zonder de toestemming van de betrokkene; bijvoorbeeld wanneer toegang tot een welbepaalde template versleuteld is, en alleen de betrokkene over de sleutel beschikt. ▪
(type 3) Exclusief beheer door de verwerkingsverantwoordelijke: het template wordt in exploiteerbare vorm opgeslagen in een template database onder het exclusieve beheer van de verwerkingsverantwoordelijke. In dit geval dienen de meest stringente voorwaarden in acht genomen te worden.
Het Kenniscentrum benadrukt dat de opslag van templates overeenkomstig de types 2 en 3 slechts in uitzonderlijke omstandigheden mogelijk zal zijn. Denk bijvoorbeeld aan authenticatie in kritieke omgevingen waar het verlies van een token of badge (exclusief beheer door de betrokkene) bijzonder ernstige gevolgen kan hebben (bijvoorbeeld: toegang tot een operatiekwartier of kerncentrale).
2.5
Exceptie
Een zeer specifieke, evenwel alomtegenwoordige toepassing van het gebruik van biometrische gegevens speelt zich af in het kader van de persoonlijke authenticatie via smartphones en andere elektronische toestellen waar gezichtsherkenningssoftware en vingerafdruksensors steeds vaker optreden als alternatief voor de traditionele pincode. Gezien het belang in de praktijk van dergelijke toepassingen en de ambiguïteit die er vaak mee gepaard gaat verdient dit onderwerp enige toelichting. Artikel 2.2, c) AVG bepaalt dat de verordening niet van toepassing is "op de verwerking van persoonsgegevens door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit". Wanneer de biometrische gegevens (lees: de aangemaakte templates die authenticatie via bijvoorbeeld gezichtsherkenning of een vingerafdruk mogelijk maken) exclusief op het apparaat van de betrokkene worden bewaard, heeft dit tot gevolg dat het biometrische authenticatieproces lokaal en autonoom kan plaatsvinden zonder externe toegang. Een gegevensverwerking in die zin – geïnitieerd door de betrokkene en gerealiseerd onder zijn controle – kan onder bepaalde voorwaarden onder de huishoudelijke exceptie vallen, wat impliceert dat de regels van de AVG niet van toepassing zijn.13 Vooraleer zich te kunnen beroepen op de huishoudelijke exceptie zal de aanbieder van een bepaald apparaat, of een bepaalde dienst evenwel moeten aantonen dat aan de volgende voorwaarden cumulatief is voldaan:
13
Deze zienswijze wordt gedeeld door de Franse gegevensbeschermingsautoriteit (CNIL), https://www.cnil.fr/fr/biometrie-dans-les-smartphones-des-particuliers-application-du-cadre-de-protection-desdonnees.
zie:
16 Aanbeveling betreffende biometrie | Versie 1.1 – 01/12/2021
