zienswijze wifitellingen Enschede14 juli 2020

Met bedrijfsmatig wordt bedoeld: ‘het operationeel draaiende houden van de organisatie c.q. (in casu) de gemeente als (ondernemende) entiteit. Het voorbeeld dat hierbij gegeven wordt onderstreept, maar is niet meer dan een expliciet voorbeeld om het onderscheid met de grondslag van artikel 6 sub e AVG nader aan te duiden. ‘Typisch bedrijfsmatige handelingen’ staat bovendien expliciet tussen aanhalingstekens, hetgeen betekent dat zulks ruim opgevat moet worden. 149. Vallen de verwerkingen in het kader van wifitellingen in de Enschedese binnenstad wel of niet binnen de uitoefening van de overheidstaken van de gemeente Enschede? De AP spreekt zichzelf in dit verband tegen. Zij stelt in dit verband enerzijds onder randnummer 162 van haar onderzoeksrapport dat deze verwerkingen in het kader van gemeentelijke overheidstaken plaats vinden. Anderzijds stelt de AP onder randnummer 165 dat het college B&W Enschede voor deze verwerkingen geen beroep kan doen op de grondslag publieke taak ex artikel 6 lid 1 sub e AVG. Dat is in de ogen van de gemeente vreemd: het is hom of kuit. 150.

Indien en voor zover de AP van mening is dat de verwerkingen in het kader van wifitellingen in de Enschedese binnenstad niet vallen onder een publieke taak van algemeen belang – waardoor derhalve geen beroep mogelijk is op de grondslag ‘publieke taak’ ex artikel 6 lid 1 sub e AVG – dan kan er in dit verband ook geen sprake zijn van een aan de gemeente Enschede opgedragen overheidstaak, op grond waarvan haar geen beroep op artikel 6 lid 1 sub f AVG zou toekomen. Zulks spreekt elkaar immers direct tegen. In dat geval valt deze verwerking immers buiten de aan de gemeente Enschede opgedragen overheidstaak. De AP concludeert in dit verband in randnummers 164 en 165 van haar onderzoeksrapport dat de gemeente Enschede voor de verwerkingen in het kader van wifitellingen geen beroep kan doen op de publieke taak ‘het dagelijks bestuur’ ex artikel 160 Gemeentewet. 4.2.3. Gerechtvaardigd belang 151. Het college B&W Enschede is derhalve secundair van mening dat voor de verwerkingen in het kader van wifitellingen een beroep kan worden gedaan op de grondslag gerechtvaardigd belang. Ook de gemeente Breda beroept zich bij haar wifitellingen op de wettelijke grondslag ‘gerechtvaardigd belang’.34 Het doel van deze wifitellingen is, zoals de AP reeds onder randnummer 12 van haar onderzoeksrapport heeft aangehaald, onder meer als volgt:

34 https://www.breda.nl/wifi-sensoren-en-uw-privacy.

40

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 “De gemeente Enschede investeert veel in de binnenstad en wil de effecten hiervan kunnen meten. Dit doen we via de passantentellingen via sensoren die ons dagelijks inzicht geven in het aantal bezoekers en de bezoekersstromen in de binnenstad. Hiermee krijgen we een beeld van de aantrekkingskracht van onze binnenstad, van de invloed van ruimtelijke veranderingen in de binnenstad en van effecten van bijvoorbeeld evenementen, promotiecampagnes en winkeltijden. De tellingen via sensoren zijn ook interessante gegevens voor ondernemers die gevestigd zijn of die zich willen vestigen in de binnenstad en voor investeerders.” 152. Met dit doel worden diverse belangen van het college B&W Enschede, maar ook van ondernemers, investeerders en bezoekers in de binnenstad, behartigd. Al deze partijen hebben een belang bij een aantrekkelijke, leefbare en veilige binnenstad. Dit licht het college B&W Enschede hierna toe. 4.2.3.1. Gerechtvaardigd belang college B&W Enschede 153. Voor het college B&W Enschede is het van belang om te weten welke concrete en werkbare maatregelen zij kan/moet nemen om te zorgen voor een aantrekkelijke, leefbare en veilige binnenstad die economisch gezond is. Dat biedt voor het college B&W Enschede immers diverse bestuurlijke, organisatorische en politieke voordelen.

