Gezichtsherkenning
In stadions, in supermarkten, op Schiphol: gezichtsherkenning is in opmars. Privacydeskundigen zijn sceptisch.
Aanhangers van voetbalclub ADO Den Haag zijn er al jaren aan gewend. Willen ze de risicovakken van het stadion in, dan kijken ze eerst in een camera met gezichtsherkenning. Ze mogen naar binnen als de software constateert dat hun gezicht overeenkomt met hun foto in de database van goedgekeurde toeschouwers. Supporters met een stadionverbod worden zo geweerd.
In de strijd tegen racisme kondigde het kabinet donderdagavond plannen aan om camera’s met gezichtsherkenning en microfoons ook op de tribunes in te zetten. Zo zouden supporters die zich racistisch uitlaten kunnen worden geïdentificeerd. Staatssecretaris Bruins (Sport, VVD) zei zelfs geld vrij te willen maken voor het plaatsen van dergelijke ‘slimme camera’s’ langs honderden of wellicht duizenden amateurvelden. Of dit wordt uitgevoerd valt nog te bezien. Coalitiepartner D66 riep eerder deze maand vanwege de privacy juist op tot terughoudendheid bij de inzet van gezichtsherkenning.
Bij Casino Sevens in Aalsmeer gaat het ongeveer hetzelfde als in het Ado-stadion. Bij de ingang staat een camera, als het stoplicht ernaast op groen springt, is de bezoeker welkom. Notoire valsspelers en overlastgevers die op een zwarte lijst van het casino staan, komen er niet in. Net als mensen die op eigen verzoek op een ‘witte lijst’ zijn geplaatst, omdat ze van hun gokverslaving proberen af te komen.
Nu het steeds beter lukt om gezichten te herkennen via camera’s, neemt het aantal toepassingen toe. Je kan met je gezicht je telefoon ontgrendelen, Schiphol gebruikt gezichtsherkenning om het boarden te versnellen, en het bedrijf Invitado biedt ‘gezichtsherkenningsevenementen’ aan: bij binnenkomst staat een ‘gezichtsherkenningszuil’ waarop je persoonlijk, met je eigen naam, welkom wordt geheten.
Ook in de supermarkt doen camera’s met gezichtsherkenning hun intrede. Bij een Jumbo in Alphen aan den Rijn hangt een systeem met tachtig camera’s. Die leggen de gezichten van
alle supermarktbezoekers vast. Bezoekers die worden aangehouden voor winkeldiefstal, worden een volgende keer automatisch herkend en komen er niet meer in.
Mag dit? Als een dataset met biometrische informatie over je gezichtsafmetingen in verkeerde handen valt, en gezichtsherkenning op steeds grotere schaal als identificatiemiddel wordt gebruikt, ligt misbruik op de loer. In augustus bleek een database met miljoenen vingerafdrukken en gezichtsscans van het bedrijf Suprema gewoon via internet toegankelijk. De gezichtsfoto’s waren wereldwijd gemaakt bij bedrijven en faciliteiten die gezichtsherkenning gebruiken als toegangscontrole.
De nieuwe privacywet AVG beschouwt biometrische gegevens als ‘bijzondere persoonsgegevens’. Die mogen door ‘niet-wetshandhavers’ alleen worden gebruikt als dat proportioneel is om aan ‘gerechtvaardigde belangen’ te kunnen voldoen. Zo mag de politie onder voorwaarden gezichtsherkenning inzetten om verdachten te identificeren. In de Nederlandse uitvoeringswet wordt voor niet-wetshandhavers het voorbeeld gegeven van een kerncentrale. De beveiliging daarvan weegt zo zwaar dat personeelsleden verplicht kunnen worden hun gezicht te laten scannen.
‘Niet geoorloofd’
Hoe zit het dan bij supermarkten, voetbalstadions en casino’s? De Autoriteit Persoonsgegevens (AP) weigert commentaar te geven op deze concrete gevallen zonder eerst onderzoek te doen. Een woordvoerder laat weten dat het gebruik van biometrie in verhouding moet staan tot de inbreuk op de privacy. Daarnaast moet duidelijk zijn dat andere manieren om de toegang te beveiligen minder geschikt zijn.
„Het gebruik van biometrische persoonsgegevens bij toegang tot bijvoorbeeld een recreatiegebied of de garage van een reparatiebedrijf kan de toets niet doorstaan. De noodzaak van beveiliging is niet zo groot dat mensen alleen door gebruik van biometrie toegang kunnen krijgen”, zegt de woordvoerder.
Doordat de Autoriteit Persoonsgegevens niet ingaat op de concrete casussen van casino’s en stadions, blijft onduidelijk wanneer gezichtsherkenning wel en niet mag. Om duidelijkheid te scheppen, heeft het kabinet het Wetenschappelijk Onderzoek- en Documentatiecentrum (WODC) gevraagd te onderzoeken wat volgens de privacywetgeving geoorloofd is.
Privacy-deskundige Bart van der Sloot van de Universiteit van Tilburg schrijft mee aan het advies. Hij is kritisch over gezichtsherkenning op plekken als voetbalstadions en casino’s. „Wij maken de inschatting dat dit soort toepassingen niet geoorloofd zijn. In de wet wordt niet voor niets het voorbeeld van een kerncentrale gegeven. Gezichtsherkenning mag alleen in uitzonderlijke omstandigheden”, aldus Van der Sloot.
Volgens hem zal een rechter laten meewegen dat veruit het grootste deel van de bezoekers geen hooligan of valsspeler is. De privacyinbreuk is dan waarschijnlijk disproportioneel, terwijl er minder ingrijpende alternatieven voorhanden kunnen zijn.
Privacy-deskundige Brenno de Winter is het daarmee eens. „Als de beveiliging ook mogelijk is met minder zware middelen, dan verplicht de AVG je daarvoor te kiezen", zegt hij.
Bij ADO Den Haag nemen ze die kritiek voor lief, ook al gebruiken de meeste andere voetbalclubs geen gezichtsherkenning. „Het systeem dat wij in ons stadion hanteren, is ‘Avg-proof’. Dat is onderzocht”, laat een woordvoerder weten. Dat onderzoek zou zijn uitgevoerd door een „intern persoon” – en daar laat ADO het bij.
De filiaalhouder van de Jumbo in Alphen aan den Rijn wil geen commentaar geven. Casino Sevens in Aalsmeer laat het woord aan brancheorganisatie VAN Kansspelen. Volgens de persvoorlichter wordt gezichtsherkenning nog weinig toegepast onder de aangesloten leden. De nieuwe gokwet, van kracht vanaf 2021, bepaalt dat alle casinobezoekers zich vanaf dat jaar moeten identificeren. „Op beurzen wordt nu vaak techniek voor gezichtsherkenning aangeboden. Maar het is afwachten wat wel en niet mag”, aldus de woordvoerder. Die duidelijkheid moet het Wodc-onderzoek scheppen.