Antwoord schriftelijke vragen : Antwoord op vragen van het lid Verhoeven inzake het bericht ‘Tientallen camera's houden klanten van filiaal Jumbo in de gaten: 'Willen we dit?'’

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 21 januari 2020)Zie ook
Aanhangsel Handelingen, vergaderjaar 2019–2020, nr. 1248

Vraag 1

Bent u bekend met het bericht «Tientallen camera's houden klanten van filiaal Jumbo
in de gaten: «Willen we dit?'»?1

Antwoord 1

Ja.

Vraag 2

Kunt u een overzicht geven van het wettelijke kader aangaande het gebruik van gezichtsherkenning
door bedrijven, inclusief relevante artikelen in de Algemene verordening gegevensbescherming
(AVG)?

Antwoord 2

In de AVG worden aan het gebruik van gezichtsherkenning eisen gesteld, omdat de verwerking
bijzondere (biometrische) persoonsgegevens betreft. Op grond van artikel 9, eerste
lid, AVG is de verwerking van biometrische gegevens met het oog op de unieke identificatie
van een persoon in beginsel verboden. Het verbod geldt niet indien de verwerkingsverantwoordelijke
zich baseert op een van de uitzonderingen van artikel 9, tweede lid, AVG. Van deze
uitzonderingen zijn die onder a en g relevant in relatie tot gezichtsherkenning. De
onder a bedoelde uitzondering betreft het geval waarin betrokkene uitdrukkelijk toestemming
voor toepassing van gezichtsherkenning voor een of meer welbepaalde doeleinden heeft
gegeven. De onder g bedoelde uitzondering heeft betrekking op gezichtsherkenning die
noodzakelijk is om redenen van zwaarwegend algemeen belang, door de nationale wetgever
is toegestaan en aan bepaalde onder g genoemde voorwaarden voldoet. Op basis daarvan
stelt artikel 29 Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) dat
het verbod om biometrische gegevens te verwerken niet van toepassing is, indien de
verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. In mijn brief
«Voornemens met betrekking tot de UAVG en AVG» van 31 oktober 20192 heb ik uw Kamer meegedeeld het voornemen te hebben de UAVG te wijzigen en in artikel
29 UAVG expliciet het belang te benoemen dat in de rechtspraktijk noodzakelijk kan
maken om biometrische gegevens te verwerken voor authenticatie en beveiligingsdoeleinden.
Verder moet de betrokkene in het geval van een expliciete toestemming altijd de optie
hebben om te weigeren, maar niettemin gebruik kunnen blijven maken van de dienst.

Ter uitvoering van de recente motie van de leden Verhoeven (D66) en Van Dam (CDA)
over gezichtsherkenning3 zal ik de Tweede Kamer een brief doen toekomen waarin ik verder in ga op het juridisch
kader rond het gebruik van gezichtsherkenningstechnologie en zal ik daarbij ook stilstaan
bij andere wet- en regelgeving dan de AVG en UAVG die voor toepassing van gezichtsherkenning
relevant is, zoals de Richtlijn gegevensbescherming bij opsporing en vervolging en
de Wet politiegegevens. In deze brief wordt ook uitgebreid ingegaan op het gebruik
van gezichtsherkenning door bedrijven.

Vraag 3

Deelt u de mening dat dit praktijkvoorbeeld van de Jumbowinkel evident in strijd is
met de AVG?

Antwoord 3

Toezicht op de naleving van de AVG is belegd bij de Autoriteit Persoonsgegevens (AP).
Het is daarom niet aan mij als Minister voor Rechtsbescherming, maar aan AP om te
beoordelen of dit praktijkvoorbeeld binnen de grenzen van de AVG past.

Vraag 4

Zijn er praktijkvoorbeelden van gezichtsherkenning die zijn goedgekeurd door de rechter
of de Autoriteit Persoonsgegevens en dus «AVG-proof» zijn?

Antwoord 4

Alleen als er een aanleiding is om de rechtmatigheid van een verwerking te beoordelen
zal de AP of een rechter hierover een oordeel vellen. Een dergelijke rechtmatigheidsbeoordeling
is echter breder dan een toetsing op basis van de AVG en bevat ook een toetsing op
basis van andere wetten.

De AP heeft normenkaders en beleidsregels opgesteld voor specifieke toepassingen van
gezichtsherkenningstechnologie, zoals het normenkader digitale billboards. Hier geeft
de AP aan onder welke omstandigheden het gebruik van gezichtsherkenningstechnologie
eventueel legitiem zou kunnen zijn. Daarnaast heeft het Hof van Justitie van de Europese
Unie in een recente uitspraak in een Nederlandse zaak4, met betrekking tot de afname en verwerking van biometrische gegevens (in dit geval
een gezichtsopname en vingerafdrukken) van vreemdelingen, geoordeeld dat het voorkomen
en bestrijden van identiteits- en documentfraude een goede reden kan zijn om het afnemen
van biometrische gegevens verplicht te stellen. De betreffende inbreuk mag echter
niet verder gaan dan nodig is om het nagestreefde doel te bereiken en mag geen onevenredige
inbreuk vormen op het recht op de persoonlijke levenssfeer bij de verwerking van persoonsgegevens.
Het Hof van Justitie van de Europese Unie heeft geoordeeld dat in dit geval aan deze
voorwaarden is voldaan.

Vraag 5

Bent u bereid om bedrijven te informeren over het wettelijk kader omtrent gezichtsherkenning?

Antwoord 5

Bedrijven moeten zich primair zelf op de hoogte stellen van toepasselijke regels,
en die toepassen op hun eigen situaties, zoals bij de (in het antwoord op vraag5 vermelde toets of binnen de grenzen van de privacywetgeving wordt gehandeld. De AP
heeft verder een Informatie- en Meldpunt privacy, waar ook vragen over de AVG kunnen
worden gesteld. Verder ben ik voornemens om, wanneer de in het antwoord op vraag 2
genoemde brief aan de Kamer is toegezonden, deze onder de aandacht te brengen van
de bij het Nationaal Platform Criminaliteitsbeheersing aangesloten leden.