Een gezonde binnenstad leidt bijvoorbeeld tot meer inkomsten en werkgelegenheid voor de inwoners van Enschede, wat op hun beurt indirect leidt tot bijvoorbeeld minder gemeentelijke uitgaven met betrekking tot de bijstand. Daarnaast kan het college B&W Enschede bijvoorbeeld adequater bepalen of en waar verkeersregelaars moeten worden ingezet. 4.2.3.2. Gerechtvaardigde belangen ondernemers, investeerders en bezoekers binnenstad 154. Daarnaast hebben ondernemers die in de binnenstad zijn gevestigd dan wel zich willen vestigen een direct belang bij inzicht in de bezoekersaantallen en bezoekersstromen. Aan de hand daarvan kunnen zij adequater ondernemingsplannen opstellen, een geschikte vestigingslocatie voor hun onderneming selecteren en de openingstijden en personeelsbezettingen vaststellen. Ondernemers hebben tevens belang bij een aantrekkelijke binnenstad die veel bezoekers trekt. Meer bezoekers brengt immers potentieel meer omzet met zich mee. Ondernemers hebben in dit verband ook profijt van de inspanningen die de gemeente verricht om bijvoorbeeld nieuwe ondernemers op basis van concrete cijfers die volgen uit de wifitellingen over te halen zich te vestigen in de binnenstad van Enschede. Daarmee wordt onder meer leegstand in de binnenstad voorkomen. 155. Investeerders hebben eveneens belang bij inzicht in de rapportages die voorspruiten uit de wifitellingen.

Met die rapportages hebben zij inzage in het potentieel dat de Enschedese binnenstad heeft te bieden. Op basis daarvan kunnen de investeerders beter besluiten waarin zij willen investeren. Voor het college B&W Enschede slaat dit inzicht bij de investeerders twee vliegen in een klap. Doordat het voor investeerders op basis van dergelijke rapportages aantrekkelijker wordt gemaakt om te investeren, kan de Enschedese binnenstad nog aantrekkelijker worden. De investeringen komen immers ten goede aan de binnenstad. Indirect kunnen dergelijke investeringen zelfs leiden tot een verbetering van de leefbaarheid en veiligheid in de binnenstad. 156. Oók de (potentiële) bezoekers en winkelend publiek hebben belang bij wifitellingen. De maatregelen die door het college B&W Enschede worden getroffen, de vestiging van en activiteiten door ondernemers alsmede de investeringen door investeerders komen uiteindelijk ook ten goede aan hen. Zij kunnen in een aantrekkelijke, leefbare en veilige binnenstad lopen, winkelen, recreëren en gebruikmaken van de horeca. 157. Tot slot, hebben (potentiële) inwoners, zoals studenten ook belang bij een aantrekkelijke, levendige en bruisende binnenstad. Bij de afweging of zij zich in Enschede zullen vestigen speelt de leefbaarheid van de stad evident een rol. Zulks gaat vergrijzing tegen, hetgeen op zichzelf weer een belang van de gemeente is. 41

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 -

4.2.3.3. Afweging belangen in relatie tot de inbreuk op privacy betrokkenen 158. Het verzamelen van informatie over bezoekersaantallen en bezoekersstromen in het kader van wifitellingen is zoals hiervoor uitvoerig betoogd een gerechtvaardigd belang voor het college B&W Enschede, de ondernemers, investeerders, bezoekers en inwoners. De AP heeft in de Bluetrace-zaak erkend dat er sprake kan zijn van een gerechtvaardigd belang voor het verzamelen van dergelijke informatie.35 159. In tegenstelling tot het standpunt van de AP in haar onderzoeksrapport, wordt met de verwerkingen in het kader van wifitellingen wél voldaan aan het noodzakelijkheidsvereiste. De wifitellingen zijn namelijk noodzakelijk om de hiervoor beschreven belangen die worden nagestreefd te verwerkelijken. Het is niet mogelijk om deze informatie op een minder ingrijpende wijze te verzamelen. De gemeente Enschede heeft in het verleden immers reeds regelmatig met de hand passantentellingen uitgevoerd. Dat bleek echter erg arbeidsintensief, betrof een momentopname en was kostbaar en leverde onvoldoende betrouwbare resultaten op om goede conclusies uit de tellingen te kunnen trekken. Bovendien blijkt dat met alternatieve telmethodes, dubbelingen niet voorkomen kunnen worden. Met wifitellingen kunnen er veel duurzamere, efficiëntere en betrouwbaardere resultaten worden verzameld. 160.

