Interne memo - Gezichtsvergelijking met Oribi ID burger bij Team Burgerzaken

Interne memo

Aan

Wobine Buijs-Glaudemans - Portefeuillehouder privacy

Betreft

Raadsvragen FvD over gezichtsvergelijking met Oribi ID burger

Van

- Concern Privacy Officer

Verantwoordelijk Afdelingshoofd Datum

- Afdelingshoofd Publieksdiensten 06-08-2024

Aanleiding: De reservering in de programmabegroting voor de aanschaf van gezichtsvergelijkingsapparatuur door het team Burgerzaken heeft geleid tot vragen vanuit de Raad over de rechtmatigheid van de voorgenomen gegevensverwerking, te meer gezien het feit dat het hier een verwerking van biometrische gegevens betreft. Advies: -

Geadviseerd wordt om, onverminderd het budgetrecht van de Raad, het voornemen om over te gaan tot aanschaf, in stand te laten in de kadernota en, in aanvulling op de reeds bij de afdeling Burgerzaken in gebruik zijnde modules van Oribi ID Burger over te gaan tot reservering van budget en inzet van de gezichtsvergelijkingsmodule ten behoeve van het burgerzakenproces.

-

De verwachting is dat de resultaten van het genoemde onderzoek/risicoanalyse van de Vereniging Nederlandse Gemeenten niet zullen leiden tot ander inzichten.

-

Geadviseerd wordt om de inzet vooralsnog strikt te beperken tot het ondersteunen bij het vaststellen van de identiteit van betrokkene in twee specifieke processen te weten: 1.het proces van inschrijving in de Basisregistratie Personen bij de eerste vestiging vanuit het buitenland en 2. het aanvraag- respectievelijk verstrekkingenproces van identiteitsdocumenten en rijvaardigheidsbewijzen.

-

Naast voornoemde doelbeperking zal, voorafgaand aan aanschaf en ingebruikname, een DPIA moeten worden uitgevoerd om de risico's in kaart te brengen en worden voorzien in passende technische en organisatorische maatregelen om de inzet van een gezichtsvergelijkingscamera in het identificatieproces te rechtvaardigen en te borgen.

Om welke verwerking gaat het? De uitbreiding van de bestaande inzet van Oribi ID-burger 1 met gezichtsvergelijking brengt een

Oribi ID-burger bestaat uit 1. een documentscanner welke de echtheidskenmerken van het aangeboden identiteitsbewijs controleert en 2. een gezichtsvergelijkingsmodule die de ter plekke gemaakte foto van de inwoner/aanvrager vergelijkt met de foto op het oude identiteitsbewijs, de foto op de chip van het 1

1

Interne memo

verwerking van biometrische gegevens met zich mee. De gezichtskenmerken worden immers (tijdelijk) vastgelegd door een camera en digitaal vergeleken met 1. de pasfoto op het huidige identiteitsbewijs en 2. de digitale versie van deze pasfoto zoals opgeslagen op de chip in het identiteitsbewijs en 3. de ingeleverde pasfoto's t.b.v. het nieuwe identiteitsbewijs. Scope van deze notitie In deze notitie de focus liggen op de rechtvaardiging en verantwoording van de inzet van de gezichtsvergelijkingsmodule, nu dit specifieke onderdeel het onderwerp is van de door uw Raad gestelde vragen. Het gebruik van de documentscanner (toetsen echtheidskenmerken van het aangeboden identiteitsdocument) zal buiten beschouwing blijven. Huidige situatie: Een voorloper van het betrokken systeem is reeds in bezit van de gemeente Oss en draait al enige jaren bij Team Burgerzaken. Hier wordt de scanner structureel ingezet in het geval van een ‘eerste aanmelding’. Het gebruik van de scanner maakt hierbij een vast onderdeel uit van het werkproces. Inhoudelijke behandeling In tegenstelling tot wat de raadsvragen mogelijk doen vermoeden is er geen sprake van een gezichtsscan die wordt opgeslagen in- of vergeleken met een databasebestand. Er is ook expliciet geen sprake van gezichtsherkenning, maar van gezichtsvergelijking.

