Verschillende vakantieparken hebben het gebruik van gezichtsherkenning voor toegang tot zwembaden en speeltuinen na onderzoek van de Autoriteit Persoonsgegevens (AP) aangepast. Eén vakantiepark dat dit niet deed heeft van de privacytoezichthouder een last opgelegd gekregen en moet de werkwijze binnen een aantal weken aanpassen. Gebeurt dit niet, dan kan de AP tot andere maatregelen overgaan, zoals een dwangsom of boete.

Volgens de AP is de inzet van gezichtsherkenning in principe verboden. Er zijn drie uitzonderingen waarbij de technologie wel mag worden ingezet. Het gaat dan om een persoonlijk of huishoudelijk doel, zoals het ontgrendelen van een telefoon. Een andere uitzondering is de noodzakelijkheid van gezichtsherkenning voor authenticatie of beveiliging. "Die noodzaak is er niet snel. Het moet gaan om een zwaarwegend algemeen belang. Bijvoorbeeld de beveiliging van een kerncentrale of van staatsgeheime informatie", aldus de AP.

De derde en laatste uitzondering betreft uitdrukkelijke toestemming van de personen van wie het gezicht wordt gescand. Mensen moeten in dit geval wel goed worden geïnformeerd. Ook moeten mensen vrij zijn om nee te zeggen. Zo moet er een alternatief geboden worden. Uit onderzoek van de AP bleek dat sommige vakantieparken niet eens om toestemming vroegen. Ook waren er geen alternatieven of werden die niet actief aangeboden. Daarnaast werden gasten niet verteld hoe lang hun gegevens werden bewaard en met wie die werden gedeeld.

"Dit is zeer ernstig. Je mag mensen niet onder druk zetten om hun biometrische gegevens af te staan. Toch was dat wat hier gebeurde: mensen betalen voor een leuke vakantie, inclusief zwembad, en worden voor een voldongen feit gesteld: als je wilt zwemmen, moet je je data afstaan. Dat is verboden", zegt AP-vicevoorzitter Monique Verdier. De Autoriteit Persoonsgegevens laat aan Security.NL weten dat de vakantieparken de gezichtsherkenning niet hebben verwijderd, maar de werkwijze is aangepast.