uit die informatie niet meer of minder dan het aantal bezoekers in een bepaald gebied. Zij weet niet wie die bezoekers zijn en zij weet bovendien niet exact wanneer die bezoekers door de sensoren zijn gesignaleerd. De output van de wifitellingen, in de vorm van geaggregeerde rapportages, die het college van B&W Enschede – pas een dag na de tellingen – ontvangt kan dan ook op geen enkele wijze worden opgevat als een tot een identificeerbaar individu te herleiden persoonsgegeven. Er is anders dan de AP meent, dan ook geen sprake van persoonsgegevensverwerking, door het college van B&W Enschede. 13. Het college van B&W Enschede meent dat de MAC-adressen, die door de sensor slechts zeer tijdelijk worden waargenomen en die na binnenkomst, letterlijk in milliseconden, direct worden gehasht, niet tot identificatie van een individu kunnen leiden. Men kan zich bovendien eenvoudigweg geen toegang verschaffen tot de sensor teneinde inzicht te krijgen in het MAC-adres. Ook vanwege de hashing en truncating die Bureau RMC/PFM toepassen kan in de ogen van het college van B&W Enschede niet gesproken worden van tot een identificeerbare natuurlijke persoon te herleiden informatie, en derhalve niet van persoonsgegevens.

Zulks geldt naar het oordeel van het college van B&W Enschede in de verschillende fasen van de verwerking. Zowel het MAC-adres zelf dat door de sensoren wordt opgepikt, als het gehashte en getruncate gegeven dat door de sensor aan de server wordt doorgegeven, zijn niet aan te merken als een persoonsgegeven. Ook de leefpatronen die de AP uit laatstgenoemde gegevens meent te kunnen halen, kwalificeren in de ogen van de gemeente niet als persoonsgegevens. Het leefpatroon is namelijk op geen enkele manier herleidbaar tot een individu. 14. Voor de goede orde en ter voorkoming van misverstanden; de gemeente betoogt in het hiernavolgende niet dat een MAC-adres nooit een persoonsgegeven zou kunnen zijn. Zij betoogt zelfs niet dat een MAC-adres in combinatie met een locatiegegeven nooit een persoonsgegeven zou kunnen zijn. Zij betoogt dat in dit concrete geval identificatie aan de hand van het gehashte en getruncate MAC-adres (maar ook het MAC-adres zelf) én het grove ‘locatiegegeven’ niet plaats kan vinden en dat daarom in dit concrete geval niet gesproken kan worden van verwerking van persoonsgegevens. 2.2. Techniek van de tellingen 15. Alvorens haar standpunt dat er geen persoonsgegevens worden verwerkt, nader te onderbouwen, neemt het college van B&W Enschede de AP graag mee in de werking van de techniek van de 3

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 wifitellingen. De onderstaande beschrijving van de technische gang van zaken is gebaseerd op de informatie die de gemeente van Bureau RMC en PFM heeft ontvangen. 16. Op diverse plekken in de stad heeft Bureau RMC/PFM in overleg met de gemeente sensoren geplaatst. Naar het college van B&W Enschede van Bureau RMC/PFM begrijpt, heeft een sensor een bereik van in potentie tot wel 70 meter rondom het meetpunt. De sensor vangt de wifi-signalen die een device uitstoot binnen het sensorgebied op. Voor alle duidelijkheid: dit kunnen allerlei soorten devices die wifi-signalen uitzenden, zijn. Denk aan printers, pinapparaten in winkels, smart-tv’s, iPads, smart phones. De sensor ontvangt een ‘pakketje’ gegevens waaronder het MAC-adres van de device en de wifi-sterkte. Er worden geen (overige) tot de persoon herleidbare gegevens geregistreerd. Er worden ook geen longitude, latitude of adresgegevens ontvangen door de sensor. 17. Zoals hiervoor uiteengezet is het doel; het tellen van passanten. Zulks gebeurt als volgt. De sensor vangt het MAC-adres van de te tellen device op twee status-momenten op. ‘Status 1’ is het moment dat het wifi-signaal van de device voor het eerst door de sensor wordt waargenomen. De gedachte is dat de te tellen passant op dat moment het sensorgebied betreedt.

Wanneer deze passant het sensorgebied verlaat, en dus ‘passeert’, wordt na twee minuten ‘status 2’ geconstateerd. Men houdt twee minuten aan zodat men zeker weet dat de device zich niet langer in het sensorgebied bevindt. 18. Het onderstaande plaatje illustreert hoe een en ander in zijn werk gaat:

19. Beide status-momenten worden op het moment van constatering van de relevante omstandigheid – dus in het geval van status 1 direct bij het binnenlopen van het gebied en in het geval van status 2 minuten na constatering van vertrek – real time doorgestuurd naar de server. Deze statusmeldingen die naar de server worden gestuurd gaan vergezeld van het gehashte MAC-adres. Deze hashing vindt direct bij doorzending plaats. Het MAC-adres wordt vervolgens niet bewaard op de sensor. De wijze van hashing is door de AP uitvoerig benoemd in haar rapportage. Het betreft oneway hashing, dus 4

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 terugherleiding tot het MAC-adres is feitelijk niet mogelijk. 20. Dat MAC-adres wordt door middel van het werkgeheugen op de sensor, vrijwel direct gehasht op de sensor. De AP geeft in haar onderzoek onder randnummer 45 aan, dat er ongepseudonimiseerde MAC-adressen worden opgeslagen op het werkgeheugen van de sensor. Dat klopt, maar dat is slechts zeer tijdelijk (enkele milliseconden); zonder die tijdelijke opslag in het werkgeheugen van de sensor zou er immers geen hashing plaats kunnen vinden. Voor hashing is nu eenmaal rekenkracht / computergeheugen nodig. Dat kan niet in de lucht plaatsvinden, men ontkomt er niet aan dat er een (kort) moment is dat het MAC-adres wordt opgeslagen in het werkgeheugen van de sensor. De vraag is vervolgens wat je daar dan mee zou kunnen. Kan hiermee identificatie plaatsvinden? Het antwoord is nee. Men kan zich immers geen toegang tot de sensor verschaffen, zodanig dat men een MACadres zou kunnen achterhalen. Hierna zal worden toegelicht waarom niet. 21. De gehashte gegevens (status 1 en status 2) komen vervolgens op de server van Bureau RMC/PFM. Op dat moment bevindt het MAC-adres, noch het gehashte MAC-adres zich op de sensor. Naar de gemeente van Bureau RMC/PFM begreep, bestaat de opslag op de server uit twee delen.

