Richtsnoeren van het Europees Comité voor gegevensbescherming over de inzet van gezichtsherkenning door politie en justitie: wat is (niet) toegestaan?

Overheidsinstanties zetten gezichtsherkenning steeds vaker in of verkennen de mogelijkheden daarvan. Vooral bij politie en justitie bestaat een toegenomen belangstelling voor het gebruik van gezichtsherkenning. Voor deze opsporingsinstanties kan gezichtsherkenning oplossingen voor (nieuwe) uitdagingen bieden. Te denken valt hierbij aan big data-analyses, effectievere observaties en het opvangen van personeelstekorten. Behalve enthousiasme bestaan ook zorgen over het gebruik van gezichtsherkenning bij opsporingstaken. Critici zien in dat verband aanzienlijke (privacy)risico’s voor zowel individuele personen als groepen zoals minderheden. 

Om de risico’s van het gebruik van gezichtsherkenning door opsporingsinstanties te adresseren en handvatten rondom de inzet van deze technologie te bieden, heeft het Europees Comité voor gegevensbescherming (European Data Protection Board – EDPB), een onafhankelijk Europees orgaan met vertegenwoordigers van de nationale gegevensbeschermingsautoriteiten waaraan de Autoriteit Persoonsgegevens deelneemt, op 12 mei 2022 nieuwe EDPB-richtsnoeren gepubliceerd. Op deze eerste versie van de richtsnoeren kunnen zowel organisaties als individuen feedback geven. De reactietermijn loopt tot en met 27 juni 2022. In deze blog worden de belangrijkste punten uit de EDPB-richtsnoeren -na een korte uiteenzetting van het wettelijk kader - op een rij gezet. 

Gezichtsherkenning en de Wet politiegegevens 

Gezichtsherkenning is een toepassing van biometrie die identificatie van een persoon op basis van zijn of haar gezichtskenmerken mogelijk maakt. Biometrie doelt op alle technische verwerkingen van menselijke lichaams- of gedragskenmerken zoals een gezicht of vingerafdrukken. Vanuit het oogpunt van het gegevensbeschermingsrecht zijn deze kenmerken ‘biometrische persoonsgegevens’ als de verwerking ervan de eenduidige identificatie van een persoon mogelijk maakt. De Algemene verordening gegevensbescherming (AVG) is van toepassing op de verwerking van biometrische gegevens. Er geldt een ander regime voor de verwerking van biometrische gegevens door bevoegde autoriteiten, zoals de politie, in het kader van de uitvoering van hun taken. In dit geval is de Wet politiegegevens (Wpg) of de Wet justitiële en strafvorderlijke gegevens (Wjsg) van toepassing.   

De Wpg schrijft voor dat politie alleen gegevens mag verwerken voor een bepaald doel. Dit doel moet vervolgens binnen de doeleinden van de Wpg vallen. Een voorbeeld hiervan is het verrichten van onderzoek naar een strafbaar feit. De verwerking moet daarnaast noodzakelijk zijn om dat doel te bereiken. Omdat biometrische gegevens in de Wpg als een bijzondere categorie gegevens zijn aangewezen, gelden er aanvullende vereisten. Zo mogen biometrische gegevens slechts in uitzonderlijke gevallen worden verwerkt. Ook moet de gegevensbeveiliging, rekening houdende met de gevoeligheid van biometrische gegevens, afdoende zijn.  

Grenzen aan gezichtsherkenning  

De EDPB begrijpt dat politie en justitie gezichtsherkenning willen gebruiken om criminelen en terroristen snel te kunnen identificeren. Tegelijkertijd benadrukt zij dat nieuwe technologieën slechts een deel van de oplossing vormen, en geen zilveren kogel zijn. Daarom pleit de EDPB, in lijn met de eerdere oproep voor een verbod op het gebruik van bepaalde AI-systemen, voor een verbod op het gebruik van gezichtsherkenning in de volgende gevallen: 

• Gezichtsherkenning op afstand van personen in de publieke ruimte (“biometrische massasurveillance”); 
• AI-(gezichtsherkennings)systemen die personen indelen op basis van etniciteit,
• Gezichtsherkenning of soortgelijke technologieën die emotieherkenning mogelijk maken; 
• Gebruik van een databank met daarin grote hoeveelheden foto’s van mensen die van het internet afkomstig zijn in de context van rechtshandhaving (“scraping”).  

Voorts pleit de EDPB ervoor dat politie en justitie gezichtsherkenning slechts mogen gebruiken in ‘zeer’ uitzonderlijke gevallen. Hiermee stelt de EDPB een verzwaring van het huidige noodzakelijkheidsvereiste voor. Bovendien brengt de EDPB in herinnering dat politie en justitie een onderscheid moeten maken tussen de verschillende categorieën van betrokkenen, zoals bijvoorbeeld personen die voor een strafbaar feit zijn veroordeeld en personen zonder een strafverleden. Opsporingsinstanties die gezichtsherkenning (willen) gebruiken, moeten zich dan ook rekenschap van dit onderscheid geven. In ogenschouw moet verder worden genomen dat opsporingsinstanties die gezichtsherkenning willen gebruiken verplicht zijn om vooraf een Data Protection Impact Assessement (DPIA) uit te voeren. De EDPB beveelt aan om de resultaten van een uitgevoerde DPIA bekend te maken.  

Considerati heeft veel ervaring op het gebied van gezichtsherkenning en andere vormen van biometrische identificatie. Wij staan u graag bij om deze technologie op een verantwoorde en rechtmatige manier uit te rollen. Neem bij vragen vrijblijvend contact met ons op!