Biometrie in het onderwijs: Privacyzorgen rondom aanwezigheidscontrole
Stel je voor: je kind loopt de school binnen en een camera scant gezicht. Klaar, aanwezig.
Geen pasje, geen handtekening. Klinkt handig, maar voelt ook meteen eng, hè? Die spanning tussen gemak en privacy speelt nu overal. Scholen experimenteren met biometrie voor aanwezigheidscontrole, maar de vraag is: mag dit zomaar? Hieronder leg ik uit wat er speelt, welke regels er zijn en wat jij kunt doen.
Het dubbele gezicht van gezichtsherkenning
Gezichtsherkenning voelt futuristisch, maar is al dichterbij dan je denkt. Het is snel en lijkt naadloos te passen in een drukke schooldag.
Tegelijk is het extreem ingrijpend: je gezicht is uniek en blijft voor altijd jouw ID. De kern van het issue: biometrische gegevens vallen onder bijzondere persoonsgegevens volgens de AVG.
Dat betekent strengere regels en een hogere lat voor verantwoording. De Zweedse school die gezichtsherkenning inzette voor aanwezigheidscontrole kreeg een boete van €20.000. Dat was een waarschuwing: zonder goede grondslag en DPIA loop je risico. Een ander pijnpunt is afhankelijkheid.
Leerlingen hebben een afhankelijkheidsrelatie met de school. Toestemming van een leerling is daarom onvoldoende grondslag.
De school mag zich niet verschuilen achter een handtekening van een leerling of ouder. Er is ook een verschil tussen identificatie en authenticatie. Identificatie vergelijkt een gezicht met een grote database (one-to-many).
Authenticatie checkt of jij bent wie je zegt te zijn (one-to-one). Scholen zouden vooral authenticatie kunnen overwegen, maar dan nog geldt: alleen bij echte noodzaak en zonder minder inbreukmakend alternatief.
Toepassing biometrie
Scholen willen vaak snelle aanwezigheidscontrole, minder administratie en betere betrouwbaarheid. Biometrie lijkt dan een makkelijke oplossing.
Toch is het zaak om eerst alternatieven te checken: een kaartscanner, een app of een handmatig systeem.
Een rechter oordeelde eerder over vingerafdrukgebruik bij winkelketen Manfield: er was onvoldoende noodzaak. Die lijn geldt ook voor scholen. Zonder dwingende reden mag biometrie niet de standaard worden.
In Gent liep een pilot met handpalmbetaling voor de schoollunch. Handpalmbiometrie is een andere techniek dan gezichtsherkenning, maar de AVG-regels blijven hetzelfde.
De school moet een DPIA uitvoeren, een duidelijke grondslag hebben en transparant zijn naar leerlingen en ouders. Praktisch betekent dit: voer eerst een DPIA uit voordat je biometrie invoert. Gebruik biometrie alleen als alternatieven echt onvoldoende zijn. En vermijd toestemming als grondslag bij afhankelijkheidsrelaties. Klinkt logisch, maar in de praktijk gaat het vaak mis.
Hoe werkt gezichtsherkenning?
Gezichtsherkenning scant je gezicht en zet het om naar een wiskundig profiel. Dat profiel wordt vergeleken met een eerder opgeslagen profiel.
Het systeem kijkt naar afstanden tussen ogen, neus, mond en kaaklijn. Bij authenticatie (one-to-one) checkt het systeem of jouw profiel past bij het eerder opgeslagen profiel.
Dat is sneller en minder privacygevoelig dan identificatie. Bij identificatie (one-to-many) zoekt het systeem jouw profiel in een grote database. Dat is ingrijpender en risicovoller.
De kwaliteit van de camera en de software bepaalt de nauwkeurigheid. Een slechte camera of weinig licht geeft meer fouten. Fouten kunnen leiden tot onterechte afwezigheid of aanwezigheid, wat gevolgen heeft voor lessen, cijfers of straf. De toekomst van privacy in een wereld vol biometrische sensoren vereist dat de opgeslagen gegevens niet zomaar bewaard blijven.
Scholen moeten een bewaartermijn instellen en beveiliging regelen via privacy by design. Een datalek bij biometrie is extra ernstig: je kunt je gezicht niet wisselen zoals een wachtwoord.
Kan ik mijn gegevens bij een organisatie inzien, laten verbeteren of laten verwijderen?
Ja, je hebt rechten onder de AVG. Je mag inzage vragen in je biometrische gegevens, correctie laten doorvoeren en verwijdering aanvragen.
