Staatssecretaris Teeven heeft onlangs geantwoord op Kamervragen over het fenomeen wifi-tracking. Hij geeft daarin – kort gezegd – aan dat wifi-tracking in beginsel is toegestaan, zolang het beperkt blijft tot de winkelruimte en de klanten duidelijk geïnformeerd worden.
Wat is wifi-tracking?
Wifi-tracking houdt in dat winkeliers gebruik maken van de wifi-signalen die mobiele telefoons uitzenden om de bewegingen van een klant in de winkel in kaart te brengen. De wifi-signalen kunnen worden opgepikt door middel van speciale sensoren. Tijdens het zoeken naar een wifi-netwerk zendt de telefoon namelijk zijn mac-adres uit. Een mac-adres is uniek voor een apparaat en dus een persoonsgegeven.
Wifi-tracking is sinds een paar maanden een hot item, waar ook op deze blog eerder aandacht aan is besteed. Onder meer het CBP en Bits of Freedom hebben zich kritisch uitgelaten over de privacybescherming bij wifi-tracking, terwijl aanbieders van wifi-tracking diensten en winkeliers die de technologie gebruiken stellen dat het geoorloofd is
Onduidelijkheid: mag wifi-tracking wel of niet?
Tweakers onthulde dat Dixons, Mycom en iCentre (alledrie van moederbedrijf de Bas Group) wifi-tracking had ingevoerd, zonder klanten daarvan op de hoogte te stellen. Volgens Bas Group is wifi-tracking simpelweg een geautomatiseerde manier om klanten te tellen en dus toegestaan zonder de klanten te informeren.
In hetzelfde artikel wordt CBP-voorzitter Kohnstamm gequote, die stelt dat wifi-tracking alleen mag als klanten op de hoogte worden gesteld en een opt-out mogelijkheid wordt geboden. Die informatieplicht is logisch. Er worden immers persoonsgegevens verwerkt (de mac-adressen) en in dat geval geldt op grond van art. 33 en 34 van de Wet bescherming persoonsgegevens een informatieplicht ten opzichte van de betrokkene (de klant). De informatieplicht kwam ook al aan de orde in mijn vorige blog over dit onderwerp. Waar de verplichting om een opt-out te bieden vandaan komt is voor mij onduidelijk. Dat staat zo niet in de wet.
Gerechtvaardigd belang: opt out nodig?
Mogelijk doelt Kohnstamm erop dat hij een opt-out noodzakelijk acht in het kader van de afweging van belangen voor art. 8 sub f Wbp. Artikel 8 van de Wbp geeft een limitatief aantal grondslagen waarop een verwerking van persoonsgegevens mag worden gebaseerd. De belangrijkste grondslagen zijn toestemming (sub a), de uitvoering van een overeenkomst (sub b) en een gerechtvaardigd belang van de verantwoordelijke (sub f).
Zoals Teeven ook aangeeft in zijn antwoorden, kan de winkelier voor de gegevensverwerking waarschijnlijk een beroep doen op de grondslag van gerechtvaardigd belang. De winkelier heeft er namelijk belang bij dat hij weet hoe hij zijn winkel efficiënt kan indelen of zijn personeel efficiënt kan inzetten. Als er een gerechtvaardigd belang is, hoeft er geen toestemming te worden gevraagd aan de klant. Een beroep op het gerechtvaardigd belang van de winkelier is alleen mogelijk wanneer het privacybelang van de klant niet zwaarder weegt dan het gerechtvaardigd belang van de winkelier. Daarbij speelt dus mee hoever de inbreuk op de privacy van de klant gaat, de proportionaliteit.
De inbreuk op de privacy zal beperkter zijn wanneer er een opt-out wordt geboden zoals Kohnstamm voorstelt. De klant kan er dan namelijk voor kiezen om niet gevolgd te worden. De privacy van de klant kan echter ook op andere manieren gewaarborgd worden. Ik denk dan aan dataminimalisatie (het beperken van de verwerkte gegevens tot het absolute minimum), goede beveiliging en/of versleuteling en een korte bewaartermijn.
In de antwoorden van Teeven komt het vereiste van een opt-out overigens ook niet terug. Het bieden van een opt-out acht ik dan ook niet strikt noodzakelijk, al zal het een beroep op een gerechtvaardigd belang wel gemakkelijker maken.
