In een nieuw juridisch algemeen kader gezichtsherkenning geeft de Autoriteit Persoonsgegevens (AP) antwoord op een aantal veelgestelde juridische vragen over de inzet van gezichtsherkenning. Het document is bedoeld voor privacyprofessionals en organisaties die gezichtsherkenning willen inzetten.
Gezichtsherkenning is in de meeste gevallen verboden, maar er zijn uitzonderingen. Het document geeft antwoord op vragen waarover onduidelijkheid bestaat onder professionals die zich bezighouden met deze technologie.
Gezichtsherkenning is in principe verboden. Een van de uitzonderingen is dat de inzet van gezichtsherkenning noodzakelijk is voor authenticatie- of beveiligingsdoeleinden (artikel 29 van de Uitvoeringswet Algemene verordening gegevensbescherming). In de toelichting op de UAVG staat één voorbeeld waarbij de uitzondering zou kunnen gelden: de beveiliging van een kerncentrale.
Het juridisch kader gezichtsherkenning geeft nu een nieuw voorbeeld: de beveiliging van gevaarlijke stoffen die bijvoorbeeld gebruikt zouden kunnen worden voor de productie van bommen. De AP keurde in 2023 de gedragscode goed van havenbedrijven die internationaal scheepverkeer afhandelen. Daarin is onder meer vastgelegd dat de beveiliging van zulke gevaarlijke stoffen onder strikte omstandigheden kan met gezichtsherkenning. Maar dan alleen als er vooraf een data protection impact assessment (DPIA) is uitgevoerd, waaruit gemotiveerd blijkt dat het noodzakelijk is en dat er sprake is van een zwaarwegend algemeen belang.
De AP neemt ook de onduidelijkheid weg over de vraag of het verwerkingsverbod voor bijzondere persoonsgegevens nu geldt bij gezichtsherkenning met als doel om iemands identiteit te bevestigen. De AP concludeert dat het verwerkingsverbod in dat geval inderdaad geldt.
Ook definieert de AP onder welke voorwaarden sprake kan zijn van 'persoonlijk of huishoudelijk gebruik' bij de toepassing van gezichtsherkenning. Als hiervan sprake is dan is de Algemene verordening gegevensbescherming (AVG) niet van toepassing. De AP noemt als voorbeeld het ontgrendelen van een telefoon met gezichtsherkenning. Dat mag, maar alleen als de biometrische gegevens opgeslagen worden op de telefoon zelf, en de gebruiker zelf bepaalt wat er met die gegevens gebeurt. De gebruiker moet zelf de keuze hebben om gezichtsherkenning te gebruiken of om de telefoon met bijvoorbeeld een pincode te ontgrendelen.
Omdat consumenten steeds vaker te maken krijgen met vormen van gezichtsherkenning, heeft de AP ook voor hen informatie gepubliceerd aan de hand van het nieuwe juridisch kader. Als consumenten weten hoe gezichtsherkenning werkt en wanneer de inzet ervan wel of niet is toegestaan, kunnen zij beter opkomen voor hun privacyrechten.
