Evenementenorganisatoren denken steeds vaker aan gezichtsherkenning voor veiligheid en toegangscontrole. In Nederland is gezichtsherkenning meestal verboden, maar er zijn uitzonderingen voor bepaalde situaties op evenementen.
De technologie maakt snellere toegangscontrole mogelijk en verbetert de beveiliging. Tegelijk brengt het flinke juridische verplichtingen met zich mee.
De Nederlandse privacywetgeving stelt strikte eisen aan het gebruik van biometrische gegevens. De Autoriteit Persoonsgegevens heeft duidelijke richtlijnen opgesteld over wanneer organisaties deze technologie mogen inzetten.
Evenementenorganisatoren moeten goed kijken naar verschillende juridische kaders. Ze moeten ook technische waarborgen regelen voordat ze gezichtsherkenning implementeren.
Wat is gezichtsherkenning en hoe werkt het?
Gezichtsherkenning gebruikt speciale software om mensen aan hun gezicht te herkennen. De technologie meet unieke kenmerken en vergelijkt die met een database.
Definitie van gezichtsherkenning
Gezichtsherkenning is een computertechniek die iemands identiteit vaststelt door gezichtskenmerken in foto’s of video’s te analyseren. Het systeem kijkt naar punten zoals:
- De afstand tussen de ogen
- De vorm van de neus
- De kaaklijn
- De positie van de mond
Zo ontstaat een unieke gezichtsprint voor elke persoon. Net als vingerafdrukken is elke gezichtsprint anders.
Het proces bestaat uit drie stappen. Eerst detecteert de camera een gezicht.
Daarna analyseert de software de kenmerken en maakt een digitale code. Tot slot vergelijkt het systeem deze code met opgeslagen gezichten.
Is er een match? Dan herkent het systeem de persoon.
Toepassingen op evenementen
Organisatoren zetten gezichtsherkenning in voor verschillende doelen. Toegangscontrole is de bekendste: bezoekers worden automatisch herkend bij de ingang.
Beveiligingsteams gebruiken de technologie om ongewenste personen te signaleren. Denk aan mensen met een toegangsverbod.
Soms gebruiken evenementen gezichtsherkenning voor marketing. Ze houden bijvoorbeeld bij welke stands mensen bezoeken, of hoe lang ze ergens blijven.
De techniek helpt ook bij het vinden van vermiste personen op grote evenementen. Ouders kunnen sneller hun kinderen terugvinden als die kwijt zijn.
Biometrische gegevens als persoonsgegevens
Gezichtsherkenning verwerkt biometrische gegevens. Dit zijn persoonsgegevens die unieke lichamelijke kenmerken bevatten.
De wet ziet biometrische gegevens als bijzondere persoonsgegevens. Ze krijgen extra bescherming omdat misbruik grote gevolgen kan hebben.
Organisatoren moeten deze gegevens voorzichtig behandelen. Ze moeten bezoekers duidelijk uitleggen wat ze met de gezichtsgegevens doen.
Toestemming is meestal nodig voordat organisatoren gezichtsherkenning mogen inzetten. Die toestemming moet vrijwillig en bewust zijn.
Gegevens mogen niet langer bewaard worden dan strikt noodzakelijk. Na het evenement moeten organisatoren de gezichtsdata meestal verwijderen.
Juridisch kader voor gezichtsherkenning op evenementen
Gezichtsherkenning op evenementen valt onder strenge juridische regels. Die regels zijn vooral gebaseerd op de AVG en UAVG.
De Autoriteit Persoonsgegevens werkt met een “nee, tenzij” principe. Organisaties moeten bewijzen dat ze aan de wettelijke eisen voldoen.
Algemene verordening gegevensbescherming (AVG) en UAVG
De Algemene Verordening Gegevensbescherming (AVG) is de basis voor regels rond gezichtsherkenning. Deze wet geldt in heel Europa en dus ook in Nederland.
De Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) vult de AVG aan met Nederlandse regels. Deze wet voegt extra voorschriften toe voor bijzondere persoonsgegevens.
