Raad van State, 29-07-2026 (202401622/1/A3)

202401622/1/A3. Datum uitspraak: 29 juli 2026 AFDELING BESTUURSRECHTSPRAAK Uitspraak op het hoger beroep van: de Autoriteit Persoonsgegevens (hierna: de AP), appellante, tegen de uitspraak van de rechtbank Overijssel van 2 februari 2024 in zaak nr. 22/775 in het geding tussen: het college van burgemeester en wethouders van Enschede en de AP. Procesverloop Bij besluit van 11 maart 2021 heeft de AP aan het college een bestuurlijke boete opgelegd. Bij besluit van 6 april 2022 heeft de AP het door het college daartegen gemaakte bezwaar ongegrond verklaard. Bij uitspraak van 2 februari 2024 heeft de rechtbank het door het college daartegen ingestelde beroep gegrond verklaard, het besluit van 6 april 2022 vernietigd en het besluit van 11 maart 2021 herroepen. Tegen deze uitspraak heeft de AP hoger beroep ingesteld. Het college heeft een schriftelijke uiteenzetting gegeven. Bij beslissing van 20 april 2026 heeft de geheimhoudingskamer van de Afdeling een verzoek van de AP om toepassing van artikel 8:29 van de Algemene wet bestuursrecht op vertrouwelijke versies van een aantal gedingstukken toegewezen. Het college heeft de Afdeling toestemming gegeven deze stukken te betrekken. De AP heeft een nader stuk ingediend. De Afdeling heeft de zaak ter zitting behandeld op 21 mei 2026, waar de AP, vertegenwoordigd door mr. W. van Steenbergen, mr. E. Nijhof en V.B. Klos, en het college, vertegenwoordigd door mr. M.H Elferink en mr. M.J.M. Kortier, advocaten in Enschede, en M. Nijkamp, zijn verschenen. Overwegingen Inleiding 1. Om inzicht te krijgen in de bezoekersaantallen in de binnenstad van Enschede heeft het college besloten om een voortdurende passantentelling te houden. Uit het naar aanleiding van een handhavingsverzoek ingestelde onderzoek van de AP blijkt dat het college vanaf 25 mei 2018 hiervoor gebruik heeft gemaakt van in ieder geval tien sensoren in de binnenstad die het MAC-adres opvingen van apparaten waarop de wifi stond ingeschakeld. Een MAC-adres is een in beginsel uniek identificatienummer van twaalf hexadecimale karakters (0-9, A-F) dat is toegewezen aan de netwerkkaart van een apparaat. Zodra een sensor een MAC-adres opving werd dit tijdelijk in het werkgeheugen opgeslagen, tot het via een algoritme was omgezet naar een gepseudonimiseerd MAC-adres (een andere combinatie van twaalf hexadecimale karakters) en vervolgens werd verzonden naar een centrale server. Alle sensoren maakten gebruik van hetzelfde algoritme, waardoor een MAC-adres dat op verschillende sensoren was opgevangen toch hetzelfde gepseudonomiseerde MAC-adres kreeg. Op de server kwamen de gegevens van alle sensoren van één dag op een zogenoemde kortetermijntabel te staan. Daarop was onder meer te zien bij welke sensor en op welk tijdstip een gepseudonimiseerd MAC-adres was opgevangen. Voordat de gegevens werden overgenomen op een langetermijntabel met gegevens van zes maanden, werden er filters toegepast. MAC-adressen die waren opgenomen in een opt-out register of waarbij gebruik werd gemaakt van ‘spoofing’, het automatisch willekeurig laten veranderen van het MAC-adres, werden verwijderd. Verder bestond er een bewonersfilter, waarbij MAC-adressen die tussen bepaalde nachtelijke momenten waren opgevangen werden verwijderd. De gegevens in de langetermijntabel vormden de basis voor de cijfers die het college ontving. Deze gaven een schatting van het aantal unieke bezoekers in de binnenstad en bij bepaalde sensoren. Bij meer sensoren opgevangen MAC-adressen werden uit de tellingen gehaald. Sinds 1 januari 2019 werden op de server, ten behoeve van de tabellen, de laatste drie tekens van het gepseudonimiseerde MAC-adres afgeknipt. Het college is op 1 mei 2020 gestopt met deze passantentelling. 