Daarnaast wordt er in dit proces -in beginsel- ook geen data opgeslagen of gedeeld met andere partijen. Indien er geen twijfel bestaat omtrent de overeenkomst tussen de vergeleken beelden, wordt er in zijn geheel geen informatie vastgelegd. Dit wordt alleen anders indien zich geval van ernstig vermoeden van identiteits- of documentfraude voordoet. In dit laatste geval kan er wel een zeer beperkt toegankelijke en versleutelde kopie van het scanresultaat worden opgeslagen t.b.v. de aangifte, het onderzoek, en eventuele strafrechtelijke vervolging door justitie. Zowel de medewerker Burgerzaken als de gezichtsvergelijkingsmodule van Oribi ID Burger hebben in deze vergelijking een rol. De technische gezichtsvergelijking is een hulpmiddel en slechts bedoeld ter ondersteuning van de beoordeling door de medewerker. De uitkomst van een gezichtsvergelijking met Oribi ID Burger is ook altijd en per definitie ondergeschikt aan het oordeel van de medewerker. Het is dus, per definitie, niet zo dat de gezichtsvergelijkingsmodule kan bepalen of besluiten of een aanvraag legitiem danwel mogelijk frauduleus is. Issues

identiteitsbewijs en de ingeleverde pasfoto's t.b.v. he nieuwe identiteitsbewijs. Beiden onderdelen van Oribi IDburger zijn volledig geïntegreerd in de in het burgerzakenproces gebruikte applicatie.

2

Interne memo

-

Het betreft strikt genomen geen nieuwe aanschaf, maar een uitbreiding van bestaande, reeds actief in het Burgerzakenproces, in gebruik zijnde apparatuur. Ten tijde van de eerste aanschaf (+/- 2016) bestond de verplichting tot toetsing van deze verwerking nog niet zo expliciet. Nadat de Algemene verordening gegevensbescherming van kracht werd is niet alsnog een Data Protection Impact Assessment (DPIA) uitgevoerd op de inzet van Oribi ID-burger binnen het burgerzakenproces. Deze toetsing wordt momenteel alsnog uitgevoerd.

-

De huidige onderbouwing van deze verwerking berust op artikel 2.4 en 2.67 lid 4 Wet BRP echter dit artikel ziet enkel op de eerste inschrijving en niet op het proces van aanvraag en verstrekking van reis- en identiteitsdocumenten uit de Paspoortwet resp. Wegenverkeerswet 1994 waarvoor de inzet ook gewenst is. Getoetst dient te worden of de inzet in laatstgenoemde proces ook te verantwoorden is.

-

Formeel is er in de Paspoortwet (incl. -besluit en – regeling) en de Wegenverkeerswet 1994 geen directe grondslag om gebruik te mogen maken van deze gezichtsvergelijking. In geval van twijfel over de echtheid van de door de aanvrager aangeboden foto’s of documenten, staat de regelgeving limitatief voorgeschreven verder onderzoek toe 2. De wet- en regelgeving laat weinig ruimte om de beschikbare ondersteunende technische middelen (waaronder de gezichtsvergelijking) in te zetten. Dit is niet zozeer een privacyissue als wel een lacune en/of veroudering van de wet- en regelgeving omtrent de aanvraag en uitgifte van identiteitsbewijzen.

-

Er is nog geen data protection impact assessment (DPIA) 3 uitgevoerd op de inzet van de gezichtsvergelijking. Dit is wel een expliciete wettelijke verplichting.

