Biometriese data onder die AVG: wanneer mag jy dit in Nederland gebruik?

Biometriese data, soos vingerafdrukke, gesigsbeelde of stempatrone, is 'n spesiale kategorie persoonlike data onder die AVG wanneer dit verwerk word om 'n persoon uniek te identifiseer. In Nederland is sulke verwerking in beginsel verbode; die hoofuitsondering is waar dit nodig is vir verifikasie- of sekuriteitsdoeleindes, en vir werknemers word daardie toets selde deur 'n tydklok of 'n kantoordeur nagekom.

Die Nederlandse Databeskermingsowerheid (Autoriteit Persoonsgegevens, AP) pas hierdie reëls streng toe en het werkgewers en tegnologiemaatskappye beboet vir die gebruik van biometrie sonder 'n geldige basis. Hieronder verduidelik ons ​​wat as biometriese data tel, watter regsgronde beskikbaar is, wanneer jy 'n impakstudie op databeskerming benodig, watter waarborge verwag word en wat om te doen as iets verkeerd loop.

Wat is biometriese data onder die GDPR?

Biometriese data is persoonlike data wat voortspruit uit spesifieke tegniese verwerking van 'n persoon se fisiese, fisiologiese of gedragskenmerke, wat daardie persoon se unieke identifikasie moontlik maak of bevestig. Die doel en die tegniek bepaal, nie die tipe beeld of opname nie.

Hierdie definisie is in Artikel 4(14) van die Algemene Verordening oor Databeskerming (GDPR) . 'n Foto van 'n werknemer op 'n ID-kaart is persoonlike data, maar nie outomaties biometriese data nie. Die oomblik as dieselfde foto in 'n gesigsjabloon omgeskakel word en deur 'n herkenningstelsel gebruik word om toegang tot 'n gebou te verleen, word dit biometriese data. Daardie verskuiwing verander die wetlike raamwerk heeltemal.

Voorbeelde van biometriese identifiseerders is vingerafdrukke, gesiggeometrie, iris- en retinapatrone, stempatrone en gedragseienskappe soos tikritme of die manier waarop iemand loop. Wat hulle gemeen het, is dat hulle gebruik word om een ​​spesifieke individu te herken.

Waarom behandel die GDPR biometriese data anders?

Ingevolge Artikel 9 van die AVG behoort biometriese data wat verwerk word met die doel om 'n persoon uniek te identifiseer, tot die spesiale kategorieë van persoonlike data. Dieselfde kategorie sluit data oor rasse- of etniese oorsprong, politieke menings, godsdienstige oortuigings, gesondheid en sekslewe in.

Die rede is dat die gevolge van misbruik ernstig en dikwels onomkeerbaar is. 'n Wagwoord kan verander word; 'n vingerafdruk of 'n iris kan nie. As 'n databasis van biometriese sjablone in gevaar gestel word, loop die betrokke persone 'n blywende risiko van identiteitsbedrog.

Hoe streng is die Nederlandse benadering?

Die AP interpreteer hierdie reëls streng. Die uitgangspunt is dat biometriese identifikasie verbode is, en dat die uitsonderings beperk is.

Die Nederlandse AVG-implementeringswet (Uitvoeringswet Algemene verordening gegevenbescherming, UAVG) voeg 'n nasionale uitsondering by. Ingevolge Artikel 29 UAVG mag biometriese data verwerk word vir unieke identifikasie indien dit nodig is vir verifikasie- of sekuriteitsdoeleindes. "Noodsaaklik" is die sleutelwoord. Dit beteken dat die doel nie redelikerwys bereik kan word met minder indringende middele, soos 'n kenteken, 'n kode of 'n sleutel nie. Die AP het in sy riglyne duidelik gemaak dat gesigsherkenning in publiek toeganklike plekke, soos winkels, in beginsel nie toegelaat word nie.

Watter regsbasis benodig jy?

Jy benodig twee: 'n wettige basis kragtens Artikel 6 AVG vir die verwerking as sodanig, en 'n uitsondering kragtens Artikel 9(2) AVG of Artikel 29 UAVG om die verbod op spesiale kategorieë op te hef. Sonder beide is die verwerking onwettig.

