Gezichtsherkenning als identificatiemiddel naast de coronacheck voor festivals

Kun je straks op een festival je gezicht laten zien door simpelweg je gezicht te laten zien? Afgelopen zomer kon het al tijdens Limburg Oet de Drup, een benefietfestival in Valkenburg ten bate van de slachtoffers van de overstroming in het gebied. De ongeveer 2.000 bezoekers konden ervoor kiezen om zich door middel van gezichtsherkenning te identificeren, in combinatie met een coronatoegangsbewijs. Het was een van de kleine festivals in Limburg waar gezichtsherkenning bij de poort werd toegepast. Grote festivalorganisatoren willen er voorlopig nog niet aan.

Hoe werkt het? Wie met dergelijke techniek naar een festival wil, downloadt de app (PeopleFlows), waarin de persoonsgegevens, een selfie en een scan van het identiteitsbewijs moet worden geladen. Bij het festival is een speciale rij, een ‘fastlane’, waar het gezicht wordt gescand en het coronatoegangsbewijs kan worden gescand.

Wie dat niet wil, kan naast het scannen van de qr-code gewoon een ouderwets plastic identiteitsbewijs tonen. „Ongeveer 30 procent van de bezoekers maakte gebruik van de gezichtsscan, en dat scheelde enorm in snelheid bij de toegang”, zegt Marcel van Eeghem van Sjeng Kraft Kompenei, de organisator van Limburg Oet de Drup. Het was volgens de organisator zo’n succes dat ze het ook gaan toepassen bij De Elfde van de Elfde, de opening van het carnavalsseizoen in Roermond, waar tot 17.000 bezoekers worden verwacht.

Gezichtsherkenning schrikt de bezoekers volgens Van Eeghem niet af. „Wij vertrouwen het bedrijf achter de techniek en volgen de regelgeving uit Den Haag.”

Problemen achteraf

Niet alles verloopt vlekkeloos in Limburg. Directeur Theo Breuers van Compo Software uit Margraten, dat de apparatuur en software levert, vertelt dat er de afgelopen maanden ongeveer 25 evenementen plaatsvonden waar gezichtsherkenning mogelijk was. Welke andere evenementen dat naast het benefiet in Valkenburg waren zegt Breuers liever niet. „In een aantal gevallen maakten gemeenten achteraf een probleem van de evenementen.”

Wat voor problemen dat waren, wil Breuers niet zeggen. „Gezichtsherkenning is altijd een probleem, je moet telkens weer uitleggen wat je doet en hoe het werkt. Daarom spreken we nu vooraf ook met de veiligheidsregio’s, zodat we achteraf geen discussie meer hebben.”

Volgens Compo wordt de selfie zelf niet opgeslagen, alleen 1.024 vectoren van het gezicht. Die worden versleuteld opgeslagen in een database „ergens in Nederland” en gekoppeld aan een willekeurig nummer. Zo is het volgens Breuers voor hackers, maar ook voor Compo zelf, onmogelijk om ze aan een persoon te koppelen. Ook de scan van het identiteitsbewijs wordt niet opgeslagen, maar alleen gebruikt ter controle van de ingevoerde gegevens. De bezoeker kan achteraf zelf in de app kiezen om alle data te verwijderen, of het weer gebruiken voor een volgend evenement.

Belangrijk is dat bezoekers die geen toestemming hebben gegeven niet in de camera kijken – daarvoor zijn er aparte ingangen – en dat mensen die er niet aan mee willen doen een andere mogelijkheid krijgen, en dus gewoon hun identiteitsbewijs kunnen laten zien. Maar volgens Compo-directeur Breuers is de gezichtsscan veiliger. „Als je je identiteitsbewijs moet afgeven, zien de controleurs veel meer persoonsgegevens.”

„Het ligt eraan hoe je dat ziet”, zegt Jorden Bailey, juridisch adviseur van ICTRecht. „Feit blijft dat er bij het fysiek tonen van een paspoort geen persoonsgegevens verwerkt worden. Het alleen maar tonen en checken zonder technische middelen valt niet onder de AVG. Als op enig moment gegevens wel worden opgeslagen of anderszins technisch worden verwerkt, dan ben je persoonsgegevens aan het verwerken. Dan wordt het een wedstrijdje: onthoudt de controleur aan de poort meer van jouw gegevens bij het fysiek lezen van je paspoort dan dat er wordt opgeslagen in de app? Ik betwijfel het.”

Lees ook Maxim Februari: Gezichtsherkenning is het einde van de argeloosheid

‘Past niet bij gezellige avond’

Straks ook naar Lowlands met zo’n scan? Dat lijkt er nog niet op. Gesprekken met geïnteresseerde festivalorganisatoren lopen wel, zegt Compo-directeur Breuers, maar veel van hen wachten af of de coronacheck in stand blijft. In elk geval lijken de meeste grote muziekfestivals er vooralsnog niet aan te gaan, blijkt uit een rondgang. Organisatoren Mojo Concerts, Friendly Fire, ID&T, Apenkooi Events, De Feestfabriek en festival Le Guess Who? zeggen allemaal niet met gezichtsherkenning te werken of dat van plan te zijn.

