Gezichtsherkenning wordt steeds vaker gebruikt als authenticatiemethode. Ook komt het veel voor in Het Kader Van veiligheid. Echter is dit veelal een schending van jouw privacyrechten. Hoe ver reiken de bevoegdheden van autoriteiten om jou te identificeren aan de hand van jouw gezicht? En wat kun je doen om je privacy te waarborgen? Dat lees je in dit artikel.

Wat is gezichtsherkenning?

Gezichtsherkenning is het identificeren van een persoon op basis van de eigenschappen van het gezicht. Het gaat hier zowel om de unieke karakteristieken van het gezicht als de emoties. Het gezicht valt onder de categorie biometrische gegevens.

Biometrische persoonsgegevens geven unieke informatie over iemands fysieke, fysiologische of gedragsgerelateerde kenmerken.

Autoriteit Persoonsgegevens

Verschillende vormen van biometrische gegevens zijn:

• Gezicht
• Vingerafdruk
• Ogen
• Stem

Gezichtsherkenning kan bijvoorbeeld dienen als een beveiligingsmechanisme voor jouw digitale apparaten, als alternatief op een wachtwoord. Ook wordt gezichtsherkenning ingezet door instanties zoals de politie in het kader van surveillance. Dit wringt vaak met privacyrechten, omdat dit vaak gebeurt zonder de wetenschap en goedkeuring van mensen.

Hoe werkt gezichtsherkenning?

Er bestaan verschillende technologieën voor gezichtsherkenning. Hier wordt veelal machine learning en AI voor ingezet. Het proces waarin dat gebeurt werkt als volgt:

1. Er wordt een foto opgeslagen van jouw gezicht.
2. De software analyseert de karakteristieken en de uitdrukking van jouw gezicht.
3. Jouw karakteristieken worden vergeleken met de andere gezichten in de database.
4. Er wordt een probability score (waarschijnlijkheidsscore) gegeven. Hoe hoger de score, hoe waarschijnlijker de match.

Waar wordt gezichtsherkenning gebruikt?

Er zijn verschillende toepassingen te bedenken voor gezichtsherkenning. Omdat ieder gezicht uniek is, kun je aan de hand daarvan iemands identiteit nauwkeurig vaststellen. Hieronder volgen een paar bekende toepassingen van gezichtsherkenning.

Luchthavens

Op luchthavens wordt gezichtsherkenning regelmatig toegepast voor identificatie. Je staat dan voor een camera die jouw gezicht analyseert. Dit maakt het voor de werknemers een stuk makkelijker om controles uit te voeren.

Vanuit het perspectief van privacyrechten is hier niet direct een probleem, omdat je vrijwillig instemt met de controle. Het zou anders zijn als gezichtsherkenning ongevraagd zou plaatsvinden.

Social media

Social media-platforms maken ook vaak gebruik van gezichtsherkenning, maar niet altijd op legitieme wijze. Zo maakte Facebook jarenlang gebruik van gezichtsherkenning door jouw vrienden automatisch te identificeren in foto’s. Echter heeft het platform deze functie stopgezet nadat er zorgen ontstonden over de privacygevoeligheid hiervan.

Smartphones

Om smartphones te ontgrendelen wordt ook steeds meer gebruikgemaakt van biometrische gegevens. Op sommige smartphones heb je bijvoorbeeld vingerafdrukscanners.

Tegenwoordig wordt gezichtsherkenning steeds meer de norm op smartphones. Zo hebben iPhones bijvoorbeeld geen vingerafdrukscanner meer, maar maken ze uitsluitend gebruik van Face ID. Veel gebruikers maken hier gebruik van omdat het simpelweg veel gemakkelijker is dan steeds een toegangscode in te voeren.

Winkels en evenementen

Uit beveiligingsredenen wordt er bij verschillende evenementen gebruikgemaakt van gezichtsherkenning. Ook bepaalde winkels maken hier gebruik van. Het is afhankelijk van het land van vestiging of dit is toegestaan. Binnen de EU is dit slechts onder zeer strikte voorwaarden toegestaan, vanwege de strenge privacywetgeving.

Is gezichtsherkenning toegestaan?

Het verwerken van bijzondere persoonsgegevens is in beginsel niet toegestaan in Nederland. Dat is omdat biometrische gegevens, waaronder het gezicht, volgens de Algemene Verordening Gegevensbescherming (AVG) vallen onder de bijzondere persoonsgegevens. Omdat biometrische gegevens kunnen worden gebruikt om iemand te identificeren, worden deze gegevens extra streng beschermd.

In Nederland is de uitvoering van de AVG geregeld in de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Er zijn twee uitzonderingen op het verbod om bijzondere persoonsgegevens te verwerken:

• Uitdrukkelijke toestemming
• Noodzakelijk voor authenticatie of beveiligingsdoeleinden (art. 29 UAVG)

Deze twee uitzonderingen zijn strenger dan ze op het eerste gezicht lijken. Er zijn specifieke regels omtrent hoe de uitdrukkelijke toestemming moet worden gegeven en of het verwerken noodzakelijk is. Een organisatie zal hier dus niet gauw aan voldoen, en zal sterk onderbouwde argumenten moeten geven om bijzondere persoonsgegevens rechtmatig te mogen verwerken.

