Uitspraak Raad van State wifitracking: opmerkelijk einde

De Raad van State heeft op 29 juli 2026 beslist dat de gemeente Enschede de boete van 600.000 euro voor wifitellingen definitief niet hoeft te betalen. Die uitkomst betekent niet dat wifitracking daarmee is toegestaan, want de hoogste bestuursrechter heeft de vraag of hier persoonsgegevens werden verwerkt uitdrukkelijk laten liggen. Dit artikel legt uit waarop de zaak precies is gestrand en wat dat betekent voor gemeenten die passanten tellen.

Wat heeft de Raad van State op 29 juli 2026 beslist?

De Afdeling bestuursrechtspraak van de Raad van State heeft het hoger beroep van de Autoriteit Persoonsgegevens ongegrond verklaard en de uitspraak van de rechtbank Overijssel bevestigd. Het gaat om zaaknummer 202401622/1/A3, gepubliceerd als ECLI:NL:RVS:2026:4403 op de website van de Raad van State. Daarmee blijft de vernietiging van het boetebesluit in stand en hoeft het college van burgemeester en wethouders van Enschede de boete van 600.000 euro niet te betalen. Van de Autoriteit Persoonsgegevens wordt een griffierecht van 559 euro geheven.

De boete ging over een voortdurende passantentelling met wifisensoren in de binnenstad van Enschede, uitgevoerd van 25 mei 2018 tot en met 30 april 2020. De gemeente stopte op 1 mei 2020 met deze meetmethode, ruim voordat de rechter eraan te pas kwam. Met deze uitspraak is de procedure, ruim vijf jaar na het boetebesluit van maart 2021, afgerond. Verder beroep is niet mogelijk. In de reactie van de gemeente Enschede op de uitspraak laat wethouder Barry Overink weten tevreden te zijn met de uitkomst: “We hebben altijd zorgvuldig gehandeld.”

Waarom verloor de Autoriteit Persoonsgegevens het hoger beroep?

De Autoriteit Persoonsgegevens verloor niet op de inhoud, maar op de kwaliteit van haar eigen besluitvorming. De rechtbank Overijssel oordeelde op 2 februari 2024 in de uitspraak met kenmerk ECLI:NL:RBOVE:2024:594 dat de toezichthouder onvoldoende had onderzocht en gemotiveerd dat passanten identificeerbaar waren via de drie manieren die zij in het boetebesluit had geschetst. Dat oordeel heeft de Autoriteit Persoonsgegevens in hoger beroep niet inhoudelijk bestreden. Ter zitting van 21 mei 2026 bevestigde zij zelfs dat voor die drie manieren niet aan de bewijsstandaard was voldaan.

In plaats daarvan voerde de toezichthouder een ander argument aan. Doordat de gemeente met de combinatie van MAC-adres en locatiegegevens unieke bezoekers kon tellen, zouden natuurlijke personen al direct zijn geïdentificeerd en was er dus hoe dan ook sprake van persoonsgegevens. De Afdeling bestuursrechtspraak stelt vast dat de Autoriteit Persoonsgegevens dat standpunt niet in haar besluitvorming heeft ingenomen, terwijl dat wel mogelijk was.

Daarop past de Afdeling een vast uitgangspunt uit het bestuursrecht toe: bij een boetebesluit moet het bestuursorgaan het dragend bewijs van de overtreding leveren op het moment dat de bestuurlijke besluitvorming is afgerond. Dat hangt samen met de rechtszekerheid waarop de beboete partij aanspraak kan maken en met diens mogelijkheid om tijdig en adequaat verweer te voeren. Een bestuursorgaan kan de onderbouwing van een overtreding niet alsnog tijdens de rechtszaak aanvullen. De Afdeling heeft het nieuwe standpunt daarom buiten beschouwing gelaten, en omdat het oordeel van de rechtbank verder niet werd bestreden, bleef de vernietiging in stand. Het beeld dat uit de uitspraak naar voren komt is dat van een zaak die niet strandde op de techniek van wifitellen, maar op de opbouw van het dossier.

Uitspraak Raad van State wifitracking: wat is er niet beslist?

De kernvraag blijft open. De Afdeling bestuursrechtspraak heeft zich niet uitgesproken over de vraag of een gepseudonimiseerd en later afgeknipt MAC-adres in combinatie met locatiegegevens een persoonsgegeven oplevert. Het argument van de Autoriteit Persoonsgegevens over directe identificatie is niet verworpen, het is alleen niet getoetst omdat het te laat in de procedure kwam.

Dat verschil is voor de praktijk groot. Een volgend boetebesluit dat vanaf de eerste dag op deze redenering wordt gebouwd, kan tot een andere uitkomst leiden. Wie uit deze uitspraak afleidt dat wifitellen nu is toegestaan, leest er iets in wat er niet staat. Voor de bredere uitleg over identificeerbaarheid, de AVG en de positie van de toezichthouder staat in ons artikel over de juridische status van wifitracking in Nederland het volledige kader.

Hoe past deze zaak in de kritiek op de Autoriteit Persoonsgegevens?

De uitspraak valt samen met een discussie over de handhavingskracht van de toezichthouder. Directeur Evelyn Austin van Bits of Freedom noemde zich eind juli in de Volkskrant “superteleurgesteld” in de Autoriteit Persoonsgegevens en stelde dat het de toezichthouder niet lukt om gedragsverandering af te dwingen. Privacy-expert Floor Terra van Privacy Company wees in een publieke reactie op Security.NL het wifitracking-onderzoek aan als voorbeeld van wat hij ziet als een structurele verslechtering in het verzamelen van bewijs. Die kritiek raakt precies aan wat de rechtbank en de Afdeling in deze zaak vaststelden.