„De balans tussen veiligheid en gastvrijheid vinden we erg belangrijk en het inzetten van biometrische gegevens om toegang te krijgen tot een evenement vinden we een maatregel die niet past bij een gezellige avond uit of een festival”, zegt marketingmanager Bente Bollmann namens Mojo Concerts. „Bovendien voegt het inzetten van deze technieken nu niets toe aan de beheersbaarheid of veiligheid van een evenement.”

Het roept een proef van Live Nation (het moederbedrijf van Mojo Concerts) in herinnering, dat in 2018 heimelijk gezichtsherkenning inzette bij een concert van Taylor Swift om haar stalkers buiten de deur te houden. Dat riep zoveel protest op dat het niet in gebruik werd genomen. Daar was de techniek vooral bedoeld als surveillancemiddel, voor identificatie. Dat is een verschil met de toepassing van gezichtsherkenning in Limburg, wat werkt als authenticatie. Maar die twee zaken lopen soms door elkaar. Zo kunnen Russische metrogangers in Moskou sinds vorige week betalen met hun gezicht: ‘Face Pay’, en dat is weer aangesloten op het uitgebreide surveillancenetwerk in de Russische hoofdstad dat al is ingezet om deelnemers aan anti-regeringsdemonstraties te herkennen. Iets dergelijks is binnen de Algemene verordening gegevensbescherming (AVG) in EU-landen dan ook niet toegestaan. Gezichtsherkenning is in principe helemaal niet toegestaan. Er zijn twee uitzonderingen: als er uitdrukkelijke toestemming is gevraagd aan de betrokkenen, of als er met betrekking tot de veiligheid een zwaarwegend belang is – bijvoorbeeld rond een kerncentrale. Het systeem van Compo valt onder die eerste uitzondering: deelname is vrijwillig, en een alternatief is geboden.

Lees ook: Betalen met je gezicht in Moskouse metro: ‘makkelijk en helemaal niet eng’

Zuid-Afrika en Sotsji

Dat de gezichtsherkenningstechniek van Compo meer kán, blijkt uit de gesprekken die het bedrijf voert met autoriteiten in Zuid-Afrika, waar de politie op die manier wil kunnen controleren wie in bepaalde regio’s is toegestaan en vooral wie daar niet zou mogen zijn. Breuers: „Ja dat gaat best ver, maar het gaat om kleine, private districten in bijvoorbeeld het financiële district in Kaapstad, waar veel geweld voorkomt. Daar kun je beter alleen de mensen toelaten die er mogen zijn dan elke dag die ellende. Maar wij hebben ook nog vragen aan de autoriteiten, we zijn nog in gesprek. We gaan daar in elk geval niets doen wat niet ook in Nederland zou zijn toegestaan.” Compo leverde eerder gezichtsherkenningssystemen aan tijdens de WK’s voetbal in Brazilië en Zuid-Afrika en de Olympische Spelen in het Russische Sotsji, waar ze werden ingezet voor personeelsregistratie: personeel klokte er in en uit met hun gezicht. „Daarop werd wel gezegd: hoe kun je nou werken in dat soort landen? Maar ze vergeten dat dankzij ons systeem die mensen wel allemaal betaald werden. Je kunt een organisator zo verplichten het netjes af te handelen.”

Compo is ook in gesprek met theaterzalen en voetbalclubs over de toepassing van gezichtsherkenning. Er wordt geëxperimenteerd in de Johan Cruijff Arena in Amsterdam rond evenementen en personeelsregistratie, en Heracles in Almelo is geïnteresseerd in een proef rond de wedstrijd tegen Fortuna Sittard op 20 november. Die club werkte eerder mee aan een proef in 2019 waarbij tickets aan gezichtsherkenning werden gekoppeld. “Wat nu een extra toevoeging zou zijn is de controle van de Coronacheck”, zegt een woordvoerder van Heracles. “Maar of dat haalbaar is moet eerst nog uitgezocht worden.”

De Autoriteit Persoonsgegevens (AP) is niet helemaal gerust op het gebruik van gezichtsherkenning in de entertainmentsector. Een woordvoerder zegt geen uitspraken te kunnen doen over individuele kwesties zonder onderzoek, maar wijst op de voorzichtige houding die de privacywaakhond in het algemeen aanhoudt. „Dit soort systemen is misschien handig, maar de inzet mag alleen als het écht nodig is”, schrijft AP-bestuurslid Monique Verdier erover op de website. „Kijk eerst of je hetzelfde doel met minder ingrijpende maatregelen kunt bereiken.” De AP gaat in verschillende sectoren, waaronder de evenementensector, voorlichting geven over het gebruik van dit soort systemen.

De organisatie van De Elfde van de Elfde in Roermond ziet het gebruik als een proef. Marcel van Eeghem: „Het is wat ons betreft geslaagd als een behoorlijk aandeel van de bezoekers er gebruik van maakt en dat er geen technische problemen zijn. Als het lukt, hebben we een goeie pionierszet gedaan. En anders moeten we gaan heroverwegen.”