Tag: gezichtsherkenning

About gezichtsherkenning

Subscribe Feeds

Hoe zwaar weegt gezichtsherkenning in het strafrecht?

Geplaatst op in Regulering, 17 reacties

Het lijkt erop dat degene die op 5 augustus 2017 om 2.31 uur bij de geldautomaat is gefilmd, ook in de politiedatabase staat: Thomas. Zo introduceert Nu.nl een strafzaak waarin gezichtsherkenning door het politiesysteem CATCH centraal stond in het bewijs. Nadat ook twee onderzoekers de gezichten met elkaar vergelijken, concludeert het Centrum voor Biometrie namelijk dat Thomas veel overeenkomsten en geen significante verschillen vertoont met de persoon die om half drie ’s nachts pint. Hebbes, zegt de statistiek. Nope, zegt de rechtbank Den Bosch.

De strafzaak (vonnis) gaat over een hele trits feiten, niet alleen een keer pinnen met andermans pinpas, maar ook witwassen en lidmaatschap van een criminele organisatie. De rechtszaak is namelijk onderdeel van een groter onderzoek naar een bende die bankrekeningen plundert. En kennelijk is ‘Thomas’ (de naam is nep) de leider van dat netwerk want hij heeft statistisch gezien gepind met een gestolen pas?

Herkennen van mensen van foto’s is natuurlijk altijd lastig. Maar hier werd niet door menselijke getuigen of rechercheurs gekeken; het gaat om een automatisch gezichtsherkenningssysteem dat CATCH heet. De cijfers zijn schokkend: jaarlijks gaan zo’n duizend foto’s van verdachten door de database met 1.3 miljoen mensen. En dat levert dan 98 keer een match op. Nee, niet 980 of 98%, acht-en-negentig. Net geen honderd. Ja, ik val ook van mijn stoel.

Waarschijnlijk komt dat lage aantal omdat de meeste beveiligingscamera’s de kwaliteit van een aardappel hebben, als ik de beelden van Opsporing Verzocht mag geloven. Plus, veel criminelen weten natuurlijk dat ze hun gezicht moeten bedekken om niet te makkelijk herkend te worden. En men zal vast ook alleen een match willen geven als het systeem het heel zeker weet.

Maar hoe zeker is zeker? Dat weten we niet, en dat is ook fundamenteel lastig. Al is het maar vanwege de vraag of de werkelijke dader wel in het systeem zit. Anders krijg je gewoon “de best matchende persoon is deze” en als dat ook een hoog percentage betrouwbaarheid geeft, dan is de conclusie “dit is hem” snel gelegd. Natuurlijk kijken er dan nog mensen naar, maar “even checken, dit is hem toch” is heel wat anders dan “hier zijn duizend gezichten, welke is het”.

De rechtbank is er dan ook héél snel klaar mee:

De rechtbank is van oordeel dat in dit geval de ‘hit’ op verdachte in het zgn. CATCH-systeem (Centrale Automatische Technologie voor herkenning) onvoldoende is om te concluderen dat verdachte – buiten redelijke twijfel – als pinner kan worden aangemerkt. De opmerking dat twee onderzoekers zagen dat er veel overeenkomsten waren en geen significante afwijkingen, acht de rechtbank niet zodanig overtuigend dat de ‘hit’ als basis voor een bewezenverklaring kan dienen. Nu er buiten de herkenning geen andere bewijsmiddelen voorhanden zijn die verdachte verbinden aan een van de ten laste gelegde feiten, is de rechtbank van oordeel dat verdachte dient te worden vrijgesproken.

Bij een strafzaak moet het gaan om wettig en vooral overtuigend bewijs. Oftewel, geen redelijke twijfel. Enkel “hij lijkt best goed” is niet hetzelfde als “er is geen twijfel dat dit hem is”. Tussen de regels door lees ik dat de rechtbank alléén een fotoherkenning te weinig vindt. Had zijn telefoon even uitgepeild, een vingerafdruk genomen of iets anders dat hem op de plaats delict zet. Maar dit is echt te weinig.

