Op 29 juli 2026 zette de hoogste bestuursrechter een punt achter een zaak die in 2018 begon. De gemeente Enschede hoeft de boete van 600.000 euro niet te betalen die de Autoriteit Persoonsgegevens had opgelegd voor het tellen van passanten in de binnenstad.
Als je alleen die uitkomst leest, lijkt de conclusie eenvoudig: het mocht dus toch. Die conclusie klopt niet. En het verschil is precies waar het in de praktijk om gaat.
Wat Enschede deed
Vanaf 25 mei 2018 hingen er ten minste tien sensoren in de binnenstad. Die vingen het MAC-adres op van telefoons waarvan de wifi aan stond. Een MAC-adres is een in beginsel uniek nummer van twaalf tekens dat aan de netwerkkaart van een apparaat is toegewezen.
Dat adres werd niet zomaar opgeslagen. Een algoritme zette het om naar een gepseudonimiseerd adres, en alle sensoren gebruikten hetzelfde algoritme, zodat een telefoon die langs meerdere sensoren kwam steeds hetzelfde vervangende nummer kreeg. Daarna gingen er filters over de gegevens: adressen uit een opt-outregister eruit, adressen die zichzelf willekeurig veranderen eruit, en een bewonersfilter dat adressen verwijderde die tussen bepaalde nachtelijke momenten werden gezien. Vanaf 2019 werden ook de laatste drie tekens afgeknipt. Wat overbleef was een schatting van het aantal unieke bezoekers. In mei 2020 stopte de gemeente ermee.
De toezichthouder vond dat hier persoonsgegevens werden verwerkt zonder grondslag. Niet omdat zo'n nummer iemands naam verraadt, maar omdat je met een uniek nummer plus locatie en tijdstip één persoon kunt volgen. Daarmee zou die persoon identificeerbaar zijn, en dan is het een persoonsgegeven.
Waarom de boete sneuvelde
Niet op de inhoud. Op het moment.
De rechtbank in Overijssel constateerde in februari 2024 dat de toezichthouder bij het weerleggen van de bezwaren telkens was uitgegaan van wat aannemelijk leek, in plaats van zich te baseren op onderzoek naar feiten. Er waren drie manieren geschetst waarop iemand herleidbaar zou zijn. De belangrijkste kwam erop neer dat je vroeg in de ochtend, als er weinig mensen op straat lopen, met het blote oog zou kunnen vaststellen wie daar met die telefoon liep. Of dat werkelijk kan, was niet onderzocht.
In hoger beroep bestreed de toezichthouder dat oordeel niet meer. Ter zitting bevestigde zij zelfs dat voor die drie routes niet aan de bewijsstandaard was voldaan. In plaats daarvan kwam er een ander argument: personen waren al direct geïdentificeerd, want je kon unieke bezoekers tellen, en dat is genoeg.
Daar liep het vast. Dat argument stond niet in het boetebesluit zelf. En bij een bestuurlijke boete geldt dat het bestuursorgaan zijn bewijs op tafel moet hebben zodra de besluitvorming is afgerond, niet pas als de rechter ernaar kijkt. Dat is er niet om het de toezichthouder moeilijk te maken. Het bestaat omdat iemand die wordt beboet moet weten waartegen hij zich verdedigt, en op tijd moet kunnen reageren.
De rechter laat het nieuwe argument daarom uitdrukkelijk liggen.
Wat er dus niet is beslist
En dat is het deel dat in de samenvattingen wegvalt.
De vraag of het individualiseren van iemand, dus iemand uit de massa kunnen halen zonder te weten wie het is, hetzelfde is als identificeren: die vraag is niet beantwoord. Niet met ja, niet met nee. De hoogste rechter heeft hem bewust laten liggen omdat hij te laat werd opgeworpen.
Wie hieruit leest dat gepseudonimiseerde MAC-adressen buiten de AVG vallen, leest iets wat er niet staat. Er ligt een oordeel over hoe een toezichthouder een boetebesluit moet opbouwen. Er ligt geen oordeel over wanneer een technisch identificatienummer een persoonsgegeven is.
Waar de bewijslast wel en niet ligt
De les die nu rondgaat is dat de toezichthouder moet bewijzen dat iets een persoonsgegeven is. In een handhavingsprocedure is dat waar. Wie een boete oplegt, draagt het bewijs.
Binnen je eigen organisatie werkt het andersom. Artikel 5 lid 2 van de AVG legt de verantwoordingsplicht bij de verwerkingsverantwoordelijke: jij moet kunnen aantonen dat je aan de regels voldoet. Zeg je "dit zijn geen persoonsgegevens, dus dit valt erbuiten", dan is dat jouw kwalificatie en jouw risico. De toezichthouder is pas aan zet wanneer er gehandhaafd wordt, en tot dat moment loopt de verwerking gewoon door.
