4.1 Inleiding
Dit hoofdstuk onderzoekt welke regels bescherming kunnen bieden tegen de bijzondere problemen van live gezichtsherkenning indien de Nederlandse politie hiertoe zou overgaan. In hoofdstuk 5 zullen deze worden geëvalueerd. Het juridisch kader omtrent gezichtsherkenning is verdeeld over verschillende wettelijke regimes. Enerzijds is het een opsporingsmethode waarvoor een strafvorderlijke bevoegdheid is vereist. Anderzijds kwalificeert het als een samenstel van gegevensverwerkingen waarop gegevensbeschermingswetgeving van toepassing is. Kortgezegd moet de verzameling van gezichtsafbeeldingen worden gebaseerd op een bevoegdheid in het Wetboek van Strafvordering en wordt het verdere gebruik daarvan – i.e. de blootstelling aan gezichtsherkenningssoftware – beheerst door de Wet Politiegegevens.156
4.2. Het verzamelen van gezichtsafbeeldingen: Wetboek van Strafvordering
De politie heeft altijd een wettelijke basis nodig om persoonsgegevens te mogen verzamelen. Deze basis kan worden gevonden in de artikelen 8, 9 of 10 van de Wet Politiegegevens in combinatie met een bevoegdheid uit de Politiewet of het Wetboek van Strafvordering (WvSv).157 Volgens vaste jurisprudentie van de Hoge Raad mogen handelingen waarbij sprake
is van een beperkte inbreuk op de persoonlijke levenssfeer worden gebaseerd op de brede politietaak van artikel 3 Politiewet of de algemene taakstellende bepalingen van artikel 141- 142 WvSv.158 Wanneer een opsporingsmethode echter een grotere inbreuk maakt op grondrechten, bijvoorbeeld wanneer grote hoeveelheden gegevens van onverdachte personen worden verzameld,159 is een specifieke wettelijke bevoegdheid in het WvSv vereist.160
De vraag is of de grootschalige live verzameling van gezichtsafbeeldingen middels videocamera’s met het oog op gezichtsherkenning een speciale grondslag behoeft. De Commissie Koops acht dit zeker denkbaar gezien de indringendheid van de inbreuk op de persoonlijke levenssfeer.161 Gritter meent daarentegen dat het op automatische wijze ongericht
156 Kamerbrief 20 november 2019, p. 1-2, 3; Kamerstukken II 2017/18, 34 889, nr. 3, p. 36; Kamerstukken II
2005/06, 30 327, nr. 3, p. 25.
157 Schermer 2017, p. 210.
158 Zie HR 19 december 1995, ECLI:NL:HR:1995:ZD0328 (Zwolsman), r.o. 6.4.5 en 7.4; vgl. Keulen/Knigge
2016, p. 288-289.
159 Kamerstukken II 2017/18, 34 889, nr. 3, p. 36.
160 Keulen/Knigge 2016, p. 289-290; Schermer 2017, p. 210. De stelselmatige observatie met een technisch
hulpmiddel (o.a. camera) is bijvoorbeeld neergelegd in artikel 126g WvSv.
35
vergaren van gegevens, ook van niet-verdachten, afdoende legitimatie heeft in de Politiewet en/of artikel 141 Sv. De eventuele problemen zitten zijns inziens niet zozeer in de verzameling van de gegevens, maar op de verdere verwerking daarvan (zie hierna).162 Gritter poneert zijn stelling evenwel in het kader van datamining en maakt daarbij geen onderscheid in het type persoonsgegevens. Het feit dat het bij gezichtsherkenning om zeer gevoelige gegevens gaat, namelijk biometrische gegevens, is een gewichtige factor bij de beoordeling van de indringendheid van de opsporingsactiviteit. In navolging van de Commissie Koops is een specifieke wettelijke grondslag daarom sterk verdedigbaar. Een dergelijke bepaling in het Wetboek van Strafvordering ontbreekt vooralsnog.