De AP geeft verder onder randnummer 167 van haar onderzoeksrapport andere voorbeelden van alternatieven aan voor wifitellingen, zoals het uitvoeren van marktonderzoek of het verzamelen van omzetgegevens. De AP gaat daarmee echter voorbij aan het feit dat dergelijke methoden andere, minder nauwkeurige, resultaten opleveren dan informatie over bezoekersaantallen en bezoekersstromen aan de hand van wifitellingen. Bovendien zegt de AP niets over de wijze waarop bijvoorbeeld een dergelijk marktonderzoek zou moeten worden uitgevoerd. Voorshands valt niet in te zien waarom een marktonderzoek minder (veronderstelde) impact op de privacy van passanten zou hebben. Om uit een marktonderzoek aantallen bezoekers te kunnen halen, ontkomt degene die het onderzoek uitvoert er immers niet aan dat hij individuen telt, op welke wijze dan ook. Niet valt in te zien waarom de AP meent dat de gemeente voor zo’n onderzoek dan wel een wettelijke grondslag zou hebben en voor de gekozen telwijze (wifitellingen) niet. De AP kan in de ogen van de gemeente niet volstaan met het simpelweg benoemen van een aantal alternatieven, zonder aan te geven waarom die alternatieven geschikter of minder impactvol zouden zijn. De alternatieven die de AP aanreikt, voldoen in de ogen van de gemeente om verschillende redenen niet.

Zo schreef de gemeente al eerder in deze zienswijze hoe zij aankijkt tegen handmatige tellingen. 161. Bovendien heeft de gemeente als alternatief overwogen te tellen via de wifizenders die gratis wifi bieden voor bezoekers van de binnenstad. De gemeente heeft echter van dat alternatief afgezien, onder meer omdat zij de huidige wijze van tellen betere waarborgen vond hebben voor de bescherming van de privacy van de bezoekers. In het alternatief zou er immers geteld worden via een openbaar wifinetwerk, met alle mogelijke beveiligingsrisico’s van dien. Deze afweging toont aan dat de gemeente een weloverwogen besluit heeft genomen de tellingen uit te laten voeren zoals Bureau RMC dat thans doet. Aan het vereiste van proportionaliteit en subsidiariteit bij de belangenafweging van artikel 6 lid 1 sub f AVG, is derhalve voldaan. 162. Daar komt bij dat Bureau RMC allerlei maatregelen heeft getroffen die met zich meebrengen dat aan het vereiste van proportionaliteit en subsidiariteit wordt voldaan. Zo heeft Bureau RMC onder meer de volgende maatregelen getroffen om 1) te voorkomen dat er in het kader van wifitellingen überhaupt individuen kunnen worden geïdentificeerd en om 2) te bewerkstelligen dat er zorgvuldig wordt omgegaan met de verwerkte gegevens: 35 CBP, Wifi-tracking van mobiele apparaten in en rond winkels door Bluetrace, z2014-00944, 13 oktober 2015,

https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/rapport_db_bluetrace.pdf, p. 40.