Artikel 6 van die AVG lys ses wettige basisse: toestemming, uitvoering van 'n kontrak, 'n wettige verpligting, lewensbelangrike belange, 'n taak in die openbare belang en wettige belange. Dit is die eerste struikelblok, en dit is van toepassing op alle persoonlike data.

Omdat biometriese data 'n spesiale kategorie is, moet jy dan aan een van die voorwaardes van Artikel 9(2) AVG, of die Nederlandse uitsondering in Artikel 29 UAVG, voldoen. Dit is die enigste roetes waardeur die verbod opgehef kan word. Voordat jy begin, bepaal ook wie die beheerder is en wie as verwerker optree, byvoorbeeld die verskaffer van die skanderingstelsel. Ons artikel oor die rolle van die beheerder en verwerker onder die AVG verduidelik die verskil en die verwerkingsooreenkoms wat jy benodig.

Wanneer is uitdruklike toestemming geldig?

Eksplisiete toestemming is 'n hoër standaard as gewone toestemming. Dit moet gegee word deur 'n duidelike, bevestigende verklaring en moet spesifiek, ingelig, ondubbelsinnig en vrylik gegee wees.

• spesifieke: ’n Algemene verwysing na “sekuriteitsdoeleindes” is nie genoeg nie; jy moet presies aandui waarom jy die biometriese data benodig.
• ingelig: mense moet weet watter data jy insamel, wat jy daarmee doen, wie toegang het en hoe lank jy dit bewaar.
• Vrylik gegee: die persoon moet sonder negatiewe gevolge kan weier, en moet toestemming te eniger tyd kan terugtrek.

In 'n diensverhouding is die laaste voorwaarde die probleem. 'n Werknemer wat weier, mag gevolge vrees, en die AP is dus van mening dat werknemertoestemming selde vrylik gegee word. 'n Werkgewer wat op toestemming staatmaak, moet kan aantoon dat 'n werklike alternatief bestaan ​​het en in die praktyk aangebied is, nie net op papier nie.

Watter ander uitsonderings is daar?

Die ander uitsonderings is nou. Die tabel hieronder vergelyk die mees relevante.

Kan jy vingerafdrukke of gesigskanderings vir werknemers gebruik?

Slegs as biometrie werklik nodig is vir verifikasie of sekuriteit, en 'n minder indringende middel nie sal deug nie. Vir tydregistrasie, 'n kasregister of 'n gewone kantoordeur, is dit gewoonlik nie die geval nie.

Die toets kragtens Artikel 29 van die UAVG is of die doel redelikerwys deur minder indringende middele bereik kan word. 'n Skandeerder wat toegang tot 'n kasregister, 'n tydregistrasiestelsel of 'n kantoordeur beheer, druip gewoonlik daardie toets, want 'n kenteken, 'n kode of 'n sleutel behaal dieselfde resultaat sonder biometriese data. Waar biometriese toegang aanvaar word, is die sekuriteitsbelang wesenlik en spesifiek: 'n fasiliteit wat gevaarlike materiale hanteer, 'n veilige laboratorium, 'n datasentrum of 'n kluis.

Afsonderlik, waar 'n werksraad (ondernemingsraad) bestaan, vereis 'n stelsel wat werknemers se teenwoordigheid, gedrag of prestasie registreer of monitor, of wat hul persoonlike data verwerk, die toestemming daarvan kragtens Artikel 27(1)(k) en (l) van die Wet op Werksrade (Wet op die ondernemingsraden, WOR). Voldoening aan die AVG verwyder nie daardie vereiste nie, en 'n stelsel wat sonder toestemming ingestel is, kan betwis word.

Kan jy biometrie vir kliënte gebruik?

Soms, maar dieselfde streng reëls geld. Met kliënte kan uitdruklike toestemming 'n geldige grond wees, mits die gebruik van biometrie werklik opsioneel is en 'n ekwivalente alternatief beskikbaar is.