Arnoud

“Camera met gezichtsherkenning meestal niet toegestaan”

Geplaatst op in Privacy, Security, 15 reacties

Het gebruik van camera’s met gezichtsherkenning is, zo las ik bij Security.nl meestal niet toegestaan voor bedrijven. Dit volgt uit een recente publicatie van de Autoriteit Persoonsgegevens. De privacytoezichthouder gaat daarom sectoren die dergelijke camera’s vaak gebruiken voorlichting geven over de regels. De Algemene verordening gegevensbescherming (AVG) verbiedt in beginsel het gebruik van biometrische gegevens om iemand te identificeren, maar het gebeurt vaak aldus de toezichthouder: Winkels gebruiken gezichtsherkenningscamera’s om winkeldieven op te sporen, terwijl bedrijven in de beveiliging, beurslocaties en pretparken de technologie inzetten voor toegangscontrole.

Het onderwerp is al wel vaker langsgeweest, eind vorig jaar blogde ik over gezichtsherkenning inzetten om een lokaalverbod te handhaven en eerder die sportschool die ’s nachts mensen met gezichtsherkenning binnenliet. De kern van het probleem is dat biometrische gegevens als bijzondere persoonsgegevens gelden, en je daar dus van af moet blijven. Gebruik je foto’s van mensen om ze te herkennen, dan tellen die foto’s als biometrische gegevens (een gewoon kiekje is dus geen biometrisch persoonsgegeven). En dan mag je ze dus niet gebruiken.

Dat ‘herkennen’ moet je breed opvatten: het gaat niet alleen over matchen tegen een database met NAW-gegevens of iets dergelijks. Ook enkel geautomatiseerd constateren “die was hier gisteravond ook” of “die lijkt op foto 31337 uit ons bestand overlastplegers” is al een vorm van ‘herkennen’, waarmee je camerabeelden tot bijzondere persoonsgegevens verworden.

Enige ruimte wordt gegeven door de uitzondering uit artikel 29 Uitvoeringswet: identificatie van de betrokkene die noodzakelijk is voor authenticatie of beveiligingsdoeleinden. En natuurlijk, het doel van deze identificatie (inclusief de 31337-constatering) is voor beveiliging, je wilt overlastplegers, lokaalverbodshouders et cetera niet binnen hebben. Maar is er een nóódzaak? Die vraag is veel lastiger want dat is een hele hoge lat.

Kort gezegd moet er dan geen ander middel voorhanden zijn dat ongeveer zo effectief is, en de maatregel moet ook proportioneel zijn. De AP gaat zelfs nog een stapje verder:

Het moet daarbij wel gaan om een zwaarwegend algemeen [italics AE] belang. Dat is bijvoorbeeld de beveiliging van een kerncentrale. Maar de beveiliging van bijvoorbeeld een supermarkt is niet zó belangrijk dat u daarvoor biometrische gegevens mag verwerken.
Dat algemeen belang haal ik zo niet uit de Uitvoeringswet, maar het is natuurlijk waar dat beveiligen van één winkel geen algemeen belang dient. Ik had zelf altijd het idee dat ook een individueel belang goed genoeg kon zijn (dit is weer die discussie over legitiem belang, geloof ik), maar dat het misgaat op wat ik de innovatieparadox noem.

De innovatieparadox uit de AVG luidt: nieuwe maatregelen voldoen nooit aan de noodzakelijkheidseis omdat er altijd bestaande maatregelen zijn die goed genoeg zijn. Zet een portier neer die het verbod handhaaft, beveilig je supermarkt met detectiepoortjes, doe toegangscontrole met tickets op naam, et cetera. Natuurlijk zitten daar kosten aan, maar zeker in het begin zitten die er ook aan camera-identificatie – aanschaf, onderhoud, testen en beveiligen bijvoorbeeld. Dus “dit is veel goedkoper” is geen argument.

Oftewel: hoe betoog je dat een nieuwe manier van persoonsgegevens verwerken acceptabel is, als deze net zo duur is en zich nog niet bewezen heeft in de praktijk?