4.3 Het toepassen van gezichtsherkenningstechnologie: Wet Politiegegevens
Zoals opgemerkt wordt de verdere verwerking van politiegegevens gereguleerd door de Wet Politiegegevens (Wpg). Deze wet is per 1 januari 2019 gewijzigd naar aanleiding van de Richtlijn Politiegegevens 2016/679.163 Nota bene: de Algemene Verordening
Gegevensbescherming is niet van toepassing op de strafrechtelijke opsporing.164 Deze sectie
geeft een overzicht van de regels uit de Wpg die gelden voor de automatische gezichtsvergelijking op rechtmatig verkregen gezichtsafbeeldingen.165
4.3.1 Technologieneutraal
De Richtlijn en Wet Politiegegevens zijn technologieneutraal. De regels bieden bescherming tegen de verwerking van persoonsgegevens door de politie ongeacht de technieken die daarbij worden aangewend.166
4.3.2 Noodzakelijkheid
Een verdere verwerking van politiegegevens is alleen rechtmatig voor zover dit ‘noodzakelijk’ is voor doeleinden binnen de politietaak waaronder de opsporing van strafbare feiten en het voorkomen van gevaren voor de openbare veiligheid.167 Anders dan onder de AVG vormt
162 Gritter 2018, p. 114-115.
163 De Wpg is op bepaalde punten uitgewerkt in het Besluit Politiegegevens. Dit Besluit is voor deze scriptie
minder relevant en wordt buiten beschouwing gelaten.
164 Zie artikel 2, tweede lid onder d AVG. Materieel overlappen de Richtlijn en de AVG elkaar wel, omdat ze op
hetzelfde moment zijn aangenomen als onderdeel van een pakket en grotendeels zijn gebaseerd op dezelfde beginselen, zie: FRA Handbook 2018, p. 283.
165 Zie Artikel 3 lid 2 Wpg. 166 Overweging 18 Richtlijn.
36
individuele toestemming dus géén rechtsgrond voor de verwerking van politiegegevens.168 Blijkens de toelichting bij de Wpg uit 2005 wordt voor de uitleg van het begrip ‘noodzakelijk’ aangesloten bij het de rechtspraak van het EHRM en daarmee bij de beginselen van subsidiariteit (noodzakelijkheid in enge zin) en proportionaliteit.169
4.3.3 Strenger regime voor bijzondere politiegegevens
Voor bijzondere politiegegevens, waaronder sinds de implementatie van de Richtlijn ook biometrische gegevens worden geschaard, geldt wegens hun gevoelige aard een strenger regime.170 De verwerking is slechts toegestaan wanneer dit ‘onvermijdelijk’ (artikel 5 Wpg) oftewel ‘strikt noodzakelijk’ (art. 10 Richtlijn) is voor het nagestreefde doel. Dit betekent dat de verwerking nauwkeurig en uiterst gedegen moet wordt onderbouwd.171 Daarnaast schrijft de Richtlijn voor dat, behoudens beperkte uitzonderingen, de bijzondere verwerking een wettelijke basis heeft en geschiedt met inachtneming van passende, tevens bij wet vastgelegde, waarborgen.172 De Nederlandse wetgever heeft in artikel 5 Wpg twee van zulke waarborgen
opgenomen: de verwerking vindt enkel plaats in aanvulling op de verwerking van andere politiegegevens en de gegevens zijn afdoende beveiligd.173 Ten slotte geldt dat bij
geautomatiseerd genomen besluiten waarbij bijzondere politiegegevens zijn verwerkt extra maatregelen moeten worden genomen (zie hierna).
4.3.4 Bescherming tegen uitsluitend geautomatiseerde besluitvorming
Besluiten die worden genomen op grond van een volledig geautomatiseerde verwerking van politiegegevens en die voor de betrokkene nadelige gevolgen hebben of hem in aanmerkelijke mate treffen, zijn volgens artikel 7a Wpg en artikel 11 Richtlijn verboden. De Richtsnoeren van de Artikel 29-Werkgroep verhelderen dat van volledig geautomatiseerde besluitvorming óók sprake is wanneer binnen een technisch proces niet wordt voorzien in ‘zinvolle’ menselijke tussenkomst (N.B. vergelijk het begrip ‘quasi-geautomatiseerd’ in hoofdstuk 2). Onder zinvolle tussenkomst wordt verstaan een menselijke handeling die niet puur symbolisch is en verricht door een persoon die bevoegd en bekwaam is om het besluit te veranderen.174
168 Overweging 35 Richtlijn.
169 Kamerstukken II 2005/06, 30 327, p. 31. 170 Groenhart 2008.
171 Article 29 Data Protection Working Party, Opinion of 29 November 2017, p.8. 172 Artikel 10 jo. overweging 37 Richtlijn.