-

De gezichtsvergelijking wordt standaard ingezet in het proces, ook als de medewerker geen twijfels heeft over de vergelijking. In de toepasselijke wet- en regelgeving is die twijfel voorwaardelijk gesteld om tot verder onderzoek over te mogen gaan. Nu aan deze voorwaarde niet wordt voldaan, ontbreekt de verantwoording voor wat betreft de rechtmatigheid, noodzaak en proportionaliteit van de verwerking.

-

Voor de gezichtsvergelijking is geen beleidsmatige onderbouwing. Oss heeft beperkte ruimte om het proces naar eigen inzicht in te richten 4, echter dit moet deze beleidskeuze (en de wijze van invulling daarvan) wel vastliggen.

2 Zie in dit kader ook het protocol/de werkinstructie waar het RvIG naar verwijst in haar stukken. https://www.rvig.nl/werkinstructies-identiteitsvaststelling 3 Dit is een categorie II overtreding met een boetebandbreedte van €120.000 - € 500.000 en basisboete van € 310.000ex. de boetebeleidsregels van de AP (https://www.autoriteitpersoonsgegevens.nl/uploads/202312/AP%20boetebeleidsregels%202023.pdf) 4 deze bevoegdheid vloeit voort uit overweging 41 van de AVG, nu de bovenliggende taak van algemeen belang (het deugdelijk vaststellen van de identiteit) wel expliciet benoemd is. Het College heeft de ruimte om zelf invulling te geven aan deze taak, mits daarbij voldaan wordt aan de daarvoor in de rechtspraak gestelde criteria w.o. transparantie en voorzienbaarheid van de verwerking voor de betrokkene.

3

Interne memo

-

Er is niet aan de transparantieverplichting voldaan. De inwoner wordt vooraf niet of onvoldoende geïnformeerd over de inzet van de scanner. Van de inwoner mag ook niet verwacht worden dat zij het gebruik van de scanner redelijkerwijs had kunnen voorzien.

-

Een voorafgaande raadpleging 5 bij de Autoriteit Persoonsgegevens is niet langer mogelijk nu het systeem reeds in gebruik is genomen. De Autoriteit Persoonsgegevens verwijst terug naar de eigen verantwoordelijkheid van gemeenten om een risicoanalyse op het proces uit te voeren alvorens met de verwerking te starten. Nu deze risicoanalyse niet heeft plaatsgevonden is de gemeente in overtreding van artikel 35 jo. 24 en 32 van de Algemene verordening gegevensbescherming 6. Deze overtreding moet zo spoedig mogelijk beëindigd worden door de ontbrekende DPIA alsnog met gepaste spoed uit te voeren en de technische en organisatorische inrichting op de bevindingen aan te passen, waar nodig.

Risico’s Het toetsen van de autenticiteit van de aangeboden identiteitsdocumenten, als ook het deugdelijk vaststellen van de identiteit van een burger is steeds complexer en tijdrovender geworden de afgelopen jaren. Tegelijkertijd is het belang van het correct vaststellen van identiteit verder toegenomen. Wanneer het college in haar ‘'poortprocessen" niet op een voor alle betrokkenen verantwoorde manier gebruik kan maken van de algemeen geaccepteerde beschikbare technieken, neemt de kans op oneigenlijk beroep op – en gebruik van- het sociale voorzieningenstelsel toe 7. In geval van klachten-, bezwaar- en/of vragen over de inzet van de gezichtsscan kan niet onderbouwd worden gereageerd. Indien een klacht ingediend wordt bij de Autoriteit Persoonsgegevens kunnen de voornoemde issues tot onderzoek en/of bestuursrechtelijke maatregelen leiden. Daarnaast is het aannemelijk dat de resulterende publiciteit zowel de geloofwaardigheid als het imago van de gemeente en/of haar bestuurders kan schaden. Zeker aangezien hier sprake is van reeds door onszelf vastgestelde overtredingen. Belang van de verwerking Het belang om zeker te stellen dat een identiteitsbewijs en een persoon bij elkaar horen is, zeker bij de afdeling Burgerzaken van een gemeente die verantwoordelijk is voor de bijhouding van deze authentieke gegevens, evident.

