WiFi-tracking rond winkels in strijd met de wet

Het volgen van mensen in en rond winkels via de WiFi-signalen van hun mobiele apparaten zonder hen hierover te informeren, is in strijd met de wet. Dit stelt het College bescherming persoonsgegevens (CBP) na onderzoek bij het bedrijf Bluetrace.

Bluetrace levert technologie waarmee in en rondom winkels de WiFi-signalen van mobiele apparaten worden opgevangen. Via WiFi-tracking verzamelt Bluetrace locatiegegevens van winkelbezoekers en voorbijgangers zonder hen hierover te informeren.

Dit is in strijd met de Wet bescherming persoonsgegevens (Wbp). Bovendien verzamelt en bewaart Bluetrace meer gegevens dan noodzakelijk is voor het in kaart brengen van bezoekersaantallen, zegt het CPB.

Bluetrace biedt winkeliers daarmee bedrijfseconomische informatie: hoeveel mensen passeren de winkel, hoeveel bezoekers gaan de winkel in en hoelang blijven zij op een bepaalde plaats in de winkel. Dit soort gegevens is gevoelig van aard. Het gaat om locatiegegevens die iets zeggen over iemands verblijfplaats en winkelgedrag.

Bluetrace heeft na het onderzoek aangegeven maatregelen te hebben getroffen, waaronder het hashen van gegevens en het verkorten van de bewaartermijn tot 48 uur. Het CBP heeft nog niet beoordeeld of deze maatregelen daadwerkelijk leiden tot beëindiging van de geconstateerde overtredingen.

Bovendien meet Bluetrace 24 uur per dag, zeven dagen per week en bewaart zij de gegevens voor onbeperkte tijd. Het CBP stelt dat Bluetrace haar doel ook zou kunnen bereiken door op een beperktere schaal te meten en minder gegevens te verwerken, gedurende een kortere periode.

De WiFi-sensoren van Bluetrace registreren ook het aantal voorbijgangers op de openbare weg buiten de winkels. Bluetrace legt daardoor ook de aanwezigheid van voorbijgangers en buurtbewoners vast. Bluetrace maakt onvoldoende duidelijk waarom dit noodzakelijk is en mag deze gegevens daarom niet verzamelen.

In januari 2014 vond Tweakers uit dat onder andere Dixons, Mycom en iCentre, winkels uit de Bas Group, Wifi- en Bluetoothsignalen van passanten in kaart brachten voor analyticsdoeleinden.

Bluetrace lijkt het overigens oneens te kijk met de visie van de waakhond. ‘Het CBP impliceert namelijk dat alle WiFi-tracking in strijd zou zijn met de wet en dat is niet correct. Voor ons is het essentieel dat we aan alle privacyregelgeving voldoen. Daarin gaat Bluetrace verder dan het CBP wenst. Onze klanten eisen dat van ons en we willen ook niet anders.’