Arnoud

Mag ik gezichtsherkenning inzetten om een lokaalverbod te handhaven?

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Een lezer vroeg me:

Ik werk aan een dienst die toegangsverboden in de horeca helpt handhaven door middel van gezichtsherkenning. Software kan dat beter dan portiers is het idee, en natuurlijk moet er altijd een mens nog beslissen of deze persoon echt diegene van het verbod is. Kan dit onder de AVG?

Het gebruik van biometrie is onder de AVG inderdaad zeg maar een dingetje. In principe mag dat niet, tenzij de wet (de AVG of de Nederlandse Uitvoeringswet) zegt van wel.

In gevallen als deze zou het gaan om de uitzondering uit artikel 29 Uitvoeringswet: identificatie van de betrokkene die noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

De noodzaak zou hem dan zitten in het feit dat menselijke portiers eigenlijk gewoon niet in staat zijn om adequate controle op lokaalverbodbrekers te houden. Dan kun je niet anders, en aangenomen dat er dan altijd nog een menselijke check is van het gezicht versus de vermelding in de lokaalverbodlijst, denk ik dat het dan wel oké is.

Ik denk wel dat je er niet aan ontkomt om echt aan te tonen dát het misgaat bij dat café of die club. Een abstracte “mensen maken fouten om 2 uur ’s nachts” argumentatie gaat hem niet worden, dat toont geen noodzaak in dit geval aan.

Verder vraag ik me af of de dienstverlener hier zich op gaat stellen als verwerker (bij elke klant een aparte database en gescheiden dienstverlening) of als verantwoordelijke (één database en gedeelde dienstverlening, wat je vaak ziet bij samenwerkende horeca waarbij een lokaalverbod voor al die horeca geldt). Dat laatste zou extra spannend zijn omdat je dan ook in het gebied van de zwarte lijsten valt, waarvoor verplicht een DPIA moet worden uitgevoerd én in principe toestemming van de AP gevraagd moet worden.

Arnoud

Mag een sportschool ’s nachts mensen met gezichtsherkenning binnenlaten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 18 reacties

Het hoeft niet, maar het kán: midden in de nacht fitnessen. Dat meldde BN De Stem onlangs. Een nieuwe fitness-zaak in Etten-Leur gaat gezichtsherkenning inzetten bij klanten, vanwege haar mogelijkheid tot 24 uur toegang. Mensen krijgen een eigen tag waarmee ze binnen kunnen. We werken met camera’s met gezichtsherkenning, die aanslaan wanneer er iemand binnenkomt die niet herkend wordt, zo staat in het artikel. Er is dan geen personeel maar je kunt hulp inroepen via een keycord.

Zakelijk vast een gat in de markt, maar was er niet iets met gezichtsherkenning en camera’s onder de AVG? Ja inderdaad. Wanneer je gezichten gaat fotograferen met als doel mensen herkennen, dan spreken we van verwerking van biometrische persoonsgegevens en dat valt onder de strenge regels van de bijzondere persoonsgegevens. Heel kort: afblijven tenzij in de AVG specifiek staat dat het mag.

In principe is het idee daarmee van tafel, want de AVG kent geen ontheffing voor het gebruik van bijzondere persoonsgegevens voor herkenning. Maar dat komt omdat de lidstaten het niet eens konden worden over hoe ver die regels dan mochten gaan. Artikel 9 lid 4 zegt dan ook dat de lidstaten zelf regels mogen maken over biometrie.

Nederland heeft dat gedaan in artikel 29 Uitvoeringswet AVG, en vrij breed ook:

[het verbod is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Het mag dus, als er maar een duidelijk belang daarvoor is én eigenlijk geen andere optie hebt ter authenticatie of voor de beveiliging. Je moet dit onderbouwen en die onderbouwing moet in je verwerkingsregister zitten.

