Wetgeving biometrisch toegangscontrolesysteem: rechten, plichten en grenzen in 2026

Biometrische toegangscontrole biedt een uitzonderlijk hoog beveiligingsniveau – maar wat het systeem zo verfijnd maakt, maakt het tegelijkertijd juridisch uiterst complex. Een vingerafdruk, irisscan of gezichtsherkenning zijn niet zomaar gegevens: zij zijn uniek, persoonsgebonden en onomkeerbaar. Een gestolen wachtwoord kunt u wijzigen – een gestolen biometrisch template niet. Dat maakt biometrische gegevens tot de meest gevoelige categorie persoonsgegevens die de AVG kent. In Nederland is het verwerken van biometrische gegevens voor unieke identificatie in principe verboden – tenzij voldaan wordt aan strikte wettelijke uitzonderingsvoorwaarden. Laut de Autoriteit Persoonsgegevens (AP, 2026) is biometrische toegangscontrole in de meeste reguliere bedrijfssituaties niet toegestaan. De AP heeft in 2025 meerdere boetes opgelegd voor onrechtmatige biometrische verwerking – variërend van € 725.000 tot € 3,7 miljoen.

Waarom is biometrische toegangscontrole juridisch complex?

De juridische complexiteit van biometrische toegangscontrole vloeit voort uit twee fundamentele privacyproblemen:

1. Koppelingsrisico: privacyinbreuk zonder medeweten

Omdat biometrische kenmerken uniek zijn per persoon, kunnen gegevens uit verschillende systemen aan elkaar worden gekoppeld – zonder dat de betrokkene daarvan op de hoogte is. Als een vingerafdruk of gezichtstemplate is opgeslagen in meerdere systemen (toegangscontrole, tijdregistratie, HR-systeem), kan hieruit een gedetailleerd profiel van de persoon worden opgebouwd. Dit vormt een ernstige inbreuk op het recht op privacy – zelfs als elk afzonderlijk systeem op zichzelf rechtmatig is.

2. Dataminimalisatie: biometrie onthult meer dan noodzakelijk

Uit biometrische gegevens is vaak aanzienlijk meer af te leiden dan alleen de identiteit van een persoon. Afhankelijk van het type biometrie kunnen deze gegevens ook informatie bevatten over:

• Gezondheid: Bepaalde huidaandoeningen of medische condities zijn zichtbaar in vingerafdrukken of irissen.
• Etnische afkomst: Gezichtskenmerken kunnen ras of etnische herkomst onthullen – een extra beschermde categorie onder AVG artikel 9.
• Gemoedstoestand en emoties: Gezichtsherkenningssystemen kunnen ook emotiedetectie bevatten – wat laut de AI-verordening (EU 2024/1689) in veel situaties verboden is.
• Genetische kenmerken: Sommige biometrische data bevatten impliciet genetische informatie.

Deze overlapping met andere categorieën bijzondere persoonsgegevens maakt biometrische verwerking extra risicovol en vraagt om strikte dataminimalisatie.

Het juridisch kader: AVG, UAVG en AI-verordening

AVG artikel 9: algemeen verwerkingsverbod

Biometrische gegevens die worden gebruikt voor unieke identificatie van een persoon zijn onder de AVG (Artikel 9) geclassificeerd als bijzondere persoonsgegevens – de zwaarst beschermde categorie. Het verwerken hiervan is in principe verboden, tenzij een specifieke uitzondering van toepassing is (AP / wetten.overheid.nl, 2026).

UAVG artikel 29: Nederlandse uitzonderingen (gewijzigd per 1 september 2026)

De Uitvoeringswet AVG (UAVG), artikel 29 – gewijzigd per 1 september 2026 via de Verzamelwet gegevensbescherming (Staatsblad 2026, 154) – biedt in Nederland een beperkt aantal uitzonderingen op het verwerkingsverbod. Het verbod geldt niet als aan alle volgende voorwaarden tegelijkertijd is voldaan (wetpunt.nl / wetten.overheid.nl, 2026):

• De verwerking is noodzakelijk voor authenticatie of beveiligingsdoeleinden.
• Er is sprake van een zwaarwegend algemeen belang – zoals rechtmatige toegang tot kritieke infrastructuur (kerncentrales, waterwerken, datacentra van nationale importantie).
• Het gebruik van biometrie is strikt noodzakelijk – minder ingrijpende alternatieven (pasjes, pincodes) volstaan aantoonbaar niet.
• Er zijn passende technische en organisatorische maatregelen genomen.

