Jurisprudentiebank · AVG & Toezicht
Boete voor wifi-tracking in de binnenstad blijft vernietigd: de AP moet het bewijs leveren in het boetebesluit zelf
Raad van State · 29 juli 2026
Rechtsvraag
Mocht de Autoriteit Persoonsgegevens een boete van 600.000 euro opleggen aan de gemeente Enschede voor het tellen van bezoekers met sensoren die (gepseudonimiseerde) MAC-adressen van telefoons opvingen, en kan de AP in hoger beroep een nieuw standpunt innemen over waarom dat persoonsgegevens zijn?
Antwoord
Nee. De Afdeling bevestigt de uitspraak van de rechtbank Overijssel, die het besluit op bezwaar had vernietigd en de boete van € 600.000 had herroepen. De AP bestreed niet dat zij de identificeerbaarheid onvoldoende had onderzocht en gemotiveerd. Haar nieuwe standpunt, dat het tellen van unieke bezoekers al directe identificatie inhoudt, had zij niet in de besluitvorming ingenomen. Daarom toetst de Afdeling dat standpunt niet (r.o. 3.1). Het dragend bewijs moet bij de voltooiing van de besluitvorming worden geleverd.
Relevante overwegingen
De gemeente ving vanaf 25 mei 2018 met ten minste tien sensoren MAC-adressen op, zette die om in gepseudonimiseerde MAC-adressen en knipte sinds 1 januari 2019 de laatste drie tekens af. De AP beboette verwerking zonder grondslag van 25 mei 2018 tot en met 30 april 2020. De rechtbank oordeelde dat de AP bleef steken in de (on)aannemelijkheid van omstandigheden en gelet op overweging 26 van de AVG had moeten onderzoeken of identificatie redelijkerwijs te verwachten was. In r.o. 3.1 stelt de Afdeling vast dat de AP dit niet bestrijdt en ter zitting erkende dat voor de drie geschetste manieren niet aan de bewijsstandaard was voldaan. Een bestuursorgaan kan in beginsel niet pas in beroep onderbouwen waarom sprake is van een beboetbare overtreding, gelet op rechtszekerheid en verweermogelijkheden (ECLI:NL:RVS:2015:4034 en ECLI:NL:RVS:2017:1819).
Praktische betekenis
De uitspraak zegt niet dat gepseudonimiseerde MAC-adressen of vergelijkbare apparaat-ID's geen persoonsgegevens zijn. De Afdeling laat die vraag uitdrukkelijk open. Wat vaststaat: een toezichthouder moet de overtreding in het boetebesluit zelf onderbouwen, met feitenonderzoek naar de identificeerbaarheid. Voor organisaties die sensoren, wifi- of bluetooth-tellingen of andere apparaat-ID's gebruiken, blijft de kernvraag daarom onveranderd: kunnen personen met redelijkerwijs te verwachten middelen worden herkend?
Wat u nu kunt doen
Gebruikt u tellingen of analyses op basis van apparaat-ID's, cookies of sensordata? Leg vast waarom u meent dat het wel of geen persoonsgegevens zijn, welke pseudonimiserings- en inkortingsmaatregelen u neemt en op welke grondslag u verwerkt. Ga er niet van uit dat pseudonimisering de AVG buiten toepassing zet.
REZA-interpretatie
Een procedurele overwinning voor de gemeente, geen inhoudelijke vrijbrief. Voor AI- en analysetoepassingen die met gepseudonimiseerde identifiers werken, blijft de identificeerbaarheidstoets van overweging 26 AVG leidend, en die toets wordt per geval en op feiten beoordeeld.
Laatst gecontroleerd op 23 september 2026. Dit is een samenvatting op basis van de officiële inhoudsindicatie en vormt geen juridisch advies voor uw specifieke situatie. Raadpleeg voor de volledige uitspraak de bron hierboven. REZA Legal is geen advocatenkantoor.