Samenvatting

Gezichtsherkenning in foto's mag in Nederland niet zomaar. De Autoriteit Persoonsgegevens classificeert een gezicht dat gebruikt wordt om iemand uniek te identificeren als biometrisch gegeven, en dat valt onder de bijzondere persoonsgegevens uit de AVG. Zonder uitdrukkelijke toestemming van de gefotografeerde persoon is verwerking verboden, met een kleine uitzondering voor authenticatie of beveiliging. Voor gemeenten en andere organisaties die foto's automatisch willen laten taggen, betekent dit concreet: toestemming vooraf regelen, een opt-out bieden en een bewaartermijn afspreken.

TL;DR

• Gezichtsherkenning op foto's telt volgens de AVG als biometrisch gegeven en is in de meeste gevallen verboden, tenzij je uitdrukkelijke toestemming hebt.
• De twee praktische uitzonderingen zijn toestemming van de gefotografeerde persoon en noodzaak voor authenticatie of beveiliging.
• Toestemming vastleggen, een opt-out bieden en een bewaartermijn instellen zijn de drie onderdelen die je organisatorisch moet regelen.
• Bij Cocoon is automatische beeldherkenning een losse, optionele module. Je kunt AVG-proof werken zonder ooit gezichtsherkenning te gebruiken.

Marieke werkt op de gemeentelijke communicatieafdeling en beheert duizenden foto's van evenementen, raadsvergaderingen en campagnes. Steeds vaker duiken er tools op die beloven die foto's automatisch te ordenen op basis van wie erop staat. Dat klinkt aantrekkelijk tot iemand van de juridische afdeling de vraag stelt die er echt toe doet: mag dit eigenlijk wel, met al die inwoners en raadsleden die niet gevraagd zijn of hun gezicht herkend mag worden?

Die vraag is terecht, want gezichtsherkenning valt onder een strenger regime dan gewoon foto's opslaan. Waar een naam of e-mailadres een gewoon persoonsgegeven is, telt een gezicht dat specifiek gebruikt wordt om iemand te identificeren als biometrisch gegeven. Biometrische gegevens vallen onder de bijzondere persoonsgegevens uit de AVG, met een verwerkingsverbod als uitgangspunt.

Dat is meteen de reden waarom een leverancier die alleen belooft dat een systeem binnen tien seconden alle gezichten herkent, zonder verder iets te zeggen over toestemming of bewaartermijn, een onvolledig verhaal vertelt. Hieronder lopen we door wat er wel en niet mag, en wat je concreet moet regelen als je hiermee aan de slag wilt.

Wat is gezichtsherkenning precies in de context van fotobeheer?

Gezichtsherkenning is het automatisch herkennen van een specifiek persoon op basis van een template van gezichtskenmerken dat software uit een foto haalt. Dat template wordt vergeleken met andere templates om te bepalen of het om dezelfde persoon gaat. Dat is een wezenlijk andere stap dan gewone objectherkenning, waarbij software bijvoorbeeld leert dat een foto een auto of een gebouw bevat.

Zodra software niet alleen herkent dat er een gezicht op een foto staat maar ook wie dat is, verwerk je een uniek en onveranderlijk biometrisch gegeven van die persoon. Dat onderscheid is precies waarom de wetgever hier strenger naar kijkt dan naar de gewone opslag van foto's.

Mag je gezichtsherkenning gebruiken volgens de AVG?

Nee, niet zomaar, en dat is een bewuste keuze van de wetgever. De Autoriteit Persoonsgegevens is daar expliciet over: gezichtsherkenning is in de meeste gevallen verboden. Biometrische gegevens die gebruikt worden om iemand uniek te identificeren, vallen onder de bijzondere persoonsgegevens uit artikel 9 van de AVG, en voor die categorie geldt een verwerkingsverbod als uitgangspunt.

Er zijn twee uitzonderingen die in de praktijk van belang zijn. De eerste is uitdrukkelijke toestemming van de persoon op de foto: een verzwaarde vorm van toestemming waarbij iemand een expliciete verklaring moet geven, geen vinkje ergens onderaan een formulier. De tweede is noodzaak voor authenticatie of beveiliging, geregeld in de Uitvoeringswet AVG, bedoeld voor situaties met een zwaarwegend belang zoals toegang tot een kerncentrale, niet voor het handig sorteren van een personeelsfoto.

Voor gemeentelijke communicatie betekent dit in de praktijk dat toestemming vrijwel altijd de enige begaanbare weg is. Handhaving is geen theoretisch risico: de AP legde techbedrijf Clearview AI een boete van 30,5 miljoen euro op voor het zonder toestemming verzamelen van gezichtsdata, en onderzocht dit jaar ook Nederlandse vakantieparken die gezichtsherkenning gebruikten bij de toegang.

