Uw gezicht is een bijzonder persoonsgegeven. Wat artikel 9 AVG voor u betekent

Voor de meeste persoonsgegevens onder de AVG (uw naam, e-mailadres, adres, surfgeschiedenis) gelden algemene regels. Biometrische gegevens zijn anders. Artikel 9 rekent ze tot de 'bijzondere categorieën' van persoonsgegevens, samen met gezondheidsgegevens, politieke opvattingen en religieuze overtuigingen. De bescherming is veel sterker, en de plichten voor bedrijven die ze verwerken zijn navenant zwaarder.

Wat telt als biometrisch gegeven

Artikel 9 beschermt uitdrukkelijk 'biometrische gegevens met het oog op de unieke identificatie van een persoon'. Daaronder vallen gezichtskenmerken, stemafdrukken, vingerafdrukken, irisscans en elke technische verwerking die lichamelijke kenmerken omzet in een unieke identificatie.

Let op de toevoeging: 'met het oog op de unieke identificatie'. Een gewone foto op social media is geen biometrisch gegeven in de zin van artikel 9. Dezelfde foto die door gezichtsherkenning wordt gehaald om een identificatie te maken, is dat wel.

Uw rechten

• Recht op uitdrukkelijke toestemming. Bedrijven mogen uw biometrische gegevens niet verwerken op basis van gerechtvaardigd belang. Ze hebben uw uitdrukkelijke, specifieke, geïnformeerde toestemming nodig, en die kunt u altijd intrekken.
• Recht op gegevenswissing. U kunt eisen dat uw biometrische gegevens worden gewist, en bedrijven moeten dat zonder onnodige vertraging doen (meestal binnen 30 dagen).
• Recht op inzage. U kunt een kopie vragen van alle biometrische gegevens die een bedrijf over u heeft.
• Recht op overdraagbaarheid. U kunt uw gegevens opvragen in een gestructureerd, machineleesbaar formaat.
• Recht op beperking. U kunt eisen dat een bedrijf stopt met het verwerken van uw gegevens zolang een geschil loopt.

Wat bedrijven moeten doen

Bedrijven die biometrische gegevens verwerken, hebben zwaardere plichten: een gegevensbeschermingseffectbeoordeling (DPIA) voordat de verwerking begint, in de meeste gevallen een functionaris voor gegevensbescherming (FG), strengere beveiliging en een melding van datalekken binnen 72 uur aan de toezichthouder en de betrokkenen.

De plek van opslag doet ertoe. Verwerking in de EU houdt uw gegevens onder de sterkste bescherming van de AVG. Doorgifte naar landen buiten de EU vraagt om specifieke waarborgen (standaardcontractbepalingen, adequaatheidsbesluiten) en is herhaaldelijk voor de rechter aangevochten (Schrems I, Schrems II).

Hoe u uw rechten uitoefent

Elk bedrijf dat uw biometrische gegevens verwerkt, moet u een duidelijke manier bieden om deze rechten uit te oefenen, meestal via een privacy@-adres of een eigen omgeving in uw account. Reageert het niet binnen 30 dagen, dan kunt u een klacht indienen bij uw nationale toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens. In België de Gegevensbeschermingsautoriteit. In Roemenië de ANSPDCP. In Frankrijk de CNIL. In Duitsland de toezichthouder van uw deelstaat.

De kern

Uw gezicht is niet zomaar een gegeven. Onder het Europese recht wordt het even serieus beschermd als uw medische geschiedenis. Bedrijven die er lichtvaardig mee omgaan, overtreden de wet, en u heeft specifieke, afdwingbare rechten om daar een einde aan te maken.