荷兰数据保护局对荷兰铁路公司因“匿名化”乘客Wi-Fi追踪数据可被重识别并用于商业分析案（AP，2020年6月）

【案件背景】
荷兰铁路公司（Nederlandse Spoorwegen，以下简称“NS”）是荷兰最大的铁路客运运营商。为优化列车调度、站台设计和商业布局，NS与一家数据分析公司合作，在荷兰多个大型火车站内部署了Wi-Fi传感器，通过在乘客经过时捕获其智能手机的Wi-Fi MAC地址来追踪站内客流路径和人群密度。NS声称已对收集的数据进行了“匿名化处理”——将MAC地址进行哈希处理，且仅保留聚合后的统计数据用于分析。但2019年，荷兰消费者协会（Consumentenbond）发现了NS在火车站内进行Wi-Fi追踪的事实，并向AP投诉。深入调查后，AP于2020年6月作出决定，认定NS的数据处理行为缺乏有效的匿名化措施。

【违法事实】
经调查查明：
（1）NS使用的MAC地址哈希化方法与斯德哥尔摩SL案类似，存在可通过彩虹表或暴力穷举进行反向破解的技术风险。MAC地址空间有效约47位（排除组播位和本地管理位），实际使用中的设备制造商高度集中，缩小了搜索空间。
（2）更为严重的是，NS的传感器不仅用于聚合统计客流，而且将同一设备的跨日跨站追踪数据用于个体级别的行为分析——例如分析“某乘客从Utrecht站到Amsterdam Zuid站的通勤模式变化”。这种个体级别的分析意味着NS在数据处理过程中实际保留了个人级别的可关联记录，而不仅仅是聚合统计。AP认定：NS声称的“仅使用聚合数据”的说法与实际情况不符。
（3）NS在火车站内未向乘客提供关于Wi-Fi追踪的充分告知。虽然NS在站内部分地点张贴了提示标识，但标识内容含糊（“本区域使用传感器改善服务”），未具体说明收集MAC地址、追踪路径、数据保存期限和第三方共享情况。大多数乘客在进出车站时未注意到标识，也未意识到自己的设备被追踪。
（4）NS将数据处理委托给外部数据分析公司，委托处理协议（DPA）中虽然约定了数据处理的目的和方式，但NS未充分审计数据分析公司对数据的使用。调查发现，数据分析公司在处理过程中保留了原始哈希化MAC地址的副本，超出委托协议的要求。
（5）消费者的“退出”机制不充分。NS在其移动App中提供了关闭Wi-Fi追踪的选项，但对于非App用户（大多数火车站乘客），唯一的退出方式是在进入车站前手动关闭手机的Wi-Fi功能——这在实际操作中不可行且不合理。

【处罚决定】
2020年6月30日，AP作出决定：
（一）认定NS违反GDPR第6条（处理的合法性——缺乏有效法律依据）、第13/14条（透明度义务——未充分告知数据主体）、第28条（处理者协议——未充分审计受托方）和第35条（DPIA——隐私影响评估不充分）；
（二）命令NS停止通过Wi-Fi传感器追踪乘客设备的行为，删除所有已收集的原始数据；
（三）AP并未处以罚款，原因在于NS在调查期间已主动停止了追踪行为并着手整改。但AP明确指出，如果NS未来恢复类似的数据处理而不满足GDPR要求，将考虑罚款。

【典型意义】
本案是欧洲公共交通Wi-Fi追踪领域的代表性执法案例，细化了匿名化和透明度在IoT传感器场景下的要求：
第一，“聚合分析”与“个体级别的处理”之间存在关键的法律界限。NS声称的匿名化与实际的个体级别行为分析之间的矛盾被AP明确指出：如果数据处理的目的包含个体级别的行为分析，那么数据就不是匿名的，整个处理活动须受GDPR全面约束。
第二，透明度义务在物理空间中具有特殊性。乘客匆匆经过车站时看到的小字提示标识，不能满足GDPR关于信息须“简洁、透明、易懂、易于获取”的要求。在IoT场景下，企业面临极大的透明度挑战。
第三，退出机制在IoT追踪场景中几乎不可能实现有效的“知情拒绝”。关闭Wi-Fi功能意味着失去所有Wi-Fi服务（包括在线购票、行程查询等），这与GDPR强调的“无捆绑的同意/退出”原则相悖。
第四，对数据处理者的独立审计义务在本案中被强调。即使签订了DPA，控制者（NS）对处理者（数据分析公司）的实际数据处理行为的持续监督是不可推卸的责任。