42

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 -

-

-

-

Er wordt hashing en truncating toegepast op de MAC-adressen; Alleen gehashte MAC-adressen worden naar de server gestuurd; Het originele MAC-adres wordt direct op de sensor verwijderd; Er wordt slechts gebruik gemaakt van een werkgeheugen op de sensor, waardoor toegang tot de MAC-adressen op de sensor onmogelijk c.q. praktisch ondoenlijk is; De gehashte MAC-adressen komen op de server eerst binnen in een korte termijntabel; In de korte termijntabel wordt het gehashte MAC-adres afgeknipt en worden de opt-out- en bewonersfilters toegepast. Bureau RMC biedt in dat verband dan ook een effectieve optoutmogelijkheid; Pas daarna gaan de overgebleven gehashte en afgeknipte MAC-adressen naar de lange termijntabel op de server; Bureau RMC maakt gebruik van gescheiden databases voor de korte en lange termijn tabel, zodat een koppeling tussen de beide tabellen niet zonder meer mogelijk is; Op basis van de verzamelde gegevens aggregeert Bureau RMC statistische rapportages over bezoekersaantallen en druktebeelden die aan de gemeente Enschede worden verstrekt. Bureau RMC levert in dat verband geen persoonsgegevens aan de gemeente Enschede; Bureau RMC heeft een bewaartermijn van 6 maanden vastgesteld voor de verzamelde gegevens in de lange termijn tabel. Na verloop van deze termijn worden de opgeslagen gegevens verwijderd.

163. Al met al zijn er in dit verband zeer concrete en adequate maatregelen getroffen door Bureau RMC. Daar komt bij dat Bureau RMC omstreeks 2016 reeds heeft gecorrespondeerd met de AP over haar werkwijze in het kader van wifitellingen. In dat kader heeft Bureau RMC de door de AP verstrekte aanwijzingen opgevolgd. Bureau RMC kon in dat verband – mede doordat de AP nadien niets meer van zich heeft laten horen – ervan uitgaan dat haar werkwijze in overeenstemming is met de privacywet- en regelgeving en bovendien is goedgevonden door de AP. Het bevreemdt dan ook dat de AP nu – na langere tijd niets van zich hebben laten horen – zich op het standpunt stelt dat deze werkwijze niet in lijn zou zijn met de AVG. 164. Het college B&W Enschede acht het verder nog van belang dat zijzelf steeds heeft gestuurd op het waarborgen van privacy. Uit het besluit van 5 september 2017 – waarin werd besloten om te starten met wifitellingen – blijkt alleen al dat het college B&W Enschede privacy hoog in het vaandel heeft staan. Het college is in dat verband steeds afgegaan op de deskundigheid van Bureau RMC. Bureau RMC heeft haar herhaaldelijk aangegeven dat haar wifitellingstechniek in overeenstemming is met de AVG en dat de gemeente geen persoonsgegevens ontvangt.

Het college B&W Enschede heeft zich daarnaast ook proactief opgesteld door – naar aanleiding van het nieuwsbericht van de AP over wifitracking d.d. 30 november 2018 – bij Bureau RMC te informeren over de gekozen anonimiseringsen/of pseudonimiseringsmethode. In dit kader heeft het college zelfs besloten om de wifitellingen door Bureau RMC in de Enschedese binnenstad tijdelijk te pauzeren, totdat Bureau RMC het college ervan heeft verzekerd dat haar wifitellingswerkwijze niet in strijd is met de AVG en dat de verzamelde gegevens worden gepseudonimiseerd c.q. geanonimiseerd. Zoals eerder in deze zienswijze beschreven is het college B&W Enschede hierbij steeds afgegaan op de deskundigheid van Bureau RMC als professioneel opdrachtnemer. Verder informeert de gemeente Enschede iedereen, die de binnenstad van Enschede betreedt, actief middels waarschuwingsborden over de wifitellingen. De betrokkenen worden eveneens via de website van de gemeente Enschede hierover geïnformeerd. In dat verband verwijst de gemeente voor meer informatie naar de website van Bureau RMC. Kortom, het college B&W Enschede heeft – gezien haar beperkte rol als opdrachtgever – alles, zo niet zelfs meer dan juridisch gezien strikt genomen vereist zou zijn, eraan gedaan om ervoor te zorgen dat Bureau RMC met betrekking tot de wifitellingen zorgvuldig wordt omgegaan met de privacy van betrokkenen. 43