Algemene voorbeelde is die ontsluiting van 'n bankapp met 'n vingerafdruk, identiteitsverifikasie met 'n selfie wanneer 'n rekening aanlyn oopgemaak word, en toegang tot 'n gimnasium of geleentheid met gesigsherkenning. Waar die biometriese kontrole geheel en al op die kliënt se eie foon plaasvind, met behulp van die foon se ingeboude tegnologie, ontvang die maatskappy gewoonlik nie die biometriese data self nie. Dit verminder die risiko en die verpligtinge vir die maatskappy aansienlik.

Waar die maatskappy wel self die data verwerk, byvoorbeeld deur 'n selfie met 'n paspoortfoto op sy eie bedieners te vergelyk, benodig dit 'n geldige grond. Toestemming vereis dat die kliënt 'n ander roete kan kies, soos verifikasie deur 'n bankoorplasing of 'n besoek aan 'n tak, sonder 'n nadeel. Vir banke en ander finansiële instellings speel kliënte-ondersoekverpligtinge kragtens wetgewing teen geldwassery 'n rol, maar dit vereis op sigself nie biometriese verwerking nie.

Wat van kameras met gesigsherkenning?

Gesigsherkenningskameras in winkels, stadions of ander publiek toeganklike plekke word in beginsel nie vir privaat partytjies toegelaat nie. Mense wat verbyloop, kan nie uitdruklike toestemming gee nie, en daar is selde 'n noodsaaklikheid wat aan die Artikel 29 UAVG-toets voldoen.

Die AP het kleinhandelaars gewaarsku dat die gebruik van gesigsherkenning om winkeldiewe te identifiseer of klante te herken, nie toegelaat word nie. Gewone kamerabewaking, sonder biometriese identifikasie, is onderhewig aan ander, minder streng reëls, maar vereis steeds 'n wettige belang, duidelike kennisgewings en beperkte bewaringstydperke. Die byvoeging van gesigsherkenningsagteware tot 'n bestaande kamerastelsel verander die assessering heeltemal.

Wanneer benodig jy 'n impakstudie op databeskerming?

Byna altyd. Die verwerking van biometriese data om mense te identifiseer, is hoërisiko-verwerking, en die AP het dit op sy lys van verwerkingsbedrywighede geplaas wat 'n impakstudie op databeskerming (DPIA) vereis kragtens Artikel 35 van die AVG.

'n DPIA is 'n gestruktureerde privaatheidsrisikobepaling. Dit dwing jou om te beskryf wat jy beplan om te doen, die risiko's vir die betrokke mense te identifiseer en te besluit hoe om daardie risiko's te bestuur voordat jy 'n enkele vingerafdruk of gesig skandeer. Indien die oorblywende risiko hoog is en nie voldoende verminder kan word nie, moet jy die AP raadpleeg voordat jy begin (Artikel 36 AVG).

Die DPIA bou voort op die regsbasis: jy vestig eers 'n basis kragtens Artikel 6 en 'n uitsondering kragtens Artikel 9 of Artikel 29 UAVG, en bepaal dan of die spesifieke stelsel nodig en proporsioneel is.

Wat bevat 'n DPIA?

Neem 'n vingerafdrukskandeerder vir toegang tot 'n bedienerkamer as voorbeeld. 'n DPIA dek vier elemente.

• 'n Beskrywing van die verwerking. Watter data versamel jy: 'n sjabloon of 'n volledige beeld? Hoe word dit versamel, waar word dit gestoor, hoe word dit gebruik en wanneer word dit verwyder? Wie het toegang? Is 'n verskaffer betrokke?
• Noodsaaklikheid en proporsionaliteit. Watter spesifieke probleem los jy op, soos ongemagtigde toegang tot die bedienerkamer? Waarom is kentekens of kodes nie voldoende in hierdie geval nie? Is die data wat jy insamel die minimum wat nodig is?
• Die risiko's vir die betrokke mense. Wat as die databasis van sjablone gesteel word? Kan die data later vir ander doeleindes gebruik word, soos om werksure te monitor (funksie-kruip)? Wat gebeur met werknemers wie se vingerafdrukke nie gelees kan word nie? Wat as die stelsel 'n gemagtigde persoon tydens 'n noodgeval uitsluit?
• Maatreëls om die risiko's aan te spreek. Tegniese maatreëls soos enkripsie en berging op 'n kaart of die toestel; organisatoriese maatreëls soos 'n beleid, opleiding en 'n reaksieplan op oortredings; en 'n nie-biometriese alternatief sodat niemand uitgesluit word nie.

