RIS321324 Beantwoording SV Toepassing gezichtsherkenning en raadplegen Autoriteit Persoonsgegevens

Datum

BEANTWOORDING SCHRIFTELIJKE VRAGEN

1 april 2025 Ons kenmerk Onderwerp

Antwoord van het college op de vragen van het raadslid mevrouw Butt, luidend: ‘Toepassing gezichtsherkenning en raadplegen Autoriteit Persoonsgegevens’

DPZ/10867640 RIS321324

Het raadslid mevrouw Butt heeft op 29 januari 2025 een brief met daarin 10 vragen aan de voorzitter van de gemeenteraad gericht. Overeenkomstig artikel 30 van het reglement van orde voor vergaderingen en andere werkzaamheden van de raad, beantwoordt het college deze vragen als volgt. Het toepassen van gezichtsherkenning is vrijwel altijd verboden. Bij het gebruik van biometrische gegevens (zoals bij gezichtsherkenning) voor identificatie of voor het bevestigen van de identiteit van iemand geldt een hoog beveiligingsniveau.1 Op 27 januari 2025 publiceerde Binnenlands Bestuur het artikel ‘AP bezorgd over gezichtsherkenning aan balie’. Hierin staat onder andere het volgende: “Steeds meer gemeenten gaan met gezichtsherkenning aan de slag om identiteitsfraude tegen te gaan, maar ze verzaken om vooraf advies te vragen bij de Autoriteit Persoonsgegevens. De privacywaakhond gaat daarom met koepelorganisatie VNG in gesprek.”. Op 28 januari 2025 staat op de website van NU.nl onder andere het volgende hierover in het artikel ‘Gemeenten passen zonder verplichte melding bij AP gezichtsherkenning toe’: “Meerdere gemeenten passen gezichtsherkenning toe bij het aanvragen van een paspoort of ID-kaart, zonder hiervoor contact te hebben opgenomen met de Autoriteit Persoonsgegevens. Dit noemt de AP een 'zware overtreding'.” 1.

Past het college gezichtsherkenning toe (bijvoorbeeld voor het aanvragen van een paspoort of identiteitskaart)? Zo ja, in welke gevallen wordt dit toegepast en sinds wanneer? Waarom heeft het college ervoor gekozen om in die gevallen gezichtsherkenning toe te passen? Zo nee, zijn er plannen om gezichtsherkenning toe te passen?

Voor het aanvragen van paspoorten of identiteitskaarten wordt geen gezichtsherkenning toegepast. Het college past sinds 2021 uitsluitend gezichtsherkenning toe bij de inschrijving in de Registratie Niet-Ingezetenen (RNI) als hulpmiddel bij de identiteitscontrole. Alle 19 RNI-gemeenten passen gezichtsherkenning toe. Hiermee volgt de gemeente de Werkinstructies Registratie Niet-ingezetenen van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK)/de Rijksdienst voor Identiteitsgegevens (RvIG). Deze inzet verhoogt de kwaliteit van de BRP en vermindert kans op fraude. De scanner kan nauwkeurig waarnemen of een gezicht overeenkomt met het voorliggende document en geeft op basis van de uitkomst een signaal aan de medewerker. De uiteindelijke beslissing ligt altijd bij de RNI-medewerker zelf.

1 https://www.autoriteitpersoonsgegevens.nl/themas/identificatie/biometrie/gezichtsherkenning#beveiliging-van-biometrische-gegevens

Gemeente Den Haag Ons kenmerk

DPZ/10867640

Vanuit de beginselen van wettelijke kaders zoals de AVG en de AI act is het college terughoudend bij het gebruik van geautomatiseerde gezichtsherkenning. Wanneer het college zou overwegen om geautomatiseerde gezichtsherkenning in te zetten, dan zal dat na zorgvuldige afweging onderbouwd met een data protection impact assessment (DPIA) gebeuren. 2.

Ziet het college het als een plicht om contact op te nemen met de Autoriteit Persoonsgegevens (AP) bij het gebruik van gezichtsherkenning? Zo ja, graag een toelichting. Zo nee, waarom niet?

Wanneer het gebruik van gezichtsherkenning of vergelijkbare technologieën een wettelijke verplichting tot melding bij de Autoriteit Persoonsgegevens met zich meebrengt, zal het college dat doen. Op dit moment is die verplichting niet van toepassing op de beperkte inzet bij RNIinschrijvingen. Zie verder antwoord 1. 3.

Heeft het college contact gehad met de Autoriteit Persoonsgegevens over de (voorgenomen) toepassing van gezichtsherkenning (bijvoorbeeld voor het aanvragen van een paspoort of identiteitskaart)? Zo ja, op welke momenten en wat voor contact was dit?

Het college maakt geen gebruik van geautomatiseerde gezichtsherkenning met uitzondering van de toepassing bij de RNI inschrijving. Het college heeft geen contact gehad met de AP over de toepassing van gezichtsherkenning bij de RNI-inschrijving. Zie antwoord 1 voor verdere onderbouwing. 4.

Heeft het college concreet advies gevraagd aan de Autoriteit Persoonsgegevens over het gebruik van gezichtsherkenning? Zo ja, wat is hieruit gekomen en kan het advies gedeeld worden met de raad? Zo nee, waarom heeft het college dit niet gedaan?