Toestemming, opt-out en bewaartermijn: wat je organisatorisch moet regelen

Met alleen een AVG vinkje in de instellingen kom je er niet. Drie zaken moeten kloppen voordat je gezichtsherkenning daadwerkelijk gebruikt.

Ten eerste de toestemming zelf. Die moet per foto of per fotomoment aantoonbaar gekoppeld zijn aan de betrokkene, niet ergens los in een mailbox liggen. Koninklijke Visio, expertisecentrum voor slechtziende en blinde mensen, loste dit bijvoorbeeld op door de toestemmingsverklaring direct aan het beeld te koppelen binnen hun DAM omgeving bij Cocoon. Communicatiemedewerker Michiel Tolsma: "Door de inzet van Cocoon kunnen wij alle medewerkers AVG-proof laten werken, met foto's die geschikt zijn voor publicatie. De toestemmingsverklaring kan eenvoudig in Cocoon aan het beeld gekoppeld worden. Zo behouden we de regie en voldoen we aan de AVG-wetgeving." Precies dat, de toestemming zichtbaar aan het bestand zelf hangen in plaats van in een los systeem, is wat een controle achteraf hanteerbaar maakt.

Ten tweede een opt-out. Iemand die eerder toestemming gaf, moet die makkelijk kunnen intrekken, en dat moet ook praktisch tot iets leiden: het beeld uit de herkenningsset halen, niet alleen een vinkje omzetten.

Ten derde een bewaartermijn. Een gezichtstemplate hoort niet oneindig te blijven staan voor het geval het nog van pas komt. Leg vooraf vast hoe lang een template bewaard blijft en wanneer het automatisch verwijderd wordt.

Drie scenario's, drie grondslagen: een praktisch overzicht

Niet elke foto met gezichten ligt hetzelfde. Deze tabel laat zien hoe de grondslag verschilt per situatie die een gemeentelijk communicatieteam typisch tegenkomt.

Technische kanttekeningen: groepsfoto's en slecht licht

Ook als de juridische kant geregeld is, blijft gezichtsherkenning technisch minder waterdicht dan leveranciers soms suggereren. Op een groepsfoto met overlappende gezichten of mensen die half wegkijken, daalt de betrouwbaarheid van de herkenning merkbaar. Slecht of ongelijk licht, een pet, een sjaal of gewoon een ouder wordend gezicht kunnen ervoor zorgen dat een systeem iemand niet herkent, of erger, de verkeerde persoon aanwijst.

Dat is geen reden om de technologie af te schrijven, maar wel een reden om claims over snelheid en nauwkeurigheid met een korrel zout te nemen als een leverancier ze niet onderbouwt met een concreet, natrekbaar voorbeeld: hoeveel foto's, hoeveel mensen, welk percentage correct herkend. Tien seconden zegt niets over hoe vaak het systeem het bij twijfelachtige foto's fout heeft.

Tot slot

Gezichtsherkenning lost een echt probleem op: grote fotoarchieven waarin niemand meer weet wie erop staat. Maar de AVG behandelt dat probleem terecht als iets dat om een goede juridische basis vraagt, niet om een schakelaar die je zomaar omzet. Toestemming vastleggen bij het beeld, een werkende opt-out en een bewaartermijn zijn geen bureaucratische extra's. Het zijn de drie dingen die het verschil maken tussen een AVG-proof implementatie en een boeteclausule.

Wie liever helemaal geen automatische gezichtsherkenning gebruikt, hoeft ook niets te missen. Handmatig tags beheren in Cocoon werkt net zo goed voor het terugvinden van beeldmateriaal, zonder dat er ooit een biometrisch gegeven wordt verwerkt. Voor wie wel voor automatische herkenning kiest, is dat bij Cocoon een losstaande, optionele AI Image Recognition module, nooit een verplicht onderdeel van de beeldbank.

Benieuwd hoe gemeenten en andere overheidsorganisaties hun beeldmateriaal AVG-proof beheren, met of zonder automatische herkenning? Bekijk de beeldbank software voor gemeenten of vraag een gratis demo aan om te zien hoe Cocoon dit voor jouw organisatie inricht.

Bronnen

• Autoriteit Persoonsgegevens: Gezichtsherkenning, voor de juridische classificatie van gezichtsherkenning als biometrisch gegeven en de twee uitzonderingen op het verwerkingsverbod.
• Autoriteit Persoonsgegevens: Wat zijn persoonsgegevens?, voor de plaats van biometrische gegevens binnen de bijzondere persoonsgegevens van artikel 9 AVG.
• Autoriteit Persoonsgegevens: AP legt Clearview boete op, voor het genoemde handhavingsvoorbeeld van 30,5 miljoen euro.