Organisaties moeten aan beide wetten voldoen. Ze moeten een geldige reden hebben om gezichtsherkenning te gebruiken.
De meest voorkomende rechtsgronden zijn:
- Gerechtvaardigd belang (artikel 6 lid 1 onder f AVG)
- Uitvoering van een overeenkomst (artikel 6 lid 1 onder b AVG)
- Wettelijke verplichting (artikel 6 lid 1 onder c AVG)
Voor gerechtvaardigd belang moet de organisatie aantonen dat hun belang zwaarder weegt dan de privacy van bezoekers. Dat is bij evenementen lastig te bewijzen.
Bijzondere persoonsgegevens en verwerkingsverbod
Gezichtsherkenning verwerkt biometrische gegevens. Volgens artikel 9 AVG zijn dat bijzondere persoonsgegevens.
De verwerking van deze data is in principe verboden. Alleen in uitzonderlijke gevallen staan de regels het toe.
Voor evenementen zijn de belangrijkste uitzonderingen:
- Uitdrukkelijke toestemming van de bezoeker
- Vitale belangen bij levensbedreigende situaties
- Zwaarwegend algemeen belang in specifieke gevallen
Toestemming moet vrij, specifiek en geïnformeerd zijn. Bezoekers moeten het evenement ook kunnen bezoeken zonder gezichtsherkenning.
De Autoriteit Persoonsgegevens (AP) houdt streng toezicht. Overtredingen kunnen tot hoge boetes leiden.
Rol van verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke bepaalt waarom en hoe gezichtsherkenning wordt gebruikt. Meestal is dat de organisator van het evenement.
Organisatoren hebben een aantal belangrijke verplichtingen. Ze moeten bijvoorbeeld een data protection impact assessment (DPIA) uitvoeren voor gezichtsherkenning.
Belangrijkste verplichtingen:
- Rechtsgrond vastleggen en documenteren
- DPIA uitvoeren en bewaren
- Privacy-informatie delen met bezoekers
- Technische en organisatorische maatregelen nemen
- Register van verwerkingen bijhouden
De AP heeft een juridisch kader gezichtsherkenning gepubliceerd met antwoorden op veelgestelde vragen.
Organisatoren moeten kunnen aantonen dat ze aan alle wettelijke eisen voldoen. Dat heet het accountability-beginsel in de AVG.
Rechtsgronden voor het gebruik van gezichtsherkenning bij evenementen
Voor gezichtsherkenning op evenementen gelden specifieke juridische eisen. Organisatoren mogen deze technologie alleen gebruiken op basis van uitdrukkelijke toestemming of in zeldzame gevallen van zwaarwegend algemeen belang.
Toestemming en uitdrukkelijke toestemming
Bij evenementen mag gezichtsherkenning alleen op basis van uitdrukkelijke toestemming van bezoekers. Die toestemming moet echt vrij gegeven zijn.
Gewone toestemming is niet genoeg. De bezoeker moet actief en bewust instemmen.
Organisatoren moeten bezoekers helder informeren over:
- Het gebruik van gezichtsherkenning
- Het doel van de gegevensverzameling
- Hoe lang gegevens worden bewaard
- Welke rechten bezoekers hebben
Toestemming mag niet gekoppeld zijn aan toegang tot het evenement. Bezoekers moeten ook zonder gezichtsherkenning naar binnen kunnen.
Zwaarwegend algemeen belang
In heel uitzonderlijke situaties kan gezichtsherkenning zonder toestemming. Dan moet er sprake zijn van een zwaarwegend algemeen belang.
Denk aan ernstige veiligheidsdreigingen, terrorismebestrijding of bescherming tegen geweldsmisdrijven.
Deze uitzondering is echt zeldzaam. Organisatoren moeten bewijzen dat er geen minder ingrijpende alternatieven zijn.
Ze moeten goed afwegen wat zwaarder weegt: veiligheid of privacy. De inzet moet in verhouding staan tot het risico.
