Vragen van het lid Kerseboom (FVD) aan de Minister voor Rechtsbescherming over de inzet van gezichtsherkenningstechnologie (ingezonden 5 november 2021).

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 6 december 2021). Zie ook Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 807.

Vraag 1

Bent u bekend met het bericht van 1Limburg «11devande11de werkt bij toegang met gezichtsherkenning» van 3 november 2021 en het artikel van NRC «Gezichtsherkenning als identificatiemiddel naast de coronacheck voor festivals» van 25 oktober 2021?¹

Antwoord 1

Ja.

Vraag 2, 3

Hoe heeft het bedrijf Compo toestemming verkregen voor het gebruik van gezichtsherkenningstechnologie, gezien in de «Beleidsreactie onderzoeksrapporten horizontale privacy»² vermeld wordt dat het gebruik van gezichtsherkenning in horizontale relaties (tussen burgers en bedrijven) in principe niet is toegestaan?

Vindt u dat de inzet van gezichtsherkenningstechnologie bij evenementen in Limburg een «zwaarwegend algemeen belang dien[t]»?³ Zo ja, wat is dit zwaarwegend algemeen belang?

Antwoord 2, 3

In de genoemde beleidsreactie schreef ik, kort weergegeven, dat de toepassing van gezichtsherkenning tussen burgers onderling alleen is toegestaan na uitdrukkelijke, vrijelijk gegeven toestemming⁴ door de burger die wordt herkend of wanneer dat noodzakelijk is om redenen van zwaarwegend algemeen belang voor beveiligings- of authenticatiedoeleinden (bijvoorbeeld het beveiligen van een energiecentrale).⁵ Uit de berichten leid ik af dat de verantwoordelijken geen beroep doen op een zwaarwegend belang, maar dat de verwerkingsverantwoordelijke organisaties zich baseren op de uitdrukkelijke toestemming van betrokkenen om de verwerking van biometrische gegevens rechtmatig plaats te laten vinden. Die toestemming van burgers moet wel voldoen aan alle eisen die de Algemene verordening gegevensbescherming (AVG) daaraan stelt, zoals onder meer dat deze vrijelijk moet worden gegeven. Uiteindelijk is het aan de Autoriteit Persoonsgegevens (AP) om in het specifieke geval – met in acht name van de richtsnoeren 05/2020 inzake toestemming van de European Data Protection Board (EDPB) – te bepalen of deze toestemming daadwerkelijk vrijelijk is gegeven. Op basis van de informatie uit de aangedragen artikelen heb ik geen reden om aan te nemen dat bij genoemde evenementen niet aan de wettelijke vereisten is voldaan.

Ook wanneer biometrische gegevens verwerkt mogen worden omdat er rechtsgeldig uitdrukkelijke toestemming door de betrokkene is verleend, betekent dit nog niet dat gezichtsherkenning zomaar kan worden toegepast. De AVG kent namelijk een breed scala aan waarborgen. Zo volgt bijvoorbeeld uit het beginsel van data minimalisatie⁶ dat de verwerkingsverantwoordelijke zo min mogelijk gegevens van betrokkene moet verwerken: alleen gegevens welke noodzakelijk zijn om het doel te bereiken mogen worden verwerkt. Dit brengt mee dat een verwerkingsverantwoordelijke die gezichtsherkenning toe wil passen moet toetsen of er geen mogelijkheden bestaan om het doel te bereiken en daarbij minder gegevens te verwerken.

Voor nadere uitleg over het juridisch kader omtrent gezichtsherkenning verwijs ik graag naar de recente kabinetsreactie op een deel van een opinie van de European Data Protection Supervisor (EDPS) en EDPB inzake de in Brussel voorliggende «AI-verordening».⁷

Vraag 4

Vindt u dat het bewustzijn onder burgers over de «gevaren en juridische (en mogelijkerwijs ook sociale en ethische) grenzen»⁸ van het toepassen van gezichtsherkenningstechnologieën inmiddels hoog genoeg is voor burgers om expliciet toestemming te geven voor het verwerken van hun data voor evenementen zoals de 11devande11de?

Antwoord 4

Het is belangrijk dat burgers zich bewust zijn van de voor- en nadelen van gezichtsherkenning. Juist om bewuste keuzes onder burgers te waarborgen, stelt artikel 7 AVG strikte voorwaarden voor het aannemen van rechtsgeldige toestemming vast. Eén van die voorwaarden is dat degene die toestemming verleent voldoende geïnformeerd moet zijn. In de in antwoorden op de vragen 2 en 3 aangehaalde richtsnoeren van de EDPB wordt nadere duiding gegeven over het begrip toestemming.⁹ Daarnaast draagt de Autoriteit Persoonsgegevens bij aan het bewustzijn door op haar site voorlichting te geven aan de regels voor onder gezichtsherkenningstechnologieën. Het is tevens aan de AP, of in voorkomend geval aan de rechter, om een oordeel te vellen over of de verleende toestemming als ¨geïnformeerd¨ kan worden gekwalificeerd.

Vraag 5

Bent u het ermee eens dat de privacy van mensen die geen gebruik willen maken van de gezichtsherkenningstechnologie niet gegarandeerd kan worden als die ingezet wordt bij dergelijke evenementen en zij per ongeluk in de camera kijken?

Antwoord 5

In voorliggend geval verplicht de AVG de verwerkingsverantwoordelijke ervoor te zorgen dat alleen de biometrische gegevens worden verwerkt van personen die daarvoor toestemming hebben verleend, en niet die van anderen.

Daarnaast verplicht de AVG tot het nemen van de nodige technische en organisatorische maatregelen om ervoor te zorgen de rechten van betrokkenen worden beschermd en de bepalingen uit de AVG worden nageleefd. In dit geval vloeit hier logischerwijs uit voor dat er maatregelen worden getroffen om te vermijden dat de (biometrische) gegevens van derden – die daarvoor dus geen toestemming hebben verleend – worden verwerkt.

---

1 1Limburg, 3 november 2021, (https://www.1limburg.nl/11devande11de-werkt-bij-toegang-met-gezichtsherkenning)

2 Kamerstuk 34 926, nr. 11

3 Kamerstuk 34 926, nr. 11, blz. 15.

4 Artikel 7 AVG.

5 In dit laatste geval wordt de verwerking gebaseerd op artikel 29 van de Uitvoeringswet AVG.

6 Artikel 5, eerste lid, onder c AVG.

7 Bijlage «juridisch kader» bij de kabinetsreactie op het bericht in de Volkskrant over de EDPB/EDPS Opinie betreffende de AI verordening. Kamerstuk 32 761, nr. 198

8 Kamerstuk 34 926, nr. 11, blz. 16.

9 Richtsnoeren 05/2020 van de EDPB inzake «toestemming overeenkomstig Verordening 2016/679»