Op donderdag 1 september 2016 maakte de Autoriteit Persoonsgegeven bekend een last onder dwangsom te hebben opgelegd aan Bluetrace, een bedrijf dat wifi-signalen van mobiele telefoons met een actieve wifi-functie opvangt en gebruikt voor het analyseren van data.
Door Céline Teeuwen
In het door de AP eerder gepubliceerde onderzoeksrapport inzake Bluetrace wordt uitgelegd wat er precies mis is met de gang van zaken. Bluetrace biedt wifi-technologie aan waarmee mobiele apparaten (telefoons, tablets, laptops) geregistreerd en gevolgd kunnen worden. Een voorbeeld hiervan is het tellen van zulke apparaten. Op basis daarvan kunnen data-analyses uitgevoerd worden: klanten van Bluetrace kunnen onder andere te weten komen hoeveel apparaten – en dus personen – er per uur of per dag passeren.
Het uitvoeren van zulke dienstverlening maakt Bluetrace een verwerker van persoonsgegevens. Het gaat hier om locatiegegevens, die volgens de Artikel 29 werkgroep verbonden zijn met de eigenaren van de apparaten en inkijk leveren in het leven van de eigenaren. Het feit dat de gegevens worden versleuteld doet daaraan niet af. De grond voor deze gegevensverwerking was een onderwerp van discussie. Het beroep van Bluetrace op noodzakelijkheid voor een gerechtvaardigd (bedrijfs)belang van haarzelf en haar klanten (artikel 8 lid f van de Wet bescherming persoonsgegevens) gaat misschien in sommige gevallen op; het leveren van bedrijfseconomische informatie over bijvoorbeeld bezoekersgedrag in winkels is echter alleen toegestaan als Bluetrace winkelbezoekers voldoende informeert over de gegevensverwerking. Voor het verzamelen van gegevens van voorbijgangers buiten winkels ontbreekt een wettelijke basis compleet.
Volgens de last onder dwangsom moet Bluetrace de gegevensverwerking voor 30 december 2016 stoppen, of maatregelen nemen die zorgen dat er geen persoonsgegevens meer worden verwerkt van omwonenden, de persoonsgegevens van voorbijgangers zo snel mogelijk worden verwijderd of geanonimiseerd, de wettelijke informatieplicht wordt vervuld en er meer informatie wordt verstrekt over de categorieën van persoonsgegevens die worden verwerkt. Gebeurt dat niet, dan verbeurt Bluetrace een dwangsom van vijfduizend euro voor elke week dat de last niet (geheel) is uitgevoerd, tot maximaal honderdduizend euro. Voorlopig dus toch maar even wifi uitschakelen als je gaat winkelen? Wordt vervolgd…