1.1. De AP heeft het college een boete opgelegd van € 600.000, omdat het college van 25 mei 2018 tot en met 30 april 2020 zonder grondslag persoonsgegevens heeft verwerkt van eigenaren/gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld in de binnenstad van Enschede. Hoewel het (gepseudonimiseerde) MAC-adres en de locatiegegevens, bestaande uit de gegevens over de registrerende sensor en de datum en de tijd waarop het MAC-adres is opgevangen, niets zeggen over de identiteit van een natuurlijk persoon en dus geen informatie over een ‘geïdentificeerde persoon’ betreft, gaat het wel om informatie over een ‘identificeerbare natuurlijke persoon’ als bedoeld in de definitie van persoonsgegevens in de Algemene Verordening Gegevensbescherming (AVG). Door locatiegegevens toe te voegen aan een uniek nummer is sprake van het individualiseren van een persoon en kunnen leef- en gedragspatronen worden blootgelegd. Op basis van de combinatie van deze identificatoren was het volgens de AP voor het college redelijkerwijs mogelijk om de natuurlijke persoon waarover de gegevens gaan te identificeren. De AP heeft hiertoe drie manieren geschetst. Omdat deze manieren van identificeren geen excessieve inspanning vereisen en niet wettelijk verboden zijn, is een natuurlijk persoon door de combinatie van (gepseudonimiseerd) MAC-adres en locatiegegevens identificeerbaar, zodat deze gegevens persoonsgegevens zijn. Het afknippen van het gepseudonimiseerde MAC-adres maakt de gegevens niet zo onherkenbaar dat het toch geen persoonsgegevens (meer) zijn. Het college is verwerkingsverantwoordelijke omdat het college het doel en de middelen voor de verwerking van persoonsgegevens heeft vastgesteld. Het college heeft geen wettelijke grondslag voor deze verwerking aangevoerd. Omdat het college zonder wettelijke grondslag, op structurele wijze en voor een onnodig lange periode persoonsgegevens van honderdduizenden burgers heeft verwerkt, heeft de AP het basisbedrag van de boete verhoogd met € 75.000 tot € 600.000. Redenen voor matiging ziet de AP niet. Rechtbankuitspraak 2. De rechtbank heeft geconcludeerd dat de AP niet heeft bewezen dat het college met de door haar gebruikte methode persoonsgegevens heeft verwerkt van eigenaren/gebruikers van mobiele apparaten waarop de wifi stond ingeschakeld in de binnenstad van Enschede. Zij heeft hiertoe overwogen dat de AP bij de weerlegging van de bezwaren van het college bij herhaling, zoals bijvoorbeeld over het bereik van de sensoren en het inloggen op afstand op de sensor, is uitgegaan van de (on)aannemelijkheid van omstandigheden, in plaats van zich te baseren op onderzoek naar feiten. Zij heeft verder geconstateerd dat de AP, gezien de drie geschetste manieren op basis waarvan een natuurlijk persoon identificeerbaar zou zijn, de besluitvorming in essentie heeft gebaseerd op de mogelijkheid voor het college om natuurlijke personen aan de hand van de (gepseudonimiseerde en afgeknipte) MAC-adressen te identificeren door op enig moment in de vroege ochtend, als er weinig mensen op straat zijn, vast te stellen dat een specifieke, unieke gebruiker van een mobiel apparaat zich binnen het bereik van een sensor bevindt. Volgens de rechtbank heeft de AP onvoldoende onderzocht of dit het inderdaad mogelijk maken om de identiteit van een gebruiker van een mobiel apparaat met het blote oog te achterhalen. De enkele stelling dat het college dit redelijkerwijs zou kunnen doen, overtuigt de rechtbank niet. De AP had gelet op overweging 26 van de AVG moeten onderzoeken of het redelijkerwijs te verwachten is dat de genoemde middelen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren, waarbij de kosten en de benodigde tijd voor identificatie met in achtneming van de beschikbare technologie op het tijdstip van verwerken en de technologische ontwikkelingen betrokken hadden moeten worden. Alleen al omdat de AP niet heeft bewezen dat het college persoonsgegevens heeft verwerkt, kon de AP geen bestuurlijke boete opleggen. Hoger beroep 3. In hoger beroep betoogt de AP dat de rechtbank ten onrechte niet heeft beslist op haar standpunt dat natuurlijke personen direct zijn geïdentificeerd aan de hand van hun (gepseudonimiseerde en later ingekorte) MAC-adres in combinatie met locatiegegevens. Met de in de binnenstad geplaatste sensoren werd immers aan de hand van een MAC-adres