4.19 Bewonersbrief, Ongenoegen mbt verwerking biometrische gegevens middels AI-gezichtsherkenning

INekomen Krimpenerwaard 6

FEB 2026

66 ( iR

"'- _ 6,p

Aan : Gemeenteraad van de gemeente Krimpenerwaard Dorpsplein 8, 2821 AS, Stolwijk

Datum : 4 februari 2026

Betreft: Onrechtmatige verwerking biometrische gegevens middels AI - gezichtsherkenning bij uitgifte rijbewijs

Geacht leden van de Gemeenteraad van de gemeente Krimpenerwaard, Hierbij stuur ik u en afschrift van deze brief die ik zond aan het College van B&W van de

gemeente Krimpenerwaard. Ik vertrouw erop u hiermee voldoende to hebben geYnformeerd en zie uw spoedige reactie

van het College met belangstelling tegemoet.

Hoogachtend,

1

Aan : Het College van Burgemeester en Wethouders van de gemeente Krimpenerwaard t.a.v. de burgemeester Dorpsplein 8. 2821 AS, Stolwijk

Datum : 4 februari 2026

Betreft : Onrechtmatige verwerking biometrische gegevens middels AI - gezichtsherkenning bij uitgifte rijbewijs

Geacht College van B&W gemeente Krimpenerwaard,

1. Aanleiding voor het ophalen van mijn Op 3 februari 2026 heb ik mij gemeld bij het gemeentehuis nieuwe rijbewijs. Alvorens het rijbewijs aan mij werd overhandigd, werd ik verplicht om in een camera to kijken voor een AI - gestuurde gezichtsscan, naar eigen zeggen van de baliemedewerkster om to verifieren of ik de rechtmatige houder ben. Dit terwijl ik beide voorafgaand reeds mijn paspoort had getoond en mijn oude rijbewijs had ingeleverd ( de Wet artikel van identificatieplicht 1 zin de ). op en legitimatiebewijzen in wettelijke

geldige

Deze praktijk is naar mijn stellige overtuiging in strijd met de Algemene Verordening Artificial Intelligence Act Gegevensbescherming ( AVG ) , de Uitvoeringswet AVG en de EU dan ook met klem om deze onrechtmatige praktijk per direct to staken. ( Al Act ) Ik verzoek u .

2. Schending van de AVG en Uitvoeringswet AVG 2.1 Ontbrekende rechtsgrondslag ( artikel 9 AVG )

Biometrische gegevens die worden gebruikt voor unieke identificatie van personen kwalificeren als bijzondere categorieen van persoonsgegevens in de zin van artikel 9 lid 1 AVG. De verwerking hiervan is in beginsel verboden, tenzij een van de uitzonderingen van artikel 9 lid 2 AVG van toepassing is. In dit geval kan de gemeente niet bogen op : a ) Uitdrukkelijke toestemming ( art. 9 lid 2 sub a AVG ) : Door de verplichte aard

gezichtsscan is er geen

van de die zijn Een burger sprake van vrijelijk gegeven toestemming.

1

en kan niet vrij weigeren rijbewijs wil ophalen bevindt zich in een afhankelijkheidspositie zonder zijn rijbewijs to worden onthouden. art. 29 Uitvoeringswet b ) Zwaarwegend algemeen belang voor authenticatie of beveiliging ( biometrische van gegevens noodzakelijk is AVG ) : Deze uitzondering vereist dat het gebruik voor authenticatie of beveiliging van zwaarwegend algemeen belang. Hiervan is geen sprake ( zie hierna onder 2.2 en 2.3 ) .

2.2 Schending noodzakelijkheidsbeginsel ( artikel 5 lid 1 sub c AVG ) Artikel 5 lid 1 sub c AVG schrijft voor dat persoonsgegevens "toereikend, ter zake dienend moeten en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor z worden verwerkt" zijn ( gegevensminimalisatie ) . "Als

De Autoriteit Persoonsgegevens (AP ) stelt in haar richtlijnen over biometrie uitdrukkelijk : er alternatieven de verwerking van biometrische gegevens een aanzienlijke impact heeft en niet noodzakelijk." beschikbaar zijn, is de verwerking van biometrische gegevens In casu waren twee volwaardige alternatieven reeds toegepast voordat

de AI - gezichtsscan

werd uitgevoerd: • Verificatie via paspoort ( geldig identiteitsbewijs) • Verificatie via oud rijbewijs ( ge) dig identiteitsbewijs )

