Vragen van het lid Verhoeven (D66) aan de Minister voor Rechtsbescherming over het bericht «Tientallen camera's houden klanten van filiaal Jumbo in de gaten: «Willen we dit?'» (ingezonden 5 december 2019).

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 21 januari 2020)Zie ook Aanhangsel Handelingen, vergaderjaar 2019–2020, nr. 1248

Vraag 1

Bent u bekend met het bericht «Tientallen camera's houden klanten van filiaal Jumbo in de gaten: «Willen we dit?'»?1

Antwoord 1

Ja.

Vraag 2

Kunt u een overzicht geven van het wettelijke kader aangaande het gebruik van gezichtsherkenning door bedrijven, inclusief relevante artikelen in de Algemene verordening gegevensbescherming (AVG)?

Antwoord 2

In de AVG worden aan het gebruik van gezichtsherkenning eisen gesteld, omdat de verwerking bijzondere (biometrische) persoonsgegevens betreft. Op grond van artikel 9, eerste lid, AVG is de verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon in beginsel verboden. Het verbod geldt niet indien de verwerkingsverantwoordelijke zich baseert op een van de uitzonderingen van artikel 9, tweede lid, AVG. Van deze uitzonderingen zijn die onder a en g relevant in relatie tot gezichtsherkenning. De onder a bedoelde uitzondering betreft het geval waarin betrokkene uitdrukkelijk toestemming voor toepassing van gezichtsherkenning voor een of meer welbepaalde doeleinden heeft gegeven. De onder g bedoelde uitzondering heeft betrekking op gezichtsherkenning die noodzakelijk is om redenen van zwaarwegend algemeen belang, door de nationale wetgever is toegestaan en aan bepaalde onder g genoemde voorwaarden voldoet. Op basis daarvan stelt artikel 29 Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) dat het verbod om biometrische gegevens te verwerken niet van toepassing is, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. In mijn brief «Voornemens met betrekking tot de UAVG en AVG» van 31 oktober 20192 heb ik uw Kamer meegedeeld het voornemen te hebben de UAVG te wijzigen en in artikel 29 UAVG expliciet het belang te benoemen dat in de rechtspraktijk noodzakelijk kan maken om biometrische gegevens te verwerken voor authenticatie en beveiligingsdoeleinden. Verder moet de betrokkene in het geval van een expliciete toestemming altijd de optie hebben om te weigeren, maar niettemin gebruik kunnen blijven maken van de dienst.

Ter uitvoering van de recente motie van de leden Verhoeven (D66) en Van Dam (CDA) over gezichtsherkenning3 zal ik de Tweede Kamer een brief doen toekomen waarin ik verder in ga op het juridisch kader rond het gebruik van gezichtsherkenningstechnologie en zal ik daarbij ook stilstaan bij andere wet- en regelgeving dan de AVG en UAVG die voor toepassing van gezichtsherkenning relevant is, zoals de Richtlijn gegevensbescherming bij opsporing en vervolging en de Wet politiegegevens. In deze brief wordt ook uitgebreid ingegaan op het gebruik van gezichtsherkenning door bedrijven.

Vraag 3

Deelt u de mening dat dit praktijkvoorbeeld van de Jumbowinkel evident in strijd is met de AVG?

Antwoord 3

Toezicht op de naleving van de AVG is belegd bij de Autoriteit Persoonsgegevens (AP). Het is daarom niet aan mij als Minister voor Rechtsbescherming, maar aan AP om te beoordelen of dit praktijkvoorbeeld binnen de grenzen van de AVG past.

Vraag 4

Zijn er praktijkvoorbeelden van gezichtsherkenning die zijn goedgekeurd door de rechter of de Autoriteit Persoonsgegevens en dus «AVG-proof» zijn?

Antwoord 4

Alleen als er een aanleiding is om de rechtmatigheid van een verwerking te beoordelen zal de AP of een rechter hierover een oordeel vellen. Een dergelijke rechtmatigheidsbeoordeling is echter breder dan een toetsing op basis van de AVG en bevat ook een toetsing op basis van andere wetten.

De AP heeft normenkaders en beleidsregels opgesteld voor specifieke toepassingen van gezichtsherkenningstechnologie, zoals het normenkader digitale billboards. Hier geeft de AP aan onder welke omstandigheden het gebruik van gezichtsherkenningstechnologie eventueel legitiem zou kunnen zijn. Daarnaast heeft het Hof van Justitie van de Europese Unie in een recente uitspraak in een Nederlandse zaak4, met betrekking tot de afname en verwerking van biometrische gegevens (in dit geval een gezichtsopname en vingerafdrukken) van vreemdelingen, geoordeeld dat het voorkomen en bestrijden van identiteits- en documentfraude een goede reden kan zijn om het afnemen van biometrische gegevens verplicht te stellen. De betreffende inbreuk mag echter niet verder gaan dan nodig is om het nagestreefde doel te bereiken en mag geen onevenredige inbreuk vormen op het recht op de persoonlijke levenssfeer bij de verwerking van persoonsgegevens. Het Hof van Justitie van de Europese Unie heeft geoordeeld dat in dit geval aan deze voorwaarden is voldaan.

Vraag 5

Bent u bereid om bedrijven te informeren over het wettelijk kader omtrent gezichtsherkenning?

Antwoord 5

Bedrijven moeten zich primair zelf op de hoogte stellen van toepasselijke regels, en die toepassen op hun eigen situaties, zoals bij de (in het antwoord op vraag5 vermelde toets of binnen de grenzen van de privacywetgeving wordt gehandeld. De AP heeft verder een Informatie- en Meldpunt privacy, waar ook vragen over de AVG kunnen worden gesteld. Verder ben ik voornemens om, wanneer de in het antwoord op vraag 2 genoemde brief aan de Kamer is toegezonden, deze onder de aandacht te brengen van de bij het Nationaal Platform Criminaliteitsbeheersing aangesloten leden.

Naar boven