Privacy-certificeringen voor biometrische producten: Waar op te letten?

Stel je voor: je staat voor een deur die alleen opengaat als je vingerafdruk of gezichtsscanner je herkent. Handig, snel, veilig? Misschien.

Maar wat gebeurt er eigenlijk met die biometrische data? Wie mag die opslaan? En hoe zit het met de wet? In Nederland is de privacywetgeving streng, en biometrie valt onder de bijzondere persoonsgegevens.

Dat betekent dat je niet zomaar een vingerafdrukscanner mag gebruiken. Je moet voldoen aan de AVG en de UAVG.

In deze gids leg ik je uit waar je op moet letten bij privacy-certificeringen voor biometrische producten.

We duiken in de regels, de uitzonderingen en hoe je veilig blijft.

Uitzonderingen op verbod biometrie

Biometrie is principieel verboden onder de AVG, tenzij je een uitzondering hebt.

De Autoriteit Persoonsgegevens (AP) benadrukt dat dit verbod streng is. Je mag biometrische gegevens alleen verwerken als je kunt vallen onder een wettelijke uitzondering. Denk aan uitdrukkelijke toestemming of noodzaak voor beveiliging.

Zonder deze uitzondering loop je het risico op boetes of juridische problemen. Het is dus essentieel om te weten welke uitzondering van toepassing is op jouw situatie.

Een veelvoorkomende uitzondering is toestemming. Maar let op: toestemming moet vrijwillig, specifiek en geïnformeerd zijn.

Bij werknemers is dit lastig vanwege de gezagsverhouding. Daarom is de AP duidelijk: verwerking bij werknemers mag alleen als het noodzakelijk is voor beveiliging. Bij klanten kun je wel toestemming vragen, maar je moet altijd een alternatief bieden. Denk aan een pincode of pasje. Zo blijft de keuze vrijwillig.

Toegangscontrole op het werk

Op de werkplek is biometrische toegangscontrole een gevoelig onderwerp. De AP verbiedt het bijna altijd, tenzij er sprake is van een zwaarwegend algemeen belang.

Denk aan een kerncentrale of een datacenter waar extra beveiliging nodig is. In die gevallen mag je biometrie gebruiken, maar alleen als het echt noodzakelijk is. Je moet kunnen aantonen dat alternatieve methoden niet voldoen.

Werknemers kunnen niet vrij toestemming geven vanwege de gezagsverhouding. Dat betekent dat je als werkgever niet zomaar kunt vertrouwen op toestemming.

Uitzondering: beveiliging of authenticatie

De AP adviseert om biometrie alleen aan te bieden als het essentieel is voor de beveiliging. Vermijd verplichting, want dat leidt tot onvrijwillige toestemming. In de Manfield-zaak bepaalde de rechter dat verplichte vingerafdruk voor een kassasysteem niet was toegestaan. Een duidelijk signaal dat je moet oppassen.

De UAVG specificeert dat biometrie alleen is toegestaan als het noodzakelijk is voor authenticatie of beveiliging. Dit is een sterke uitzondering, maar je moet wel kunnen bewijzen dat het nodig is.

Denk aan situaties waarin fysieke beveiliging cruciaal is, zoals in gevangenissen of hoogbeveiligde gebouwen. Je moet een DPIA uitvoeren voordat je begint, om de risico's in kaart te brengen. Een DPIA (Data Protection Impact Assessment) is verplicht vóór de start van de verwerking van biometrische gegevens.

Dit onderzoek helpt je om privacyrisico's te identificeren en maatregelen te nemen.

Uitzondering: (uitdrukkelijke) toestemming

Zonder DPIA loop je het risico op overtreding van de wet. De AP controleert hierop, dus het is verstandig om dit goed vast te leggen. Uitdrukkelijke toestemming is een andere uitzondering onder de AVG.

Dit betekent dat je actief en duidelijk toestemming vraagt, zonder druk. Bij klanten kun je dit doen, maar je moet altijd een alternatief bieden.

Bijvoorbeeld een badge of wachtwoord. Zonder keuzevrijheid is de toestemming niet geldig.

Let op: toestemming is geen vrijbrief. Je moet nog steeds voldoen aan de beginselen van de AVG, zoals proportionaliteit en minimale gegevensverwerking. Bovendien moeten biometrische gegevens veilig worden opgeslagen, bijvoorbeeld via versleuteling. De AP benadrukt dat biometrische gegevens onveranderlijk zijn; diefstal leidt tot permanent risico.

Toegangscontrole met toestemming

Als je kiest voor toestemming, zorg dan dat je het goed aanpakt.

Vraag expliciet om toestemming en leg uit wat er met de gegevens gebeurt. Gebruik heldere taal, zonder ingewikkelde juridische termen.

Bied altijd een alternatief, zoals een pasje of code. Zo houd je de keuze vrijwillig. Bij werknemers is toestemming meestal niet geldig vanwege de gezagsverhouding. Daarom is het beter om biometrie alleen te gebruiken als het noodzakelijk is voor beveiliging.

Overleg met je werknemers en betrek ze bij de keuze. Transparantie bouwt vertrouwen op.

DPIA bij toegangscontrole

Een DPIA is een must bij biometrische toegangscontrole. Het helpt je om risico's te beoordelen en maatregelen te nemen.

Voer dit uit vóór je implementatie, niet achteraf. De AP verwacht dit van je, en het beschermt ook je organisatie tegen problemen.

In een DPIA beschrijf je de verwerking, de doelen en de risico's voor de privacy. Je kijkt naar de kans op datalekken en de impact op betrokkenen. Daarna stel je maatregelen vast, zoals versleuteling en toegangscontrole. Regelmatig evalueren is belangrijk, want technologie verandert snel.