Deze traditionele identificatiemethoden zijn toereikend om de identiteit van de burger vast to stellen. Het aanvullend inzetten van AI -gestuurde biometrische gezichtsherkenning is daarom niet noodzakelijk en schendt het gegevensminimalisatiebeginsel. 2.3 Schending proportionaliteitsbeginsel De AP vereist bij de beoordeling van biometrische verwerking een "dubbele maar ook noodzakelijkheidstoets": de verwerking moet niet alleen noodzakelijk zijn, doel niet met minder proportioneel. Dit houdt in dat moet worden beoordeeld of het ingrijpende middelen kan worden bereikt. De AP heeft in 2019 een Nederlandse werkgever een boete van € 725.000 opgelegd voor tijdsregistratie. De AP wegens het verzamelen van vingerafdrukken van werknemers oordeelde dat het bedrijf "andere identificatiemethoden beschikbaar had die geen biometrie omvatten", waardoor de verwerking niet proportioneel was. Hetzelfde geldt a fortiori in deze situatie: de gemeente had reeds tweemaal mijn identiteit van Al geverifieerd via minder ingrijpende middelen. Het alsnog toepassen gezichtsherkenning is evident disproportioneel.

2.4 Geen gegevensbeschermingseffectbeoordeling ( artikel 35 AVG ) Artikel 35 lid 1 AVG vereist dat de verwerkingsverantwoordelijke een de verwerking, rekening gegevensbeschermingseffectbeoordeling ( DPIA) uitvoert wanneer houdend met de card, omvang, context en doeleinden, "waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen". Artikel 35 lid 3 sub b AVG noemt expliciet als voorbeeld van verwerking die een DPIA vereist "grootschalige verwerking van bijzondere categorieen van gegevens als bedoeld in artikel 9, lid 1". :

Het is mij niet gebleken dat de gemeente een DPIA heeft uitgevoerd voor deze AI een kopie van de gezichtsherkenningspraktijk. Graag ontvang ik binnen 14 dagen

-

2

uitgevoerde DPIA, dan wel een gemotiveerde verklaring geen DPIA vereist is.

waarom de gemeente meent dat

Daarnaast behoud ik mij het recht voor om nadere informatie op to vragen over de uw gemeente en verwerking van deze persoonsgegeven met deze of andere technologie bij van mijn welke maatregelen daarbij zijn en worden gehanteerd ter bescherming recht het waaronder privacy. op fundamentele rechten,

3. Schending van de EU Al Act 2024 in

De EU Artificial Intelligence Act ( Verordening ( EU ) 2024/ 1689 ) is op 1 augustus 2 februari 2025 van werking getreden. Het verbod op bepaalde AI praktijken is sinds de gemeente volledig aan toepassing. Mijn ervaring vond plaats na deze datum, waardoor

deze regelgeving moet voldoen.

3.1 Classificatie als hoog- risico AI -systeem Artikel 5 lid 1 sub h Al Act verbiedt het gebruik van "real time remote biometric identification met strikte systems in publicly accessible spaces for law enforcement purposes", waardoor uitzonderingen. De gemeente gebruikt dit systeem niet voor wetshandhaving, deze uitzondering niet van toepassing is. -

Het AI - systeem dat de gemeente inzet valt daarom onder de categorie hoog risico Deze classificatie activeert verplichtingen op het gebied van :

AI -

systemen.

• Risicobeheer ( artikel 9 AI Act )

• Databeheer en - governance ( artikel 10 Al Act )

• Transparantie en informatieverstrekking aan gebruikers ( artikel 13 Al Act )

• Menselijk toezicht ( artikel 14 Al Act ) •

-

Registratie in de EU database ( artikel 71 Al Act )

Het is mij niet gebleken dat de gemeente aan deze verplichtingen voldoet. Graag ontvang dat het AI - systeem is geregistreerd in de EU -

ik

binnen 14 dagen schriftelijke bevestiging wordt database, alsmede documentatie waaruit blijkt dat aan bovenstaande verplichtingen voldaan.