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 165. Gelet op het vorenstaande is, met betrekking tot de te maken belangenafweging bij de grondslag gerechtvaardigd belang, de inbreuk op de persoonlijke levenssfeer van individuen dan ook terug gebracht tot nihil. 4.2.4. Conclusie 166. Het college B&W Enschede concludeert op basis van het voorgaande dan ook dat zij voor de verwerking in het kader van wifitellingen een beroep kan doen op de grondslag gerechtvaardigd belang ex artikel 6 lid 1 sub f AVG. 5. RELEVANTE FACTOREN HANDHAVING 167. Indien en voor zover uw Autoriteit desondanks mocht oordelen dat het college B&W Enschede op onrechtmatige wijze – zonder een grondslag ex artikel 6 AVG – persoonsgegevens verwerkt in het kader van wifitellingen, wenst het college B&W Enschede ten aanzien van een eventueel door uw Autoriteit op te leggen handhavingsmaatregelen uitdrukkelijk op het volgende te wijzen. 5.1. Juridisch kader bestuurlijke boete 168. De AP dient bij het opleggen van een eventuele bestuurlijke boete en de hoogte daarvan rekening te houden met de in artikel 7 van de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (hierna: de ‘Boetebeleidsregels’) en artikel 83 lid 2 AVG genoemde factoren. De volgende factoren zijn volgens de gemeente van belang (onderstrepingen college B&W Enschede): “a.

de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade; b. de opzettelijke of nalatige aard van de inbreuk; c. de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken; […] e. eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker; f. de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken; g. de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft; […] k. elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.” 169. Daarnaast bepaalt artikel 5:46 lid 2 van de Algemene wet bestuursrecht (onderstrepingen college B&W Enschede): “Tenzij de hoogte van de bestuurlijke boete bij wettelijk voorschrift is vastgesteld, stemt het bestuursorgaan de bestuurlijke boete af op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Het bestuursorgaan houdt daarbij zo nodig rekening met de omstandigheden waaronder de overtreding is gepleegd.” 170.

In artikel 8 lid 1 van de Boetebeleidsregels wordt voorts bepaald (onderstreping college B&W Enschede): “Indien de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat, kan de Autoriteit Persoonsgegevens bij het bepalen van de hoogte van de boete de boetebandbreedte van de naast hogere categorie respectievelijk de boetebandbreedte van de naast lagere categorie toepassen.” 44

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 -

171. Tot slot wenst het college B&W te wijzen op het bepaalde in artikel 9 van de Boetebeleidsregels (onderstrepingen college B&W Enschede): “Bij het vaststellen van de boete houdt de Autoriteit Persoonsgegevens zo nodig rekening met de financiële omstandigheden waarin de overtreder verkeert. In geval van verminderde of onvoldoende draagkracht van de overtreder kan de Autoriteit Persoonsgegevens de op te leggen boete verdergaand matigen, indien, na toepassing van artikel 8.1 van de beleidsregels, vaststelling van een boete binnen de boetebandbreedte van de naast lagere categorie naar haar oordeel desalniettemin zou leiden tot een onevenredig hoge boete.” 5.2.

Verlagende factoren bestuurlijke boete; factoren last onder dwangsom en overige maatregelen 172. In dit kader betoogt het college B&W Enschede dat er sprake is van een aantal factoren die met zich meebrengen dat de hoogte van een eventueel op te leggen bestuurlijke (basis)boete dient te worden verlaagd. Gelet op de feitelijke omstandigheden is het volgens het college B&W Enschede onredelijk om haar de in de Boetebeleidsregels bedoelde (basis)boete op te leggen, laat staan om deze zelfs maar te verhogen. Het college B&W Enschede licht dit nader toe. Mede op grond van de navolgende factoren stelt het college B&W Enschede zich eveneens op het standpunt dat het niet redelijk is om aan haar een last onder dwangsom en/of andere handhavende maatregelen op te leggen, dan wel dient er in dat geval in ieder geval rekening te worden gehouden met de genoemde factoren. 5.2.1. Geen persoonsgegevens c.q. gevoeligheid verwerkte (persoons)gegevens 173. In de eerste plaats wijst het college B&W erop dat zij nimmer persoonsgegevens ontvangt in het kader van de wifitellingen. Het college ontvangt slechts anonieme, geaggregeerde rapportages van Bureau RMC. In het kader van wifitellingen houdt de gemeente Enschede dan ook geen persoonsgegevens onder zich noch verschaft zij zich toegang tot persoonsgegevens. 174.

