De AP geeft antwoord op vragen over gezichtsherkenning

22/05/2024 - Onlangs heeft de Autoriteit Persoonsgegevens (‘AP’) antwoord gegeven op vragen over verwerkingen van persoonsgegevens bij de inzet van gezichtsherkenning. De antwoorden zijn vooral bedoeld voor organisaties die gezichtsherkenning willen gaan toepassen. Maar waar moet je nu precies op letten bij de inzet van gezichtsherkenning?   

Gezichtsherkenning is het inzetten van technologie om automatisch gezichten en/of gezichtskenmerken te herkennen. Voor het gebruik van gezichtsherkenning worden vaak biometrische toepassingen ingezet waarbij bijzondere persoonsgegevens worden verwerkt. Het biometrisch gegeven is namelijk een uniek lichaamskenmerk dat is te herleiden naar een individu.  

Vereisten van biometrisch gegeven  

In de Algemene verordening gegevensbescherming (‘AVG’) zijn biometrische gegevens gedefinieerd als ‘persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens’. Om aan deze definitie te voldoen gelden er drie cumulatieve criteria: 

1. De aard van de gegevens: het moet gaan om gegevens over de fysieke, fysiologische of gedragsgerelateerde kenmerken van natuurlijke personen. Bijvoorbeeld de afstand tussen iemands ogen of de grootte van iemands oren.  
2. De middelen en de wijze van verwerken: het moet gaan om persoonsgegevens ‘die het resultaat zijn van een specifieke technische verwerking’. Bijvoorbeeld een foto van iemands gezicht wordt omgezet naar een biometrisch template dat vergeleken kan worden met eerder opgeslagen templates.  
3. Het doel van de verwerking: eenduidige identificatie van die natuurlijke persoon is mogelijk of wordt bevestigd.  

Bij eenduidige identificatie door gezichtsherkenning gaat het om de verwerking van unieke gezichtskenmerken waarbij het biometrisch gegeven uniek is voor één natuurlijk persoon. Bij het bevestigen van de identiteit van een persoon wordt een biometrische vergelijking van het gezicht gebruikt om te verifiëren of te bevestigen dat een individu dezelfde persoon is als de persoon van wie de biometrische gegevens eerder zijn vastgelegd. Het doel is om te controleren of de persoon is wie deze zegt te zijn. Dit wordt ook wel authenticatie genoemd.  

Verwerkingsverbod 

Biometrische gegevens behoren tot de categorie bijzondere persoonsgegevens waarvoor in beginsel een verwerkingsverbod geldt. Dit houdt in dat de verwerking van biometrie verboden is, tenzij er een uitzonderingsgrond van toepassing is. Er heerste lang onduidelijkheid onder experts of het verwerken van biometrische gegevens om de identiteit van een persoon te bevestigen, oftewel authenticatie, ook onder het verwerkingsverbod van artikel 9 lid 1 AVG valt. Hier geeft de AP nu duidelijkheid over. Het is echter weinig verassend dat de AP een letterlijke lezing van de wet hanteert en zich aansluit bij hetgeen de European Data Protection Board (‘EDPB’) heeft aangegeven, namelijk dat het verwerken van biometrische gegevens met als doel iemands identiteit te bevestigen, valt onder artikel 9 lid 1 AVG.  

Dit verwerkingsverbod kan worden doorbroken als sprake is van de uitdrukkelijke toestemming van de betrokkene of de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang. Aan de redenen van zwaarwegend algemeen belang wordt invulling gegeven door artikel 29 Uitvoeringswet AVG (‘UAVG’) dat vereist dat organisaties een afweging maken of unieke identificatie met biometrische gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Naast het bekende voorbeeld van de beveiliging van een kerncentrale voegt de AP nog een scenario toe waarin de uitzondering van artikel 29 UAVG geldt, namelijk voor de beveiliging van gevaarlijke stoffen. In andere gevallen dient een organisatie de uitdrukkelijke toestemming van de betrokkene te verkrijgen om diens biometrische gegevens te verwerken. Daarbij is het van belang dat betrokkenen goed worden geïnformeerd en de toestemming in vrijheid gegeven kan worden. De betrokkene moet een gelijkwaardig alternatief geboden worden en mag geen druk ervaren om akkoord te geven voor de optie gezichtsherkenning. Tevens moeten betrokkenen duidelijk en actief akkoord gaan met het gebruik van gezichtsherkenning en moet hen de mogelijkheid geboden worden om hun toestemming in te trekken.  

Tot slot wijst de AP nog op de aanstaande wijziging van artikel 29 UAVG waarin staat dat alleen een beroep kan worden gedaan op de ontheffing bij een zwaarwegend algemeen belang. De verwerking moet dan dus noodzakelijk zijn voor authenticatie of beveiligingsdoeleinden én noodzakelijk zijn vanwege een zwaarwegend algemeen belang. Er dient dus een dubbele noodzakelijkheidstoets te worden gedaan om te bepalen of deze uitzonderingsgrond van toepassing is.