173 Vgl. overweging 37 Richtlijn.
37
Het verbod is niet van toepassing indien het besluit voorziet in passende waarborgen. Volgens de Richtlijn moet ten minste een recht op menselijke tussenkomst zijn opgenomen opdat de betrokkene zijn standpunt kenbaar kan maken, uitleg kan krijgen en kan opkomen tegen het besluit. De Nederlandse wetgever heeft het minimumvereiste van menselijke interventie in artikel 7a Wpg zo gespecificeerd dat sprake moet zijn van voorafgaande menselijke tussenkomst, dat wil zeggen voorafgaand aan het nemen van het besluit.175 Daarnaast eist het artikel dat specifieke voorlichting wordt gegeven aan de betrokkene.
Wanneer een nadelig/aanmerkelijk treffend besluit wordt genomen op basis van
bijzondere persoonsgegevens, moeten blijkens artikel 11 lid 2 van de Richtlijn ‘passende
maatregelen’ worden getroffen. Volgens de Afdeling Advisering van de Raad van State wordt hiermee gedoeld op maatregelen “in aanvulling” op de waarborgen zoals reeds genoemd in het eerste lid.176 De Nederlandse wetgever heeft de extra maatregelen geoperationaliseerd door in
artikel 7a lid 2 Wpg het vereiste op te nemen dat de Autoriteit Persoonsgegevens wordt geraadpleegd over de voorgenomen verwerking. Bij een negatief oordeel geeft zij binnen zes weken schriftelijk advies aan de verwerkingsverantwoordelijke.
4.3.5 Zwakkere transparantievereisten
In het licht van het beginsel van autonomie/controle c.q. transparantie moet worden opgemerkt dat dit laatste in de Richtlijn en de Wpg niet als algemeen beginsel van gegevensbescherming wordt genoemd. Overweging 26 stelt zelfs expliciet dat de politie geheime (covert) videosurveillance mag verrichten. Evenzo vond de Nederlandse wetgever het belangrijk dat de wet de mogelijkheid biedt voor de politie om, in het belang van waarheidsvinding, persoonsgegevens soms zonder medeweten van betrokkenen te kunnen verkrijgen en gebruiken.177
Dit betekent niet dat transparantie geen enkele rol speelt in politiecontext. Ingevolge artikel 24b lid 1 Wpg178 verstrekt de verwerkingsverantwoordelijke ten allen tijde ‘algemene’ informatie, zoals zijn identiteit en de verwerkingsdoelen van zijn verwerkingsactiviteiten, opdat alle potentiële betrokkenen daarover vooraf zijn geïnformeerd.179 De wetgever staat toe dat deze informatie op de website van de bevoegde autoriteit beschikbaar wordt gesteld in bijvoorbeeld
175 Kamerstukken II 2017/18, 34 889, nr. 3, p. 68. 176 Ibid.
177 Kamerstukken II 2005/06, 30 327, p. 2-3. 178 Artikel 13 lid 1 Richtlijn.
38
een privacyverklaring.180 In specifieke gevallen van gegevensverwerking verstrekt de verantwoordelijke tevens ‘verdere’ informatie. Deze speciale informatieplicht is echter niet absoluut: op grond van artikel 24b lid 3 Wpg mag de verantwoordelijke de informatieverstrekking uitstellen, beperken of achterwege laten voor zover dit noodzakelijk en evenredig is in verband met een algemeen belang, zoals nadelige gevolgen voor de opsporing of bescherming van de openbare veiligheid.181
4.3.6 Géén onderscheid tussen verdachten en niet-verdachten
Tot slot maakt de Wpg noch de Richtlijn onderscheid tussen gegevensverzameling bij verdachten en niet-verdachten. Hoewel artikel 6 aanhef en onder a-c van de Richtlijn voorschrijft dat politiediensten zoveel mogelijk onderscheid maken tussen de categorieën van personen van wie zij persoonsgegevens zij verwerken, worden ‘onverdachte personen’ in dit artikel niet als aparte categorie genoemd. Ook de Nederlandse wetgever wil geen onderscheid maken omdat het in de praktijk noodzakelijk kan zijn de gegevens van onverdachte personen te verwerken.182
180 Kamerstukken II 2017/18, 34 889, nr. 3, p. 77. 181 Artikel 27 lid 1 Wpg onder a t/m e.
39