SV: Wifi-tracking in strijd met de wet

Indiendatum: dec. 2015
Antwoorddatum: 15 mrt. 2016

Op 4 december 2015 stelden J.D. van der Lee (Partij voor de Dieren) en A.J.M. Laan (WD) ons schriftelijke vragen over Wifi tracking in strijd met de wet.

Inleidend wordt gesteld:
Het College bescherming persoonsgegevens (CPB) heeft zeer recent een rapport uitgebracht waarin onomwonden wordt gesteld dat het zogenaamde wifi-tracking door winkeliers in strijd is met de wet als niet aan strikte voorwaarden wordt voldaan. Wifitracking heeft het doel bedrijfseconomische informatie te genereren op basis van de beweeg patronen van bezoekers van een gebied, bijvoorbeeld hoeveel mensen een bepaalde winkel passeren, daadwerkelijk de winkel binnentreden of hoe lang zij zich ophouden op een bepaalde plaats. Met deze informatie hopen winkeliers meer te weten te komen over consumentengedrag. De bedrijfseconomische informatie wordt door aanbieders van wifi-tracking verkocht aan winkeliers. Aanbieders van wifi-tracking zijn derhalve de rechtspersonen waar het rapport betrekking op heeft.
Bij wifi-tracking draait het om het verzamelen van MAC-adressen van elektronische apparaten met verbinding tot het internet, hoofdzakelijk smartphones en tabiets. Een MAC-adres kan slechts toebehoren aan één apparaat. Daarmee is er in het geval van MAC-adressen sprake van persoonsgegevens. De Wet bescherming persoonsgegevens is hier aldus aan de orde. De wet stelt dat het verboden is persoonsgegevens te
verzamelen, bewaren en verwerken als niet aan betrokkenen wordt gemeld welk doel hiermee wordt gediend. Informatievoorziening is vereist.
De Partij voor de Dieren en de VVD voelen zich door het rapport gesterkt in hun mening dat wifi-tracking de privacy schendt. Onder leiding van de VVD is dit heikel punt al eerder te berde gebracht in een debat met het college over het volgen van bezoekers van de binnenstad door middel van wifi-tracking.

Hieronder volgen de vragen en onze beantwoording.

Er is in een brief op 14 januari 2015 uitgebreid ingegaan op privacy rondom het meetsysteem in de Binnenstad (kenmerk:BS14Z01066 - 15bb000185). Op basis van het rapport van het CBP is er geen directe aanleiding om nu te stoppen met het meetsysteem, te meer omdat het rapport betrekking heeft op 1 aanbieder (Bluetrace) en de gemeente Rotterdam hier geen zaken mee doet. Het CBP wijst in haar oordeel vooral
naar het feit dat Bluetrace geen informatie aan het publiek verstrekt waar zij wifi-tracken, dat zij de data niet voldoende anonimiseren en er geen privacy protocol beschikbaar is.

Hiermee is niet gezegd dat andere aanbieders hetzelfde doen. De data waar Rotterdam mee werkt komt van City Traffic en heeft de data geanonimiseerd en is er een privacy protocol aanwezig.

Vraag 1:
Heeft het college kennis genomen van het rapport dat onlangs door het CPB is uitgebracht?

Antwoord:
Ja.

Vraag 2:
Weet het college hoeveel winkeleigenaren in Rotterdam momenteel gebruik maken van wifì-tracking? Indien ja, hoeveel? Indien nee, is het college bereid het gebruik van wifi-tracking in Rotterdam in kaart te brengen?

Antwoord:
Nee, het college weet níet hoeveel winkeleigenaren gebruik maken van wifi-tracking. Het college is niet bereid dit in kaart te brengen.

Vraag 3:
Weet het college hoeveel aanbieders van wifi-tracking in Rotterdam actief zijn? Indien ja, hoeveel? Indien nee, is het college bereid na te gaan hoeveel het er zijn en dit met de Raad te delen?

