Een recent essay op Substack opent met een scène die de meeste stadsbewoners zullen herkennen: je passeert een tiental camera's voordat je zelfs maar op je werk aankomt, en je gezicht kan worden gescand, getagd en geregistreerd zonder flits of enige kennisgeving. Het stuk kadert dit als een stille ruil van vrijheid voor controle. Voor lezers van een privacysite is de praktische vraag smaller: wat beperken privacywetten rond gezichtsherkenning eigenlijk, en welke tools helpen?

Het korte antwoord is dat de wet een lappendeken is, en een VPN maakt geen deel uit van de oplossing voor dit specifieke probleem.

Hoe gezichtsherkenning je volgt zonder toestemming

Gezichtsherkenning werkt door een afbeelding van je gezicht om te zetten in een numerieke template en die vervolgens te vergelijken met andere templates. Juridische commentatoren merken op dat zowel de gezichtsafbeelding als de numerieke code die aan een gezicht wordt toegewezen, kunnen gelden als persoonsgegevens onder privacyrecht.

Wat de technologie anders maakt dan veel andere biometrische systemen, volgens de ACLU, is dat ze kan worden gebruikt voor algemene surveillance in combinatie met openbare videocamera's. Een vingerscanner vereist dat je een vinger op glas drukt. Een cameranetwerk vereist niets van jou. Je kiest er niet voor, en je kunt vaak niet zien of een bepaalde camera herkenningssoftware draait of simpelweg opneemt.

Dat is het kernprobleem van toestemming. In openbare ruimtes is er zelden een moment waarop iemand het vraagt, en zelden een bord dat uitlegt wat er daarna met de gegevens gebeurt.

Welke privacywetten rond gezichtsherkenning surveillance beperken

Er is geen enkele wereldwijde regel. Wat bestaat, hangt sterk af van waar je bent.

Verenigde Staten. Analisten wijzen al lang op het feit dat er geen federale wet is die de verzameling van biometrische gegevens reguleert, inclusief gegevens voor gezichtsherkenning. In plaats daarvan komt bescherming uit een mix van staatswetten en lokale regels. Wetten rond gezichtsherkenning worden over het algemeen behandeld als een subset van biometrische privacywetgeving. Illinois is het bekendste voorbeeld: de aanpak daar stelt dat een particuliere entiteit geen biometrische identificatie van een persoon mag verkrijgen zonder eerst de betrokkene te informeren dat deze wordt verzameld of opgeslagen. Sommige wetten gaan verder en vereisen expliciete toestemming voordat biometrische gegevens worden verzameld, inclusief gegevens die via gezichtsherkenning worden verzameld. De inzet kan hoog zijn. Eén socialmediafunctie waarvan wordt beweerd dat ze gezichtsgeometrie zonder toestemming scande, leidde tot een schikking van $650 miljoen.

De briefing voor dit artikel wijst ook op verboden in sommige Amerikaanse staten en steden. Deze richten zich doorgaans op overheidsgebruik, dus een verbod in de ene stad dekt mogelijk geen particuliere retailers, verhuurders of werkgevers. Controleer het specifieke toepassingsgebied van elke regel die op jou van toepassing is.

Europese Unie. De EU AI Act is het belangrijkste regionale kader dat bepaalde toepassingen van gezichtsherkenning beperkt. De regels zijn gelaagd en bevatten voorwaarden en uitzonderingen, dus een samenvatting in een kop lezen is niet hetzelfde als weten wat van toepassing is op een specifieke camera. Als je in de EU woont, bekijk dan de richtlijnen van je nationale gegevensbeschermingsautoriteit over hoe de regels lokaal worden toegepast.

Twee kanttekeningen zijn het onthouden waard. Wetten op dit gebied veranderen snel, en sommige veel geciteerde commentaren zijn meerdere jaren oud. Bovendien betekent een wet die een praktijk beperkt niet dat de praktijk is gestopt. Handhaving, uitzonderingen en wie onder de wet valt, zijn allemaal van belang.

