Geen mogelijkheid verbod verzamelen routerdata

Afbeelding: Perla schwört auf Siemens Router van Robert Agthe | Licentie: CC BY

Staatssecretaris Fred Teeven is van mening dat het verplichten van Google tot een opt-in voor het registeren van SSID’s in strijd is met Europese regels.

In een brief aan de Tweede Kamer schrijft de staatssecretaris:

Het Cbp heeft in de besluiten die jegens Google zijn genomen verduidelijkt dat er via de router twee combinaties van gegevens worden verwerkt die moeten worden aangemerkt als persoonsgegevens. De eerste combinatie is de Media Access Control (MAC)-adressen in combinatie met de berekende locatie van de router. De tweede combinatie is die van de Service Set Identifier (SSID), in combinatie met alle gegevens van de eerste combinatie.

Het MAC-adres is een uniek nummer dat de hardware identificeert. Het wordt door de fabrikant van de hardware toegekend. De gebruiker heeft daarop geen invloed. De SSID is de naam van het wifinetwerk. De SSID moet door de gebruiker worden ingesteld. De naam daarvan bepaalt de gebruiker zelf. Dit onderscheid acht het Cbp van groot belang voor de rechtvaardiging van de verwerking van persoonsgegevens.

Voor de eerstbedoelde combinatie geldt in de toepassingspraktijk van de Wet bescherming persoonsgegevens (Wbp) dat de verwerking van deze gegevenscombinatie niet van zodanige aard is, dat dit slechts met uitdrukkelijke toestemming van de betrokkene gerechtvaardigd is. Het Cbp oordeelt dat voor de rechtvaardiging van de verwerking van de eerste combinatie van gegevens een beroep kan worden gedaan op het zogeheten gerechtvaardigd belang van de verantwoordelijke, bedoeld in artikel 8, onderdeel f, van de Wbp. De verantwoordelijk moet dan wel een afweging maken tussen zijn eigen belang en het belang of de funda-mentele rechten en vrijheden van de betrokkene of derden, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer. De verantwoordelijke moet ook overigens voldoen aan de eisen die de Wbp stelt, zoals de welbepaaldheid van het doeleinde van de gegevensver-werking en de verplichting dat doeleinde uitdrukkelijk te omschrijven. Als die belangenafweging correct wordt verricht, zo volgt uit de beoordeling van het Cbp, is het aanbieden van geolocatiegebaseerde dienstverlening met behulp van de gegevenscombinatie rechtmatig.

Voor de tweede combinatie van gegevens heeft het Cbp vastgesteld dat er geen noodzaak bestaat om die gegevenscombinatie te verwerken voor het aanbieden van geolocatiegebaseerde diensten. Uit de besluitvorming door het Cbp vloeit voort dat de verwerking van de tweede combinatie niet gerechtvaardigd kan worden met een beroep op artikel 8, onderdeel f, van de Wbp. Er zal dan moeten worden teruggevallen op een van andere rechtvaardigingsgronden van artikel 8 van de Wbp. Toestemming van de betrokkene is dan een van de mogelijkheden. Het Cbp stelt zich daarnaast op het standpunt dat wanneer via geolocatiegebaseerde dienstverlening op een individuele gebruiker gerichte diensten worden aangeboden waarvan de verwerking van persoonsgegevens deel uitmaakt, eveneens toestemming van de betrokkene noodzakelijk is.

Het arrest betrof de uitleg van de Spaanse wettelijke voorschriften tot implementatie van de richtlijn. In die voorschriften was de eis gesteld dat op het gerechtvaardigd belang van de verantwoordelijke, bij gebreke aan toestemming van de betrokkene, slechts een beroep kan worden gedaan wanneer de gegevens zijn opgenomen in voor het publiek toegankelijke bronnen. De richtlijn stelt deze laatste eis niet. […] Het komt er dan ook op neer dat het vaststellen van een wettelijke regeling met die inhoud hoogstwaarschijnlijk in strijd met het Europees recht is.

Verder ben ik van mening dat het aanbod van geolocatiegebaseerde dienstverlening voor de innovatie van grote betekenis is. […] Dat er van het hanteren van de eis van voorafgaande toestemming een beperking uitgaat, lijkt waarschijnlijk. […] Afgaande op ervaringen met vrijwillige opt-in-regelingen in andere sectoren, moet dan rekening worden gehouden met een positieve respons van ongeveer 10%. Wanneer 10% van het thans in gebruik zijnde aantal routers gebruikt mag worden voor de verwerking van persoonsgegevens van gebruikers, is het niet mogelijk in Nederland op een zinvolle wijze geolocatiegebaseerde diensten aan te bieden. De innovatie die deze vorm van dienstverlening kan opleveren, gaat daarmee aan Nederland voorbij. Bovendien wordt in geen enkel ander land in de EU vaststelling van een wettelijke toestemmingseis overwogen. Nederland zou zich met dergelijke voorschriften onnodig van de rest van Europese Unie isoleren.