Inschrijving in de BRP heeft de verstrekking van een Burgerservicenummer tot gevolg, waarmee een verregaande deelname aan het maatschappelijk verkeer mogelijk wordt. Wanneer het gaat om de aanvraag- en verstrekking van een identiteitsbewijs geeft het kunnen overleggen van een geldig identiteitsbewijs de betrokkene Artikel 36 AVG Dit is een categorie II overtreding met een boetebandbreedte van €120.000 - € 500.000 en basisboete van € 310.000ex. de boetebeleidsregels van de AP (https://www.autoriteitpersoonsgegevens.nl/uploads/202312/AP%20boetebeleidsregels%202023.pdf) 7 Uit onderzoek is gebleken dat gemeenten die deze technieken inzetten, minder aantrekkelijk zijn voor pogingen tot frauduleuze inschrijving in de BRP of onrechtmatige verstekking van identiteitsdocumenten. 5 6

4

Interne memo

toegang tot een breed stelsel aan door de Nederlandse overheid verstrekte (sociale) voorzieningen. Als maatschappij dragen wij de gezamenlijke kosten van oneigenlijk gebruik van deze voorzieningen als gevolg van document- of identiteitsfraude. Het zwaarwegend algemeen belang 8 volgt daarmee uit de wettelijk verankerde plicht tot ‘deugdelijke identiteitsvastelling’ 9 zoals onder andere verwoord in de wet Basisregistratie Personen en de Paspoortwet. Daarmee is het juist identificeren van een persoon aan te merken als een zwaarwegend algemeen belang. Voordat tot inschrijving in de BRP of aanvraag en afgifte van een identiteitsbewijs kan worden overgegaan, is een deugdelijke vaststelling van identiteit en verblijfsrecht daarom voorwaardelijk en noodzakelijk. Met de toegenomen digitalisering zijn de mogelijkheden om identiteitsbewijzen te vervalsen aantoonbaar teruggedrongen door de toevoeging van echtheidskenmerken. Fraudeurs proberen daarom in toenemende mate op andere manieren (o.a. door de inzet van look-a-likes of de inzet van gemanipuleerde of onrechtmatig verkregen buitenlandse identiteitsdocumenten) toch aan een geldige inschrijving of identiteitsbewijs te komen. -

In het (ingetrokken) amendement van de Raad tegen de inzet van Oribi ID-burger worden in basis drie primaire bezwaren ingebracht door de betrokken fractieer zou geen verwerkingsgrondslag 10 bestaan en

-

de verwerking zou niet noodzakelijk 11 zijn

-

het zou een verwerking van biometrische gegevens betreffen welke, enkele uitzonderingen daargelaten, verboden is op grond van de AVG 12

Deze argumenten worden hieronder behandeld. Het argument van het ontbreken van de grondslag voor de verwerking Voor iedere verwerking van persoonsgegevens vereist de Algemene Verordening Gegevensbescherming (hierna: AVG) dat er een wettelijke grondslag bestaat die de verwerking rechtvaardigt. In het geval van een gemeente gaat het dan meestal om ‘de uitvoering van een taak van algemeen belang of openbaar gezag’ 13 (bij de uitvoering van publieke taken) of de wettelijke plicht 14. Het gebruik van deze grondslagen brengt met zich mee dat er dan wel in wet- en regelgeving een bepaling moet zijn opgenomen waar deze taak of plicht ook uit blijkt. Het klopt dat nergens letterlijk in de van toepassing zijnde wet- en regelgeving staat dat we 8 In het document 'juridisch kader gezichtsherkenning’ zijn de criteria voor het voldoen aan het vereiste ‘zwaarwegend algemeen belang’ verder uitgewerkt. Zie https://autoriteitpersoonsgegevens.nl/documenten/juridisch-kader-gezichtsherkenning 9 Zie hiervoor o.a. art. 2.4 lid 3 Wet Basisregistratie Personen 10 artt. 5 lid 1 en 6 AVG 11 art. 5 lid 2 AVG 12 Art. 9 lid 1 AVG (verbod) en lid 2 (uitzonderingen) 13 Art. 6 lid 1 onder e AVG 14 art. 6 lid 1 onder c AVG