Verschil tussen beveiligings- en authenticatiedoeleinden
Het juridische kader verschilt tussen beveiligingsdoeleinden en authenticatiedoeleinden. Elk heeft z’n eigen regels en grenzen.
Beveiligingsdoeleinden zijn bedoeld om ongewenste personen of bedreigingen te detecteren. Meestal is hiervoor uitdrukkelijke toestemming nodig, of een zwaarwegend algemeen belang.
Authenticatiedoeleinden zetten gezichtsherkenning in voor toegangscontrole, bijvoorbeeld in plaats van tickets. Bezoekers kiezen vaak bewust voor deze service, dus toestemming verloopt hier wat eenvoudiger.
Bij authenticatie houden bezoekers meer controle over hun gegevens. Ze kunnen zelf kiezen tussen gezichtsherkenning of gewoon een ticket of polsbandje.
Privacybescherming en technische waarborgen
Organisatoren moeten echt strenge privacy- en beveiligingsmaatregelen nemen bij gezichtsherkenning op evenementen. Dat is niet alleen netjes, maar ook verplicht.
Deze waarborgen beschermen persoonlijke data en zorgen dat alles volgens de wet verloopt.
Data Protection Impact Assessment (DPIA)
Een DPIA is verplicht als je gezichtsherkenning wilt inzetten op een evenement. Je moet deze risicoanalyse uitvoeren voordat je start.
De DPIA vraagt om een grondige analyse van privacyrisico’s. Organisatoren moeten alle mogelijke gevolgen voor bezoekers beschrijven.
Belangrijke onderdelen van een DPIA:
- Beschrijving van het verwerkingsdoel
- Noodzakelijkheids- en evenredigheidstoets
- Identificatie van privacyrisico’s
- Maatregelen ter beperking van risico’s
De Autoriteit Persoonsgegevens moet de DPIA vooraf beoordelen. Zonder hun goedkeuring mag je niet starten met gezichtsherkenning.
Organisatoren schakelen vaak externe experts in voor een goede DPIA. Je hebt juridische én technische kennis nodig voor zo’n analyse.
Privacyrechten van betrokkenen
Bezoekers hebben duidelijke rechten bij het gebruik van gezichtsherkenning. Je moet die rechten volledig respecteren.
Het inzagerecht geeft bezoekers toegang tot hun verwerkte gegevens. Organisatoren moeten binnen 30 dagen reageren op zo’n verzoek.
Bezoekers kunnen hun recht op correctie gebruiken als hun data niet klopt. Je moet foutieve gezichtsgegevens direct aanpassen.
Het recht op vergetelheid houdt in dat data op verzoek wordt gewist. Organisatoren moeten duidelijke procedures hebben voor dataverwijdering.
Andere belangrijke rechten:
- Recht op dataportabiliteit
- Recht op beperking van verwerking
- Recht van bezwaar tegen verwerking
Bezoekers moeten vooraf weten welke rechten ze hebben. Maak deze informatie makkelijk vindbaar.
Data minimalisatie en beveiligingsmaatregelen
Organisatoren mogen alleen de strikt noodzakelijke gegevens verzamelen. Data minimalisatie helpt privacyrisico’s flink te beperken.
Gezichtsgegevens mogen alleen bewaard worden zolang dat écht nodig is. Leg de bewaartermijn vast en communiceer die duidelijk.
Technische beveiligingsmaatregelen:
- Encryptie van gezichtsdata
- Beperkte toegang tot systemen
- Regelmatige beveiligingsupdates
- Logging van systeemtoegang
Je moet ook organisatorische maatregelen nemen. Medewerkers horen training te krijgen over privacy en databeveiliging.
Houd data gescheiden van andere systemen. Koppel gezichtsherkenningsdata niet zomaar aan andere databases, tenzij je uitdrukkelijke toestemming hebt.
Bij een datalek moet je binnen 72 uur melding doen. Je informeert de Autoriteit Persoonsgegevens én de getroffen bezoekers.
De rol van de Autoriteit Persoonsgegevens en toezicht
De Autoriteit Persoonsgegevens (AP) houdt toezicht op het gebruik van gezichtsherkenning tijdens evenementen. Ze hebben een juridisch kader gemaakt met praktische tips voor organisatoren.