De gehashte gegevens die van de sensor afkomstig zijn, worden eerst in het cache-geheugen van de server geplaatst. In dit cache-deel worden de verzamelde gegevens iedere 5 minuten geleegd door ze weg te schrijven naar de database op de server, eerst in de korte termijn tabel en vervolgens in de lange termijn tabel. Op de server worden de gehashte MAC-adressen getruncate door af te knippen. Een en ander is in de rapportage van de AP eveneens beschreven. 22. Status 1 en status 2 zijn gezamenlijk één passant, dat wil zeggen: een telling. Pas vanaf dat moment, dat is dus nadat de gegevens uit de cache-tellingen zijn weggeschreven naar de tabellen in de database, kan een medewerker van Bureau RMC/PFM het gegeven pas herkennen als een telling en vanaf dat moment zou de door de AP veronderstelde identificatie pas plaats kunnen vinden. De gemeente zal hierna betogen dat identificatie echter in de praktijk niet mogelijk is. 23. Het voorgaande laat zich visueel als volgt samenvatten, waarbij wij uitgaan van de snelste registratie van een telling, namelijk het moment dat een passant het sensorgebied direct weer zou verlaten.

Status 1

a

c c

b

Status 2

Tijdsverloop sinds opvangen MAC-adres 0 minuten nadat MAC-adres niet meer waargenomen wordt Van sensor naar cache op server

2 minuten nadat MAC-adres niet meer waargenomen wordt

3 – 7 minuten nadat MAC-adres niet meer waargenomen wordt, 5 min cyclus cache geheugen

a: Status 1 MAC-adres van de sensor gestuurd naar server (in cache-geheugen), gehasht. b: Status 2 MAC-adres van de sensor gestuurd naar server (in cache-geheugen), gehasht. c: Status 1 en 2 gehasht MAC-adres bevinden zich gezamenlijk op database server, nadat ze uit cache-geheugen hiernaartoe zijn weggeschreven. Het cache-geheugen heeft een 5-minutencyclus. Vanaf dat moment is er sprake van een telling en zou in theorie een leefpatroon op basis van gehashte en getruncate codes herleid kunnen worden. Daardoor is echter nog niet bekend wie dat dan is.

5

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 24. De voorgaande werkwijze heeft een aantal consequenties die in het hiernavolgende betoog van de gemeente van belang zijn: 1. De gegevens worden per status-moment realtime doorgestuurd. In het geval van status 1 is dat onmiddellijk op het moment van de eerste waarneming van het MAC-adres in het sensorgebied. In het geval van status 2 is dat twee minuten nadat het MAC-adres door de sensor voor het laatst is waargenomen. 2. Op het moment van doorsturen worden de MAC-adressen vrijwel direct, namelijk na enkele milliseconden gehasht, zodat de server uitsluitend een gehasht gegeven ontvangt. Op de sensor blijft geen MAC-adres of een tot een individu herleidbaar gegeven achter. Op de server kan het gehashte en getruncate gegeven vanwege de oneway hashing niet terug herleid worden tot het MAC-adres. 3. Doordat er op zijn minst enige minuten zitten tussen het moment dat een MAC-adres voor het eerst door de sensor wordt opgepikt en het moment dat de telling in database (de korte termijn tabel) wordt ingeschreven, kan er nooit sprake zijn van real time identificatie van de persoon van wiens device het MAC-adres is opgepikt. Deze persoon is inmiddels (ongeveer) 3 tot 7 minuten uit het sensorgebied verdwenen. 25. Dan iets over de MAC-adressen die zeer tijdelijk door de sensor worden opgevangen en worden gehasht.

Er worden geen MAC-adressen permanent bewaard en er zijn bijvoorbeeld ook geen lijsten of databases met MAC-adressen voorhanden. Bureau RMC/PFM kan zich geen toegang verschaffen tot de MAC-adressen op de sensoren. Het betreft zeer tijdelijke opslag op een werkgeheugen (enkele milliseconden), niet op een harde schijf (of iets dergelijks) die op afstand is uit te lezen. Bovendien is er geen softwareprogramma of interface voorhanden, zo begreep het college van B&W Enschede, waarmee MAC-adressen digitaal uitgelezen zouden kunnen worden. In de praktijk zou men de sensor open moeten schroeven om zich fysiek toegang te verschaffen tot het werkgeheugen. De elektriciteit mag daarbij niet worden uitgeschakeld; bij uitschakelen van de stroom wordt het werkgeheugen namelijk direct gewist. Het betreft slechts een werkgeheugen, er is geen sprake van (permanente) opslag. Het uitschakelen van de elektriciteit zou derhalve betekenen dat alle gegevens op het werkgeheugen verloren gaan. Het losschroeven van de sensor die nog op stroom zit aangesloten is daarentegen een gevaarlijke bezigheid. Al met al geen haalbare kaart. 2.3. Opgevangen MAC-adres op sensor geen persoonsgegeven 26.

Primair stelt de gemeente zich op het standpunt dat de MAC-adressen die de sensor opvangt, al dan niet in combinatie met een locatiegegeven, niet direct dan wel indirect tot identificatie van een individuele natuurlijke persoon kan leiden. 27. Allereerst betwist het college van B&W Enschede de constatering van de AP dat een MAC-adres, bijvoorbeeld in combinatie met een locatiegegeven, in sommige situaties een natuurlijke persoon zou kunnen identificeren, niet. Het college van B&W Enschede wil echter benadrukken dat pas van directe of indirecte identificeerbaarheid sprake zou kunnen zijn, indien er sprake is van (koppeling met) bijkomende gegevens. Slechts die gegevens in samenhang maken dat er sprake zou kunnen zijn van een gegeven dat tot een individu te herleiden zou zijn, een persoonsgegeven in de zin van de AVG dus. 28. Laten we dit illustreren met een voorbeeld: stel er is een groep van 100 mensen bijeen. Als een van de personen uit die groep, zonder dat de rest daarvan op de hoogte is, het MAC-adres van zijn smartphone opschrijft, dan weet de rest van die groep niet van welke telefoon dat MAC-adres afkomstig is, laat staan welke persoon daar eigenaar van is. Zij weten echter wel wat het MAC-adres is en ook de locatie waar het zich afspeelt. Toch maakt die informatie niet dat we weten welke 6

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 persoon eigenaar van de smartphone is. Dat MAC-adres zou alleen dan een tot die persoon herleidbaar gegeven kunnen zijn, indien door toevoeging van andere gegevens duidelijk wordt van welke smartphone dat specifieke MAC-adres is én wie daarvan de eigenaar is. De AP behandelt in haar rapport een MAC-adres ten onrechte als een soortement uniek identificatienummer voor een individu, een natuurlijk persoon. Dat is in de ogen van het college van B&W Enschede onjuist. Een MAC-adres is, mits niet gespoofed, niets meer dan een uniek identificatienummer van een apparaat. Dat kan een smartphone zijn, maar ook een printer of een iPad of een ander apparaat dat wifisignalen uitzendt. Het zegt nog niets over een individu. Het college van B&W Enschede legt hierna uit waarom zij ook in dit concrete geval die mening is toegedaan. 29. In bovenstaande zienswijze vindt het college van B&W Enschede steun in diverse publicaties. Zo schrijft de Minister voor Rechtsbescherming, Sander Dekker, op 3 juni jl. aan de Vereniging van Nederlandse gemeenten1 over wifi-tracking – waar in deze casus overigens pertinent geen sprake van is, aangezien het louter en alleen gaat over passantentellingen – dat de combinatie van gegevens kan leiden tot een persoonsgegeven.

