De Autoriteit Persoonsgegevens (AP) heeft retailers en gemeenten gewezen op de wettelijke eisen die gelden wanneer zij wifi-tracking gebruiken. De autoriteit zegt regelmatig signalen te ontvangen van mensen die zorgen hebben over de impact van wifi-tracking op hun privacy.

Via wifi-tracking kan veel informatie worden ingewonnen over consumenten. Retailers gebruiken de techniek onder meer om te meten hoeveel mensen hun winkel passeren, hoeveel bezoekers naar binnen gaan en hoelang zij op een bepaalde plaats in de winkel blijven. Dezelfde techniek wordt door gemeenten en evenementenorganisatoren gebruikt om loopstromen in kaart te brengen en bij te houden hoe lang bezoekers op een bepaalde plaats verblijven.

Organisaties mogen deze persoonsgegevens volgens de Wet bescherming persoonsgegevens (Wbp) alleen verwerken als zij daar een wettelijke grondslag voor hebben, bijvoorbeeld wanneer mensen er zelf toestemming voor hebben gegeven. Organisaties met een publiekrechtelijke taak, zoals gemeenten, kunnen via wifi-tracking persoonsgegevens verwerken als dit noodzakelijk is om die taak uit te voeren. Zij mogen de techniek dan alleen in een bepaalde periode gebruiken in gebieden waarin het echt nodig is.

Naast de wettelijke grondslag stelt de Wbp verschillende eisen aan de verwerking van de gegevens. Zo moeten organisaties die wifi-tracking inzetten, mensen helder informeren over welke gegevens worden verzameld en waarvoor dat gebeurt. Dit moeten zij doen op het moment dat de gegevens worden vastgelegd. Daarnaast mogen zij gegevens alleen bewaren zolang het noodzakelijk is voor het doel van de metingen. Binnen winkels is dit maximaal 24 uur. Na die periode moeten gegevens worden vernietigd of geanonimiseerd.

De gemeente Utrecht is inmiddels een onderzoek gestart naar Citytraffic, een bedrijf dat mensen volgt via wifi en bluetooth. De gemeente is van mening dat zij het bedrijf hier geen toestemming voor heeft gegeven. Citytraffic verkoopt de verkregen data aan winkels en gemeenten.