Hoe kan Facebook legaal gezichten gaan scannen onder de AVG?

Als voorbereiding op de AVG gaat Facebook gezichtsherkenning aanzetten voor Europese gebruikers die dat willen, las ik bij de socialenetwerksite. Dat is verrassend, omdat ze het in 2011 uitgezet hadden na klachten dat de (Duitse) Wbp werd overtreden met deze feature. Doel van de nieuwe feature is te zorgen dat mensen in kunnen grijpen als hun gezicht ergens op Facebook opduikt, waarvoor gezichtsherkenning best wel nodig is.

De status van portretfoto’s onder de privacywet is lange tijd nogal punt van discussie geweest. Wanneer iemand herkenbaar in beeld is, dan is die foto een persoonsgegeven, daar is iedereen het wel over eens. Maar aan een foto kun je vaak ook dingen zien die als bijzonder persoonsgegeven aan te merken zijn, zoals iemands etnische afkomst of medische aandoeningen. Daarmee zouden portretten onder de strengste regels van de privacywet vallen, en dan gaan allerlei dingen mis.

De AVG kiest een compromis. Een foto van een mens is een persoonsgegeven, maar wordt pas een bijzonder persoonsgegeven als de foto wordt gemaakt of gebruikt met het oog op identificatie. De pasfoto op een toegangspas is dus een bijzonder persoonsgegeven, een sfeerfoto van een receptie is dat niet. (Het portret van het bruidspaar op de receptie denk ik dan weer wel, we willen immers weten wie er 50 jaar getrouwd waren. Maar die foto valt dan weer onder de uitingsvrijheid en daarmee buiten de AVG.)

Gaat zo’n sfeerfoto op Facebook, dan is dus een gewone verwerking. Je kunt je afvragen of dat dan valt onder het eigen gerechtvaardigd belang van de uploader, namelijk zijn uitingsvrijheid, of dat er toestemming nodig is van de geportretteerde. Maar wat Facebook vervolgens doet is problematisch: gezichtsherkenning om de personen op de foto te melden dat die foto geupload is, zodat ze daar bezwaar tegen kunnen maken.

Nu zegt Facebook dat ze dit alleen doen als je daarmee instemt:

If you choose to opt in then you will have access to the following features:
– We’ll let you know when someone else uploads a photo of you as their profile picture. We’re doing this to prevent people from impersonating others on Facebook.
– You’ll hear from us if you’re in a photo and are part of the audience, even if you haven’t been tagged. You can choose whether to tag yourself, leave yourself untagged, or reach out to the person who posted the photo if you have concerns about it.

En ik geloof onmiddellijk dat ik geen berichten ga krijgen hierover tenzij ik de feature aanzet. Maar in de praktijk betekent dit volgens mij dat ieder gezicht op iedere foto gescand en herkend wordt, inclusief dus personen die daar nog geen toestemming voor hebben gegeven. En dat zou een probleem zijn, want in die situatie werkt Facebook dus met bijzondere persoonsgegevens zonder uitdrukkelijke toestemming.

Misschien dat ze alleen screenen op features van gezichten van personen die die toestemming wel gaven. Dan worden andere personen dus niet herkend, en dan is het denk ik wel legaal. Dit voelt alleen erg inefficiënt, en bovendien kun je dan oude foto’s van mensen die later toestemming geven niet verwerken. Dus ik denk niet dat dit het gaat zijn.

(En terzijde: het portretrecht komt dus te vervallen vanaf 25 mei, afgezien van het verzilverbaar portretrecht voor bekende personen.)

Arnoud

10 reacties

  1. Het zou kunnen dat de gezichten bestaan uit een set data die niets betekenen tot iemand ernaar zoekt. Oftewel, de persoon uit twee verschillende foto’s wordt niet aan elkaar gekoppeld als zijnde één persoon, maar wordt pas geïdentificeerd als die persoon de opt-in doet, en dan waarschijnlijk alleen op basis van de foto(‘s) die die persoon zelf op zijn account heeft. Ik weet dan niet in hoeverre die gezichtsherkenningdata een persoonsgegeven is, en of ze die mogen hebben, zolang het niet aan een persoon wordt gekoppeld. Ik weet ook niet hoe erg dat zou zijn. Wel is Facebook slecht bezig de laatste tijd, dus een beetje scepsis kan geen kwaad.