5

Interne memo

gezichtsvergelijking in zouden mogen zetten. Wel verplicht de wet ons tot deugdelijke identiteitsvaststelling 15. Deze wettelijke verplichting vereist van ons dat we met aan redelijke grenzen gebonden zekerheid vaststellen dat persoon op het identiteitsbewijs, persoon op de foto en persoon aan de balie een en dezelfde zijn, voordat we overgaan tot inschrijven in de BRP of uitreiken van een reisdocument of rijvaardigheidsbewijs. Hoe wij als gemeente invulling geven aan deze verplichting is slechts ten dele geregeld. Hierin schuilt ook een deel van de beleidsruimte 16, mits we deze keuzes ook in ons beleid vastleggen en aan de transparantie- en voorzienbaarheidseis voldoen. Het noodzakelijkheidsargument Het noodzakelijkheidscriterium uit de Algemene verordening gegevensbescherming vereist dat iedere verwerking getoetst is op proportionaliteit (is de inbreuk die de verwerking maakt op de grondrechten van de betrokken inwoner redelijk gezien het te bereiken doel?) en subsidiariteit (kan het doel van de verwerking ook op een andere (lees: minder ingrijpende) wijze bereikt worden, waarbij geen of minder persoonsgegevens verwerkt hoeven te worden?).

In het betreffende amendement wordt onder andere verwezen naar een uitzending van BNR Nieuwsradio waarin, door de als bron aangehaalde, aangehaalde tech-jurist, de vraag wordt opgeworpen óf een mogelijke toename in ambtelijke corruptie ten grondslag zou kunnen liggen aan de veronderstelde toename van onrechtmatige verstrekking van authentieke identiteitsbewijzen 17. Zou dit daadwerkelijk het geval zijn, dan zou de inzet van systemen als Oribi ID burger het probleem niet oplossen en dus mogelijk als niet proportioneel bestempeld moeten worden. Op basis van de beschikbare cijfers is echter geen sprake van een significante stijging of daling waarneembaar voor wat betreft documentfraude. 18 Ook ten aanzien van de vooronderstelling dat er sprake zou zijn van een toename in ambtelijke corruptie, die aan een stijging van de gevallen van documentfraude ten grondslag zou liggen, is geen onderbouwing gevonden in de kerncijfers van de ECID 19, noch in de beschikbare wetenschappelijk onderzoeken 20. De stelling blijft dus op zijn best een uit zijn context gehaalde veronderstelling en zeker geen vaststaand feit. Het argument van het verbod op de verwerking van biometrische gegevens

15

Art.1.8 Wet BRP, 28 Paspoortwet Overweging 41 AVG bepaalt dat niet voor iedere verwerking een wet in formele zin noodzakelijk is, zolang de taak maar vastligt en de verwerking transparant en voorzienbaar is. 17 Gezichtsscanner bij gemeentebalie ‘juridisch moeilijk te verdedigen’ | BNR Nieuwsradio 18 Statistisch jaaroverzicht van identiteits- en documentfraude in 2022 | Jaarverslag | Koninklijke Marechaussee 19 https://www.marechaussee.nl/binaries/marechaussee/documenten/publicaties/2023/11/20/statistischjaaroverzicht-van-identiteits--en-documentfraude-in-2022/Statistisch+jaaroverzicht+2022+ECID.pdf 20 Ambtelijke_en_bestuurlijke_corruptie_in_Nederland_waar_staan_we_anno_2018.pdf (ou.nl) 16