Meer precies schrijft hij: “Bij de toepassing van wifi-tracking worden zogenaamde MAC-adressen, een unieke code in het mobiele apparaat van de gebruiker, alsmede het serienummer van het betreffende apparaat, in combinatie met de locatie en het tijdstip verwerkt en opgeslagen. Deze gegevens kunnen voorts worden gecombineerd met gegevens uit andere toepassingen zoals camera-beelden of persoonlijke bonuskaarten. De combinatie van deze gegevens zorgt ervoor dat natuurlijke personen indirect identificeerbaar worden.” 30. Bij wifi-tracking gaat het dus om 1) de opslag van MAC-adressen in combinatie met de locatie en het tijdstip; die gegevens worden vervolgens 2) gecombineerd met andere gegevens zoals camerabeelden of bonuskaarten en die 3) combinatie kan vervolgens maken dat de gegevens indirect herleidbaar zijn tot individuele natuurlijke personen. 31. De wifi-trackingmethode die de Minister beschrijft is een hele andere methode dan de wijze waarop de passantentellingen in Enschede plaatsvinden. Immers, ten eerste wordt in casu een MAC-adres niet opgeslagen, maar door de sensor slechts zeer tijdelijk waargenomen en na binnenkomst, letterlijk in milliseconden, direct gehasht.

Er vindt uiteindelijk alleen een telling plaats en er is geen sprake van dat deze gegevens worden gecombineerd met andere (persoons)gegevens en daarmee indirect herleidbaar zouden zijn tot een natuurlijke persoon. 32. De Minister verwijst voorts in zijn brief naar een nieuwsbericht op de website van uw Autoriteit. In dat concrete nieuwsbericht gaat het echter over wifi-tracking in onder andere winkels, waarbij door middel van koppeling van aanvullende gegevens als (real-time) camerabeelden en bonuskaarten, identificatie plaats zou kunnen vinden. Het college van B&W Enschede leest daarin dat als die aanvullende gegevens ontbreken, en er dus alleen sprake is van een MAC-adres met een (grof) locatiegegeven, identificatie net zo goed niet mogelijk zou kunnen zijn. Dat is in casu ook het geval. Sterker nog: in casu is het MAC-adres ook nog eens gehasht en getruncate. De AP neemt in haar rapportage in de ogen van het college van B&W Enschede te snel aan dat er sprake is van herleidbaarheid, en doet daarbij steeds een beroep op het (oudere) advies van Working Party 29 (hierna: ‘WP29’), de voorloper van de European Data Protection Board (‘EDPB’).2 33. De gemeente leest datzelfde advies bovendien anders. Uit deze publicatie van WP29 blijkt uitdrukkelijk dat het enkele MAC-adres niet als persoonsgegeven wordt beschouwd.

Een MAC-adres is volgens WP29 pas een persoonsgegeven als er sprake is van een combinatie met andere gegevens. 1 Brief Minister voor Rechtsbescherming Sander Dekker, d.d. 3 juni 2020 aan VNG, met onderwerp ‘Brief Wifi-tracking VNG’. 2 WP29, Advies 13/2011 over geolocatiediensten op slimme mobiele apparaten, WP185, 16 mei 2011

7

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 In casu is er echter geen sprake van combinatie van de MAC-adressen met andere gegevens. Zo worden er geen direct identificerende gegevens, zoals de naam of het adres van een betrokkene verwerkt en ligt hun identiteit ook niet op andere wijze vast (bijvoorbeeld in een klantsysteem). Het enige andere gegeven dat in dit verband mogelijk een rol zou kunnen spelen is een (grof) locatiegegeven. Dit locatiegegeven is in casu echter te onnauwkeurig om in samenhang met een MAC-adres een individu te kunnen identificeren. WP29 schrijft daarover: ‘(…) in zeer dichtbevolkte gebieden zal het MAC-adres, ook als er informatie over de signaalsterkte beschikbaar is, op verschillende appartementen wijzen als mogelijke locatie van het toegangspunt. In deze omstandigheden is het zonder onredelijke inspanningen niet mogelijk om precies vast te stellen wie de bewoner is van het appartement waar het toegangspunt zich bevindt.’ Die situatie doet zich in casu ook voor. De wifisterkte zegt immers niets over de locatie van de device in het sensorgebied.3 Het locatiegegeven is, zoals verderop in deze zienswijze wordt toegelicht, namelijk zo ruim dat het meerdere straten in de Enschedese binnenstad kan omvatten.

Bovendien kan dit (grove) locatiegegeven – zoals eveneens verderop in deze zienswijze nader zal worden toegelicht – niet tot realtime identificatie leiden. Het is dan ook niet mogelijk om zonder onredelijke inspanningen aan de hand van het MAC-adres en een niet realtime verwerkt grof locatiegegeven een individu te identificeren. Zeker niet op een drukke en dichtbevolkte locatie als de Enschedese binnenstad. Zie voor een voorbeeld van passantentellingen de bijgevoegde rapportages in Bijlage 1. Zie bijvoorbeeld de telling van de Kalanderstraat waar in een uur tijd ruim 1200 passanten voorbijkomen. 2.3.1. Herleidbaarheid eis voor identificatie 34. Een persoonsgegeven moet in ieder geval herleidbaar zijn tot een individu, een natuurlijke persoon. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij door de verwerkingsverantwoordelijke worden gebruikt om een individu te identificeren (direct of indirect). Daarbij moet rekening worden gehouden met alle objectieve factoren, zoals de kosten en de tijd benodigd voor identificatie. De identiteit moet zonder onevenredige inspanningen kunnen worden vastgesteld.

Terecht wordt aangenomen dat iets geen persoonsgegeven is, als de betrokkene niet of slechts met disproportionele aanwending van middelen, geld of mankracht kan worden achterhaald. Het college van B&W Enschede is van mening dat dat laatste in casu het geval is. Als je in casu al tot een individu zou kunnen herleiden – quod non –, dan kan dat uitsluitend door maatregelen die praktisch ondoenlijk zijn. In die zin blijft een eventuele mogelijkheid niet meer dan een theoretische mogelijkheid, dat is echter onvoldoende om van daadwerkelijke identificatie van een betrokkene te kunnen spreken. 35. Het college van B&W Enschede vindt in dat kader steun voor haar stelling in de memorie van toelichting behorende bij de Wet bescherming persoonsgegevens. Deze toelichting is – aangezien de definitie van persoonsgegevens onder de AVG inhoudelijk niet is gewijzigd – volgens het college B&W Enschede nog steeds van belang. De memorie van toelichting geeft expliciet aan (onderstrepingen college B&W Enschede): “Niet elk technisch of toevallig verband tussen een gegeven en een persoon is dus voldoende om dat gegeven een persoonsgegeven te doen zijn. Anders dan de Registratiekamer in haar advies stelt is niet vereist dat iedere mogelijkheid de gegevens met betrekking tot personen te gebruiken, is uitgesloten.