Bij toegangscontrole wanneer er geen personeel aanwezig is, is biometrie een op zich redelijk betrouwbare keuze volgens mij. Natuurlijk kun je zeggen, zet een nachtportier neer of ga gewoon niet open. Maar dat vind ik geen reële alternatieven: ze zijn duur en niet perse betrouwbaarder – en gewoon dicht zijn is zakelijk natuurlijk onwerkbaar. Ik denk dan ook dat aan die noodzaak wel is voldaan.

Arnoud

Mag Taylor Swift met gezichtsherkenning mensen weren van haar concerten?

Geplaatst op in Privacy, Security, 17 reacties

Popartiest Taylor Swift gebruikt gezichtsherkenning tegen stalkers die naar haar concerten gaan, meldden diverse media. Een camera was verborgen in een zuil waar men highlights van het concert kon terugkijken. Deze scande gezichten van geïnteresseerden en een extern bedrijf vergeleek ze automatisch met bekende gezichten. Voor zover bekend werd er niemand gevonden. Maar het roept wel de vraag op, mag zoiets in Europa wel van de AVG?

Het herkennen van mensen aan hun gezicht staat natuurlijk bekend als een vorm van biometrie, en de AVG is daar streng in. Biometrische gegevens mogen niet zomaar worden gebruikt, dit zijn bijzondere persoonsgegevens, net als gegevens over seksualiteit of politieke voorkeur. Daar moet een specifieke wettelijke grondslag voor zijn. Artikel 9 van de AVG noemt er een aantal, maar het screenen van gezichten om ongewenste personen te weren staat daar niet bij.

Wel staat in lid 4 van dat artikel dat lidstaten eigen regels mogen maken over de inzet van biometrie. In Nederland is er sinds 25 mei de Uitvoeringswet AVG, waarin een aantal nationale regels zijn opgenomen die de AVG nader uitwerken of aanvullen, waaronder op het punt van biometrie. In artikel 29 daarvan wordt het verbod op gebruik van biometrie opgeheven wanneer

de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Je kunt denk ik wel redelijk eenvoudig betogen dat hier sprake is van een beveiligingsdoel. Zij wil immers ongewenste en mogelijk zelfs gevaarlijke bezoekers buiten de deur houden.

De discussie zal gaan over noodzaak. Daarvoor is vooral de vraag of het ook anders kan. Denk aan bewakers die met foto’s voor de neus zelf kijken naar camera’s, in plaats van apparaten die dat doen. Of het vragen van identificatie van bezoekers wanneer ze een kaartje kopen, in combinatie met een verbod op doorverkoop. Maar dat voelt eigenlijk allemaal ongeveer even heftig qua privacy-inbreuk.

In de praktijk denk ik dat het zal worden uitgevoerd als een systeem dat mogelijke matches zoekt, en een mens de definitieve herkenning zal laten doen – en vooral, zal laten besluiten wat te doen. De tijd dat een robot de meneer in kwestie automatisch naar buiten werkt, ligt nog ver van ons. Ik denk om die reden dat het wel kan.

Meer moeite heb ik persoonlijk met het verborgen karakter in die zuil. Een duidelijk aangekondigde herkenning bij de ingang lijkt mij gevoelsmatig juist prettiger. Dan weet je waar je aan toe bent. Heel gechargeerd, iedereen verplicht zijn gezicht in de herkenzuil steken (en dat vooraf natuurlijk duidelijk zeggen) zou ik liever hebben dan “haha, we hebben er eentje gepakt bij de videozuil”. Wat denken jullie?

Arnoud

Camera’s Britse politie herkenden duizenden mensen onterecht als crimineel

Geplaatst op in Privacy, 21 reacties

De politie van Wales zette tijdens de Champions League-finale van 2017 in Cardiff technologie met gezichtsherkenning in om criminelen op te sporen, maar het systeem zat in 92 procent van de gevallen fout. Dat meldde Nu.nl onlangs. De technologie scande van 170.000 mensen het gezicht en vond daarbij 2.470 potentiële gelijkenissen tussen bezoekers en bekende criminelen, maar 2.297 van die gelijkenissen was ten onrechte. Er zou geen enkele persoon zijn gearresteerd na foutief herkend te zijn door het systeem, en dus is het no big deal aldus de politie. Als dat de toekomst wordt van handhavingstech dan belooft het interessante tijden te worden.