Bij schending van de privacywetgeving riskeren organisaties een boete van de Autoriteit Persoonsgegevens. Hierbij kan bijvoorbeeld meespelen hoelang de schending plaatsvond, hoe grootschalig de schending was en in hoeverre de schending nog ongedaan gemaakt kan worden.

Gezichtsherkenning in supermarkten

Tijdens de coronacrisis stuurde de Autoriteit Persoonsgegevens een brief aan de brancheorganisatie Centraal Bureau Levensmiddelenhandel (CBL) in het kader van gezichtsscans die werden uitgevoerd in supermarkten. Veel supermarkten hielden zich niet aan de regels en gingen te ver in het inzetten van beveiligingscamera’s met gezichtsherkenning.

De Autoriteit Persoonsgegevens benadrukte in de brief dat het inzetten van gezichtsherkenning in beginsel niet is toegestaan. Ook legde ze uit dat er strikte voorwaarden worden gesteld aan de uitzonderingen die erop gelden.

Als een supermarkt dan tóch gezichtsherkenning wil inzetten, moet het kunnen aantonen dat er aan de voorwaarden wordt voldaan. In deze brief werden ook de uitzonderingen op grond van toestemming, authenticatie en beveiliging genoemd.

Mag de politie gezichtsherkenning inzetten?

De politie mag gezichtsherkenning onder uitzonderlijke omstandigheden inzetten. Ook de politie moet zich aan de AVG houden. Echter hebben agenten wel bepaalde wettelijke bevoegdheden in het kader van opsporing, die ook weer aan bepaalde voorwaarden zijn gebonden.

De European Data Protection Board (EDPB) is de EU-privacytoezichthouder. Deze toezichthouder heeft in 2022 een richtlijn geschreven voor het inzetten van gezichtsherkenning in het kader van de opsporing. Ook uit deze richtlijnen blijkt dat gezichtsherkenning in het kader van opsporing in beginsel niet is toegestaan. Wel kan hier een uitzondering op gemaakt worden indien daar de bevoegdheid toe is verleend via wetgeving, en het uiterst noodzakelijk is.

Hoe kun je jezelf beschermen tegen gezichtsherkenning?

Als je erg op je privacy bent gesteld wil je natuurlijk tegengaan dat jouw biometrische gegevens – waaronder scans van jouw gezicht – ongevraagd worden opgeslagen. Aan gezichtsherkenning zijn verschillende risico’s verbonden, zoals deepfakes, identiteitsfraude en stalking.

Hoe kun je je hiertegen beschermen? Hieronder volgen een paar tips om je beter te beschermen tegen gezichtsherkenning:

1. Wonen in een land met goede privacyrechten

De eerste tip lijkt wellicht voor de hand liggend, maar dit is eigenlijk de basis voor alles. Als je in een land woont met slechte privacywetgeving, wordt hier ook makkelijker misbruik van gemaakt door autoriteiten.

De privacywetgeving is niet alles. Als de wet niet goed wordt gehandhaafd, heb je daar uiteindelijk niet veel aan. Daarom is het ook essentieel dat je let op de competentie van de autoriteiten in het land waar je woont.

2. Geen toestemming verlenen

Binnen EU-landen heb je onder de AVG veel rechten als individu. Dit betekent dat je je vaak ook kunt verzetten tegen de verwerking van persoonsgegevens. Autoriteiten en ondernemingen dienen zich hieraan te houden, tenzij er – onder strikte voorwaarden – een uitzondering van toepassing is.

Aangezien de regels omtrent bijzondere persoonsgegevens, zoals gezichtsscans, erg streng zijn, heb je onder veel omstandigheden het recht om dit te weigeren.

3. Minder gegevens delen

Vooral wanneer het op big data aankomt, heb je veel zelf in de hand. Je beslist in grote mate zelf welke foto’s je deelt op social media. Indien je social media-platforms niet in staat wilt stellen jouw gezicht te herkennen, is het belangrijk dat je goed nadenkt over welke media je met ze deelt.

In principe is iedere foto waar jouw gezicht in voorkomt een datapunt om jou te kunnen herkennen. Hoe minder jouw gezicht voorkomt op het internet, hoe moeilijker je te identificeren bent. Wil je nou helemaal verwijderd worden van het internet? Dan zijn daar ook verschillende mogelijkheden voor.

Een alternatief op het niet delen van foto’s is om foto’s te ‘cloaken’ door middel van software zoals Fawkes. Zulke programma’s brengen kleine wijzigingen aan in de pixels van afbeeldingen waardoor het gezicht moeilijker geïdentificeerd wordt.

4. Alternatieve authenticatiemethoden gebruiken

Het gemak van je telefoon ontgrendelen met gezichtsherkenning zul je waarschijnlijk erg missen als je voor een andere methode kiest. Het is niet verplicht om deze manier van authenticatie te gebruiken, dus heb je de keuze om over te stappen op het gebruik van toegangscodes.

Hoewel alternatieve methodes minder gebruiksvriendelijk zijn, zorg je er zo wel voor dat bedrijven minder data over jou hebben.

Conclusie

Binnen de EU is het verwerken van bijzondere persoonsgegevens zoals biometrische gegevens in principe verboden. Hier gelden zeer strenge uitzonderingsregels voor, die in veel gevallen niet van toepassing zijn.

Wil je jezelf beschermen tegen het verwerken van gezichtsscans? Dan hangt veel af van welke gegevens jij deelt en welke toestemmingen je verleent. Dit is vaak een belangenafweging die je moet maken tussen gemak en privacy.