Hersien die DPIA wanneer die omvang, aard of konteks van die verwerking verander (Artikel 35(11) AVG). 'n Analise wat slegs na 'n klagte geskryf word, dra min gewig by die AP.

Watter voorsorgmaatreëls word verwag?

Versamel so min as moontlik, hou dit nie langer as nodig nie en beskerm dit met sterk tegniese en organisatoriese maatreëls. Hierdie beginsels volg uit Artikels 5 en 32 van die AVG.

Begin met data-minimalisering: versamel slegs die biometriese data wat nodig is vir die spesifieke, wettige doel. Vir toegangsbeheer is 'n sjabloon gewoonlik voldoende; 'n hoë-resolusie gesigskandering is nie nodig nie. Kombineer dit met bergingsbeperking: stel 'n bewaringstydperk en verwyder die data veilig sodra dit nie meer nodig is nie, byvoorbeeld wanneer 'n werknemer vertrek of nie meer toegang benodig nie.

Tegniese en organisatoriese maatreëls

Sekuriteit moet ooreenstem met die hoë risiko. Belangrike tegniese maatreëls sluit in:

• Enkripsie van biometriese data, beide in rus en onderweg.
• Streng toegangskontroles, sodat slegs gemagtigde personeel met 'n duidelike behoefte toegang tot die data kan verkry.
• Gedesentraliseerde bergingWaar moontlik, stoor sjablone op die toestel of op die gebruiker se eie kaart eerder as in 'n sentrale databasis. Dit maak 'n massa-oortreding baie minder waarskynlik.

Tegnologie alleen is nie genoeg nie. Organisatoriese maatreëls, soos 'n geskrewe beleid oor biometriese data, personeelopleiding, periodieke sekuriteitsoudits en duidelike ooreenkomste met verskaffers, is ewe belangrik. Indien 'n verskaffer die data namens u verwerk, benodig u 'n verwerkingsooreenkoms kragtens Artikel 28 AVG.

'n Duidelike privaatheidskennisgewing

Mense het die reg om te weet wat jy met hul biometriese data doen (Artikels 13 en 14 AVG). Die inligting moet bondig, maklik vindbaar en in gewone taal geskryf wees.

'n Privaatheidskennisgewing oor biometriese verwerking moet verduidelik wie jy is en hoe om jou te kontak, waarom jy die data verwerk, die regsgrondslag kragtens Artikel 6 en die uitsondering waarop staatgemaak word, watter data jy insamel (byvoorbeeld 'n vingerafdruksjabloon), hoe lank jy dit bewaar, met wie jy dit deel, insluitend verskaffers, en watter regte mense het, soos toegang, regstelling, uitwissing en beswaar.

Is die KI-wet ook van toepassing?

Ja, vir sekere biometriese stelsels. Die EU-wet op kunsmatige intelligensie (Verordening (EU) 2024/1689) voeg reëls by bo-op die AVG.

Sedert 2 Februarie 2025 verbied die KI-wet 'n aantal praktyke heeltemal, insluitend die ongeteikende skraap van gesigbeelde van die internet of kamerabeeldmateriaal om gesigsherkenningsdatabasisse te bou, emosieherkenning in die werkplek en in die onderwys (behalwe vir mediese of veiligheidsredes) en biometriese kategorisering om sensitiewe eienskappe soos ras of seksuele oriëntasie af te lei. Ander biometriese stelsels, soos afstandbiometriese identifikasie, word as hoërisiko geklassifiseer en is onderhewig aan streng vereistes. Gaan beide raamwerke na voordat u 'n stelsel bekendstel.

Wat is die gevolge van nie-nakoming?

Hoë boetes, bevele om verwerking te staak en eise vir skadevergoeding. Vir onwettige verwerking van spesiale kategorieë laat die AVG boetes van tot 20 miljoen euro of 4% van die wêreldwye jaarlikse omset toe, wat ook al hoër is.