Toezicht op naleving van de wet
De AP bekijkt of organisaties zich aan de privacywetten houden bij gezichtsherkenning. Ze controleren of organisatoren de juiste wettelijke basis hebben.
De organisatie kan boetes uitdelen als evenementen gezichtsherkenning illegaal inzetten. Vooral als er geen geldige uitzondering is op het verbod van bijzondere persoonsgegevens.
Verplichte DPIA vooraf
Voordat je gezichtsherkenning mag gebruiken, moet je een data protection impact assessment (DPIA) uitvoeren. De AP checkt of deze DPIA de juiste risico’s in kaart brengt.
Deze risico’s zijn onder meer:
- Discriminatie en fouten in herkenning
- Gebrek aan transparantie over gegevensverzameling
- Ontbreken van keuzevrijheid voor bezoekers
- Mogelijk hergebruik van gegevens door derden
AP-richtsnoeren en praktische aanbevelingen
De AP heeft een juridisch kader gemaakt om organisaties te helpen bij gezichtsherkenning. Je vindt er antwoorden op veel juridische vragen van privacyprofessionals.
Het kader richt zich op producenten en leveranciers van camera’s met gezichtsherkenning. Ook organisatoren krijgen praktische info over de techniek achter gezichtsherkenning.
Belangrijkste aanbevelingen
De AP raadt aan om eerst te kijken of mildere alternatieven mogelijk zijn. Gezichtsherkenning mag alleen als het echt nodig is voor authenticatie of beveiliging.
Bij uitdrukkelijke toestemming moeten bezoekers een echte keuze hebben. Ze moeten het evenement kunnen bezoeken zonder gezichtsherkenning.
Beveilig biometrische gegevens volgens de strengste technische eisen. Sla data versleuteld op, volgens de nieuwste standaarden.
Uitzonderingen en bijzondere situaties
Gezichtsherkenning op evenementen is meestal verboden. Toch zijn er twee belangrijke uitzonderingen waarbij het soms wel mag, onder strikte voorwaarden.
Internationaal scheepverkeer en zwaarwegend belang
Bij internationale havenevenementen en scheepvaartbijeenkomsten gelden andere regels. Hier mag gezichtsherkenning soms voor grenscontrole of veiligheidsdoeleinden.
De technologie is toegestaan wanneer er sprake is van:
- Controle van personen uit derde landen
- Terrorismebestrijding bij kritieke infrastructuur
- Bescherming van internationale handelroutes
Voorwaarden voor gebruik:
- Alleen geautoriseerde instanties mogen de technologie inzetten
- Er moet een duidelijke wettelijke grondslag zijn
- De verwerking moet proportioneel zijn aan het doel
Evenementorganisatoren mogen niet zelfstandig gezichtsherkenning inzetten. Alleen bevoegde autoriteiten zoals politie of douane mogen dit doen.
De AI Act van de EU heeft deze uitzondering mogelijk gemaakt. Nederlandse wetgeving wordt nu aangepast om deze regels te verwerken.
Persoonlijk en huishoudelijk gebruik
Voor kleine, besloten evenementen gelden andere regels. Gezichtsherkenning valt onder de huishoudelijke uitzondering als het gebruik puur persoonlijk is.
Toegestane situaties:
- Privéfeesten in eigen woning
- Familiebijeenkomsten op eigen terrein
- Kleine groepen vrienden (meestal onder 10 personen)
Alleen de gastheer mag de technologie gebruiken. Gasten moeten altijd vooraf geïnformeerd zijn over het gebruik van gezichtsherkenning.
Belangrijke beperkingen:
- Beelden mogen niet gedeeld worden met derden
- Opslag moet beperkt blijven tot het eigen systeem
- Commerciële doeleinden zijn uitgesloten
Krijgt een evenement een commercieel karakter? Dan vervalt deze uitzondering. Ook bij evenementen op openbare locaties geldt de huishoudelijke uitzondering niet meer.