Natuurlijk is geen enkel systeem perfect. Mensen kunnen zich vergissen, en computers kunnen fouten maken. Het is dan ook onrealistisch om te verwachten dat systemen altijd de juiste uitvoer leveren. En zeker als (zoals hier) de inputbeelden van slechte kwaliteit zijn, dan moet je niet te veel verwachten.

Er zijn diverse maten voor de kwaliteit van dit soort systemen. Allemaal komen ze neer op een conclusie afgaande op twee factoren:

  • Vals positief: een uitkomst wordt als positief (juist) aangemerkt, maar is eigenlijk negatief (onjuist). Bij deze gezichtsherkenning dus dat iemand wordt aangemerkt als voetbalcrimineel, terwijl hij dat niet is.
  • Vals negatief: een uitkomst wordt als negatief (onjuist) aangemerkt, maar is eigenlijk positief (juist). Hier dus dat een voetbalcrimineel wordt overgeslagen en gewoon naar binnen kan.

Beide onjuiste uitkomsten zijn onwenselijk, maar om verschillende redenen. Een vals positief zorgt ervoor dat je meer energie in iemand steekt dan nodig is: je gaat iemand langer opsluiten of intensiever begeleiden om recidive te voorkomen terwijl dat helemaal niet speelt. En een vals negatief kost je meer achteraf, je hebt immers een nieuw misdrijf van die recidivist en dat had je nu net willen voorkomen.

De belangrijkste hier van afgeleide factoren zijn precisie en vangst (‘recall’). De precisie is het percentage juiste uitkomsten ten opzichte van het totaal aantal uitkomsten, en de vangst is het percentage gevonden matches ten opzichte van het totaal aantal mogelijke matches. Als je dus tien voetbalcriminelen correct herkent, heb je een precisie van 100% maar als er tienduizend criminelen rondliepen dan is je vangst dus behoorlijk slecht. Vang je alle tienduizend criminelen door iederéén (170.000 bezoekers) als crimineel aan te merken, dan is je vangst 100% maar je precisie slechts 5,9%.

Het liefst heb je natuurlijk dat je alle tienduizend criminelen correct herkent en verder niemand fout herkent (vals positief). Maar het probleem is dat wanneer je het aantal matches (je vangst) verhoogt, je precisie vaak omlaag gaat. Wat je meestal namelijk doet, is de matching criteria omlaag doen en dus eerder tot een match besluiten. Dat is bij het detecteren van rot fruit in je magazijn tot daar aan toe, maar bij juridische systemen is het niet gepast dat je mensen onterecht als verdachte aanmerkt.

Een manier om dat te voorkomen, is door er een mens tussen te zetten. Je laat het systeem dan snel matchen en je accepteert dat een mens vervolgens veel van de uitkomsten weggooit als vals positief. Dat is beter dan een mens laten kijken, want de computer kan veel sneller die groep van 170.000 mensen doorscannen en een mens kan snel vals positieven elimineren. Een risico is wel dat de mens erg skeptisch wordt over het systeem – als je 92% van de alerts weg moet klikken als niet relevant, dan krijg je een reflex om élke alert weg te klikken.

Er waren dus geen personen ten onrechte gearresteerd, maar ik ben dan heel benieuwd of dat daaraan ligt.

Arnoud

Hoe kan Facebook legaal gezichten gaan scannen onder de AVG?

Geplaatst op in Privacy, 10 reacties

Als voorbereiding op de AVG gaat Facebook gezichtsherkenning aanzetten voor Europese gebruikers die dat willen, las ik bij de socialenetwerksite. Dat is verrassend, omdat ze het in 2011 uitgezet hadden na klachten dat de (Duitse) Wbp werd overtreden met deze feature. Doel van de nieuwe feature is te zorgen dat mensen in kunnen grijpen als hun gezicht ergens op Facebook opduikt, waarvoor gezichtsherkenning best wel nodig is.

