Gezichtsherkenning in camerabeveiliging, dus het identificeren van personen aan hun gezicht, is in Nederland voor gewone bedrijven vrijwel altijd verboden. Biometrische gegevens die dienen om iemand uniek te identificeren gelden onder de AVG als bijzondere persoonsgegevens, en daar geldt een verwerkingsverbod met maar een paar smalle uitzonderingen. Persoonsdetectie, waarbij de camera ziet dát er iemand loopt zonder te bepalen wie, valt daar niet onder en mag wel.
Dat onderscheid is waar het in de praktijk om draait, en het wordt vaak door elkaar gehaald.
Detectie is niet hetzelfde als herkenning
Moderne camera’s kunnen een hoop, en niet alles daarvan is gezichtsherkenning.
Persoonsdetectie betekent dat de camera onderscheid maakt tussen een mens, een auto en een tak die beweegt. Het systeem weet niet wie het is en slaat geen gezichtskenmerken op. Dit is precies wat u wilt om loze meldingen tegen te gaan, en het levert geen AVG-probleem op. Het zit tegenwoordig op vrijwel elke camera die wij plaatsen; hoe wij het instellen staat op onze pagina over camerabeveiliging.
Gezichtsherkenning gaat een stap verder. Daarbij wordt uit het gezicht een unieke wiskundige weergave gemaakt en vergeleken met een opgeslagen database om vast te stellen wie er staat. Op dat moment verwerkt u biometrische gegevens ter unieke identificatie, en dat is de categorie waarop het verbod rust.
De uitzonderingen zijn smal
De Nederlandse uitvoeringswet kent een uitzondering voor authenticatie en beveiliging, maar die is bedoeld voor situaties met een aanmerkelijk algemeen belang en een noodzaak die u hard kunt maken. Denk aan een kerncentrale of een laboratorium met gevaarlijke stoffen.
Een supermarkt, kantoor of bedrijfshal valt daar niet onder. De Autoriteit Persoonsgegevens heeft daar in het verleden ook op gehandhaafd bij een winkel die gezichtsherkenning inzette tegen winkeldieven. De redenering was steeds dezelfde: het doel is legitiem, maar er zijn minder ingrijpende middelen die hetzelfde bereiken.
Toestemming van betrokkenen als grondslag werkt in de praktijk zelden. Toestemming moet vrij te geven zijn, en iemand die de winkel in wil of naar zijn werk moet, heeft die vrijheid niet echt.
Wilt u het toch overwegen: laat het vooraf juridisch toetsen en reken op een gegevensbeschermingseffectbeoordeling. Begin er niet aan omdat de leverancier zegt dat het kan.
Wat wel werkt
In vrijwel alle gevallen waarin men om gezichtsherkenning vraagt, is de onderliggende wens iets anders: minder loze meldingen, of toegang zonder pasjesgedoe. Daar zijn wel oplossingen voor.
Voor betere detectie zonder identificatie werkt persoons- en objectdetectie in de camera prima. U filtert daarmee dieren, regen en bewegende schaduwen eruit en houdt de meldingen over die ertoe doen. Voor de alarmcentrale betekent dat bruikbare verificatie.
Wat er nu bij u draait, ziet u aan de meldingen van vannacht. Staat bij een melding het label persoon of voertuig, dan werkt de slimme detectie. Heet elke melding alleen beweging, of kwamen er meldingen binnen toen er niemand was, dan draait er gewone bewegingsdetectie zonder filter.
Voor toegang is toegangscontrole met pas, tag of code de gebruikelijke route, eventueel met een pincode erbij voor gevoelige ruimten. Wilt u helemaal geen pasjes uitgeven, dan is een app op de telefoon van de medewerker een optie.
Voor voertuigen is kentekenherkenning het equivalent van gezichtsherkenning, maar dan met een gegeven dat geen biometrie is. Ook daar gelden AVG-regels, maar het verwerkingsverbod van artikel 9 speelt er niet.
En voor bezoekers werkt een video-intercom beter dan u zou denken. Iemand kijkt en beoordeelt, wat in de meeste situaties precies is wat u nodig heeft.
Kan het, en mag het
Kan het technisch? Ja, en het werkt goed. Mag het? Voor de meeste organisaties niet. Is dat een probleem? Meestal niet, want het achterliggende doel is met andere middelen te halen die minder gedoe geven en minder risico opleveren.
Wij zoeken daarom eerst uit wat u wilt bereiken: minder meldingen ’s nachts, of medewerkers naar binnen zonder pasjes. Na een opname krijgt u zwart op wit welke detectie en welke toegangscontrole dat doel halen binnen de AVG. Gezichtsherkenning zit daar voor vrijwel elk bedrijf niet bij, en dat schrijven wij er ook bij.