Is deze mogelijkheid weliswaar theoretisch aanwezig maar is ondenkbaar dat dit ook daadwerkelijk gebeurt, dan kan ervan worden uitgegaan dat de gegevens niet als persoonsgegevens worden aangemerkt.”4

3 Zie in dat kader ook WP29, Advies 13/2011 over geolocatiediensten op slimme mobiele apparaten, WP185, 16 mei 2011,

pagina 12. 4 Kamerstukken II 1997/98, 25892, nr. 3, p. 47.

8

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 36. Kortom, indien identificatie slechts een theoretische mogelijkheid is, dan is er geen sprake van een persoonsgegeven. Dezelfde conclusie kan volgens het college van B&W Enschede ook worden getrokken uit het recentelijk ingediende wetsvoorstel “Tijdelijke wet informatieverstrekking RIVM in verband met COVID-19”. In de memorie van toelichting bij dit wetsvoorstel geeft de regering uitdrukkelijk aan dat een theoretische mogelijkheid om in bepaalde situaties geaggregeerde locatiedata te kunnen herleiden tot individuen, niet zonder meer met zich meebrengt dat die identificatie daadwerkelijk plaatsvindt.5 Volgens de regering is het namelijk redelijkerwijs niet te verwachten dat er middelen worden ingezet om een individu te identificeren. Bijvoorbeeld de daarvoor benodigde kosten en tijd maken identificatie onwaarschijnlijk. Daarnaast ontvangt het RIVM alleen de totaal aantallen. Dat is vergelijkbaar met de situatie van de gemeente Enschede, die ook alleen totaalrapportages van Bureau RMC ontvangt. Het college van B&W Enschede merkt in dit verband nog op dat volgens de regering de identificatie van individuen al redelijkerwijs valt uit te sluiten bij het verstrekken van gegevens aan het RIVM met een ondergrens van minimaal 15 personen. In de Enschedese binnenstad worden er echter in de regel vele malen hogere passantenaantallen geteld.

Zie wederom Bijlage 1. Het college van B&W Enschede licht verderop in deze zienswijze nader toe dat identificatie van individuen in het kader van wifitellingen in de Enschedese binnenstad praktisch ondoenlijk is. 37. Het college van B&W Enschede vindt voor haar stelling eveneens steun in de rechtsliteratuur. In zijn oratie6 d.d. 12 april 2013, stond prof. Mr. Zwenne stil bij de vraag wat men onder ‘identificeren’ zou moeten verstaan. Volgens hem gaat het erom dat de verwerkingsverantwoordelijke de ‘identiteit’ van de persoon waar een gegeven op ziet, moet kunnen achterhalen. Een gegeven is nog geen persoonsgegeven omdat het iets zegt over iemand, en zelfs niet, zo stelt Zwenne, omdat het uniek is voor iemand. Slechts in combinatie met andere gegevens is identificatie wellicht mogelijk. 38. Daarnaast geldt, zoals de AP in haar rapport overigens zelf ook aanhaalt, het redelijkheidsaspect. Zwenne stelt dat een theoretische identificatiemogelijkheid onvoldoende is om te kunnen spreken van persoonsgegevens. Er kan alleen sprake zijn van identificeerbaarheid als dat geen onevenredige inspanning, kosten of tijd vergt. 39. Feitelijk zegt het Europese Hof van Justitie in de zaak Breyer / Duitsland7 hetzelfde. Als identificatie in de praktijk ondoenlijk is, kan er geen sprake zijn van een persoonsgegeven.

Daarvan is in casu sprake, hetgeen het college van B&W Enschede hierna verder uiteen zal zetten. 40. Anders dan de AP stelt onder nr. 130 van haar onderzoeksrapport, stelt het college B&W Enschede zich op het standpunt dat er niet is voldaan aan de criteria uit het arrest Breyer / Duitsland om te kunnen spreken van persoonsgegevens. Het college B&W Enschede wijst er in dit verband op dat er bij de kwestie Breyer / Duitsland geheel andere omstandigheden en uitgangspunten een rol speelden. In die kwestie ging het namelijk om IP-adressen die werden bewaard, waarbij een derde partij juridische mogelijkheden had om de betreffende IP-adressen op te vragen. Het Hof van Justitie was daarom destijds van oordeel dat – doordat er wettige middelen beschikbaar waren, om bij een derde aanvullende informatie op te vragen, waarmee in combinatie met het bewaarde IP-adres een betrokkene kan worden geïdentificeerd – er sprake was van persoonsgegevens8. Dergelijke omstandigheden, spelen echter niet bij de wifitellingen in de Enschedese binnenstad. De MACadressen worden namelijk niet bewaard, maar direct op de sensor gehasht waarna het originele MAC-adres wordt verwijderd. Men kan dan ook niet bij de originele MAC-adressen komen. Daarnaast

5 Kamerstukken II 2020/21, 35479, nr. 3, p. 6. 6 Prof mr. G.J. Zwenne, ‘de verwaterde privacywet’, oratie uitgesproken bij de aanvaarding van het ambt van hoogleraar

Recht en de Informatiemaatschappij aan de Universiteit Leiden, d.d. 12 april 2013. 7 HvJEU 19 oktober 2016, ECLI:EU:C:2016:779 (Breyer/Duitsland) 8 HvJEU 19 oktober 2016, ECLI:EU:C:2016:779 (Breyer/Duitsland), ro. 47 – 49.

9

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 wordt elders in deze zienswijze toegelicht dat het praktisch ondoenlijk is in casu individuen te identificeren. 41. Het college B&W Enschede wijst voorts op de annotatie van mr. J.A.N. Baas bij de zaak Breyer / Duitsland. In die annotatie concludeert Baas dat het enkele IP-adres niet zonder meer als persoonsgegeven kan worden aangemerkt. Baas schrijft onder meer (onderstrepingen gemeente)9: “Het Hof verwijst weliswaar naar het doel van de verwerking, door aan te geven dat de bevoegdheid om gegevens op te vragen met name zal bestaan in het geval van cyberaanvallen, doch overweegt vervolgens in algemene zin dat IP-adressen persoonsgegevens zijn indien er wettige mogelijkheden zijn om de betrokkene te identificeren aan de hand van de bewaarde IP-adressen. Indien er hierbij verder geen beperking geldt wordt het begrip “persoonsgegeven” alsnog zodanig opgerekt dat er in de praktijk van een objectief criterium moet worden uitgegaan. Er is haast geen gegeven denkbaar dat zich er – afhankelijk van de context – niet voor leent om in combinatie met andere gegevens te worden gebruikt een betrokkene te identificeren of waaraan informatie overeen betrokkene kan worden ontleend. En er zijn altijd situaties denkbaar waarin er bevoegdheden bestaan om deze gegevens op enig moment te verwerken, bijvoorbeeld in geval van een misdrijf (vgl.