Hierdie maksimum bedrae volg uit Artikel 83(5) AVG en is onder andere van toepassing op verwerking sonder 'n geldige basis of uitsondering. Oortredings van die verpligtinge rakende sekuriteit en kennisgewing van oortredings (Artikels 32 tot 34 AVG) kan lei tot boetes van tot 10 miljoen euro of 2% van die wêreldwye omset. Boetes moet effektief, proporsioneel en afskrikkend wees. Die AP bepaal die bedrag onder sy eie boetebeleid.

Wat het die AP afgedwing?

Die AP het beide werkgewers en tegnologiemaatskappye beboet vir onwettige biometriese verwerking. Twee beslissings staan ​​uit.

In 2020 het die AP 'n boete van 725 000 euro opgelê aan 'n maatskappy wat werknemers se vingerafdrukke vir bywoning- en tydregistrasie geskandeer het. Die AP het bevind dat geeneen van die uitsonderings van toepassing was nie: die werknemers se toestemming is nie vrylik gegee nie, en gerief in die registrasie van ure is nie 'n sekuriteitsdoel wat biometriese verwerking noodsaaklik maak nie. In September 2024 het die AP die Amerikaanse maatskappy Clearview AI met 30.5 miljoen euro beboet vir die bou van 'n databasis van gesigbeelde, insluitend van Nederlanders, sonder 'n regsgrondslag.

Vier vrae loop deur die AP se afdwinging. Wat is die doel, spesifiek gestel eerder as "sekuriteit" in die algemeen? Kan dit bereik word deur minder indringende middele? Indien op toestemming staatgemaak word, kan mense weier sonder gevolge? En is dit beoordeel en gedokumenteer voordat die stelsel ingestel is? Ons artikel oor die Nederlandse Databeskermingsowerheid verduidelik die AP se bevoegdhede in meer besonderhede.

Ander gevolge

’n Boete is nie die enigste risiko nie. Die Openbare Handhawingsbeampte (AP) kan jou gelas om die verwerking te staak, wat ’n stelsel waarvan jou bedrywighede afhanklik is, kan stopsit, en dit kan jou gelas om onwettig versamelde data te verwyder. Mense wie se data onwettig verwerk is, kan vergoeding eis vir materiële en nie-materiële skade kragtens Artikel 82 AVG, en in Nederland kan sulke eise ook gesamentlik ingestel word. Die reputasieskade van ’n openbare handhawingsbesluit kan aansienlik wees.

Wat doen jy as biometriese data uitgelek word?

Beperk die oortreding, assesseer die risiko, stel die AP binne 72 uur in kennis en, indien die risiko hoog is, stel die betrokke persone sonder onnodige vertraging in kennis. Berei dit voor in 'n reaksieplan voordat enigiets verkeerd loop.

Ingevolge Artikel 33 van die AVG moet u 'n persoonlike data-oortreding sonder onnodige vertraging en, waar moontlik, binne 72 uur nadat u daarvan bewus geword het, aan die AP rapporteer, tensy die oortreding waarskynlik nie 'n risiko vir die betrokke persone sal inhou nie. Die kennisgewing beskryf die aard van die oortreding, die kategorieë en benaderde aantal persone en rekords wat geraak word, die waarskynlike gevolge en die maatreëls wat geneem of voorgestel is. Indien u nie alle inligting gelyktydig kan verskaf nie, kan u dit later aanvul.

Stap 1: Beperk die oortreding en bepaal die impak

Jou eerste prioriteit is om die oortreding te stop. Isoleer die betrokke stelsels, bewaar logboeke en ander bewyse vir die ondersoek, en stel presies vas watter data geraak is: rou beelde of geïnkripteerde sjablone, en van wie.

Stap 2: besluit of die betrokke persone in kennis gestel moet word

Ingevolge Artikel 34 van die AVG moet u die betrokke persone sonder onnodige vertraging in kennis stel indien die oortreding waarskynlik 'n hoë risiko vir hul regte en vryhede inhou. Met biometriese data sal daardie drempel dikwels bereik word, want die data kan nie verander word nie. Die uitsondering is byvoorbeeld data wat sterk geïnkripteer was en waarvan die sleutel nie gekompromitteer is nie. Die boodskap moet in eenvoudige taal wees: wat het gebeur, watter data betrokke was en wat mense kan doen om hulself te beskerm.