In de tweede plaats wijst het college B&W Enschede erop dat de verwerkingen van gegevens in het kader van wifitellingen volledig plaatsvinden bij Bureau RMC en/of PFM; Enschede beschikt niet, noch beschikte over persoonsgegevens . In dat verband heeft het college eerder in deze zienswijze, toegelicht dat zij zich primair op het standpunt stelt dat er ook bij Bureau RMC en/of PFM geen persoonsgegevens worden verwerkt. Identificatie van individuen aan de hand van de verwerkte gegevens is namelijk niet mogelijk. Bureau RMC heeft in dat kader allerlei maatregelen getroffen om dat te bewerkstelligen. Bovendien heeft Bureau RMC in het verleden de aanwijzingen van de AP opgevolgd over de wijze van anonimiseren c.q. pseudonimiseren van de gegevens rondom wifitellingen. 175. Het (indirect) identificeren van individuen is dan ook, zoals eerder uiteengezet, praktisch ondoenlijk. Het college van B&W Enschede is dan ook steeds ervan uitgegaan dat Bureau RMC geen persoonsgegevens verwerkt in het kader van wifitellingen, althans dat de verwerking van persoonsgegevens door Bureau RMC in overeenstemming met de AVG plaats vindt. 176. Het college B&W Enschede meent dan ook dat zij steeds te goeder trouw heeft gehandeld en te goeder trouw ervan uit mocht gaan dat zij geen persoonsgegevens verwerkt in het kader van wifitellingen.

Daarnaast heeft de gemeente Enschede het waarborgen van privacy altijd belangrijk gevonden. Zulks blijkt al uit het allereerste besluit van het college van B&W Enschede om de wifitellingsmethode te gebruiken.36 Dat is ook de reden waarom het college B&W Enschede in december 2018 – na de publicatie van AP over wifitracking van 30 november 2018 – direct de wifitellingen in de Enschedese binnenstad heeft gepauzeerd. Zij heeft daarbij gelijk bij Bureau RMC 36 Besluit college B&W inzake start 24/7 passantentellingen met sensoren in de binnenstad d.d. 5 september 2017.

45

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 nagevraagd of de wifitellingen anoniem waren of zouden moeten zijn. Pas nadat Bureau RMC maatregelen had genomen om de gepseudonimiseerde MAC-adressen te anonimiseren via de truncate methode en het college ervan heeft verzekerd dat de wifitellingen op anonieme basis worden uitgevoerd en deze derhalve in lijn zijn met de regels uit de AVG, heeft het college de wifitellingen vanaf 1 januari 2019 weer laten hervatten.37 Het college B&W Enschede heeft dan ook steeds gestuurd op het waarborgen van privacy met betrekking tot de door Bureau RMC uitgevoerde wifitellingen. Dat is volgens het college aan te merken als een boeteverlagende omstandigheid, aangezien zij niet opzettelijk of bewust op onrechtmatige wijze persoonsgegevens verwerkt. Het college B&W Enschede heeft de privacy van haar burgers immers hoog in het vaandel staan. Daarnaast is het college B&W Enschede zeker niet nalatig geweest, gezien de getroffen maatregelen die tot doel hadden om louter anonieme gegevens te verwerken die niet herleidbaar zijn tot individuen. 177. Indien en voor zover uw autoriteit zich desondanks op het standpunt stelt dat er wel sprake is van persoonsgegevensverwerkingen in het kader van de wifitellingen, dan wijst het college B&W Enschede op de zeer beperkte mate van gevoeligheid van de verwerkte gegevens.