ook de conclusie AG, par. 65). De toepasselijkheid van de gegevensbeschermingswetgeving zou onevenredig worden opgerekt indien al deze gegevens in alle gevallen als persoonsgegeven behandeld dienen te worden. Het lijkt daarom reëel om, in lijn met de door de advocaatgeneraal beschreven visie van de Commissie, de strekking van het arrest beperkt te achten tot de omstandigheden van het geval, waarin de gegevens werden verzameld met het oog op toekomstige identificatie bij internetaanvallen (net zoals het Hof in rechtsoverweging 34 benadrukt dat de vaststelling omtrent IP-adressen in Scarlet Extended geldt in de omstandigheden van die zaak). Een aanwijzing voor een dergelijke lezing kan worden gevonden in het feit dat het Hof zijn oordeel verbindt aan het geval dat het IP-adres “wordt geregistreerd telkens als een persoon een website bezoekt” en niet in algemene zin spreekt van verwerking van een IP-adres door een verantwoordelijke.” 42. De advocaat-generaal (‘AG’) bij de zaak Breyer / Duitsland schrijft in dit kader in diens conclusie (onderstrepingen gemeente)10: “63.

De kern van de vraag is dus of het, om de dynamische IP-adressen als persoonsgegevens te kwalificeren, van belang is dat een heel specifieke derde – de internetprovider – over aanvullende gegevens beschikt die het in combinatie met die IP-adressen mogelijk maken de gebruiker te identificeren die een bepaalde website heeft bezocht. […] 65. Deze zeer ruime uitlegging zou er in de praktijk toe leiden dat elke soort informatie als een persoonsgegeven wordt aangemerkt, ook al is die op zichzelf onvoldoende om de identificatie van een gebruiker mogelijk te maken. De mogelijkheid dat er een derde is die aanvullende gegevens bezit die met die informatie kunnen worden gecombineerd en daarom geschikt zijn om de identiteit van een persoon te onthullen, kan nooit met absolute zekerheid worden uitgesloten.

9 HvJEU 19 oktober 2016, ECLI:EU:C:2016:779 (Breyer/Duitsland), JBP 2016/82, aflevering 1, 2016, m.nt. J.A.N. Baas. 10 Concl. A-G M. Campos Sánchez-Bordona, bij HvJEU 19 oktober 2016, ECLI:EU:C:2016:779 (Breyer/Duitsland).

10

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 66. Naar mijn mening rechtvaardigt de mogelijkheid dat de ontwikkeling van de techniek, in een meer of minder nabije toekomst, de weg vrijmaakt voor steeds verfijndere instrumenten om informatie te verkrijgen en te verwerken, de waarborgen waarmee de persoonlijke levenssfeer op voorhand wordt omringd. De Uniewetgever heeft er bij het vastleggen van de relevante rechtscategorieën op het gebied van gegevensbescherming voor gezorgd dat daaronder gedragingen vallen die voldoende ruim en flexibel zijn geformuleerd om elke denkbare situatie te dekken. 67. Ik ben echter van mening dat deze bezorgdheid – die trouwens heel legitiem is – er niet toe mag leiden dat de bewoordingen worden genegeerd waarin de wetgever zijn wil heeft uitgedrukt, en dat de systematische uitlegging van overweging 26 van richtlijn 95/46 zich moet beperken tot „de middelen waarvan mag worden aangenomen dat zij redelijkerwijs in te zetten zijn” door bepaalde derden. 68.

Net zoals overweging 26 niet doelt op elk middel dat door de voor de verwerking verantwoordelijke (in deze zaak de aanbieder van internetdiensten) in te zetten is, maar enkel op de middelen die deze „redelijkerwijs” zou kunnen inzetten, zo ook moet worden begrepen dat de wetgever met „derden” enkel diegenen bedoelt van wie, eveneens redelijkerwijs, mag worden aangenomen dat zij degenen zijn tot wie de voor de verwerking verantwoordelijke zich voor aanvullende gegevens voor de identificatie zal wenden. Dat zal niet gebeuren wanneer het contact met die derden in mankracht en in financiële zin feitelijk heel kostbaar, of praktisch ondoenlijk, of bij de wet verboden is. Anders zou het, zoals ik al eerder opmerkte, praktisch onmogelijk zijn om een onderscheid te maken tussen de verschillende middelen, want altijd is het denkbaar dat er een derde bestaat die – hoe onbenaderbaar hij ook voor de aanbieder van internetdiensten is – nu of in de toekomst kan beschikken over aanvullende gegevens die kunnen bijdragen tot de identificatie van een gebruiker.” 43. De A-G geeft dus eveneens aan dat bepaalde gegevens op zichzelf onvoldoende kunnen zijn om een individu te kunnen identificeren. Volgens de A-G mag het begrip persoonsgegeven niet zo ruim worden uitgelegd dat de bewoordingen, en dus de bedoelingen, van de wetgever worden genegeerd.

De wetgever heeft immers bedoeld dat er slechts sprake is van een persoonsgegeven als een individu aan de hand van redelijkerwijs in te zetten middelen kan worden geïdentificeerd aan de hand van aanvullende gegevens. Indien dat praktisch ondoenlijk is, dan is er geen sprake van een persoonsgegeven. 44. Hetgeen in dit kader met betrekking tot IP-adressen wordt geschreven, geldt volgens het college B&W Enschede evenzogoed voor MAC-adressen. De toepasselijkheid van de gegevensbeschermingswetgeving zou onevenredig worden opgerekt indien het enkele MAC-adres, zelfs in combinatie met een grof locatiegegeven, zonder meer als persoonsgegeven dient te worden behandeld. Een MAC-adres is hooguit een persoonsgegeven als deze onder omstandigheden – aan de hand van redelijkerwijs in te zetten middelen – kan worden gecombineerd met andere gegevens. Zoals eerder reeds toegelicht is er echter geen sprake van andere gegevens die met het MAC-adres kunnen worden gecombineerd waardoor identificatie van een individu mogelijk is. Daar komt bij dat de strekking van het arrest Breyer / Duitsland beperkt dient te worden tot de omstandigheden waarin gegevens worden verzameld met het oog op de toekomstige identificatie van betrokkenen. Dat is in het geval van de wifitellingen in Enschede echter onmogelijk.

