Zeven Nederlandse gemeenten doen proef met gezichtsherkenning

20/10/2020 - Zeven gemeenten in Nederland starten komende november met een eendaagse landelijke proef met gezichtsherkenning waaraan in totaal zo’n 30 burgers kunnen meedoen. Burgers die deelnemen aan de proef dienen een speciaal ontwikkelde applicatie te downloaden en kunnen vervolgens aan de hand van gezichtsherkenning ‘inchecken’ bij de gemeente. In de applicatie kunnen de burgers een “foto” maken van hun gezicht met een mobiele telefoon. Uit deze foto worden vervolgens de unieke kenmerken in het gezicht vergeleken met de kenmerken op de pasfoto uit het identiteitsbewijs. Bij een positieve match krijgt de burger toegang tot diens digitale kluis waarin basisgegevens van de burger staan. Deze proef wordt uitgevoerd in opdracht van het ministerie van Binnenlandse Zaken. Het doel van deze proef is om te kijken naar de gebruiksvriendelijkheid van de applicatie en om te beoordelen welke privacyrisico’s in de praktijk spelen. In een filmpje over deze proef van OOG Radio en Televisie wordt gesteld dat de “privacy van de gebruiker niet wordt aangetast”. Dit is een opvallende uitspraak waarvan de onderbouwing mij onbekend is. Mogelijk is deze uitspraak gebaseerd op een misvatting. Het is een misvatting dat er geen biometrische gegevens worden verwerkt, wanneer het beeldmateriaal – de foto van het gezicht - niet wordt opgeslagen en/of wanneer geen match kan worden gemaakt met een individu. De privacy van de betrokkene zal in deze gevallen worden aangetast. De organisatie dient echter te beoordelen of de aantasting van de privacy rechtmatig is. In deze blog bespreek ik deze twee misvattingen omtrent de verwerking van biometrische gegevens. 

Definitie biometrische gegevens 

Biometrische gegevens zijn de unieke fysieke, fysiologische of gedrags-gerelateerde kenmerken die het resultaat zijn van een specifieke technische verwerking waardoor identificatie van een individu mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens’. Biometrische gegevens zijn onder de AVG gekwalificeerd als ‘bijzondere persoonsgegevens’. Het is verboden bijzondere persoonsgegevens te verwerken, tenzij daar een uitzonderingsgrond voor aan te wijzen is.  

Is sprake van een verwerking van biometrische gegevens als het beeldmateriaal niet wordt opgeslagen? 

Het is volgens de AVG niet vereist dat beeldmateriaal wordt opgeslagen om van een verwerking van biometrische gegevens te kunnen spreken. De ‘verwerking’ van persoonsgegevens is een breed begrip en houdt vrijwel alles in wat met persoonsgegevens wordt gedaan. Bij de toepassing van gezichtsherkenning waarbij unieke kenmerken van het gezicht worden vergeleken met de unieke kenmerken uit een pasfoto ter vaststelling van de identiteit van de betrokkene, is dus ook sprake van de verwerking van biometrische gegevens. Het niet opslaan van beeldmateriaal is uiteraard wel een goede maatregel om de impact op de privacy van de betrokkenen te beperken. 

Is sprake van een verwerking van biometrische gegevens als de betrokkene niet wordt herkend? 

Biometrische gegevens worden volgens de Richtlijn 3/2019 van de European Data Protection Board (EDPB) ook verwerkt wanneer bij de toepassing van gezichtsherkenning een persoon niet wordt herkend, omdat de persoon niet in de database voorkomt. Het is dus niet mogelijk om camera’s met gezichtsherkenning te plaatsen waarbij ook voorbijgangers (kunnen) worden gedetecteerd door de camera waarvoor geen geldige uitzonderingsgrond en grondslag bestaat.