Antwoord:
Nee, het college is niet bereid na te gaan hoeveel aanbieders er zijn.

Vraag 4:
Is het college bereid aanbieders maar ook winkeleigenaren er op te wijzen dat wifi-tracking in strijd is met de wet als niet aan strikte voorwaarden wordt voldaan? Indien nee, waarom niet?

Antwoord:
Het is mogelijk na te gaan wie wifi-tracking toepast, echter gelet op de kosten die daarmee gemoeid zijn, is het college daartoe niet bereid.

Vraag 5:
Deelt het college de conclusie van het CBP dat wifi-tracking in winkels onevenredig is aan het doel bedrijfseconomische informatie te genereren? Indien nee, waarom niet?

Antwoord:
Nee, de conclusies van het CBP zijn getrokken op basis van de werkwijze van 1 specifiek bedrijf, namelijk "Bluetrace". Het CBP wijst in zijn oordeel vooral naar het feit dat Bluetrace geen informatie aan het publiek verstrekt over waar Bluetrace wifi-trackt, Bluetrace de data niet voldoende anonimiseert en er bij Bluetrace geen privacy protocol beschikbaar is .

Vraag 6:
Deelt het college de conclusie van het CBP dat het genereren van bedrijfseconomische informatie ook op een minder ingrijpende manier kan
worden bereikt dan met wifi-tracking het geval is? Indien nee, waarom niet?

Antwoord:
Nee, voor wat betreft verblijfsduur zijn er weinig tot geen alternatieven.

Voorts wordt gesteld:
Het CPB heeft in haar rapport ook geoordeeld over wifi-tracking buiten winkels, dus ín de openbare ruimte. Dit is alleen toegestaan als er behalve de eisen van informatievoorziening, proportionaliteit en subsidiariteit aan bezoekers de mogelijkheid worden geboden zich aan wifi-tracking te kunnen onttrekken als zij dat wensen.
Dezelfde bepalingen gelden uiteraard ook voor het gemeentebeleid om bezoekers van de Rotterdamse binnenstad te volgen. De gemeente laat bezoekers niet weten dat zij worden gevolgd. Volgens het CPB wordt hiermee de wet overtreden, maar ook op andere fronten schiet de gemeente ernstig tekort. Wifi-tracking bedoeld voor het in kaart brengen van aantallen bezoekers en gemiddelde verblijfsduur dient een
collegedoelstelling. Hoogstwaarschijnlijk beschouwt het CPB een politieke keuze niet als overredend belang. Een andere pregnante vraag is of wifi-tracking het overkoepelende doel - een meer levendige, gezellige binnenstad - dient, dus of informatie over aantallen bezoekers en gemiddelde verblijfsduur iets zinnigs zeggen over de kwaliteit van de binnenstad. Wij denken van niet en betwijfelen de proportionaliteit van het gemeentebeleid daarom ten zeerste. Het college heeft voorts aangegeven dat handmatig onderzoek naar loopstromen van bezoekers van onze binnenstad arbeidsintensief en daarom erg duur is. Hoewel dit ongetwijfeld klopt, is het nog maar de vraag of deze economische overweging stand houdt waar het de eis tot subsidiariteit betreft. Een minder ingrijpende manier tot het volgen van bezoekers is namelijk wel degelijk mogelijk. En vooralsnog weigert het college een opt-in/optoutsysteem in te voeren waarbij bezitters van elektronische apparaten met een MACadres worden gevraagd of zij willen worden gevolgd. Ook op dit punt wordt de wet overtreden.

Vraag 7:
Is het college van mening dat het volgen van bezoekers van de binnenstad op vier punten in strijd is met de wet, namelijk het gebrek aan
informatievoorziening, proportionaliteit, subsidiariteit en ook het ontbreken van een opt-in/opt-outsysteem? Indien nee, is het college bereid uitvoerig uiteen te zetten waarom het volgen van bezoekers niet in strijd is met de wet?