Er wordt, anders dan in Breyer / Duitsland, geen lijst met MAC-adressen (of IP-adressen, zoals in Breyer / Duitsland het geval was) bijgehouden. Toekomstige identificatie is alleen om die reden al onmogelijk. De wifitellingen door Bureau RMC zijn nimmer gericht op identificatie van betrokkenen, maar slechts op het aggregeren van anonieme telgegevens over passanten en druktebeelden op een hoog niveau. In dat verband zijn er door Bureau RMC diverse maatregelen getroffen om identificatie onmogelijk te maken. Het is dan 11

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 ook redelijkerwijs niet mogelijk om de betrokkene op basis van diens MAC-adres in combinatie met aanvullende gegevens te identificeren. 2.3.2. MAC-adres niet herleidbaar 45. Het college van B&W Enschede stelt zich op het standpunt dat een enkel MAC-adres, zelfs in combinatie met het gegeven dat de eigenaar van het bijbehorende apparaat zich op een bepaald moment in – of beter gezegd: ‘buiten’, hetgeen we hierna verder zullen toelichten – een bepaald (sensor)gebied bevindt, in de onderhavige situatie geen tot een identificeerbaar individu herleidbaar gegeven is. 46. Zulks zou alleen kunnen als er sprake is van een MAC-adres in combinatie met locatiegegevens en aanvullende gegevens, die tot identificatie zouden kunnen leiden. In dit geval wordt het MAC-adres op de sensor direct gehasht en verstuurd. Het inzien van de MAC-adressen op de sensor zelf is feitelijk onmogelijk. De gemeente verwijst hiervoor kortheidshalve naar de technische uitleg die zij eerder in deze zienswijze gaf. Het MAC-adres kan derhalve niet herleid worden tot een individu. Zulks kan het ook niet, in combinatie met het (grove) locatiegegeven. 47. De AP meent in randnummer 118 van haar onderzoeksrapport onder meer uit het ‘Sensor-ID’ te kunnen afleiden dat heel precies de locatie van een mobiel apparaat kan worden herleid.

Er zou volgens haar dan ook sprake zijn van een locatiegegeven. Dit is feitelijk onjuist. Dat dit in de day-byday bussiness zo wordt genoemd is wellicht logisch, maar feitelijk te kort door de bocht. Het SensorID geeft op zich zelf namelijk niet aan waar de sensor zich exact bevindt (i.e. het adres). Deze informatie is in een andere tabel bij PFM opgeslagen. De data die worden verzonden vanaf de sensor hebben geen directe locatie gegevens bij zich. Het Sensor-ID is niet meer of minder dan een aanduiding van de sensor, het zegt nog niet waar de sensor zich exact bevindt. Bovendien komt het Sensor-ID pas voor het eerst in beeld bij het versturen van de gehashte MAC-adressen van de sensor naar de server. Door de gescheiden opslag kan koppeling van het Sensor-ID met het MAC-adres pas later in het telproces plaatsvinden. Vanaf dat moment is het MAC-adres echter niet meer voorhanden. Het MAC-adres wordt bij het versturen daarvan naar de server immers gehasht, en vervolgens getruncate. Identificatie, ook aan de hand van een zogenaamd locatiegegeven, kan derhalve niet plaatsvinden. Bovendien merkt het college van B&W Enschede op dat een Sensor-ID louter iets zegt over de locatie van de sensor zelf; derhalve niet de precieze locatie van de device, zoals hierna in de zienswijze nader zal worden toegelicht. 48.

Het locatiegegeven meent de AP af te kunnen leiden uit het feit dat het MAC-adres zich in het sensorgebied bevindt én de wifi-sterkte wordt opgevangen. Daarmee wordt de suggestie gewekt dat met de wifi-sterkte zou kunnen worden berekend waar iemand zich bevindt. Los van de vraag of zulks technisch mogelijk is, geldt dat dit in casu in ieder geval niet mogelijk is. Naar het college van B&W Enschede van Bureau RMC/PFM begrijpt, heeft een sensor in potentie een bereik van tot wel 70 meter rondom het meetpunt. Dat is anders dan de AP betoogt in nr. 19; volgens de AP zou een sensor een bereik van 20 à 30 meter hebben. De wifi-sterkte wordt door de sensor ook opgevangen, maar zulks geschiedt uitsluitend vanwege keuzes die men maakt welke wifi-sterktes wel mee tellen en welke niet. De wifi-sterktes worden niet gebruikt om de locatie van de device die het wifi-signaal uitstoot te bepalen of daar een indicatie van te krijgen. De wifi-sterkte is immers afhankelijk van een veelheid aan factoren. Zo begreep het college van B&W Enschede van Bureau RMC/PFM dat de sterkte alleen al per fabrikant kan verschillen. De locatie van de device die bij het MAC-adres hoort, kan door de sensor derhalve niet nauwkeurig worden bepaald. 49. Het MAC-adres in combinatie met dit (grove) ‘locatiegegeven’ kan derhalve evenmin tot identificatie van de betrokkene leiden. 50.

De AP merkt in randnummer 109 van haar onderzoek op dat herleidbaarheid plaats kan vinden aan 12

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 de hand van een identificator, zoals een MAC-adres. Zij concludeert daarbij dat het woord ‘kan’ in artikel 4 aanhef onder 1 AVG, impliceert dat identificatie door middel van die identificator niet daadwerkelijk plaats hoeft te vinden. Daar gaat de AP in de ogen van het college van B&W Enschede echter te kort door de bocht. Door deze conclusie op deze manier te trekken, doet de AP alsof er per definitie sprake is van een tot een identificeerbaar individu herleidbaar gegeven, zodra er sprake is van een identificator, ongeacht of die identificatie plaatsvindt of niet. Dat is in de ogen van het college van B&W Enschede een onjuiste opvatting, die bovendien direct in strijd is met de aard van de definitie van ‘persoonsgegeven’. Iets is per definitie immers pas een persoonsgegeven als dit gegeven herleidbaar is tot een natuurlijk persoon, i.c. dus als identificatie uiteindelijk mogelijk is. 51. Het enkele feit dat de eigenaar van een device zich in (of juist buiten) een bepaald gebied bevindt – met een straal vanaf in potentie 70 meter rondom het meetpunt, hetgeen verderop in deze zienswijze zal worden gevisualiseerd –, is onvoldoende om als een concreet locatiegegeven te kunnen worden aangemerkt. 52.

Op grond van het voorgaande concludeert de gemeente dat er geen sprake is van verwerking van persoonsgegevens, nu er op de sensor geen tot individuen herleidbare informatie wordt opgeslagen of verwerkt. 2.4.

Gepseudonimiseerde / geanonimiseerde gegevens en leefpatronen ook geen persoonsgegevens 53. De AP meent dat ook op basis van de gepseudonimiseerde / geanonimiseerde gegevens leefpatronen kunnen worden gemaakt die herleidbaar zouden kunnen zijn tot een individu. De gemeente meent dat ook daar geen sprake van is. Dat licht ze in het hiernavolgende graag toe. 54. Allereerst iets over anonimiseringstechnieken. De AP gaat in randnummer 113 van haar rapport in op de anonimiseringstechnieken. Vervolgens concludeert zij dat de technieken die RMC toepast, niet kunnen worden aangemerkt als anonimiseringstechnieken. Van anonimisering kan in de ogen van de gemeente uitsluitend sprake zijn indien het gegeven dat geanonimiseerd wordt, zelf niet anoniem is. Het MAC-adres op zichzelf, maar ook in combinatie met een locatiegegeven is, aangezien de herleidbaarheid tot een individu in casu niet mogelijk dan wel praktisch ondoenlijk is, geen persoonsgegeven. Het risico op re-identificatie, zoals de AP dat in randnummer 113 van haar rapportage ziet, is derhalve non-existent. In casu is er sprake van one way hashing. Het terug herleiden van een eenmaal gehasht MAC-adres is (praktisch) onmogelijk. Zulks zou zo onevenredig veel rekenkracht vergen, zo duur en ingewikkeld zijn, dat daar geen sprake van kan zijn. 2.4.1. Opvangen, hashen en versturen MAC-adressen door sensor 55.