6

Interne memo

In de AVG is de verwerking van biometrische gegevens ten behoeve van unieke identificatie in beginsel verboden 21. De definitie van biometrie 22 kent echter meerdere doelen te weten identificatie én bevestiging van identiteit. Uit het verbod in art. 9 lid 1 blijkt dat dit verbod enkel van toepassing is op identificatie, niet op verificatie. Bevestiging van identiteit (verificatie) is, i.t.t. de uitleg 23 van de Autoriteit Persoonsgegevens, in de AVG dus niet verboden. Een beroep op art. 29 UAVG is daarmee niet nodig of van toepassing. Het voorgaande beschouwd zou de verwerking van biometrische gegevens door inzet van Oribi IDburger dus niet als verboden aan te merken zijn, mits de aanbevelingen ten aanzien van de overige criteria waaraan de verwerking moet voldoen 24 t.a.v. de inzet (o.a. enkel in een zeer beperkt aantal, specifiek aangewezen processen én dan nog enkel wanneer de medewerker zelf redenen heeft om te twijfelen aan de juistheid en legitimiteit van de inschrijving of aanvraag/verstrekking van reisdocumenten of rijvaardigheidsbewijzen). Landelijke ontwikkelingen: Momenteel wordt op landelijk niveau een onderzoek uitgevoerd naar de rechtmatigheid van de inzet van gezichtsscanners bij het vaststellen van de identiteit van aanvragers van een identiteitsbewijs.

Doel van dit onderzoek is om te komen tot een model-risicoanalyse en eventuele mitigerende maatregelen die de inzet van een gezichtsscanner in het proces van aanvraag en verstrekking van een identiteitsbewijs rechtvaardigen in de bestrijding van identiteitsfraude. Bij dit onderzoek zijn naast enkele gemeenten ook de Rijksdienst voor het Wegverkeer (RDW) en de Vereniging Nederlandse Gemeenten (VNG) betrokken. Ook de Autoriteit Persoonsgegevens (AP) is, zij het zijdelings, bij dit onderzoek betrokken. De AP is echter zeer terughoudend in het doen van uitspraken en verwijst terug naar de plicht van gemeenten om zelfstandig de wettelijk voorgeschreven risicoanalyse uit te voeren. De verwachting is dat de Vereniging Nederlandse gemeenten binnen enkele weken het resultaat van dit onderzoek zal presenteren. Daarbij moet specifiek aangetekend worden dat de uitkomsten van dit onderzoek slechts de basis voor een rechtvaardiging/onderbouwing op zullen leveren. Een definitieve legitimering van de inzet van gezichtsscanners in het burgerzaken-proces zal uit een wet(swijziging) moeten volgen. Hoewel er duidelijke aanknopingspunten zijn in de bestaande wet- en regelgeving om de inzet van gezichtsscanners in het burgerzakenproces te rechtvaardigen, zal iedere gemeente zelf moeten bepalen of zij de rechtmatigheid van de inzet van gezichtsscanners voldoende onderbouwd acht.

Art. 9 tweede lid onder g AVG art 4 lid 14 AVG 23 https://www.autoriteitpersoonsgegevens.nl/uploads/2024-05/Juridisch%20kader%20gezichtsherkenning.pdf 24 Ook als het verbod niet van toepassing is zal altijd aan de criteria uit de beginselen (art. 5 en 6 AVG) voldaan moeten worden. 21 22

7

Interne memo

Juridisch kader: Artikel 1.8, 2.2 t/m 2.4 Wet BRP Artikel 2.67 lid 4 Wet BRP Artikel 113 Wegenverkeerswet 1994 Artikel 28 Paspoortwet Artikel 5, 6, 12 t/m 23, 35/36 AVG Artikel 9 lid 1 & 2 AVG Artikel 4 lid 14 AVG Artikel 29 UAVG

Betrokken adviseurs:

8