Waarom een VPN je gezicht niet kan verbergen

Een VPN versleutelt het verkeer tussen je apparaat en een VPN-server, en maskeert je IP-adres voor de sites die je bezoekt. Dat is nuttig om je browsen te beschermen tegen lokale netwerksnuffelaars en om te beperken wat websites over je locatie leren.

Het doet niets aan een camera die op je gezicht is gericht op straat, in een winkel of bij een toegangspoort. Die camera leest je internetverkeer niet. Die legt licht vast. Er zit geen versleutelingstunnel tussen je gezicht en de lens.

Er is een smaller overlapgebied dat het waard is te begrijpen. Als een dienst je vraagt een selfie of ID-foto te uploaden voor verificatie, reist de afbeelding over het netwerk, en een VPN kan die onderweg beschermen. Het kan niet controleren wat het bedrijf met je gezicht doet zodra het aankomt. Digitale identiteitssystemen die vertrouwen op certificaten en cryptografische sleutels, zoals public key infrastructure (PKI), verifiëren wie je bent zonder dat er überhaupt een scan van je gezicht nodig is. Dat is een nuttig onderscheid bij het beoordelen of een biometrische controle echt noodzakelijk is.

Wat dit voor jou betekent

Privacywetten rond gezichtsherkenning zijn het sterkst waar een wetgever heeft gehandeld en waar toezichthouders de regels handhaven. Als je in een plaats woont met een biometrische toestemmingswet, heb je mogelijk het recht om te worden geïnformeerd wanneer je gezichtsgegevens worden verzameld en, in sommige gevallen, om juridische stappen te ondernemen wanneer ze worden misbruikt. Als je ergens woont zonder zo'n wet, kunnen je beschermingen gering zijn.

Het betekent ook dat je twee soorten privacy moet scheiden: wat je online doet, en wat er over je fysieke aanwezigheid wordt vastgelegd. Verschillende tools en verschillende wetten dekken elk daarvan.

Praktische stappen en juridische tools die je wél beschermen

  • Leer de regels waar je woont. Zoek naar de richtlijnen van je staat, stad of nationale gegevensbeschermingsautoriteit over biometrische gegevens. Let op of de regels particuliere bedrijven, overheidsinstanties of beide dekken.
  • Lees kennisgevingen en stel vragen. Als een bedrijf of werkgever gezichtsgegevens verzamelt, vraag dan wat er wordt opgeslagen, hoe lang en wie het ontvangt. Op plaatsen met toestemmingsvereisten zijn ze je mogelijk een duidelijk antwoord verschuldigd.
  • Weiger optionele gezichtsscans. Wanneer een gezichtsontgrendeling, fototagging of selfieverificatie optioneel is, overweeg dan of een alternatief zoals een toegangscode voor jou werkt.
  • Controleer app- en platforminstellingen. Schakel gezichtsherkenning of taggingfuncties uit die je niet gebruikt.
  • Gebruik je juridische rechten. Waar inzage- of verwijderingsrechten bestaan, kun je opvragen wat een bedrijf over je heeft.
  • Steun duidelijke regels. Openbare inspraakperiodes en vergaderingen van de gemeenteraad zijn de plekken waar veel camerabeleid wordt vastgesteld.

De kern van de zaak

Camera's die gezichten scannen in het openbaar zijn een juridische en maatschappelijke kwestie, niet een kwestie van netwerkbeveiliging. Begrijpen hoe privacywetten rond gezichtsherkenning werken waar je woont, is de nuttigste eerste stap, want het vertelt je welke rechten je daadwerkelijk kunt uitoefenen. Blijf een VPN gebruiken voor wat het goed doet, het beschermen van je netwerkverkeer, maar verwacht niet dat het je gezicht afschermt. Zoek deze week je lokale biometrische regels op en pas vandaag de optionele instellingen aan die je beheert.