Camera’s met gezichtsherkenning: de strijd tussen veiligheid en privacy

Een tijd terug heeft de Autoriteit Persoonsgegevens (hierna: AP) de supermarktbranche gewezen op wat wel en niet is toegestaan op het gebied van gezichtsherkenning. Dit gebeurde nadat de AP vernam dat supermarktondernemers de afgelopen maanden camera’s met gezichtsherkenning hadden ingezet om hun klanten, personeel en winkelpanden beter te beveiligen. In 2018 werd er nog een prijs uitgereikt aan de winnende supermarkteigenaar van de ‘Wel-zo-veilig award’ omdat deze zijn supermarkt van tachtig camera’s met gezichtsherkenning had voorzien. De AP stelt nu echter dat supermarktondernemers die dit doen, zich met een privacyprotocol of een uitgevoerde DPIA moeten verantwoorden en aantonen dat de juiste organisatorische en technische maatregelen zijn genomen om aan de AVG te voldoen. Maar hoe zat het ook alweer met de verwerking van dit soort persoonsgegevens? Daar zal ik in deze blog nader op ingaan.

Gezichtsherkenning en biometrische persoonsgegevens

Gezichtsherkenning is het automatisch verwerken van digitale afbeeldingen, die de gezichten van personen bevatten om deze te identificeren, authenticeren/verifiëren of categoriseren.[1] Het kan worden gebruikt in plaats van een gebruikersnaam/wachtwoord om toegang tot een online of mobiele apparaat te verschaffen. Biometrische gegevens zijn persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon. Hierdoor is eenduidige identificatie van die persoon mogelijk of wordt de identiteit bevestigd (dit gebeurt bijvoorbeeld met behulp van gezichtsafbeeldingen of vingerafdrukgegevens). Deze persoonsgegevens zijn door hun aard bijzonder gevoelig en kunnen botsen met fundamentele grondrechten zoals het recht op privacy. Dat de verwerking van deze categorie van persoonsgegevens op grond van artikel 9 AVG in beginsel verboden is, leek de supermarkt uit het oog te zijn verloren.

Uitzonderingen

De AP stelt dat de supermarktondernemer het verbod alleen kan doorkruisen indien er uitdrukkelijk toestemming is gegeven voor de verwerking van die persoonsgegevens. Ook laat het tweede lid van artikel 9, onder g, van de AVG ruimte voor een uitzondering. De verwerking mag ook indien het een zwaarwegend algemeen belang dient. In Nederland bevat artikel 29 van de UAVG de uitzonderingen inzake biometrische gegevens. Het algemene verbod om biometrische gegevens te verwerken is hier niet van toepassing indien de supermarktondernemer kan aantonen dat identificatie door middel van biometrie noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Bij de invulling van dit noodzakelijkheidsvereiste dient te worden gekeken naar zowel de proportionaliteit als subsidiariteit van de verwerking.[2]

Manfield Schoenen

Een uitspraak van de rechtbank Amsterdam laat zien dat van noodzakelijkheid in ieder geval niet snel sprake is. Die zaak ging over schoenenwinkel Manfield die een autorisatiesysteem had dat werkte op basis van een vingerscan. Met gebruik van de vingerscan werd toegang tot het in de winkel gebruikte kassasysteem verleend. Een verkoopmedewerkster van Manfield stelde dat 'dat het verwerken van bijzondere persoonsgegevens in dit geval niet was toegestaan. Manfield voerde onder meer aan dat het gebruik van de vingerscan noodzakelijk was ter waarborging van de beveiliging. De kantonrechter ging hier niet in mee en stelde dat dit type bedrijfsbelang niet aangemerkt kan worden als ‘noodzakelijk voor authenticatie- of beveiligingsdoeleinden’ in de zin van artikel 9 lid 2 AVG. De kantonrechter had ook nog twijfels bij de proportionaliteit van deze maatregel en achtte de noodzaak van het gebruik van een dergelijk systeem onvoldoende beargumenteerd, waardoor het niet meer mocht worden ingezet.

Conclusie

De vraag is waar in het spectrum een supermarktondernemer, die camera’s met gezichtsherkenning wil gebruiken ter beveiliging van de werknemers en klanten, thuishoort. De AP doet er in ieder geval goed aan de supermarktbranche te wijzen op de AVG-regels. Deze boodschap betekent niet dat de supermarktbranche geen mogelijkheden overhoudt om de veiligheid te verbeteren met moderne biometrische systemen. Integendeel, de AP stelt dat als de exploitant van een supermarkt op basis van artikel 6 van de AVG een "grondslag" voor het gebruik van een dergelijk systeem kan aantonen, hij een rechtmatig belang kan hebben. Dit wordt in de praktijk waarschijnlijk lastig aan te tonen aangezien de AP een kritische toets hanteert.[3] Naar mijn mening moet de privacy bij de verwerking van biometrische gegevens in ieder geval blijven prevaleren boven de vermeende veiligheid in de supermarktsector. Zoals de AP in haar brief aangeeft is er voldoende ruimte voor beveiligingscamera's zonder gezichtsherkenning, dus een minder ingrijpend instrument staat ter beschikking die in veel gevallen reeds voldoet aan het te bereiken doel.

[1] WP-opinie 02/2012 “On facial recognition in online and mobile devices.

[2] Kamerstukken II 2017/18, 34851, nr. 3, p. 109: Een voorbeeld waarin de verwerking van biometrische gegevens noodzakelijk is voor authenticatie-of beveiligingsdoeleinden, is de beveiliging van een kerncentrale. Daartegenover staat dat de toegang tot de garage van een reparatiebedrijf niet zal worden gezien als noodzakelijk.

[3] Autoriteit Persoonsgegevens, ‘Voorlichting – regels voor gezichtsherkenning in supermarkten’, mei 2020, kenmerk: z2020-02082.