Stap 3: voer die reaksie uit en dokumenteer dit

Teken elke stap aan: die oomblik van ontdekking, die besluite wat geneem is, die kommunikasie en die tegniese maatreëls. Ingevolge Artikel 33(5) AVG moet u elke oortreding dokumenteer, insluitend dié wat u nie hoef aan te meld nie. Goeie dokumentasie toon aan die AP dat u versigtig opgetree het en kan beïnvloed hoe dit die saak beoordeel.

Wat moet jy as werkgewer of maatskappy nagaan?

Kontroleer eers die noodsaaklikheid en dokumenteer elke stap voordat die stelsel in werking tree. Hierdie vyf kontroles dek die punte waarna die AP kyk.

• Skryf die spesifieke sekuriteitsdoel neer en waarom 'n kenteken, PIN-kode of sleutel nie genoeg is nie (Artikel 29 UAVG).
• Teken u wettige basis kragtens Artikel 6 AVG en die uitsondering kragtens Artikel 9(2) AVG of Artikel 29 UAVG aan.
• Voltooi die DPIA voor die eerste skandering en raadpleeg die AP indien 'n hoë risiko steeds bestaan ​​(Artikels 35 en 36 AVG).
• Vra die ondernemingsraad om toestemming kragtens Artikel 27(1)(k) en (l) WOR voordat u die stelsel instel.
• Teken 'n verwerkingsooreenkoms met die verskaffer (Artikel 28 AVG) en stel 'n bewaringstydperk vir sjablone vas.

Wat moet jy as werknemer of kliënt nagaan?

Jy het die reg om te weet hoe jou biometriese data gebruik word en om beswaar te maak teen onwettige verwerking. Gaan hierdie punte na as jy gevra word om 'n vingerafdruk of jou gesig te skandeer.

• Is daar 'n nie-biometriese alternatief, soos 'n kenteken of PIN-kode, en kan jy dit sonder nadeel gebruik?
• Vermeld die privaatheidskennisgewing die doel, die regsgrondslag en die bewaringstydperk (Artikels 13 en 14 AVG)?
• Het die ondernemingsraad toestemming gegee vir die stelsel, waar u werkgewer een het (Artikel 27 WOR)?
• Vra vir toegang tot of uitwissing van u data; die organisasie moet binne een maand antwoord (Artikels 12, 15 en 17 AVG).
• Indien u regte nie gerespekteer word nie, dien 'n klagte by die AP in (Artikel 77 AVG) of eis skadevergoeding kragtens Artikel 82 AVG.

Wat kan ons vir jou doen met biometriese data?

Ons IT-prokureurs help werkgewers, tegnologiemaatskappye en individue met biometriese stelsels, van die eerste plan tot verrigtinge voor die AP.

• Ons assesseer of u biometriese stelsel aan die noodsaaklikheidstoets van Artikel 29 UAVG voldoen.
• Ons stel die DPIA en die privaatheidskennisgewing op of hersien dit.
• Ons berei die versoek om toestemming aan die ondernemingsraad kragtens Artikel 27 WOR voor.
• Ons hersien die verwerkingsooreenkoms met u verskaffer kragtens Artikel 28 AVG.
• Ons help jou om 'n datalek binne die 72-uur-sperdatum aan die AP te rapporteer en op AP-afdwinging te reageer.

Opsomming

• Biometriese data wat vir unieke identifikasie gebruik word, is 'n spesiale kategorie onder Artikel 9 AVG; verwerking is verbode tensy 'n uitsondering van toepassing is.
• In Nederland laat Artikel 29 UAVG dit slegs toe waar dit nodig is vir verifikasie of sekuriteit; gerief is nie genoeg nie.
• Werknemertoestemming is selde geldig; bied 'n werklike nie-biometriese alternatief en verkry die ondernemingsraad se toestemming waar nodig.
• Voer vooraf 'n DPIA uit, minimaliseer die data, stoor sjablone plaaslik en enkripteer hulle.
• Rapporteer oortredings binne 72 uur aan die AP; boetes kan 20 miljoen euro of 4% van die wêreldwye omset beloop.

Algemene vrae