De omstreden trackingdienst van Bumbee Labs krijgt nu groen licht van de Zweedse gegevensbeschermingsautoriteit. De dienst is niet langer in strijd met de wet op de persoonsgegevens.
Na een samenwerking met de gemeente Västerås berichtten velen over de mogelijk privacygevoelige dienst van Bumbee Labs. Met de dienst kon de gemeente zien hoe de bevolking zich door de stad bewoog (al was dat niet op individueel niveau). In de zomer oordeelde de Zweedse gegevensbeschermingsautoriteit dat de dienst in de toenmalige vorm in strijd was met de wet op de persoonsgegevens (PUL).
“We hebben nu de wijzigingen doorgevoerd die de gegevensbeschermingsautoriteit wilde, en ze hebben ons goedgekeurd. Het is het eerste besluit van zijn soort in Europa”, zegt oprichter en voorzitter Staffan Liljestrand.
Wat er mis was met de oude versie is relatief ingewikkeld. In de kern gaat het over de vraag of zogeheten MAC-adressen als persoonsgegevens moeten worden beschouwd of niet.
Een MAC-adres is een unieke ID voor elke computer, telefoon of ander apparaat dat via Wi-Fi verbinding kan maken met het netwerk. Het kan echter niet rechtstreeks aan een werkelijke persoon worden gekoppeld. Dat is in elk geval het standpunt van Bumbee Labs. De gegevensbeschermingsautoriteit vindt daarentegen dat een MAC-adres als persoonsgegeven moet gelden. Het gevolg is dat zij oordeelde dat de vorige versie van de dienst van Bumbee Labs in strijd was met de wet op de persoonsgegevens.
Let op, want nu wordt het ingewikkeld. De gegevensbeschermingsautoriteit onderbouwt haar zomerbesluit door te stellen dat het MAC-adres indirect aan een persoon kan worden gekoppeld. Dat zou het geval zijn als het samen met persoonsgegevens in andere contexten was geregistreerd, bijvoorbeeld door de mobiele operator of bij het inloggen op een Wi-Fi-netwerk met de telefoon.
Na het besluit van de gegevensbeschermingsautoriteit veranderde Bumbee Labs zijn dienst en slaat het geen MAC-adressen meer op.
“Onze dienst werkt nu ongeveer zoals die kabels die je soms op grote wegen ziet en die anoniem meten hoeveel auto’s een bepaald punt passeren. Behalve digitaal, en met telefoons, over hele steden. De enige informatie die we opslaan is de positie van de telefoons. Alle persoonsgegevens worden binnen een paar seconden onomkeerbaar verwijderd. We geven onze klanten simpelweg de mogelijkheid om te zien hoe de bezoekers van een stad zich als groep bewegen”, zegt Staffan Liljestrand.
De media-aandacht voor het feit dat de dienst gebruikt zou kunnen worden om individuen te volgen, is aanzienlijk geweest. Maar Staffan Liljestrand zegt dat zowel het bedrijf zelf als zijn klanten volstrekt geen interesse hebben in individuen. Het is voor het bedrijf echter moeilijk geweest om dat verhaal te kantelen, waardoor sommige klanten een afwachtende houding tegenover de dienst aannamen.
“Sommige van onze klanten kozen ervoor om het besluit van de gegevensbeschermingsautoriteit af te wachten voordat ze de dienst gingen gebruiken. Dit besluit betekent dat meer partijen zich zeker zullen voelen om de dienst te gebruiken”, zegt Staffan Liljestrand.