Veelgestelde Vragen
Organisatoren en bezoekers hebben vaak vragen over de juridische kant van gezichtsherkenning bij evenementen. De Nederlandse privacywetgeving stelt strenge eisen aan het gebruik van deze technologie.
Wat zijn de privacyregels omtrent gezichtsherkenning op publieke locaties?
Gezichtsherkenning is in Nederland meestal verboden. De Autoriteit Persoonsgegevens heeft duidelijk gemaakt dat deze technologie alleen onder specifieke omstandigheden mag.
Voor publieke evenementen gelden strikte regels. Organisatoren moeten aantonen dat er een wettelijke grondslag is voor gezichtsherkenning.
Je mag de technologie niet zomaar inzetten voor algemene veiligheid of crowd control. Er moet echt sprake zijn van een concrete noodzaak.
Hoe verhoudt gezichtsherkenningstechnologie zich tot de AVG/GDPR wetgeving bij evenementen?
Gezichtsherkenning valt onder de AVG omdat het biometrische gegevens verwerkt. Deze gegevens zijn bijzondere persoonsgegevens en krijgen extra bescherming.
Organisatoren moeten voldoen aan alle AVG-principes. De verwerking moet rechtmatig, behoorlijk en transparant zijn.
Een privacy impact assessment is verplicht voordat je gezichtsherkenning inzet. Zo breng je de risico’s in kaart en kun je passende maatregelen nemen.
Welke toestemming is vereist van bezoekers voor het gebruik van gezichtsherkenning op evenementen?
Toestemming alleen is meestal niet voldoende als wettelijke basis voor gezichtsherkenning. De AVG vraagt om een sterkere rechtvaardiging bij biometrische gegevens.
Als je toch toestemming gebruikt, moet die vrij, specifiek en goed geïnformeerd zijn gegeven. Bezoekers moeten precies weten waarvoor hun gegevens worden gebruikt.
De toestemming moet ook altijd herroepbaar zijn. Bezoekers moeten hun toestemming kunnen intrekken zonder dat ze daardoor het evenement niet meer mogen bezoeken.
Hoe moeten organisatoren van evenementen omgaan met de data verzameld door gezichtsherkenningssystemen?
Organisatoren moeten biometrische gegevens veilig opslaan. Ze nemen technische en organisatorische maatregelen om misbruik te voorkomen.
Ze houden de bewaartermijn zo kort mogelijk. Zodra het doel is bereikt, verwijderen ze de gegevens.
Alleen geautoriseerd personeel mag bij de gegevens kunnen. Het is belangrijk om duidelijke procedures te hebben over wie wanneer toegang krijgt tot welke informatie.
Welke stappen kunnen genomen worden om aan de juridische vereisten te voldoen voor gezichtsherkenning op evenementen?
Organisatoren doen er verstandig aan om eerst een juridische analyse te maken. Alleen zo weten ze of gezichtsherkenning überhaupt mag in hun situatie.
Een privacy impact assessment uitvoeren is verplicht. Daarmee brengen ze risico’s en noodzakelijke maatregelen in kaart.
Bezoekers moeten vooraf heldere informatie krijgen over het gebruik van gezichtsherkenning. Transparantie is hier echt niet optioneel.
Hoe kunnen bezoekers van evenementen hun rechten uitoefenen in relatie tot gezichtsherkenning?
Bezoekers hebben het recht om te weten of hun biometrische gegevens worden verwerkt. Organisatoren horen deze informatie duidelijk te communiceren, maar dat gebeurt in de praktijk niet altijd even transparant.
Het recht op inzage houdt in dat bezoekers mogen vragen welke gegevens er precies over hen zijn opgeslagen. Ze kunnen daarnaast verzoeken om onjuiste gegevens te laten corrigeren of verwijderen.
Heb je een klacht? Dan kun je contact opnemen met de organisator. Je mag ook altijd een klacht indienen bij de Autoriteit Persoonsgegevens, die vervolgens onderzoek kan doen en eventueel maatregelen neemt.