Per 1 augustus 2026 heeft de Autoriteit Persoonsgegevens bovendien een nieuwe voorzitter. Geert Potjewijd volgt Aleid Wolfsen op, die de toezichthouder tien jaar leidde. Hoe de Autoriteit Persoonsgegevens onder nieuwe leiding omgaat met dossiers als wifitracking, is op dit moment niet te zeggen.

Wat betekent dit voor gemeenten die passanten willen tellen?

Voor gemeenten die overwegen wifitellingen te hervatten is de onzekerheid niet weggenomen. De Autoriteit Persoonsgegevens heeft haar standpunt niet herzien en de norm op de pagina van de toezichthouder over grondslagen voor wifi- en bluetoothtracking staat onverkort overeind. De uitspraak zegt iets over de bewijsvoering in één concrete zaak, niet over de toelaatbaarheid van de methode als zodanig.

De les van vijf jaar procederen lijkt vooral te zijn dat wie meet met technologie waarvan de juridische status omstreden is, jaren van bestuurlijke onzekerheid inkoopt, ook wanneer de boete uiteindelijk sneuvelt. Enschede was zelf al in mei 2020 met de wifisensoren gestopt, terwijl de procedure daarna nog zes jaar doorliep.

Dat verklaart waarom veel gemeenten inmiddels kijken naar meetmethoden waarbij de grondslag vooraf is geregeld. Bij een panel met expliciete opt-in, zoals Resono dat hanteert, geven deelnemers zelf toestemming voor het delen van locatiegegevens en wordt uitsluitend op geaggregeerd niveau gerapporteerd. Die keuze haalt de discussie over identificeerbaarheid weg bij de straat, nog voordat er ergens een sensor hangt. Welke methode past hangt af van het meetdoel en het beschikbare budget: in ons overzicht van methoden voor passantentellingen in winkelgebieden staan de opties naast elkaar.

Wat er de komende tijd nog volgt

Juridische annotaties en analyses van deze uitspraak verschijnen naar verwachting de komende weken. Of de wetgever of de toezichthouder met nadere duiding komt over passantentellingen in de openbare ruimte, is nog niet te zeggen. Wie wil sparren over de gevolgen voor het eigen meetbeleid, kan contact opnemen met ons.

Veelgestelde vragen over de uitspraak

Mag wifitellen nu wel na de uitspraak van de Raad van State?

Nee, die conclusie volgt niet uit de uitspraak. De Afdeling bestuursrechtspraak heeft alleen geoordeeld dat de Autoriteit Persoonsgegevens haar boetebesluit onvoldoende had onderbouwd op het moment dat zij dat besluit nam. De vraag of wifitellingen persoonsgegevens verwerken is uitdrukkelijk niet beantwoord. Het standpunt van de toezichthouder over wifi- en bluetoothtracking is ongewijzigd en blijft op haar website gepubliceerd. Een gemeente die vandaag met wifisensoren begint, doet dat dus in dezelfde juridische onzekerheid als voor 29 juli 2026, met het verschil dat nu bekend is welke bewijsvoering een boetebesluit niet overeind houdt.

Waarom hoefde de gemeente Enschede de boete van 600.000 euro niet te betalen?

Omdat de Autoriteit Persoonsgegevens niet heeft bewezen wat zij in haar besluit stelde. De rechtbank Overijssel oordeelde in februari 2024 dat de toezichthouder onvoldoende had onderzocht of passanten met de door haar geschetste methoden werkelijk identificeerbaar waren. In hoger beroep bestreed de Autoriteit Persoonsgegevens dat oordeel niet inhoudelijk, maar kwam zij met een nieuw argument over directe identificatie bij het tellen van unieke bezoekers. Dat argument stond niet in het boetebesluit zelf en mocht daarom volgens vaste rechtspraak niet alsnog worden meegewogen.

Wat betekenen de ECLI-nummers in deze zaak?

Een ECLI-nummer is de unieke identificatie van een gepubliceerde rechterlijke uitspraak. In dit dossier gaat het om twee nummers. ECLI:NL:RBOVE:2024:594 is de uitspraak van de rechtbank Overijssel van 2 februari 2024, waarin het boetebesluit werd vernietigd en de boete werd herroepen. ECLI:NL:RVS:2026:4403 is de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State van 29 juli 2026, met zaaknummer 202401622/1/A3, waarin het hoger beroep van de Autoriteit Persoonsgegevens ongegrond werd verklaard. Beide uitspraken zijn openbaar te raadplegen.

Kan de Autoriteit Persoonsgegevens nog verder procederen in deze zaak?

Nee. De Afdeling bestuursrechtspraak van de Raad van State is in dit type zaken de hoogste bestuursrechter, dus tegen deze uitspraak staat geen gewoon rechtsmiddel meer open. De procedure rond de boete voor de gemeente Enschede is daarmee afgerond. Dat sluit niet uit dat de toezichthouder in een andere zaak, bij een andere organisatie, opnieuw een besluit neemt over wifitracking. Het inhoudelijke standpunt over identificeerbaarheid is immers niet door de rechter verworpen, alleen buiten beschouwing gelaten wegens het moment waarop het werd aangevoerd.