bepaald waar één en dezelfde natuurlijke persoon zich in de binnenstad begaf en niet in geschil is dat op die manier unieke bezoekers in de binnenstad werden geteld. Daarmee is al sprake van verwerking van persoonsgegevens. Omdat de identificatie van natuurlijke personen al bij de tellingen van unieke bezoekers aan de binnenstad heeft plaatsgevonden en daarmee al sprake is van persoonsgegevens, zijn de overwegingen van de rechtbank over het onderzoek door de AP naar de door haar geschetste mogelijkheden om de identiteit van een natuurlijk persoon op basis van deze gegevens daadwerkelijk te achterhalen niet relevant, aldus de AP. Beoordeling hoger beroep 3.1. De Afdeling stelt vast dat de AP het oordeel van de rechtbank niet bestrijdt dat zij, kortgezegd, niet deugdelijk heeft onderzocht en gemotiveerd dat natuurlijke personen identificeerbaar zijn doordat het college de verkregen MAC-adressen en locatiegegevens zou kunnen combineren en zou kunnen aanvullen met ter plaatse verkregen gegevens. De AP heeft op de zitting bij de Afdeling ook bevestigd dat ten aanzien van de hiertoe geschetste drie manieren niet is voldaan aan de bewijsstandaard. De AP betoogt echter dat de rechtbank een door haar in beroep naar voren gebracht standpunt niet heeft getoetst, namelijk dat natuurlijke personen direct zijn geïdentificeerd omdat het door de combinatie van MAC-adressen en locatiegegevens voor het college mogelijk was om unieke bezoekers in de binnenstad te tellen. Dit standpunt heeft de AP in haar besluitvorming echter niet ingenomen. Bij een bestuursrechtelijk boetebesluit geldt volgens vaste jurisprudentie van de Afdeling als uitgangspunt dat het bestuursorgaan het dragend bewijs van een overtreding bij de voltooiing van de bestuurlijke besluitvorming dient te leveren. Dit mede in het licht van de rechtszekerheid waarop de vermeende overtreder aanspraak kan maken en van zijn mogelijkheden om in rechte tijdig en adequaat verweer te voeren tegen de beschuldiging. Vergelijk de uitspraken van 30 december 2015, ECLI:NL:RVS:2015:4034, onder 6.2, en van 5 juli 2017, ECLI:NL:RVS:2017:1819, onder 5.1. De Afdeling ziet niet in waarom het voor de AP niet in redelijkheid mogelijk was om al in de besluitvorming zich op het standpunt te stellen en te bewijzen dat sprake is van (een onrechtmatige verwerking van) persoonsgegevens alleen al omdat het voor het college op basis van het MAC-adres en de locatiegegevens mogelijk was om unieke bezoekers in de binnenstad te tellen en daardoor natuurlijke personen direct zouden zijn geïdentificeerd. Aangezien de rechtbank de besluitvorming hoort te toetsen aan de hand van de aangevoerde beroepsgronden en een bestuursorgaan in beginsel niet pas in beroep kan stellen en onderbouwen waarom nu precies sprake is van een beboetbare overtreding, verwijt de AP de rechtbank, mede gelet op wat hiervoor is overwogen, ten onrechte dat zij haar in beroep naar voren gebrachte standpunt niet heeft getoetst. Ook de Afdeling zal om deze reden dit standpunt niet toetsen en buiten beschouwing laten. Dit betekent, nu de AP het oordeel van de rechtbank verder niet inhoudelijk heeft bestreden, dat de vernietiging van het boetebesluit in stand blijft. 4. Omdat het oordeel van de rechtbank over [persoon] niet aan de vernietiging ten grondslag ligt en hij zelf geen hoger beroep heeft ingesteld, ziet de Afdeling geen aanleiding hetgeen de AP hierover heeft aangevoerd te bespreken. Conclusie 5. Het hoger beroep is ongegrond. De Afdeling bevestigt de uitspraak van de rechtbank. De AP hoeft geen proceskosten te vergoeden. Beslissing De Afdeling bestuursrechtspraak van de Raad van State: I. bevestigt de aangevallen uitspraak; II. bepaalt dat van de Autoriteit Persoonsgegevens een griffierecht van € 559,00 wordt geheven. Aldus vastgesteld door mr. N. Verheij, voorzitter, en mr. J.Th. Drop en mr. J. Luijendijk, leden, in tegenwoordigheid van mr. G.A. van de Sluis, griffier. De voorzitter is verhinderd de uitspraak te ondertekenen w.g. Van de Sluis griffier Uitgesproken in het openbaar op 29 juli 2026 802