Het college heeft geen concreet advies gevraagd aan de AP over het gebruik van gezichtsherkenning. Zie antwoord 1 voor verdere onderbouwing. 5.

In het artikel van Binnenlands Bestuur staat dat de Nederlandse Vereniging voor Burgerzaken stelt dat er geen wettelijke grondslag is voor het gebruik van gezichtsscanners. Als het college gezichtsherkenning toepast, op basis van welke grondslag doet het college dit? Graag een toelichting.

Het college maakt voor RNI-inschrijvingen gebruik van gezichtsscanners op basis van de wettelijke verplichting tot deugdelijke identiteitsvaststelling: Wet BRP art. 2.67 4de lid, Besluit BRP art.35. Het college volgt ter ondersteuning van de bestaande wettelijke verplichting tot identiteitsvaststelling de instructies van de RvIG. Op de website van de Autoriteit Persoonsgegevens staat het volgende over een uitzondering op het verbod voor gezichtsherkenning: “De verwerking is noodzakelijk voor authenticatie of beveiliging. Deze uitzondering staat in de Uitvoeringswet AVG (UAVG). Die noodzaak is er echter niet snel. Het moet gaan om een zwaarwegend algemeen belang. Bijvoorbeeld de beveiliging van een kerncentrale of van staatsgeheime informatie.” 6.

Als het college gezichtsherkenning toepast of van plan is dit toe te passen (bijvoorbeeld voor het aanvragen van een paspoort of identiteitskaart): vindt het college dat die verwerking noodzakelijk is voor authenticatie of beveiliging? En is deze verwerking volgens het college proportioneel? Zo ja, graag een toelichting waaruit blijkt welke afwegingen het college hierin heeft gemaakt. Zo nee, waarom niet? 2/3

Gemeente Den Haag Ons kenmerk

DPZ/10867640

Op basis van de wettelijke verplichting tot deugdelijke identiteitsvaststelling is authenticatie noodzakelijk. Zie antwoord 1 voor de verdere onderbouwing. 7.

Als het college gezichtsherkenning toepast of van plan is dit toe te passen: is hiervoor contact geweest met de privacy-officer en functionaris gegevensbescherming? Zo ja, wat kwam daaruit? Zo nee, waarom niet?

Zowel de privacy-officer als de functionaris gegevensbescherming zijn betrokken en adviseren vanuit wettelijke kaders zoals de AVG en de AI act over zorgvuldigheid en terughoudendheid bij toepassing van gezichtsherkenning. 8.

Als het college gezichtsherkenning toepast of van plan is dit toe te passen: is er een DPIA voor deze verwerking(en)? Zo ja, kan deze gedeeld worden met de raad? En was deze DPIA voorafgaand aan de verwerking opgesteld? Zo nee, waarom niet?

Uit de AVG vloeit voort wanneer een DPIA noodzakelijk is en in dat geval worden DPIA’s ook uitgevoerd. Omdat voor zover bekend bij het ministerie van Binnenlandse Zaken en Koninkrijksrelaties geen DPIA is uitgevoerd, heeft gemeente Den Haag begin 2025 zelf een DPIA uitgevoerd om de huidige verwerking te evalueren en bij te sturen indien nodig. Het resultaat van deze DPIA is op dit moment nog niet bekend. 9.

Als het college gezichtsherkenning toepast of van plan is dit toe te passen: hoe worden deze biometrische gegevens beveiligd? Voldoet het college aan het hoge beveiligingsniveau dat hiervoor is vereist?

De beveiliging van de gemeentelijke systemen is in de basis hoog en wordt doorlopend getoetst. Voor wat betreft de gegevens die gebruikt worden in de genoemde toepassing voor RNI geldt dat de live opname van de persoon niet wordt opgeslagen en alleen gedurende het proces van identiteitsvaststelling in het systeem zichtbaar is voor de medewerkers van het RNI-loket . 10. De gemeente Den Haag heeft een verwerkingsregister volgens de website van de gemeente Den Haag: “De gemeente heeft een verwerkingsregister. Hierin staat per proces welke persoonsgegevens de gemeente van u verwerkt. Bekijk het openbaar verwerkingsregister van de gemeente.”. Op de een of andere manier is het verwerkingsregister (nu) niet in te zien. Is dit bekend bij het college? Is het college het met GroenLinks eens dat het belangrijk is dat het verwerkingsregister toegankelijk, bijgewerkt en makkelijk vindbaar is? Graag een reactie van het college. Ja dit is bekend (zie ook de beantwoording van schriftelijke vragen RIS318363). In augustus 2023 is het register tijdelijk offline gehaald omdat was gebleken dat het register moest worden herzien en opgeschoond, zodat de informatievoorziening aan de burgers juist kan zijn. Op dit moment is het register alleen intern beschikbaar en wordt een kopie op verzoek gedeeld.

We streven ernaar om het vernieuwde register binnen enkele weken opnieuw te publiceren op het Open Data Platform. Het verwerkingsregister wordt overigens op vrijwillige basis online geplaatst. Het is wettelijk gezien niet verplicht. We doen dit uit eigen beweging en om transparantie over de privacy te waarborgen. Het college van burgemeester en wethouders, de secretaris, de locoburgemeester, Ilma Merx

Robert van Asten 3/3