De status van portretfoto’s onder de privacywet is lange tijd nogal punt van discussie geweest. Wanneer iemand herkenbaar in beeld is, dan is die foto een persoonsgegeven, daar is iedereen het wel over eens. Maar aan een foto kun je vaak ook dingen zien die als bijzonder persoonsgegeven aan te merken zijn, zoals iemands etnische afkomst of medische aandoeningen. Daarmee zouden portretten onder de strengste regels van de privacywet vallen, en dan gaan allerlei dingen mis.

De AVG kiest een compromis. Een foto van een mens is een persoonsgegeven, maar wordt pas een bijzonder persoonsgegeven als de foto wordt gemaakt of gebruikt met het oog op identificatie. De pasfoto op een toegangspas is dus een bijzonder persoonsgegeven, een sfeerfoto van een receptie is dat niet. (Het portret van het bruidspaar op de receptie denk ik dan weer wel, we willen immers weten wie er 50 jaar getrouwd waren. Maar die foto valt dan weer onder de uitingsvrijheid en daarmee buiten de AVG.)

Gaat zo’n sfeerfoto op Facebook, dan is dus een gewone verwerking. Je kunt je afvragen of dat dan valt onder het eigen gerechtvaardigd belang van de uploader, namelijk zijn uitingsvrijheid, of dat er toestemming nodig is van de geportretteerde. Maar wat Facebook vervolgens doet is problematisch: gezichtsherkenning om de personen op de foto te melden dat die foto geupload is, zodat ze daar bezwaar tegen kunnen maken.

Nu zegt Facebook dat ze dit alleen doen als je daarmee instemt:

If you choose to opt in then you will have access to the following features:
– We’ll let you know when someone else uploads a photo of you as their profile picture. We’re doing this to prevent people from impersonating others on Facebook.
– You’ll hear from us if you’re in a photo and are part of the audience, even if you haven’t been tagged. You can choose whether to tag yourself, leave yourself untagged, or reach out to the person who posted the photo if you have concerns about it.

En ik geloof onmiddellijk dat ik geen berichten ga krijgen hierover tenzij ik de feature aanzet. Maar in de praktijk betekent dit volgens mij dat ieder gezicht op iedere foto gescand en herkend wordt, inclusief dus personen die daar nog geen toestemming voor hebben gegeven. En dat zou een probleem zijn, want in die situatie werkt Facebook dus met bijzondere persoonsgegevens zonder uitdrukkelijke toestemming.

Misschien dat ze alleen screenen op features van gezichten van personen die die toestemming wel gaven. Dan worden andere personen dus niet herkend, en dan is het denk ik wel legaal. Dit voelt alleen erg inefficiënt, en bovendien kun je dan oude foto’s van mensen die later toestemming geven niet verwerken. Dus ik denk niet dat dit het gaat zijn.

(En terzijde: het portretrecht komt dus te vervallen vanaf 25 mei, afgezien van het verzilverbaar portretrecht voor bekende personen.)

Arnoud

AP gaat vragen stellen over reclameschermen met camera’s op stations

Geplaatst op in Privacy, 36 reacties

De Autoriteit Persoonsgegevens gaat vragen stellen aan de NS over reclameschermen van ExterionMedia die camera’s bevatten, meldde Tweakers eergisteren. Digitale reclameschermen van het bedrijf op stations bevatten camera’s waarmee wordt waargenomen of passanten naar de advertentie kijken. Daarover is veel discussie ontstaan: valt dat nu onder de privacywet of zijn het “alleen maar enen en nullen”?

Exterion is een bedrijf dat buitenreclame met van die zuilen aanbiedt. Recent viel het mensen op dat daar cameralenzen in prijken, waardoor de gedachte ontstond dat mensen worden gefilmd terwijl ze bijvoorbeeld over het perron lopen. Dat is juridisch een tikje dubieus, zeker omdat er niet gewaarschuwd wordt.

Volgens Exterion is er niets aan de hand:

Het gaat hier om camera’s die geen beeld vastleggen, maar door middel van software in een fractie van een seconde kunnen bepalen of er een persoon langs het scherm loopt. Er worden nooit beelden vastgelegd en er bestaat geen database of iets dergelijks waarin beelden worden opgeslagen.

