'Aparte wet nodig voor gezichtsherkenning'

Een toename in het aantal gevallen van identiteitsfraude zorgt ervoor dat meer gemeenten de inzet van gezichtsherkenning overwegen. Dat meldt de NOS. Met een gezichtsscanner kan worden gecontroleerd of de aanvrager van een nieuw identiteitsbewijs dezelfde persoon is als op de pasfoto van het oude paspoort of rijbewijs.

Extra strenge regels

Het idee leeft volgens de NOS onder meer in Almere en Utrechtse Heuvelrug. Het is nog niet zeker of deze gemeenten het systeem daadwerkelijk invoeren. Dat systeem werkt als volgt: een documentscanner controleert de echtheid van het oude identiteitsbewijs. Daarna wordt er een gezichtsscan gemaakt om te checken of de juiste persoon voor de balie staat.

Als het werkelijk zo is dat gemeenten veel te maken krijgen met identiteitsfraude, vindt hoogleraar ICT en recht Frederik Zuiderveen Borgesius de inzet van dergelijke software op het eerste gezicht redelijk, mits aan de AVG wordt voldaan. ‘Biometrische gegevens zijn bijzondere persoonsgegevens, waarvoor extra strenge regels gelden,’ zegt hij. ‘Het is best mogelijk om zulke software netjes te ontwerpen. Dat betekent bijvoorbeeld dat je de beelden niet opslaat, maar meteen weggooit.’

Bescherming gegevens van inwoners

Burgerrechtenorganisatie Bits of Freedom wijst erop dat gemeenten geen goed track record hebben als het gaat om het beschermen van gegevens van inwoners. Dat blijkt uit hun eigen onderzoek over de naleving van de AVG door gemeenten. ‘Wil je daar dan méér bijzondere gegevens aan toevoegen?’ vraagt Rejo Zenger van Bits of Freedom. ‘Rechtvaardigt het probleem de inzet van deze technologie? Dat kan ik niet opmaken uit het bericht. Is het noodzakelijk om gezichtsherkenning in te zetten? Is het effectief? Is het niet op te lossen op een manier die minder ingrijpend is? Dat moeten gemeenten zich eerst afvragen.'

Technologie wordt al ingezet

Volgens de Nederlandse Vereniging voor Burgerzaken (NVVB) bestaat er nog geen wettelijke grondslag voor het gebruik van de gezichtsscanners. Er staat dus eigenlijk nergens beschreven of de gemeenten dit mogen doen. Toch zijn er al gemeenten die de technologie daadwerkelijk inzetten. Binnenlands Bestuur schreef in 2019 dat Lelystad, Amstelveen, Zaanstad, Culemborg, Tiel, Zaltbommel en Twenterand een gezichtsscanner gebruiken. Lelystad liet indertijd aan Binnenlands Bestuur weten dat de scans niet worden bewaard, tenzij er een vermoeden is van fraude. De Volkskrant meldde in 2020 dat ook Zwolle en Midden-Delfland gezichtsherkenningssoftware gebruiken bij paspoortaanvragen. Midden-Delfland liet aan de krant weten dat de scan voor drie maanden versleuteld wordt opgeslagen en daarna automatisch verwijderd.

Wel of geen wettelijke grondslag?

‘Zonder wettelijke grondslag kun je dit niet doen,’ zegt Zenger. ‘Dat betekent dus dat deze gemeenten de wet overtreden.’ Volgens Zuiderveen Borgesius zou je ook kunnen beargumenteren dat de uitvoeringswet AVG een uitzondering bevat die hier van toepassing is. Het verbod om biometrische gegevens te verwerken voor de unieke identificatie van een persoon is namelijk niet van toepassing, als de verwerking noodzakelijk is voor authenticatie.

Het is het beste als er een aparte wet wordt aangenomen voor deze toepassing van gezichtsherkenning, stelt Zuiderveen Borgesius. ‘Als een wet wordt voorgesteld is er ook ruimte voor publiek debat, en de kiezer heeft indirect invloed omdat de Tweede Kamer de wet moet goedkeuren.’

AI Act voegt hier weinig toe

Heeft de komst van de AI Act, die gisteren werd aangenomen, nog gevolgen voor gemeenten die gezichtsherkenning inzetten bij de aanvraag van een identiteitsbewijs? Waarschijnlijk voegt de verordening, als hij over twee jaar van kracht gaat, in dit geval niet veel toe aan wat de AVG al vereist, zegt Zuiderveen Borgesius. Het ziet er naar uit dat deze toepassing van gezichtsherkenning niet valt onder de categorie hoogrisicosystemen in de AI Act. Daarom stelt de AI Act er niet veel eisen aan.