De Afdeling bestuursrechtspraak van de Raad van State heeft geoordeeld dat de Autoriteit Persoonsgegevens (AP) de gemeente Enschede ten onrechte een boete van € 600.000 heeft opgelegd voor het gebruik van wifi-sensoren om bezoekersstromen in de binnenstad te meten. De hoogste bestuursrechter bevestigt daarmee de eerdere uitspraak van de rechtbank Overijssel. Niet omdat vaststaat dat de verwerking géén persoonsgegevens betrof, maar omdat de AP onvoldoende heeft onderbouwd dat daarvan sprake was en die onderbouwing in hoger beroep niet alsnog mocht aanpassen.
De gemeente Enschede gebruikte tussen mei 2018 en april 2020 sensoren die MAC-adressen opvingen van mobiele apparaten waarvan de wifi was ingeschakeld. De adressen werden direct gepseudonimiseerd en gebruikt om inzicht te krijgen in bezoekersaantallen en loopstromen in de binnenstad. De AP stelde dat de combinatie van de (gepseudonimiseerde) MAC-adressen en locatiegegevens leidde tot de verwerking van persoonsgegevens. Volgens de toezichthouder konden daarmee immers individuele personen worden onderscheiden en zouden hun leef- en bewegingspatronen kunnen worden afgeleid. Omdat volgens de AP een geldige grondslag voor deze verwerking ontbrak, legde zij de gemeente een bestuurlijke boete van € 600.000 op.
De rechtbank vernietigde de boete al in 2024. De AP had in haar oorspronkelijke boetebesluit drie specifieke scenario’s geschetst waarin een persoon identificeerbaar zou zijn — bijvoorbeeld door iemand op een heel stil moment in de vroege ochtend met het blote oog te koppelen aan een signaal bij een sensor. Volgens de rechtbank baseerde de toezichthouder zich daarbij vooral op aannames over wat theoretisch mogelijk zou zijn, zonder voldoende feitelijk onderzoek naar de praktische haalbaarheid daarvan. Bij de Raad van State erkende de AP uiteindelijk ook dat zij voor deze drie scenario’s inderdaad niet aan de geldende bewijsstandaard had voldaan.
In hoger beroep koos de AP daarom voor een andere juridische benadering. Zij stelde dat al sprake was van directe identificatie van persoonsgegevens omdat de gemeente met behulp van de MAC-adressen en locatiegegevens unieke bezoekers kon onderscheiden en tellen. Volgens de AP was het enkele differentiëren van unieke bezoekers al voldoende om van identificatie te spreken, ook zonder dat hun daadwerkelijke identiteit of naam bekend was.
De Afdeling bestuursrechtspraak gaat daar echter niet in mee. De hoogste bestuursrechter benadrukt dat een bestuursorgaan bij een bestuurlijke boete al tijdens de besluitvorming het dragende bewijs voor de overtreding moet leveren. Een volledig nieuwe juridische onderbouwing kan in beroep of hoger beroep niet alsnog de plaats innemen van de motivering waarop het boetebesluit oorspronkelijk was gebaseerd. Omdat de AP haar nieuwe standpunt niet eerder aan het boetebesluit ten grondslag had gelegd, laat de Afdeling dit buiten beschouwing. Nu de AP de overige inhoudelijke oordelen van de rechtbank niet heeft bestreden, blijft de vernietiging van de boete in stand.