Er worden immers geen bijzondere en strafrechtelijke persoonsgegevens verwerkt. Daarnaast zou men in een uiterst geval – na met heel veel moeite een individu te hebben geïdentificeerd, de gemeente herhaalt dat zij meent dat zulks niet mogelijk is, maar toch – hooguit weten dat de betreffende betrokkene zich op enig moment in een bepaald deel van de stad bevond. Dat verschilt niet veel meer dan wanneer de gemeente Enschede een medewerker op een bepaald punt op straat zou laten posten die noteert dat de betreffende betrokkene zich daar heeft bevonden. De privacyimpact op de betrokkenen is dan in het uiterste geval ook erg beperkt. Gezien de zeer beperkte aard en ernst van de vermeende inbreuk op de AVG, meent het college B&W Enschede dan ook dat er sprake is van een boeteverlagende omstandigheid. Daar komt bij dat de betrokkenen geen schade hebben geleden. 5.2.2. Beperkte rol college B&W Enschede 178. De gemeente heeft eerder in deze zienswijze betoogd dat zij geen dan wel een beperkt aandeel heeft in de vermeende (persoonsgegevens)verwerkingen rondom de wifitellingen. De gemeente heeft immers slechts onder meer de opdracht voor de wifitellingen geïnitieerd en de locaties voor de sensoren in overleg met Bureau RMC aangewezen.

Verder heeft de gemeente geen persoonsgegevens onder zich en verkrijgt zij hooguit geaggregeerde en statistische – niet tot individuen herleidbare – informatie over de bezoekersaantallen in de Enschedese binnenstad. De gemeente heeft bovendien geen toegang tot deze (persoonsgegevens). De gemeente heeft ook geen dan wel beperkte invloed op onder meer de vraag welke persoonsgegevens er precies moeten worden verwerkt, op welke wijze de verwerking via haar wifitellingstechnieken geschiedt, etc. Het college van B&W Enschede vraagt zich dan ook af in hoeverre zij – gelet op dit beperkte aandeel – ten volle de verwerkingsverantwoordelijkheid voor de persoonsgegevensverwerkingen zou dragen. 179. Daarbij heeft het college B&W Enschede nimmer beoogd om persoonsgegevens te verwerken, maar louter het doel gehad om inzicht te verkrijgen in bezoekersaantallen in de Enschedese binnenstad. Het college B&W Enschede is bij deze opdrachtverstrekking aan Bureau RMC steeds afgegaan op de deskundigheid van Bureau RMC als professioneel opdrachtnemer. Zoals eerder in deze zienswijze beschreven heeft Bureau RMC herhaaldelijk aangegeven dat de gegevensverwerkingen in overeenstemming zijn met de regels uit de AVG en dat de gemeente Enschede nimmer persoonsgegevens zou ontvangen. Bureau RMC heeft zelfs aangegeven dat de verwerkte gegevens worden gepseudonimiseerd c.q.

geanonimiseerd en dat de werkwijze in dat kader voldoet aan richtlijnen van AP. Daar komt bij dat – zoals reeds toegelicht– de gemeente Enschede geen

37 Zie in dit verband onder meer de e-mailwisselingen tussen de gemeente Enschede en Bureau RMC in december 2018

naar aanleiding van het nieuwsbericht d.d. 30 november 2018 van de AP over wifitracking.