3.2 Ontbrekende grondrechtenbeoordeling Artikel 27 Al Act vereist dat deployers van hoog - risico AI - systemen een fundamental rights wordt genomen. Voor AI impact assessment uitvoeren voordat het systeem in gebruik is dit een absolute vereiste. systemen die gebruikt worden voor biometrische identificatie dan wel Graag ontvang ik binnen 14 dagen een kopie van deze grondrechtenbeoordeling, is. vereist niet deze dat meent een gemotiveerde verklaring waarom de gemeente

4. Conclusie en vordering Gelet op het voorgaande concludeer ik vooralsnog dat de gemeente : 1. In strijd handelt met artikel 5 lid 1 sub c ( gegevensminimalisatie ) en artikel 9 (

verbod

verwerking bijzondere persoonsgegevens) AVG; 2. Geen geldige rechtsgrondslag heeft voor de verwerking van biometrische gegevens op de verwerking niet noodzakelijk en niet grond van artikel 29 Uitvoeringswet AVG, aangezien proportioneel is;

3. Heeft verzuimd een gegevensbeschermingseffectbeoordeling

uit to voeren zoals vereist

op grond van artikel 35 AVG;

de verplichtingen van de EU Al 4. Een hoog- risico Al - systeem inzet zonder to voldoen aan artikel 27 Al Act, waaronder registratie ( artikel 71 Al Act ) en een grondrechtenbeoordeling ( Act )

;

5. De verwerking van biometrische gegevens derhalve onrechtmatig

is.

Ik verzoek u ( de gemeente) met klem : a ) Het gebruik van AI - gestuurde gezichtsherkenning per direct to staken, vereisten; gevallen waar niet is voldaan aan de voorgaand genoemde

althans in alle

to verwijderen en mij hiervan en technische uitleg hoe die schriftelijk bevestiging to doen toekomen ( inclusief een feitelijke zekerheden daaromtrent ) ; gegevens zijn verwerkt en verwijderd, met Welke b ) Alle van mij verzamelde biometrische gegevens onverwijld

dat het systeem c ) Binnen 14 dagen na dagtekening van deze brief schriftelijk to bevestigen en de aldus is uitgeschakeld en niet langer wordt gebruikt voor onrechtmatige toepassingen ( verkregen gegevens zijn verwijderd ) ; Al Act d ) Binnen 14 dagen de gevraagde documentatie ( DPIA, grondrechtenbeoordeling, compliance ) to verstrekken.

5. Vervolgstappen Mocht ik binnen 14 dagen na dagtekening van deze brief geen afdoende reactie ontvangen, als acht ik mij vrij om nadere stappen to inventariseren die de AVG en de Al Act bieden mogelijke escalatie. van de gemeente Een afschrift van deze brief zend ik ter informatie aan de gemeenteraad Krimpenerwaard. Ik vertrouw erop u hiermee voldoende to hebben geinformeerd en zie

uw spoedige reactie

met belangstelling tegemoet. Hoogachtend,

Afschrift aan : - De gemeenteraad van de gemeente Krimpenerwaard

4

Van: Verzonden: Aan: Onderwerp:

Griffie Krimpenerwaard vrijdag 13 februari 2026 14:29 Ontvangstbevestiging

Beste Wij hebben uw brief d.d. 4 februari 2026 ontvangen. Wij voegen deze toe aan de openbare lijst ingekomen stukken van de raad 10 maart 2026 met het advies aan het college de afhandeling daarvan op te pakken. Tijdens deze vergadering worden de ingekomen stukken niet inhoudelijk besproken, maar neemt de raad een besluit over het afhandelingsadvies. Van de raad als collectief ontvangt u geen schriftelijke reactie op uw brief. Mogelijk reageren fracties of individuele raadsleden persoonlijk op uw brief. Zonder tegenbericht gaan ervan uit dat u er geen bezwaar tegen hebt dat we hen daarvoor desgevraagd uw email-adres geven. I.v.m. privacyregels zijn de documenten geanonimiseerd op de lijst ingekomen stukken geplaatst

Met vriendelijke groet,

Griffie

Postbus 51 2820 AB Stolwijk

1