Bij scholen is dat extra relevant, want leerlingen zijn minderjarig en hebben soms ouderlijke toestemming nodig. Toch is verwijdering niet altijd eenvoudig. Als biometrie nodig is voor een wettelijke verplichting of gerechtvaardigd belang, mag de school weigeren te verwijderen.
Dan moet de school dat wel duidelijk uitleggen. Vraag altijd om een specificatie: welke gegevens zijn opgeslagen, hoe lang worden ze bewaard, wie heeft toegang en hoe zijn ze beveiligd.
De school moet deze informatie kunnen geven. Als ze dat niet kunnen, is dat een rode vlag. Tip: vraag schriftelijk om inzage en verwijdering.
Juridisch kader gezichtsherkenning
Gebruik een e-mailadres dat je kunt bewaren. Vraag ook om een bevestiging van ontvangst en een termijn voor antwoord.
Zo houd je het proces helder en controleerbaar. De AVG ziet biometrische gegevens als bijzondere persoonsgegevens; let daarom goed op de privacy-certificeringen voor biometrische producten.
Je mag ze alleen verwerken als er een duidelijke wettelijke grondslag is. Voor scholen betekent dit: een gerechtvaardigd belang of wettelijke verplichting, nooit alleen toestemming van een leerling. Een DPIA is verplicht bij biometrische verwerking. Die analyse moet risico’s in kaart brengen en maatregelen beschrijven.
Brief regels voor gezichtsherkenning in supermarkten
Zonder DPIA starten is een overtreding. De Zweedse boete liet zien hoe serieus dit wordt genomen.
Gezichtsherkenning voor identificatie (one-to-many) is extra gevoelig. Het vergroot het risico op misbruik en fouten. Bij twijfel kies je voor een minder ingrijpende methode.
Supermarkten experimenteren soms met gezichtsherkenning voor diefstalpreventie of klantgedrag. Die context verschilt van scholen, maar de AVG-regels zijn vergelijkbaar.
Onderzoek vingerafdrukken personeel
Elk gebruik moet noodzakelijk zijn en proportioneel. Transparantie is essentieel. Borden bij de ingang en een duidelijk privacybeleid helpen, maar ontslaan de supermarkt niet van verantwoordelijkheid.
Ook hier geldt: geen toestemming als enige grondslag bij afhankelijkheid. De Autoriteit Persoonsgegevens kan handhaven.
Een boete zoals in Zweden kan ook hier voorkomen. Organisaties moeten een DPIA doen en kunnen aantonen dat er geen minder inbreukmakend alternatief is. Werkgevers gebruiken soms vingerafdrukken voor toegang of urenregistratie.
De rechter oordeelde bij Manfield dat er onvoldoende noodzaak was. Die lijn zet door: zonder dwingende reden mag het niet.
Werknemers hebben een afhankelijkheidsrelatie, dus toestemming is geen steekhoudende grondslag. Een gerechtvaardigd belang moet er echt zijn, bijvoorbeeld bij hoogbeveiligde ruimtes waar alternatieven niet werken.
Voer altijd een DPIA uit, betrek werknemers en documenteer keuzes. Kies bij voorkeur voor minder ingrijpende alternatieven, zoals pasjes of codes, tenzij die echt onvoldoende zijn.
Wat kan ik doen als ik een vraag of klacht heb over het gebruik van mijn persoonsgegevens?
Begin met de school of organisatie zelf. Vraag om uitleg over het doel, de grondslag, de DPIA en de beveiliging. Vraag ook naar alternatieven die zijn overwogen.
Een open gesprek lost vaak al veel op. Als je niet tevreden bent, dien een klacht in bij de Autoriteit Persoonsgegevens.
Verzamel bewijs: e-mails, beleidsdocumenten, borden of foto’s. Wees specifiek over welk recht je claimt en wat je wilt zien veranderen.
Je kunt ook juridische hulp zoeken, bijvoorbeeld via een belangenorganisatie. Soms is een kort geding nodig om onrechtmatige verwerking te stoppen. Scholen zijn vaak terughoudend zodra ze een formele klacht ontvangen.
- Vraag schriftelijk inzage en uitleg.
- Vraag om de DPIA en een alternatievenanalyse.
- Verzoek om verwijdering of beperking van verwerking.
- Diend een klacht in bij de Autoriteit Persoonsgegevens bij onvoldoende reactie.
- Zoek steun bij andere ouders of leerlingen om collectieve druk te zetten.
Praktische stappen op een rij: Als ouder of leerling hoef je dit niet alleen te doen.
Deel je zorgen met de medezeggenschapsraad en het schoolbestuur. Vraag om een heldere regeling en een evaluatiemoment na een pilot. Zo houd je grip op wat er met je gezicht en vingerafdrukken gebeurt.