Uit het Tweakersbericht haal ik dat de software alleen generieke uitvoer geeft: een jonge vrouw keek 12 seconden en focuste daarbij 7 seconden op de tekstballon rechtsboven, bijvoorbeeld. Dergelijke uitvoer lijken mij geen persoonsgegevens, omdat dit een te algemene omschrijving is om tot iemand te herleiden.

De AP wil echter nader onderzoek, want om die uitvoer te maken ligt het voor de hand dat je een foto of videobeeld maakt op hoge resolutie, om zo ogen te herkennen en het gezicht als man/vrouw en jong/oud te classificeren. En ook als die foto maar een seconde in het systeem zit, dan nog is sprake van een verwerking van persoonsgegevens. Dat wil niet zeggen dat het dan niet mag, maar je zult dan aan regels moeten voldoen zoals het informeren van mensen dát deze verwerking plaatsvindt.

Heeft iemand meer informatie over hoe die camera, pardon sensor komt tot zijn uitvoer?

Arnoud

Mag je iemands gezicht opzoeken op sociale netwerken?

Geplaatst op in Innovatie, 9 reacties

findface-ruslandRusland is in de ban van FindFace, een app waarmee gebruikers anderen kunnen identificeren door een foto van ze te maken, meldde de Volkskrant vorige week. De app vergelijkt een foto van iemands gezicht met profielfoto’s op Vkontakte, de Russische variant van Facebook. En dat is dan weer handig voor stalkers en dergelijk volk. Oh jee.

Het zal wel weer aan mijn antieke opvattingen over innovatie liggen, maar wat is dat toch dat iets nieuw is omdat het in een app zit? Want heel spannend voelt het niet: gezichtsherkenning als technologie bestaat al jaren, en dat matchen tegen foto-databanken is ook niet echt nieuw. Ook niet als app. (Oké, zomaar even toegang krijgen tot alle foto’s van een sociaal netwerk dat is een creatieve hack, dat wel.)

Mag het? Ja, leuke vraag. Dan haal ik maar weer de Wbp van stal: een foto maken is een verwerking van iemands persoonsgegevens, en dat zul je dus moeten rechtvaardigen onder een eigen noodzaak als er geen toestemming of contract is. (Met portretrecht kom je er niet want dat geldt pas bij publicatie, en de FindFace foto wordt niet gepubliceerd.) Tegen de Volkskrant zei ik dat de gebruikers onder de uitzondering voor huishoudelijke verwerking vallen, maar misschien moet ik daarop terugkomen: als cameratoezicht op de openbare weg er buiten valt, waarom dan niet los fotograferen op de openbare weg? Zeker in combinatie met dat matchen op een netwerk van derden.

Doet FindFace iets verkeerd? Die staat immers hoe dan ook grootschalig persoonsgegevens te verwerken door foto’s te herkennen en te matchen. Dat lijkt me wel, maar ze zouden kunnen zeggen dat ze per geval steeds in opdracht handelen van de consument die doel en middelen kiest, en daarmee zijn zij slechts bewerker en niet zelfstandig aan te spreken voor overtreding van de Wbp. Onder de Privacyverordening zal dat anders liggen, maar die heeft nog twee jaar overgangsrecht voor de boeg.

Daarbij komt – en dat is wel vaker met zulke apps – dat er ook allerlei legitieme toepassingen zijn van zo’n app. Het is handig om snel profielen van je vrienden te vinden. En hoe weet die app nou of jij een stalker bent of de beste vriend van die vrouw die je net fotografeerde?

Het is voor mij vooral de vraag hoe populair dit gaat worden, en hoe het dan misgaat. De eerste rechtszaak zal de toon zetten. Een principiële niet-Facebooker of een al jaren gestalkte dame, dat maakt nogal uit. Plus natuurlijk dat matchen op Facebook iets ingewikkelder is dan bij Vkontakte, dus de implementatie zal nog niet meevallen.

Arnoud