De rol van de Autoriteit Persoonsgegevens bij biometrische misstanden

Stel je voor: je loopt een kantoorpand binnen en een camera scant je gezicht, zonder dat je het door hebt. Of je geeft je vingerafdruk om in te klokken, en die data verdwijnt naar een server in het buitenland. Het voelt alsof je geen controle meer hebt.

Dit is waar de Autoriteit Persoonsgegevens (AP) om de hoek komt kijken.

Zij zijn de politie op het gebied van jouw privacy. Ze zorgen dat bedrijven en overheden niet zomaar met jouw biometrische gegevens kunnen knoeien.

Ze grijpen in als er misstanden zijn. Want een vingerafdruk of gezichtsscan is niet zomaar een wachtwoord; het is een stuk van jezelf dat je nooit meer kunt veranderen.

Wat zijn biometrische misstanden eigenlijk?

Biometrische misstanden draaien allemaal om fouten met je lichaamskenmerken. Denk aan je vingerafdruk, iris of gezicht.

Bedrijven verzamelen deze data, maar doen dat niet volgens de regels van de Algemene Verordening Gegevensbescherming (AVG). Een misstand kan zijn dat een bedrijf je gezichtsherkenning gebruikt zonder dat je toestemming hebt gegeven.

Of dat ze je vingerafdrukken opslaan terwijl dat helemaal niet nodig is voor hun dienst. De AP ziet dit als een ernstige inbreuk op je privacy. Ze treden hard op tegen organisaties die hier licht over denken. Want je biometrische data is supergevoelig.

Als het uitlekt, is dat niet te herstellen. Een ander voorbeeld is het onveilig opslaan van deze gegevens.

Stel, een bedrijf als Clearview AI scrapet miljarden gezichten van sociale media zonder dat mensen dit weten. Dat is een biometrische misstand. Of een luchthaven die gezichtsscans gebruikt en deze data deelt met derden.

De AP onderzoekt dit soort praktijken. Ze kijken of het doel van de dataverzameling rechtmatig is.

Is het echt nodig om iemands gezicht te scannen voor een simpele toegangspas?

Vaak is het antwoord nee. De AP eist dan dat het bedrijf stopt met deze praktijken of de data direct verwijdert.

Hoe de Autoriteit Persoonsgegevens te werk gaat

De Autoriteit Persoonsgegevens heeft een duidelijke rol. Ze zijn de toezichthouder die ervoor zorgt dat iedereen zich aan de AVG houdt.

Als jij een klacht indient over een bedrijf dat je vingerafdruk onterecht gebruikt, start de AP een onderzoek. Ze beginnen met het verzamelen van bewijs. Dit doen ze door documenten op te vragen, getuigen te horen en technische systemen te controleren.

Ze kijken naar de juridische basis: heeft het bedrijf een 'gerechtvaardigd belang' of jouw expliciete toestemming?

Zonder die basis is het verboden. De AP kan verschillende maatregelen nemen. Eerst waarschuwen ze het bedrijf.

Als dat niet helpt, volgt een boete. Die boetes kunnen flink oplopen.

Denk aan bedragen van €10.000 tot wel €20 miljoen, of 4% van de wereldwijde jaaromzet.

In Nederland heeft de AP al forse boetes uitgedeeld voor overtredingen met biometrie. Ze kunnen ook een last onder dwangsom opleggen. Dit betekent: als je niet stopt, moet je elke dag een bepaald bedrag betalen. Bijvoorbeeld €50.000 per dag.

Dit zorgt ervoor dat bedrijven direct actie ondernemen. De AP werkt ook samen met Europese toezichthouders voor grote, grensoverschrijdende zaken.

De impact van biometrische datalekken

Waarom is dit zo’n big deal? Omdat biometrische data uniek is.

Je kunt je vingerafdruk niet resetten zoals een wachtwoord. Als een bedrijf je gezichtsscan lekt, kan iedereen daar misbruik van maken. Denk aan identiteitsfraude. Criminelen kunnen jouw gezicht gebruiken om toegang te krijgen tot beveiligde systemen.

Of ze kopen je vingerafdruk op het dark web. De AP benadrukt dat bedrijven extra voorzorgsmaatregelen moeten nemen.

Ze moeten de data versleutelen (encryptie) en alleen opslaan als het echt niet anders kan.