Zoals hiervoor uitgelegd en zoals de AP ook concludeert, is er sprake van een tweetal momenten waarop de gehashte MAC-adressen door de sensor worden verstuurd naar de server. Het zogenoemde status 1-moment, is het moment waarop het MAC-adres voor het eerst wordt waargenomen door de sensor. De passant die de device behorend bij dat MAC-adres bij zich draagt, komt dan het meetgebied binnen. Op het moment dat het MAC-adres op de sensor verschijnt, wordt deze direct gehasht en vervolgens verstuurd naar de server. Waar het gehashte gegeven als status 1 moment wordt opgeslagen in het tijdelijke cache-geheugen van de server. 56. Op het moment dat het desbetreffende MAC-adres 2 minuten niet meer wordt opgepikt door de sensor, wordt het MAC-adres (onmiddellijk) opnieuw gehasht en als status 2-moment naar de server gestuurd. Het MAC-adres bevindt zich dan niet meer op de sensor. 57. Pas op dat moment bevindt zich in het cache-geheugen van de server een telbaar gegeven (1 passant). Anders gezegd 1 passant = status 1 + status 2. Dit cache-geheugen wordt iedere 5 minuten ‘geleegd’ doordat de status 1 en status 2 tellingen worden weggeschreven in de database van de 13

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 server. 58. Pas vanaf dat moment, dus het moment dat het telbare gegeven zich in de korte termijn tabel bevindt, zou men in theorie toe kunnen komen aan het maken van leefpatronen zoals de AP die in figuren 7, 8, 9 en 10 van het rapport op tekent. 2.4.2. Conclusie AP 59. De AP concludeert dat uit de gehashte en getruncate gegevens ook leefpatronen gedestilleerd kunnen worden die op zichzelf te herleiden zijn tot een individu. De gemeente is niet zonder meer met de AP oneens dat in theorie een leefpatroon gemaakt zou kunnen worden. Al spreken daar in casu ook een aantal argumenten tegen, die verderop in deze zienswijze worden uitgewerkt. De gemeente is echter van mening dat herleidbaarheid naar een individu op basis van een leefpatroon in casu niet mogelijk is. De gemeente neemt AP daarvoor graag mee in de chronologie en het tijdsverloop van een telling. 2.4.3. Leefpatroon onbetrouwbaar 60. De leefpatronen die de AP uit de tellingen meent te kunnen abstraheren (figuren 7, 8, 9 en 10 van het rapport) kunnen ook niet tot identificatie van een natuurlijke persoon leiden omdat deze leefpatronen potentieel onbetrouwbaar zijn. 61. Nu real-time identificatie, zoals hierna door de gemeente uitvoerig uiteen zal worden gezet, niet plaats kan vinden, zou identificatie in de toekomst moeten plaatsvinden.

Dat kan alleen als de AP uitgaat van de aanname dat een bepaald patroon zich ook in de toekomst zal voordoen. In de ogen van het college B&W van Enschede kan dat nooit de basis van een reële, indirecte, identificatie zijn. En al helemaal niet voor 1,8 miljoen unieke bezoekers. De AP stelt in haar onderzoeksrapport in nr. 104 dat er sinds 25 mei 2018 jaarlijks van grofweg 1,8 miljoen unieke betrokkenen zouden zijn verwerkt. Dit betekent echter niet dat ook van 1,8 miljoen mensen een leefpatroon vast te stellen is. Profilering is immers alleen mogelijk als er van een pseudoniem meerdere tellingen worden verzameld. Naar de gemeente begreep worden in casu de meeste tellingen gedaan op basis van eenmalige tellingen. Zulks geldt voor om en nabij 70% van de tellingen. 62. Daarnaast kan er in de leefpatronen die de AP meent te kunnen abstraheren, theoretisch overlap plaatsvinden van meerdere devices, vanwege de truncating van de gehashte waarden. Het is niet op voorhand uit te sluiten dat twee of meer gehashte, en vervolgens getruncate, gegevens, dezelfde waarde krijgen. Dat zou betekenen dat het in theorie mogelijk is dat diezelfde waarde door de AP als één ‘individu’ wordt gezien en dus ten onrechte aan het leefpatroon van één persoon worden toegevoegd. 63.

Voorts geldt dat niet alleen individuen devices met een MAC-adres bij zich hebben, maar dat zich ook diverse overige devices zoals pinapparaten, smart tv’s en printers in het gebied kunnen bevinden. De mogelijkheid bestaat dat deze devices geteld worden, waardoor zij uiteindelijk ten onrechte als een individu worden aangemerkt door de AP in een van de geschetste leefpatronen. 2.4.4. Geen reële identificatiemogelijkheid 64. Belangrijker is echter dat de leefpatronen, al zouden ze betrouwbaar zijn (quod non), niet herleidbaar zijn tot een individu en derhalve niet als persoonsgegeven aangemerkt kunnen worden. 65. Deze enige mogelijke wijze van identificatie die de AP schetst, is identificatie door een medewerker van Bureau RMC/ PFM ter plaatse dan wel via camerabeelden op afstand. Deze enige identificatiemogelijkheid (door de AP als reële mogelijkheid aangenomen in de randnummers 127, 128, 129 van haar rapport), is onwerkbaar of sterker nog: onmogelijk. 14

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 66. Zo geeft de AP in randnummer 127 van haar onderzoek aan, dat ter controle het MAC-adres van een device die een persoon bij zich heeft, aan die persoon gevraagd zou moeten worden. Voorop staat dat – als die persoon al gevonden kan worden binnen een straal van minimaal 20 tot in potentie 70 meter rondom het meetpunt en dan nog eens binnen de drukte van dat moment – die persoon helemaal niet gediend zal zijn van het verzoek om het MAC-adres van zijn smartphone op te geven. De ongepastheid van een dergelijk verzoek geeft op zich al aan dat de mogelijkheid zoals de AP die schetst, niet meer dan een theoretische is. Bovendien geldt dat Bureau RMC/PFM helemaal geen MAC-adres tot haar beschikking heeft om dat MAC-adres te verifiëren. Het MAC-adres wordt immers direct gehasht en later geanonimiseerd. Het MAC-adres wordt bovendien niet vastgelegd in een lijst of bijv. een database, waardoor identificatie en controle achteraf niet plaats kan vinden. 2.4.5. Geen (realtime) identificatie mogelijk 67. Een telling van een passant, ook wel een ‘streepje’ in de door de AP gemaakte ‘leefpatronen’, wordt in het snelste geval pas een aantal minuten nadat de persoon aan wiens device het MAC-adres toebehoort het sensorgebied heeft verlaten, geregistreerd.

