Gemeenten hoeven niet altijd een melding te doen bij de Autoriteit Persoonsgegevens (AP) als ze gezichtsherkenning inzetten bij de aanvraag van identiteitsbewijzen. Dat is de uitkomst van een overleg tussen de VNG en de AP. Het is alleen nodig als er ook na het nemen van beschermende maatregelen nog een hoog risico voor betrokkenen blijft bestaan.
Melding gebruik gezichtsherkenning niet altijd nodig
Een privacyonderzoek en daaruit voortvloeiende beschermende maatregelen voor betrokkenen kunnen soms voldoende zijn.
Risico's herkennen
Gemeenten moeten wél altijd een data protection impact assessment (DPIA) doen voordat ze een gezichtsscanner installeren. Dit privacyonderzoek, verplicht onder de algemene verordening gegevensbescherming (AVG), is bedoeld om de risico’s te herkennen en waar nodig passende maatregelen te nemen om deze te verkleinen. ‘De VNG benadrukt daarom het belang van het uitvoeren van een DPIA, om ervoor te zorgen dat gegevensverwerkingen bij gemeenten verantwoord zijn en in lijn met wet- en regelgeving’ schrijft de VNG.
Als er ondanks het nemen van die maatregelen nog hoge risico’s overblijven voor betrokkenen, dán is het tijd om bij de AP aan de bel te trekken. Dat zijn de VNG en de AP nu overeen gekomen. Het Brabants Dagblad meldde eerder dat het niet melden bij de AP volgens de privacywaakhond een ernstig vergrijp zou zijn.