  2. Hoi Arnoud, is dit niet iets te kort door de bocht?

    Het portret van het bruidspaar op de receptie denk ik dan weer wel, we willen immers weten wie er 50 jaar getrouwd waren

    Omdat we willen weten wie wat heeft gedaan, zou dit kunnen betekenen dat elke foto van een bekend persoon toch al een bijzonder persoonsgegeven is, omdat men wil zien ‘welk bekend persoon nu weer iets bizars heeft gedaan’. Oftewel het willen weten wie degene op de foto is, is toch niet hetzelfde als het gebruiken van een foto ter identificatie. Of zie ik het verkeerd? Het simpele gebruiken van een foto ter identificatie, moet toch wel iets meer zijn dan het afleiden van een persoon aan de hand van een foto > “Hey kijk, ik zie hier op de foto van het trouwfeest dat Sjaak de Vries er ook was”.

    Wat bedoel je precies met het stukje over de uitingsvrijheid die de AVG opzij zet? Ik vind het lastig in te zien waar de vrijheid van meningsuiting de AVG opzij zet, is dit bij het plaatsen van foto’s op Facebook? Het plaatsen van foto’s van mensen op straat op je blog? Het plaatsen van foto’s van collega’s op je intranet? Of komt het dan iedere keer weer neer op de belangenafweging en is het nog niet duidelijk welke kant het op gaat? Het blijft m.i. moeilijk te behappen wat de AVG precies zegt over foto’s en wanneer er wel/niet sprake is van een bijzonder persoonsgegeven.

  3. Mag FB dus sowieso in alle foto’s gaan registreren welke personen er op staan ? Mooi is dat. Kunnen ze de profielen van alle personen mooi gaan aanvullen.

    Welke feestjes, welke plaatsen, welke activiteiten, welke sociale contacten zijn te koppelen aan deze persoon. En dan uiteraard niet alleen voor de mensen die willen weten of ze voorkomen op geuploade foto’s, maar van iedereen.

    Al die handelingen zijn niet in strijd met “If you choose to opt in then you will have access to”, maar voor mijn gevoel toch wel in strijd met deze verwerking van persoonsgegevens in relatie tot je privacy.

  4. Dus als ik straks aa profiel aan maak met allemaal foto’s en details van een bekende Nederlander, dan krijg ik straks alle privéfoto’s van die persoon te zien zodra die worden geüpload? Mooi is dat…

    1. Nee, je krijgt alleen alle profielfoto’s te zien waar die persoon in is opgenomen en alle foto’s die zijn geupload waar die persoon in is opgenomen voor zover jij al recht hebt om die foto’s te bekijken.

      Niemand krijgt dus hiermee recht om foto’s te zien die hij of zij daarvoor ook al niet kon zien

  5. En terzijde: het portretrecht komt dus te vervallen vanaf 25 mei, afgezien van het verzilverbaar portretrecht voor bekende personen.

    De meeste AVG beperkingen gaat niet op als er sprake is van journalistische uitingen. Kunnen straks het zwarte balkje of de pixelblokken over gezichten in video van bijvoorbeeld criminelen of verkeersovertreders weggelaten worden? Fotootje in de rechtbank ipv tekening ?!

    1. Die zijn sowieso al nooit toegevoegd vanwege de Wbp maar vanuit zelfgekozen journalistiek-ethische regels. Die zullen de media dan ook gewoon blijven voeren, maar het klopt dat je géén bezwaar in kunt roepen vanuit de AVG bij een journalistieke uiting en ook niet kunt verbieden dat men je herkenbaar publiceert als dat journalistiek relevant is.

      1. Misschien zijn balkjes ooit toegevoegd uit zelfgekozen journalistieke-ethische regels maar de rechtbank heeft wel degelijk in 2012 nog een uitspraak gedaan jegens het Parool die hadden “een minder herkenbaar portret van [ Appellant ] kunnen publiceren, bijvoorbeeld door het plaatsen van een balkje over de ogen.”

        Zie: https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:GHAMS:2012:BV9304&showbutton=true

        Later geloof ik ook nog door de Hoge raad bevestigd.

        Hieruit volgt dus dat er ook een verplichting bestaat in ieder geval nu terwijl het portretrecht nog geldt (maar mogelijks straks als het AVG het portretrecht heeft verdrongen ook nog obv bijvoorbeeld het ERVM) om in bepaalde nieuwsuitingen iemand minder herkenbaar te tonen.

  6. Het klinkt hier alsof het technisch pas mogelijk is om te bepalen of iemand toestemming heeft gegeven voor verwerking nadat je hem geidentificeerd hebt — wat op zich al een verwerking is. De procedure is namelijk (1) probeer de personen op de foto te identificeren; (2) zoek op of die personen in hun profiel het magische vinkje hebben aangezet.

    Of misschien zijn er in dit specifieke geval andere oplossingen te verzinnen, maar deze technische situatie zal zeker niet uniek zijn. Hoe gaat de AVG hiermee om?

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.