De AP geeft aan dat aan de hand van de leefpatronen, ook al komen deze voort uit gepseudonimiseerde en geanonimiseerde gegevens, identificatie plaats zou kunnen vinden door ter plaatse te gaan posten om te kijken welke persoon daar op dat moment loopt. Deze oplossing is echter absurd en technocratisch. Identificatie ter plaatse (dan wel per camera op afstand) kan niet plaatsvinden. 68. De gegevens worden niet realtime geteld door Bureau RMC/PFM. In dat kader verwijst de gemeente naar de visualisatie die zij eerder in deze zienswijze gaf, van het tijdsverloop tijdens het doorgeven van de telling van de sensor naar de server (status 1 en status 2). Realtime identificatie, toch echt noodzakelijk om een natuurlijk persoon te kunnen identificeren en ook het enige voorbeeld van identificatie dat de AP in haar rapport geeft, kan domweg niet plaatsvinden vanwege de vertraging die zich in de telsystematiek voordoet. 69. De gemeente geeft graag een voorbeeld om haar stelling kracht bij te zetten. De status 2-melding komt pas na 2 hele minuten nadat de device het meetgebied heeft verlaten, in het cachegeheugen van de server. Dat cachegeheugen wordt vervolgens in een cyclus van 5 minuten geleegd.

Dat betekent dat de passantentelling behorend bij een status 1 én status 2, en dus een ‘streepje’ van het leefpatroon zoals de AP dat inzichtelijk heeft gemaakt, pas tussen een minuut of 3 en maximaal 7 minuten in de korte termijn tabel verschijnt. Pas vanaf dat moment zou men, zoals de AP doet, een streepje kunnen zetten dat een opmaat zou kunnen zijn naar een leefpatroon. 70. Ervan uitgaande dat een medewerker van Bureau RMC/PFM direct nadat de telling in de korte termijn tabel wordt geregistreerd, in die tabel zou kijken en vervolgens direct een camera zou inschakelen om in het desbetreffende gebied te kijken, teneinde een poging te doen om de eigenaar van de device te identificeren, is die eigenaar al minimaal 3 minuten (tot wel 7 minuten) uit het sensorgebied. Anders dan de AP kennelijk lijkt te veronderstellen kan realtime identificatie alleen al vanwege het verloop van tijd niet plaatsvinden, ook niet met een camera op afstand. Bovendien kan met een camera niet achterhaald worden of die persoon ook daadwerkelijk een device heeft die een MAC-adres heeft dat correspondeert met het gehashte en getruncate (!) gegeven dat tot de telling heeft geleid. Ten overvloede; die identificatie kan ook niet ter plekke plaatsvinden omdat het desbetreffende MAC-adres Bureau RMC/PFM op dat moment niets meer zegt. Zij hebben dat MACadres immers niet (!). 2.4.6.

Zoekgebied te groot om redelijkerwijs te kunnen identificeren 71. Daarnaast is het zoekgebied domweg te groot. Alleen daarom al kan identificatie niet plaatsvinden. Het is niet zo dat, anders dan de AP lijkt te suggereren, op enigerlei wijze de exacte locatie van de device behorend bij het opgevangen MAC-adres, kan worden herleid. Die informatie ontvangt de sensor immers niet. Ook de wifi-sterkte (informatie die wel wordt opgevangen) maakt dat, zoals 15

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 eerder uitgelegd, niet anders. Zoals hiervoor aangegeven, kunnen de sensoren in potentie een radius hebben van tot wel 70 meter. Dat is potentieel een enorm zoekgebied, waarbij dus geldt dat de desbetreffende, te identificeren, passant zich daar dus niet meer bevindt.11 72. Voorts zal die passant in de regel niet net buiten het sensor-gebied stil gaan staan. Men moet er rekening mee houden dat hij zich voortbeweegt. De gemiddelde wandelsnelheid is 4 tot 5 kilometer per uur. Dat betekent dat deze passant ruim 66 respectievelijk 83 meter per minuut kan lopen. In onderstaande illustraties geven wij weer hoe ver deze desbetreffende passant in potentie verwijderd kan zijn van sensor, sinds hij het sensorgebied verlaten heeft. De illustraties spreken ons inziens voor zich. Identificatie is redelijkerwijs niet mogelijk.12

11 Anders zou de status 2 immers niet worden bereikt en zou er dus geen telling/streepje geregistreerd kunnen worden op

basis waarvan een poging tot identificatie gedaan zou moeten worden. 12 In onderstaande afbeeldingen houden we rekening met verschillende parameters, zo schetsen wij de situatie dat de passant 4 km per uur loopt en de situatie dat hij 5 km per uur loopt. Tevens houden wij rekening met de tijd sinds het verlaten van het sensorgebied. Zo gaan wij uit van het snelste scenario sinds het verlaten van het sensorgebied (3 minuten), en het langste scenario (7 minuten), alvorens de telling wordt geregistreerd. Daarnaast houden wij rekening met het verschil in sensorbereik van minimaal 20 tot in potentie 70 meter. Ter info: de sensorplekken zijn in deze illustraties willekeurig gekozen en komen niet noodzakelijkerwijs overeen met de plaatsen waar de sensoren daadwerkelijk zijn geïnstalleerd. Een en ander is uitsluitend ter illustratie. Daarbij geldt dat voor de kaarten waarin de 7-minutensituatie wordt inzichtelijk gemaakt, is uitgezoomd ten opzichte van de kaart voor de 3-minutensituatie. Anders zouden de cirkels buiten het kader komen. Er is derhalve sprake van een verschillende schaal tussen de beide varianten (3 minuten enerzijds, 7 minuten anderzijds).

16

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 2.5.

Overzichten verspreiding betrokkenen – mogelijkheid identificatie

73. Voorbeeld 1: locatie sensor Oude Markt Enschede ter hoogte van Café Bluff, sensorbereik 70 meter, passant is minimaal 3 minuten weg uit de cirkel(s) -

Bereik sensor 70 meter (1e cirkel) Gemiddelde wandelsnelheid volwassene: 4 – 5 km/u

-

4000 meter (4 km) / 60 minuten = 67,67 meter per minuut 66,67 meter x 3 minuten = 200 meter (2e cirkel; 200 meter + 70 meter)

-

5000 meter (5 km) / 60 minuten = 83,33 meter per minuut 83,33 meter x 3 minuten = 250 meter (3e cirkel; 250 meter + 70 meter)

17

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 74. Voorbeeld 2: locatie sensor Oude Markt Enschede ter hoogte van Café Bluff, sensorbereik 70 meter, passant is minimaal 7 minuten weg uit de cirkel(s) -