Beveiliging van biometrische gegevens

Biometrische gegevens zijn extreem gevoelig omdat ze onveranderlijk zijn. Een gestolen vingerafdruk kan leiden tot permanent risico voor de betrokkene.

Daarom moet je ze zeer goed beveiligen. Gebruik versleuteling, zowel bij opslag als bij overdracht. Stel limieten aan wie toegang heeft tot de gegevens. Kies voor producten die voldoen aan privacy-certificeringen, zoals ISO 27001 of specifieke biometrische normen.

Vraag je leverancier naar bewijzen van compliance. Prijzen voor dergelijke systemen variëren: een basisvingerafdrukscanner kost €200-€500, terwijl een geavanceerd gezichtsherkenningssysteem kan oplopen tot €2000 of meer. Investeer in kwaliteit om risico's te minimaliseren.

Wanneer is iets een biometrisch gegeven?

Een biometrisch gegeven is elke meting die uniek is voor een persoon, zoals een vingerafdruk, irisscan of gezichtskenmerken. Het gaat niet alleen om de scan zelf, maar ook om de digitale representatie die ervan wordt gemaakt.

Denk aan templates die worden gebruikt voor herkenning. Niet alles is biometrisch.

Een pasfoto is dat bijvoorbeeld niet, tenzij je die gebruikt voor automatische herkenning. De AP geeft duidelijkheid: als het gaat om unieke lichaamskenmerken voor identificatie, valt het onder biometrie. Check altijd of jouw systeem hieronder valt.

Privacyrisico’s biometrische gegevens

De risico's zijn groot. Biometrische gegevens kunnen niet worden gewijzigd, dus bij een datalek blijft het gevaar bestaan.

Hackers kunnen ze misbruiken voor identiteitsdiefstal. Bovendien is er een risico op foutieve herkenning, wat leidt tot onterechte toegang of uitsluiting.

Om deze risico's te beperken, moet je kiezen voor systemen met lage foutmarges. Vraag je leverancier naar de nauwkeurigheid: een goed vingerafdruksysteem heeft een foutmarge van minder dan 1%. Bij gezichtsherkenning is dat lastiger; kies voor systemen die werken met meerdere punten, niet alleen een foto.

Bijzondere persoonsgegevens

Biometrische gegevens zijn bijzondere persoonsgegevens onder de AVG. Dit betekent dat ze extra bescherming nodig hebben.

Het verbod op verwerking is streng, dus je moet een uitzondering hebben. De AP houdt hier toezicht op en kan boetes opleggen bij overtreding. Onthoud dat de UAVG specifieke regels geeft voor Nederland.

Hierin staat dat biometrie alleen mag voor authenticatie of beveiliging. Check altijd de laatste updates van de AP, want de regels kunnen veranderen.

Exceptie: persoonlijk of huishoudelijk doel

De AVG is niet van toepassing als je biometrie gebruikt voor persoonlijke doelen, zoals het ontgrendelen van je mobiele telefoon. Dit valt onder huishoudelijk gebruik.

Maar zodra je het in een organisatie of bedrijf inzet, gelden de regels wel.

Denk aan slimme deursloten voor thuis. Die mogen wel, maar voor zakelijke toegangscontrole moet je voldoen aan de AVG. Wees hier scherp op, want veel mensen maken hier fouten.

Afweging gebruik biometrie voor authenticatie of beveiliging

Noodzakelijk & proportioneel

Als je biometrie wilt gebruiken voor beveiliging, moet het noodzakelijk en proportioneel zijn. Vergeet niet om een privacyverklaring op te stellen voor je bedrijf bij gebruik van biometrie. Vraag je af: is er geen alternatief?

Bijvoorbeeld een pasjesysteem of pincode. Als biometrie echt nodig is, zoals in hoogbeveiligde omgevingen, dan mag het. Proportionaliteit betekent dat de impact op de privacy moet passen bij het doel, ook bij privacy-aspecten van biometrische betalingen in de horeca.

Gebruik niet meer gegevens dan nodig. Bijvoorbeeld: een vingerafdrukscanner die alleen het template opslaat, niet de volledige afbeelding.

Afweging gebruik biometrie met uitdrukkelijke toestemming

Bij toestemming moet je de afweging maken of het vrijwillig is. Bied alternatieven en leg uit wat er gebeurt met de gegevens.

Vraag om actieve bevestiging, niet stilzwijgende instemming. Test of je toestemming echt vrijwillig is. Bij werknemers is dit bijna onmogelijk, dus vermijd het daar. Bij klanten kun je het wel doen, maar houd het eenvoudig en transparant.

U moet een DPIA doen

De DPIA is verplicht en moet vooraf worden uitgevoerd. Het helpt je om privacyrisico's in kaart te brengen en maatregelen te nemen.

Zonder DPIA mag je niet beginnen met verwerking. Maak een template voor je DPIA. Begin met een beschrijving van de verwerking, gevolgd door een risico-analyse. Eindig met actiepunten. Regelmatig updaten is belangrijk.

Beveiligen biometrische gegevens

Beveiliging begint bij het kiezen van het juiste product. Kies voor systemen die voldoen aan privacy-certificeringen.

Vraag je leverancier naar hun beveiligingsmaatregelen, zoals encryptie en toegangscontroles. Stel een beleid op voor biometrische gegevens, waarbij je let op privacy by design voor biometrie.

Leg vast wie toegang heeft, hoe lang gegevens worden bewaard en hoe ze worden vernietigd. Onderwijl je medewerkers en klanten over de maatregelen. Zo bouw je vertrouwen op.