Sommige bedrijven, zoals de NS, gebruiken vingerafdrukken voor toegang tot fietsenstallingen. De AP controleert of dit veilig gebeurt. De gevolgen voor jou als persoon zijn groot. Je loopt het risico dat je identiteit wordt gestolen.

Dit kan leiden tot financiële schade of reputatieschade. De AP probeert de risico's van biometrische identiteitsdiefstal te voorkomen door strenge eisen te stellen aan biometrische systemen.

Ze adviseren bedrijven om 'privacy by design' toe te passen. Dit betekent dat privacy vanaf de start is ingebouwd. Geen onnodige dataverzameling. De AP onderzoekt ook of bedrijven je voldoende informeren.

Staat er duidelijk dat ze je gezicht scannen? Weet je wat er met je data gebeurt?

Als het antwoord nee is, grijpt de AP in. Ze publiceren soms rapporten om andere bedrijven te waarschuwen.

Praktische stappen als je een misstand vermoedt

Denk je dat een bedrijf je biometrische gegevens misbruikt? Wacht niet af. Lees meer over de toekomst van privacywetgeving in een wereld vol biometrische sensoren; de Autoriteit Persoonsgegevens is er voor jou.

Eerst kun je zelf actie ondernemen. Vraag het bedrijf om inzage in je data. Dit kan via een 'informatierecht'.

Ze moeten binnen een maand reageren. Vraag ook waarom ze je vingerafdruk of gezichtsscans gebruiken.

Is het echt nodig? Als ze geen goed antwoord hebben, is dat een rode vlag. Bewaar alle communicatie. Screenshots van apps waar gezichtsherkenning wordt gebruikt, zijn nuttig bewijs. Daarna stap je naar de AP.

Dit kan via hun website of per telefoon. Geef duidelijk aan wat er is gebeurd.

Noem het bedrijf, de datum en wat er precies mis is. De AP beoordeelt je klacht. Als ze genoeg signalen krijgen, starten ze een onderzoek.

Het is anoniem, dus je hoeft niet bang te zijn voor represailles.

Tijdens het onderzoek kan de AP tijdelijke maatregelen nemen, zoals het verbieden van de biometrische scan. Dit helpt jou direct. De AP communiceert openlijk over grote zaken. Houd hun website in de gaten voor updates over zaken zoals die van Clearview AI of andere biometrie-bedrijven.

Handige tips om jezelf te beschermen

Je hoeft niet te wachten tot de AP ingrijpt. Je kunt zelf stappen zetten om je biometrische data te beschermen.

Vraag je altijd af: is deze scan echt nodig? Soms biedt een bedrijf vingerafdrukken aan als 'gemak', maar het is niet verplicht. Is toestemming altijd nodig voor biometrische verwerking? Kies anders voor een alternatief, zoals een pasje of code. Wees voorzichtig met apps die gezichtsherkenning gebruiken. Lees de privacyvoorwaarden.

Staat er iets vaags over 'derden'? Sla de app over.

• Controleer de instellingen: Op je smartphone kun je biometrische login uitzetten voor bepaalde apps. Ga naar je beveiligingsinstellingen en pas dit aan.
• Vraag bedrijven om uitleg: Stuur een e-mail naar het bedrijf en vraag naar hun AVG-beleid. Een professioneel bedrijf geeft een duidelijk antwoord.
• Gebruik alternatieven: Bij de sportschool of op het werk: vraag of je een RFID-kaart kunt gebruiken in plaats van je vingerafdruk.
• Monitor de AP-website: De Autoriteit Persoonsgegevens plaatst waarschuwingen over nieuwe misstanden. Handig om op de hoogte te blijven.
• Sluit je gezicht af: Draag een zonnebril of cap in ruimtes waar camera's actief zijn, als je geen toestemming hebt gegeven.

Gebruik je vingerafdruk op je telefoon? Zorg dat je toestel up-to-date is en een sterke pincode heeft.

De Autoriteit Persoonsgegevens is je bondgenoot in de strijd tegen biometrische misstanden. Ze zorgen dat bedrijven niet te ver gaan. Met een beetje voorzichtigheid van jouw kant en toezicht van de AP, hou je de controle over je eigen lichaamsgegevens.

Blijf alert, en grijp in als het voelt als een inbreuk. Je privacy is het waard.