Gezichtsherkenning in horizontale relaties (tussen burgers en bedrijven) is toegestaan, maar daarvoor gelden wel strenge eisen. Als een organisatie gezichtsherkenningstechnologie wil inzetten om de stroom aan bezoekers in goede banen te leiden, moet ze aantonen dat ze daarbij aan de spelregels van de Europese privacywetgeving voldoet. Het is de taak van de Autoriteit Persoonsgegevens om te controleren of dat ook daadwerkelijk gebeurt.
Dat schrijft demissionair minister voor Rechtsbescherming Sander Dekker in reactie op schriftelijke vragen van Simone Kerseboom (FVD). Begin november stelde het Tweede Kamerlid vragen over de inzet van gezichtsherkenningstechnologie als identificatiemiddel bij festivals.
Doorstroming bevorderen door gezichtsherkenning
Aanleiding voor de vragen was dat de organisatie van het Limburgse Carnavalsfeest 11devande11de gezichtsherkenning wilde inzetten om de doorstroom van feestvierders te versnellen. Bezoekers van het festival konden van tevoren een applicatie downloaden. In de app konden zij hun persoonsgegevens invullen en een foto van een geldig legitimatiebewijs en een selfie uploaden. Deze informatie werd opgeslagen in de database van app-ontwikkelaar Compo en gelinkt aan hun persoonlijke QR-code.
Het idee hierachter was dat de controle bij de ingang van het festivalterrein een stuk sneller zou verlopen als men zich vooraf zou registreren. Omdat profielgegevens gekoppeld waren aan een QR-code, hoefden bezoekers alleen in de camera te kijken en konden ze doorlopen. Uiteindelijk werd het Carnavalsfeest geannuleerd vanwege de oplopende ziekenhuisopnames.
AVG formuleert strenge waarborgen voor inzet gezichtsherkenning
Kerseboom vroeg zich af of dit was toegestaan en stelde daarom een aantal schriftelijke vragen aan minister Dekker voor Rechtsbescherming. In haar vragen herinnert ze de minister eraan dat gezichtsherkenning in horizontale relaties -dus tussen burgers en bedrijven- in beginsel niet is toegestaan. Ze wilde tevens van de bewindsman weten of hij vindt dat er bij het evenement een ‘zwaarwegend algemeen belang’ werd gediend.
Minister Dekker stelt dat de inzet van gezichtsherkenningstechnologie tussen burgers en bedrijven alleen is toegestaan in twee situaties: wanneer organisaties ‘uitdrukkelijke, vrijelijk gegeven toestemming’ hebben gekregen van burgers, of wanneer er sprake is van een zwaarwegend algemeen belang voor beveiligings- of authenticatiedoeleinden. Volgens de minister beroepen de verwerkingsverantwoordelijke organisaties zich op expliciete toestemming van bezoekers om hun biometrische gegevens rechtmatig te mogen verwerken.
Zelfs als men nadrukkelijk toestemming geeft om bijzondere gegevens op te slaan, mag gezichtsherkenning niet zonder meer worden toegepast. Minister Dekker benadrukt dat de Algemene Verordening Gegevensbescherming (AVG) diverse waarborgen kent. Eén daarvan is het beginsel van dataminimalisatie, dat is vastgelegd in artikel 5.1(c) van de AVG. Dat houdt in dat de verwerkingsverantwoordelijke zo min mogelijk gegevens vastlegt om zijn doel te bereiken. “Dit brengt mee dat een verwerkingsverantwoordelijke die gezichtsherkenning toe wil passen moet toetsen of er geen mogelijkheden bestaan om het doel te bereiken en daarbij minder gegevens te verwerken”, aldus Dekker.
AP oordeelt over rechtmatige inzet gezichtsherkenningstechnologie
Verder benadrukt de minister dat het belangrijk is dat burgers zich bewust zijn van de voor- en nadelen van gezichtsherkenning. De AVG bepaalt dat verwerkingsverantwoordelijke partijen -zoals de organisatie van het Carnavalsevenement 11devande11de- bezoekers ‘vrijelijk, ondubbelzinnig, geïnformeerd en specifiek’ voorlichten.
De European Data Protection Board (EDPB), de overkoepelende organisatie waarin de nationale toezichthouders van de EU-lidstaten in zijn verenigd, heeft daarvoor een verordening opgesteld. Ook de Autoriteit Persoonsgegevens legt volgens de minister op haar website helder uit wat de spelregels zijn voor de inzet van gezichtsherkenningstechnologie. “Het is tevens aan de AP, of in voorkomend geval aan de rechter, om een oordeel te vellen over of de verleende toestemming als ‘geïnformeerd’ kan worden gekwalificeerd”, aldus minister Dekker.
Maatregelen treffen om privacy te waarborgen
Tot slot vraagt Kerseboom zich af hoe het zit met mensen die geen toestemming hebben gegeven om biometrische gegevens op te slaan, maar bij het betreden van het terrein per ongeluk in de camera kijken. Volgens de minister is het antwoord op deze vraag eenvoudig: verwerkingsverantwoordelijken hebben de plicht om “technische en organisatorische maatregelen [te nemen] om ervoor te zorgen dat de rechten van betrokkenen worden beschermd en de bepalingen uit de AVG worden nageleefd”.
In een notendop komt het er dus op neer dat de organisatie maatregelen moet treffen om te voorkomen dat (biometrische) gegevens van mensen die daarvoor geen toestemming hebben gegeven, worden verwerkt. Alleen zo kan de privacy van bezoekers worden gegarandeerd.
Nederlanders positief over camera’s met gezichtsherkenning
De meeste Nederlanders hebben geen moeite met gezichtsherkenningstechnologie. Uit onderzoek van GetApp Nederland is namelijk gebleken dat meer dan de helft van de Nederlanders (62 procent) positief staat tegenover camera’s met gezichtsherkenningssoftware. 15 procent vindt het zelfs zeer acceptabel om dergelijke camera’s op te hangen in openbare ruimten.
Bij diverse toepassingen vinden Nederlanders het geen probleem als er camera’s met gezichtsherkenning hangen. Bijvoorbeeld bij de paspoortcontrole op de luchthaven Schiphol (85 procent), of als de politie op straat surveilleert (80 procent). Iets minder dan de helft (43 procent) vindt dat het oplossen van een misdrijf zwaarder weegt dan de eventuele inbreuk op hun privacy.