In Enschede liep die van mei 2018 tot april 2020. De boete kwam in maart 2021. Het definitieve antwoord kwam in juli 2026.
Wat je dan doet
Schrijf je afweging op. Niet als document voor de bureaulade, maar als kort verhaal dat een buitenstaander over twee jaar nog kan volgen.
Daarin hoort welke gegevens het precies zijn, wat er technisch met ze gebeurt, waarom je vindt dat er geen persoon uit te halen valt, en welke moeite iemand zou moeten doen om dat toch te kunnen. Dat laatste is de kern. De AVG kijkt naar de middelen die redelijkerwijs kunnen worden ingezet, met de techniek van dat moment en de ontwikkeling die je kunt verwachten. Kosten en benodigde tijd horen in die afweging thuis.
Dat is precies wat de rechtbank de toezichthouder verweet niet te hebben gedaan. Dezelfde toets geldt voor jou.
Zet er een datum op, met een moment waarop je het opnieuw bekijkt. Techniek die vandaag niets prijsgeeft, kan dat over drie jaar wel doen.
En je functionaris gegevensbescherming
Bij zo'n kwalificatie wordt nu wel gezegd: als een jurist of privacy officer ernaar heeft gekeken, hoef je niet ook nog langs de functionaris gegevensbescherming. Formeel is dat te verdedigen. De taken van een FG komen uit de AVG, en als de AVG niet van toepassing is, is er ook geen taak.
Toch zit daar een haak. Je gebruikt dan de uitkomst van de vraag om te bepalen wie er over die vraag mocht meedenken. Op het moment dat je de knoop doorhakt, staat het antwoord nog niet vast. In Enschede stond het acht jaar open.
Er is nog een verschil dat zwaarder weegt. Een interne jurist en een privacy officer zitten in de lijn. Die kunnen worden bijgestuurd, en er kan een tweede opinie worden gevraagd tot er een uitkomt die past. Voor de FG geldt dat niet. Die mag bij het uitvoeren van die taak geen instructies krijgen, is beschermd tegen ontslag daarvoor, en rapporteert rechtstreeks aan het hoogste niveau. Bij een grensvraag is dat geen formaliteit. Dat is de reden dat de functie bestaat.
En als de FG het anders ziet? Dan mag de organisatie dat advies naast zich neerleggen. De FG adviseert, de verantwoordelijke beslist. Leg alleen vast dat je bent afgeweken en waarom. Dat is hetzelfde dossier dat je toch al aan het opbouwen was.
Wat winnen hier kostte
Enschede heeft gelijk gekregen, en dat is een terechte uitkomst als je vindt dat een boetebesluit dat niet deugt geen stand moet houden.
Tel wel op wat ertussen zat. Een boetebesluit in maart 2021, bezwaar dat in april 2022 werd afgewezen, een rechtbankuitspraak in februari 2024, een uitspraak in hoger beroep in juli 2026. Ruim vijf jaar, met advocaten aan beide kanten en onderweg nog een aparte procedure over vertrouwelijke stukken.
En Enschede kreeg geen gelijk omdat de eigen afweging goed was vastgelegd. Enschede kreeg gelijk omdat het boetebesluit niet op orde was. Dat is een wezenlijk verschil, want op het eerste heb je zelf invloed en op het tweede niet.
Wat ik acht jaar geleden zei
Toen de AVG net gold, heb ik tegen klanten gezegd: als je niet helder hebt of iets persoonsgegevens zijn, en je hebt die vraag nooit gesteld, dan kun je daarvoor een boete krijgen.
Die boete is nu van tafel. Mijn advies is dat niet.
Wat deze zaak laat zien is niet dat de vraag onbelangrijk was. Het is dat de handhaving strandde op de vorm. Wie daaruit opmaakt dat de check overbodig is, gokt erop dat het de volgende keer weer zo loopt. En de toezichthouder heeft deze les nu ook geleerd.
Het punt is nooit geweest dat je bang moet zijn. Het punt is dat de vraag of iets een persoonsgegeven is, en waarom je dat vindt, een middag werk is als je hem vooraf stelt. En jaren, als je hem achteraf moet reconstrueren.
Bron: uitspraak van de Afdeling bestuursrechtspraak van de Raad van State van 29 juli 2026, ECLI:NL:RVS:2026:4403, zaaknummer 202401622/1/A3. Lees de uitspraak.
Geschreven door Johan Antonissen van Privacy in Bedrijf.