Gezichtsherkenning[1] is tegenwoordig  geen onbekend fenomeen meer op vliegvelden.[2] Denk bijvoorbeeld aan de geautomatiseerde controle op Schiphol voor elektronische reisdocumenten zoals paspoorten en identiteitskaarten middels de zogenaamde eGate.[3] Op deze manier kunnen reizigers de douane passeren zonder tussenkomst van een grenswacht van de Marechaussee. Dit kan positief uitpakken in het kader van kortere wachttijden. Ook kan gezichtsherkenning in het algemeen leiden tot een betere beveiliging op vliegvelden (en elders). Niet enkel vliegvelden maken overigens gebruik van deze technologie, maar ook luchtvaartmaatschappijen. Ryanair kwam bijvoorbeeld onlangs nog in het nieuws, omdat zij gezichtsherkenning inzette als verificatiemiddel van contactgegevens. Uit andere hoeken van de maatschappij is er ook belangstelling voor deze technologie. Zo wordt gezichtsherkenning benut voor een variëteit aan toepassingen, zoals voor rechtshandhaving middels cameratoezicht, het opsporen van vermiste personen, het identificeren van (bij de politie bekende) winkeldieven, het verbeteren van de winkelervaring, online bankieren, de gezondheidszorg, en zelfs voor marketing en reclame doeleinden.[4] Vanuit een privacy perspectief blijft de vraag of gezichtsherkenning in haar gebruik als hulpmiddel in genoemde gevallen niet ten koste gaat van onze privacy. In deze blog zullen wij hierom stilstaan bij een aantal vereisten die bij de inzet van gezichtsherkenning gelden.

Biometrische persoonsgegevens

Gezichtsafbeeldingen zijn biometrische persoonsgegevens. Biometrische persoonsgegevens zijn volgens de Algemene Verordening Gegevensbescherming (AVG) persoonsgegevens die het resultaat zijn van een specifiek technische verwerking van fysieke kenmerken, fysiologische kenmerken of gedragskenmerken van een persoon. Denk hierbij bijvoorbeeld aan een vingerafdruk, een iris- of netvliesscan, maar ook stemherkenning. Als biometrisch persoonsgegevens worden gebruikt om iemand uniek te identificeren, gaat het om bijzondere persoonsgegevens. Camera’s met gezichtsherkenning verwerken dus bijzondere persoonsgegevens.

In beginsel is het  verboden om bijzondere persoonsgegevens te verwerken, tenzij er sprake is van een wettelijke uitzondering.[5] Dit betekent dat gezichtsherkenning enkel mag worden ingezet in situaties waarbij er sprake is van een wettelijke uitzondering. De twee meest voor de hand liggende uitzonderingen zijn de volgende in het geval van toepassing van gezichtsherkenning om iemand uniek te identificeren: 

1. Gezichtsherkenning is noodzakelijk voor authenticatie of beveiliging.[6] Deze noodzakelijkheid is er echter niet snel van toepassing. Het moet namelijk gaan om een zwaarwegend algemeen belang. Bijvoorbeeld in situaties waarbij het om staatsgeheimen gaat of bijvoorbeeld als het de beveiliging van een kerncentrale betreft.
2. Er is uitdrukkelijke toestemming gegeven door de mensen die worden gefilmd. Deze toestemming moet een actieve handeling van de betrokkene zijn, waaruit blijkt dat deze akkoord gaat met de verwerking van haar/zijn persoonsgegevens.[7] Deze wilsuiting dient voldoende specifiek te zijn. Een voorwaarde hierbij is dat duidelijk moet zijn waar toestemming voor wordt gevraagd. Dit betekent dat de betrokkene vooraf is geïnformeerd over de doeleinden van het gebruik van zijn of haar persoonsgegevens. Een opt-out is bijvoorbeeld een voorbeeld waarin géén toestemming is gegeven. Toestemming kan daarnaast te allen tijde weer worden ingetrokken. Bovendien moet je kunnen aantonen dat er toestemming is gegeven, dus je zult de verlening van toestemming ook vast moeten leggen (schriftelijk of digitaal).

Los hiervan moet er afgewogen worden of bijvoorbeeld een gebouw of een informatiesysteem zó goed beveiligd moet worden dat het gebruik van biometrie de enige optie is. Hierbij spelen de volgende vragen een rol: Is het gebruik van biometrie de minst ingrijpende manier? Staat het gebruik van biometrie in verhouding tot de inbreuk op de privacy? Is er sprake van een zwaarwegend algemeen belang zoals bijvoorbeeld beveiliging?

Is het antwoord op een of meerdere van deze vragen ‘nee’, dan is het niet noodzakelijk om biometrie te gebruiken voor authenticatie- of beveiligingsdoeleinden. En mag gezichtsherkenning dus niet worden ingezet. Als een dergelijke maatregel waarbij gezichtsherkenning wordt gebruikt wél noodzakelijk is, ben je verplicht een Data Protection Impact Assessment (DPIA) uit te voeren op deze verwerking. Ook mag je de gezichtsafbeeldingen niet zelf opslaan, maar moet dat in de vorm van een versleutelde code. De achterliggende gedachte is herleiding van de gezichtsafbeelding voorkomen naar de persoon in kwestie. Tot slot ben je wettelijk verplicht om een goede beveiliging te hebben op het systeem dat deze code opslaat.

Vragen?

Heb je nog vragen naar aanleiding van deze blog of wil je meer weten? Neem dan vrijblijvend contact met ons op om over dit onderwerp te sparren. Wij zijn bereikbaar per e-mail op info@lumengroup.nl of via telefoonnummer 030 – 889 65 75.

[1] Gezichtsherkenning is volgens de Algemeen Verordening Gegevensbescherming (AVG) een ‘automatische verwerking van digitale afbeeldingen, die de gezichten van personen bevatten met als doel identificatie, authenticatie/verificatie of categorisering van deze personen’. WP-opinie 02/2012 “On facial recognition in online and mobile devices.”

[2] https://www.theverge.com/2023/7/1/23781040/the-tsa-will-use-facial-recognition-in-over-400-airports

[3] https://www.schiphol.nl/nl/pagina/paspoort-en-reisdocumenten/

[4] https://www.kaspersky.nl/resource-center/definitions/what-is-facial-recognition

[5] Art. 9 AVG

[6] Art. 29 UAVG

[7] Art. 7 AVG