46

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 beslissende invloed heeft gehad op de verwerking van persoonsgegevens. Zij bepaalde feitelijk geen doel en middelen van de persoonsgegevensverwerking. 180. Als uw Autoriteit mocht menen dat er sprake is van (gezamenlijke)verwerkingsverantwoordelijkheid van Enschede en Bureau RMC, dan zullen de op te leggen maatregelen in de ogen van de gemeente ook naar rato gedeeld moeten worden. 181. Kortom, het college B&W heeft geen dan wel slechts een zeer beperkt aandeel en verantwoordelijkheid gehad met betrekking tot de verwerking van persoonsgegevens in het kader van wifitellingen. Daar komt bij dat de gemeente Enschede – doordat zij onder meer is afgegaan op de deskundigheid, professionaliteit van Bureau RMC en de door Bureau RMC verstrekte garanties met betrekking tot de AVG – niet opzettelijk of bewust in strijd heeft gehandeld met de AVG c.q. nalatig is geweest. De vermeende inbreuk op de AVG kan dan ook niet c.q. heel beperkt aan het college B&W Enschede worden verweten. Het college B&W Enschede meent in dit verband dan ook dat deze omstandigheden als boeteverlagend moeten worden aangemerkt. 5.2.3. Overige boeteverlagende omstandigheden 182. De gemeente Enschede is verder nog nooit eerder door de AP op haar vingers getikt vanwege een schending van de privacywet- en regelgeving. Er is dan ook geen sprake van recidive.

Ook heeft de gemeente Enschede steeds haar volledige medewerking verleend aan het onderzoek van de AP. De gemeente heeft in dat kader actief met de AP gecommuniceerd en alle benodigde informatie aangeleverd. Het college B&W Enschede beschouwt deze omstandigheden dan ook als boeteverlagende factoren. 183. Bureau RMC heeft eveneens maatregelen genomen. De ruwe tel data worden sinds 1 juli 2020 nog maar 24 uur bewaard. In haar brief van 9 juni jl. (Bijlage 2) aan al haar relaties schrijft Bureau RMC: “Zoals u weet, tellen en turven wij dagelijks het aantal passanten middels de CityTrafficmethode in uw stad of winkelgebied met behulp van wifi. Na het tellen en turven worden de gegevens zo bewerkt dat er alleen anonieme rapportages worden opgemaakt. In dit proces pseudonimiseren en anonimiseren wij dus alle telgegevens. Op basis van nieuwe technische ontwikkelingen, van nieuwe inzichten in de behoeften van onze klanten en op advies van experts met betrekking tot de AVG en de E-Privacy-verordening, hebben wij besloten per 1 juli 2020 de ruwe teldata korter te gaan bewaren. De maximale bewaarduur van deze gegevens zal na deze update niet langer dan 24 uur bedragen.” De lange termijn tabellen bestaan dus niet meer. 184.

Last but not least, sinds het onderzoeksrapport van de AP door college B&W Enschede is ontvangen – hangende het voorgenomen besluit van de AP – zijn de wifitellingen gestaakt. 5.3. Conclusie 185. Kortom, het college B&W Enschede stelt zich – gelet op het voorgaande – allereerst op het standpunt dat het niet redelijk zou zijn om haar een bestuurlijke boete dan wel een last onder dwangsom op te leggen voor de vermeende inbreuk op de AVG. Artikel 83 lid 2 AVG bepaalt immers expliciet dat dergelijke omstandigheden – zoals hiervoor aangehaald – dienen te worden betrokken bij de vraag of überhaupt een bestuurlijke boete dan wel een last onder dwangsom op zijn plaats is. Voorts is op grond hiervan niet redelijk om aan het college een last onder dwangsom en/of anderszins handhavende maatregelen op te leggen. 186. Mocht uw Autoriteit daarentegen toch oordelen dat er een bestuurlijke boete dient te worden opgelegd, dan betoogt het college B&W Enschede dat er sprake is van diverse boeteverlagende 47

ZIENSWIJZE GEMEENTE ENSCHEDE - 14 JULI 2020 omstandigheden, een en ander zoals hiervoor is toegelicht. Het college B&W Enschede rekent er ook in dat verband op dat uw Autoriteit rekening houdt met deze boeteverlagende omstandigheden. Een en ander geldt volgens het college eveneens voor een eventueel op te leggen last onder dwangsom en/of andere handhavende maatregelen. ***

Bijlage 1: Overzichten passantenaantallen binnenstad Enschede Bijlage 2: E-mail 9 juni 2020 Bureau RMC inzake aanpassingen CityTraffic methode 48