Antwoord:
Het college deelt de mening niet dat het meten van de verblijfsduur van bezoekers van de Binnenstad op vier punten in strijd is met de wet.
Het bedrijf waarvan de gemeente data krijgt is Citytraffic. Citytraffic telt de drukte en maakt hiervan geaggregeerde rapporten zonder dat er op enige wijze een koppeling wordt gemaakt met individuele persoonsgegevens of welke route afgelegd wordt. Er worden geen MAC-adressen aan klanten (ook niet aan de gemeente) geleverd. Al de bewerkingen verlopen volledig anoniem, vergelijkbaar met de wijze waarop bijvoorbeeld dagelijks de files in Nederland worden gemeten. Bovendien worden de benodigde MAC-adressen voor deze berekeningen automatisch versleuteld zodat, er onmogelijk een link naar een individueel persoon gelegd kan worden.
Daarnaast is er voor iedereen de mogelijkheid om zijn MAC-adressen van mobiele apparaten op de website van City Traffic aan te melden voor een opt-out register.
Hierna worden deze MAC-adressen niet langer geteld en meegenomen in de tellingen.
Wij zullen gerichte communicatie inzetten om dit onder de aandacht te brengen.
Cítytraffic heeft in 2015 het privacy protocol dat het bedrijf heeft ontwikkeld laten toetsen door het Privacy Team van advocatenkantoor Van Doorne. Hieruit is een nieuw privacy protocol voortgekomen. In dit protocol maakt Citytraffic duidelijk op welke wijze Citytraffic vertrouwelijk met de data omgaat en voor welke doeleinden Citytraffic analyses verricht.

Vraag 8:
Is het college het met ons eens dat de gemeente moet stoppen met het volgen van bezoekers van de binnenstad door middel van wifi-tracking als niet kan worden uitgesloten dat de gemeente handelt in strijd met de wet? Indien nee, waarom niet?

Antwoord:
Het gekozen systeem van onze aanbieder houdt zich aan de wettelijke eisen (zie vraag 7) en handelt niet in strijd met de wet.

Vraag 9:
Ziet het college een eventuele rechtszaak over het volgen van mensen in de binnenstad met vertrouwen tegemoet nu zij kennis heeft genomen van de conclusies in het rapport?

Antwoord:
Het college ziet mogelijke rechtszaken aangaande wifi-tracking met vertrouwen tegemoet.

Voorts wordt gesteld:
De doelstelling van het college met betrekking tot de binnenstad is simpelweg: "Het college stelt zich tot doel om dooreen pakket aan maatregelen de verblijfsduur van bezoekers aan de binnenstad te verlengen met 10%".

Vraag 10:
Heeft het college deze doelstelling geformuleerd op basis van de veronderstelling dat wifi-tracking gebruikt kan worden om de gemiddelde
verblijfsduur van bezoekers van de binnenstad in kaart te brengen? Indien nee, welke andere meetmogelijkheden heeft het college overwogen?

Antwoord:
Er zijn in het verleden verschillende meetmethoden gebruikt om een beeld te krijgen van drukte en het aantal passanten. Echter, verblijfsduur is alleen te meten met GPS-tracking en wifi-tracking. In het verleden zijn er een twee GPS-onderzoeken geweest. Deze zijn duur en arbeidsintensief, leveren voor beperkte periode gegevens op en het is onmogelijk om iedereen te volgen, omdat er een apart kastje moet worden meegenomen. Wifi-tracking geeft gedurende het gehele jaar data, is relatief goedkoop en is goed in staat om verblijfstijd te meten.

Vraag 11:
Welke gevolgen heeft een mogelijk verbod van wifi-tracking in de openbare ruimte op voornoemde doelstelling?

Antwoord:
Bij een mogelijk verbod van wifi-tracking is het niet meer te meten of de target gehaaid kan worden, omdat een meetsysteem ontbreekt om dit te controleren.