Tijdens zijn laatste plenaire vergadering heeft de European Data Protection Board (EDPB) een advies uitgebracht over het gebruik van gezichtsherkenningstechnologieën door luchthavenexploitanten en luchtvaartmaatschappijen om de passagiersstroom op luchthavens te stroomlijnen*. Dit advies uit hoofde van artikel 64, lid 2, heeft, op verzoek van de Franse gegevensbeschermingsautoriteit, betrekking op een aangelegenheid van algemene strekking en heeft gevolgen in meer dan één lidstaat.
EDPB-voorzitter Anu Talus zei: „Meer en meer luchthavenexploitanten en luchtvaartmaatschappijen over de hele wereld besturen gezichtsherkenningssystemen waarmee passagiers gemakkelijker door de verschillende controleposten kunnen gaan. Het is belangrijk om te beseffen dat biometrische gegevens bijzonder gevoelig zijn en dat de verwerking ervan aanzienlijke risico’s kan opleveren voor individuen. Gezichtsherkenningstechnologie kan leiden tot valse negatieven, vooroordelen en discriminatie. Misbruik van biometrische gegevens kan ook ernstige gevolgen hebben, zoals identiteitsfraude of imitatie. Daarom dringen we er bij luchtvaartmaatschappijen en luchthavenexploitanten op aan te kiezen voor minder ingrijpende manieren om de passagiersstromen waar mogelijk te stroomlijnen. Volgens het EDPB moeten personen maximale controle hebben over hun eigen biometrische gegevens.”
Het advies analyseert de verenigbaarheid van de verwerking met het beginsel van beperking van de opslag (artikel 5, lid 1, onder e), AVG), het integriteits- en vertrouwelijkheidsbeginsel (artikel 5, lid 1, onder f), AVG, gegevensbescherming door ontwerp en standaardinstellingen (artikel 25 AVG) en de beveiliging van de verwerking (artikel 32 GPDR). Naleving van andere GDPR-bepalingen, waaronder met betrekking tot de rechtmatigheid van de verwerking, vallen niet onder deze conclusie.
Er is in de EU geen uniforme wettelijke verplichting voor luchthavenexploitanten en luchtvaartmaatschappijen om na te gaan of de naam op de instapkaart van de passagier overeenkomt met de naam op hun identiteitsdocument, en dit kan onder de nationale wetgeving vallen. Wanneer daarom geen verificatie van de identiteit van de passagiers met een officieel identiteitsdocument vereist is, mag een dergelijke verificatie met het gebruik van biometrische gegevens niet worden uitgevoerd, aangezien dit zou leiden tot een buitensporige verwerking van gegevens.
In zijn advies heeft de EDPB overwogen of de verwerking van biometrische gegevens van passagiers in overeenstemming is met vier verschillende soorten opslagoplossingen, variërend van die waarin de biometrische gegevens alleen in handen van het individu worden opgeslagen tot degenen die afhankelijk zijn van een gecentraliseerde opslagarchitectuur met verschillende modaliteiten. In alle gevallen mogen alleen de biometrische gegevens van passagiers die zich actief inschrijven en ermee instemmen, worden verwerkt.
De EDPB heeft vastgesteld dat de enige opslagoplossingen die verenigbaar kunnen zijn met het integriteits- en vertrouwelijkheidsbeginsel, gegevensbescherming door ontwerp en standaardisering en beveiliging van de verwerking, de oplossingen zijn waarbij de biometrische gegevens worden opgeslagen in de handen van de persoon of in een centrale databank, maar met de coderingssleutel uitsluitend in hun handen. Deze opslagoplossingen, indien geïmplementeerd met een lijst van aanbevolen minimumwaarborgen, zijn de enige modaliteiten die de indringerigheid van de verwerking adequaat compenseren door personen de grootste controle te bieden.
De EDPB heeft vastgesteld dat de oplossingen die gebaseerd zijn op de opslag in een gecentraliseerde databank op de luchthaven of in de cloud, zonder de encryptiesleutels in de handen van het individu, niet verenigbaar kunnen zijn met de vereisten inzake gegevensbescherming door ontwerp en standaard en, indien de verwerkingsverantwoordelijke zich beperkt tot de in de geanalyseerde scenario’s beschreven maatregelen, niet zou voldoen aan de vereisten inzake beveiliging van de verwerking.
Wat het beginsel van beperking van de opslag betreft, moeten de verwerkingsverantwoordelijken ervoor zorgen dat zij voldoende rechtvaardiging hebben voor de beoogde bewaartermijn en deze beperken tot wat nodig is voor het voorgestelde doel.
Het advies is in het Engels. Download het advies hier.
Bron: European Data Protection Board
