Autoriteit Persoonsgegevens publiceert richtlijnen over gezichtsherkenning

Waarom nieuwe richtlijnen over gezichtsherkenning?

De Autoriteit Persoonsgegevens (AP) ontvangt regelmatig vragen over het gebruik van gezichtsherkenning. Daarom heeft de AP richtlijnen gepubliceerd waarin wordt uitgelegd onder welke omstandigheden gezichtsherkenning wel en niet is toegestaan.

Het belang van deze richtlijnen ligt met name in de verduidelijking van twee belangrijke uitzonderingen op het verbod op het verwerken van biometrische gegevens voor identificatiedoeleinden. Ook het gebruik van kunstmatige intelligentie (AI) in combinatie met gezichtsherkenning komt aan bod.

1e uitzondering: gezichtsherkenning voor de beveiliging van zwaarwegende belangen

Een uitzondering op het verbod op gezichtsherkenning kan gelden wanneer het gebruik noodzakelijk is voor authenticatie- of beveiligingsdoeleinden en sprake is van een zwaarwegend algemeen belang.

De Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) maakt onder strikte voorwaarden een uitzondering mogelijk voor de verwerking van biometrische gegevens wanneer dit noodzakelijk is voor authenticatie- of beveiligingsdoeleinden.

Een bekend voorbeeld is het gebruik van gezichtsherkenning voor de beveiliging van een kerncentrale.

In de richtlijnen van de AP wordt daarnaast aandacht besteed aan de beveiliging van gevaarlijke stoffen die bijvoorbeeld kunnen worden gebruikt voor de productie van explosieven.

In 2023 keurde de AP een gedragscode goed voor bedrijven in de internationale haven- en scheepvaartsector. Onder strikte voorwaarden kan gezichtsherkenning worden ingezet voor de beveiliging van dergelijke gevaarlijke stoffen.

Daarbij is onder meer van belang dat vooraf een Data Protection Impact Assessment (DPIA) wordt uitgevoerd. Uit deze beoordeling moet blijken dat de inzet van gezichtsherkenning noodzakelijk en proportioneel is en dat er voldoende zwaarwegende redenen bestaan om deze technologie in te zetten.

2e uitzondering: gezichtsherkenning voor persoonlijk of huishoudelijk gebruik

De AP verduidelijkt ook onder welke omstandigheden gezichtsherkenning kan worden beschouwd als persoonlijk of huishoudelijk gebruik.

Wanneer de zogenoemde huishoudelijke uitzondering van toepassing is, valt de verwerking buiten het toepassingsgebied van de Algemene verordening gegevensbescherming (AVG).

Een voorbeeld hiervan is het ontgrendelen van een mobiele telefoon met gezichtsherkenning. Dit kan onder de huishoudelijke uitzondering vallen wanneer de biometrische gegevens uitsluitend op het apparaat zelf worden opgeslagen en de gebruiker zelf controle houdt over wat er met deze gegevens gebeurt.

De gebruiker moet bovendien zelf kunnen kiezen of gezichtsherkenning wordt gebruikt of dat de telefoon bijvoorbeeld met een pincode wordt ontgrendeld.

Gezichtsherkenning voor identificatie

De richtlijnen verduidelijken daarnaast dat het verbod op de verwerking van bijzondere categorieën van persoonsgegevens ook relevant is wanneer gezichtsherkenning wordt gebruikt om de identiteit van een persoon vast te stellen.

Biometrische gegevens die worden verwerkt met het oog op de unieke identificatie van een persoon zijn bijzondere persoonsgegevens onder de AVG. De verwerking daarvan is in beginsel verboden, tenzij een specifieke uitzondering van toepassing is.

Dit betekent bijvoorbeeld dat gezichtsherkenning niet zonder meer mag worden ingezet om winkeldieven of andere personen in Nederlandse supermarkten te herkennen en identificeren. Voor een dergelijke toepassing moet een geldige uitzondering op het verwerkingsverbod bestaan en moet aan de overige vereisten van de AVG en UAVG worden voldaan.

Vragen over gezichtsherkenning, de AVG en AI?

Met de verdere ontwikkeling en toepassing van AI verwachten wij dat steeds meer Europese privacytoezichthouders richtlijnen zullen publiceren over het gebruik van AI en gezichtsherkenning.

Heeft uw organisatie vragen over het gebruik van gezichtsherkenning of over het uitvoeren van een DPIA? Neem dan gerust contact op met onze privacyexperts via het onderstaande formulier of stuur een e-mail naar info@dpoconsultancy.nl.