Antwoord schriftelijke vragen : Antwoord op vragen van de leden Van Raan en Wassenberg over de bescherming van de privacy en het gebruik van een front-facing camera op de zelfscanner van de Albert Heijn

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 29 november 2021).

Vraag 1

Klopt het dat er zelfscanners van de Albert Heijn zijn uitgerust met een front-facing
camera?

Antwoord 1

Ja, Albert Heijn heeft laten weten dat het sinds 2019 een model handscanner gebruikt
met aan de voorkant een cameralens. Deze camera staat uit. Naast dit model handscanner
staan klanten als alternatief ter beschikking de eigen telefoon, de zelfscankassa’s
of het reguliere afrekenen bij een kassamedewerker.

Vraag 2

Kunt u bevestigen dat het bedrijf dat deze scanners verkoopt deze scanners aanbeveelt
omdat ze gezichtsherkenning mogelijk maken waarmee klanten geïdentificeerd kunnen
worden?1

Antwoord 2

Uit informatie op de website van de fabrikant blijkt dat bij de productspecificaties
de technische mogelijkheden worden beschreven. Gezichtsherkenning wordt vermeld als
een van de toepassingen waarvoor de camera aan de voorkant van deze handscanner kan
worden gebruikt.2

Vraag 3

Is u bekend of er op enige wijze gebruik gemaakt wordt van gezichtsherkenning binnen
de winkels van Albert Heijn of enige andere supermarkt (structureel dan wel experimenteel)?
Bent u bereid na te gaan of dit gebeurd? Indien het gebeurd kun u aangeven waar en
waarom?

Antwoord 3

Bij brief van 5 juni 2020 heeft de Autoriteit Persoonsgegevens (AP) de supermarkten
gewezen op de regels voor gezichtsherkenning in de winkels.3 Er zijn mij geen signalen bekend dat supermarkten sindsdien, in weerwil van deze
regels, gebruik maken van gezichtsherkenningstechnologie.

Vraag 4 en 5

Op welke rechtsgrond kan Albert Heijn of enige andere supermarkt zich baseren als
zij besluiten gezichtsherkenning in te zetten?

Kunt u bevestigen dat gezichtsherkenning alleen mag worden ingezet voor authenticatie
bij zwaarwegende belangen (bijvoorbeeld de beveiliging van een kerncentrale) of wanneer
daar «uitdrukkelijke toestemming» voor gegeven wordt?

Antwoord 4 en 5

Het is juist dat de Algemene verordening gegevensbescherming (AVG) de verwerking van
biometrische gegevens alleen toestaat in gevallen waarin onomwonden vrijelijke expliciete
toestemming wordt verleend òf wanneer er redenen van zwaarwegend algemeen belang zijn
om gezichtsherkenning toe te passen voor authenticatie of beveiligingsdoeleinden.
Bij dat laatste kan inderdaad worden gedacht aan het beveiligen van een kerncentrale.
In reactie op het rapport «Op het eerste gezicht» van 5 februari jl.4 heb ik uw Kamer aangekondigd dat deze voorwaarden ook in de Uitvoeringswet AVG (UAVG)
duidelijker zullen worden verwoord. Dit gebeurt in het wetsvoorstel tot wijziging
van de UAVG, dat voorziet in een wijziging van artikel 29 van de UAVG. In de wettekst
wordt expliciet opgenomen dat de uitzonderingsgrond van artikel 29 alleen kan worden
toegepast wanneer dat nodig is voor een zwaarwegend algemeen belang. Met deze dubbele
noodzakelijkheidstoets (noodzakelijk voor de authenticatie of beveiligingsdoeleinden
én noodzakelijk omwille van een zwaarwegend algemeen belang), geeft de UAVG beter
invulling aan artikel 9, tweede lid, onderdeel g, van de AVG. Het is de planning om
het wetsvoorstel dit jaar nog aan te bieden aan de Raad van State.

Vraag 6

Deelt u de mening dat het onwenselijk zou zijn wanneer er gezichtsherkenning wordt
gebruikt voor het doen van boodschappen? Deelt u de mening dat dit zonder de uitdrukkelijke
toestemming van de gebruiker verboden is?

Antwoord 6

Het wettelijk kader staat niet toe dat zonder uitdrukkelijke toestemming gezichtsherkenning
op deze manier wordt gebruikt.

Vraag 7

Hoe waarschijnlijk acht u het dat een externe (kwaadwillende) partij toegang zou kunnen
krijgen tot de zelfscanners met gezichtsherkenning?

Antwoord 7

Het is niet aan mij als bewindspersoon om, bij de inzet door bedrijven van apparaten
die over technische mogelijkheden beschikken tot het verwerken van biometrische gegevens,
inschattingen te maken over de mogelijkheden van toegang door derden. Het is aan de
verwerkingsverantwoordelijke of de verwerker de veiligheid te waarborgen, waartoe
onder meer artikel 32 van de AVG verplicht.

Vraag 8

Deelt u de mening dat het beter zou zijn wanneer er, voor het doen van boodschappen,
apparaten gekozen worden die niet in staat zijn tot dit soort analyses van biometrische
persoonsgegevens?

Antwoord 8

Er kunnen verschillende redenen zijn geweest waarom Albert Heijn, maar ook andere
supermarktketens, zoals Jumbo, zijn overgegaan tot de aanschaf van dit type handscanner
voor het doen van boodschappen.5 Het simpele feit dat apparatuur, zoals in dit geval apparaten voor het doen van boodschappen,
over technische mogelijkheden beschikt tot het verwerken van biometrische gegevens
maakt het gebruik van deze apparatuur nog niet per definitie ongewenst. In ieder geval
zoals beschreven in antwoord op vraag 4 en 5 is de verwerking van biometrische gegevens
alleen toegestaan in die gevallen waarin onomwonden expliciete toestemming wordt verleend
of wanneer er redenen van zwaarwegend algemeen belang zijn om gezichtsherkenning toe
te passen voor authenticatie of beveiligingsdoeleinden. Ook voor de verwerking van
andere persoonsgegevens is de AVG onverkort van toepassing.

Vraag 9

Wat kunt u doen om te voorkomen dat supermarkten nu of in de toekomst gebruik maken
van gezichtsherkenning?

Antwoord 9

Met de in antwoord 3 genoemde voorlichting door de AP meen ik dat de supermarkten
voldoende duidelijk is welke kaders gelden voor de toepassing van gezichtsherkenning.
De in antwoord 5 vermelde voorgenomen verduidelijking van de UAVG zal naar mijn verwachting
zo nodig bijdragen aan verdere bewustwording.