Voor de meeste reguliere bedrijven – winkels, kantoren, magazijnen – wordt aan deze voorwaarden niet voldaan. Een pasjesysteem of pincode volstaat in de meeste gevallen als minder ingrijpend alternatief.

AI-verordening (EU 2024/1689): aanvullende beperkingen

Naast de AVG gelden since augustus 2026 de eerste toepassingsbepalingen van de EU AI-verordening (AI Act, EU 2024/1689). Deze verordening verbiedt of beperkt specifieke toepassingen van biometrische AI-systemen:

• Verboden (artikel 5): Real-time gezichtsherkenning in openbare ruimten voor wetshandhaving – met beperkte uitzonderingen.
• Hoog-risico (artikel 6): Biometrische identificatiesystemen voor toegangscontrole vallen in de categorie hoog-risico AI – wat aanvullende vereisten meebrengt: registratie in de EU-database, technische documentatie, transparantie en menselijk toezicht.
• Emotieherkenning: In arbeidsomgevingen en onderwijsinstellingen verboden.

Praktische adviespunten voor rechtmatige toepassing

Als u overweegt biometrische toegangscontrole in te zetten, dient u aan de volgende voorwaarden te voldoen (AP beleidsregels 2026 / UAVG art. 29):

• Biometrische data zijn bijzondere persoonsgegevens: Behandel ze als zodanig – met de hoogst mogelijke beschermingsnorm.
• Verwerking impliceert een gegevensverwerkingshandeling: U bent verwerkingsverantwoordelijke en moet kunnen aantonen dat u voldoet aan de AVG-beginselen.
• Noodzakelijkheid aantonen: De noodzaak van biometrische verwerking moet objectief kunnen worden aangetoond – en in verhouding staan tot het beveiligingsdoel.
• Gebruik alleen spoorloze technologie: Alleen biometrische kenmerken die geen permanente fysieke sporen achterlaten mogen worden gebruikt – zoals vingerafdrukken, aderpatronen of irissen. Bloedmonsters of DNA zijn expliciet verboden voor toegangscontroledoeleinden.
• Geïsoleerde opslag – geen koppeling met andere systemen: Biometrische data mogen uitsluitend worden opgeslagen in een geïsoleerd systeem dat niet is gekoppeld aan andere informaticasystemen – bij voorkeur lokaal op een chipkaart of het apparaat zelf. Opslag in centrale databases of cloudoplossingen vergroot het koppelingsrisico en is doorgaans niet toegestaan.
• Alleen het template – geen ruwe biometrische afbeelding: Niet de feitelijke afbeelding van het fysieke kenmerk (bijv. een foto van de vingerafdruk of iris), maar uitsluitend de versleutelde, gecodeerde template (wiskundig model) mag worden opgeslagen. De ruwe biometrische data dient onmiddellijk na de templategeneratie te worden vernietigd.
• Betrokkenen moeten geïnformeerd zijn: Iedere persoon die biometrisch wordt gescreend, moet hiervan vooraf en volledig op de hoogte zijn – inclusief doel, bewaartermijn, verwerkingsverantwoordelijke en rechten (recht op inzage, correctie, verwijdering).
• Alternatief verplicht: Medewerkers en bezoekers moeten altijd een alternatief toegangsmiddel kunnen gebruiken – biometrie mag nooit de enige optie zijn (AP, 2026).
• Beveiligingsmaatregelen verplicht: Passende technische en organisatorische maatregelen zijn vereist: encryptie van biometrische templates, toegangsbeperking tot de systemen, logging van verwerkingsactiviteiten en een procedure voor datalekken.

DPIA: gegevensbeschermingseffectbeoordeling verplicht

Voor vrijwel alle toepassingen van biometrische toegangscontrole is een DPIA (Data Protection Impact Assessment / Gegevensbeschermingseffectbeoordeling) verplicht op grond van AVG artikel 35. Een DPIA is een systematische analyse van de privacyrisico's van de verwerking – vóórdat het systeem wordt ingezet. Vereisten van de DPIA voor biometrie (AP, 2026):

• Beschrijving van het verwerkingsdoel en de gebruikte technologie.
• Beoordeling van de noodzakelijkheid en proportionaliteit van de verwerking.
• Identificatie van risico's voor de rechten en vrijheden van betrokkenen.
• Maatregelen om de geïdentificeerde risico's te mitigeren.
• Bij hoog residuaal risico: voorafgaande raadpleging van de AP verplicht.

Overzicht: wat mag wel en wat mag niet?

Bronnen: Autoriteit Persoonsgegevens 2026, UAVG art. 29 (Verzamelwet gegevensbescherming, Staatsblad 2026/154), AVG art. 9 en 35, AI-verordening EU 2024/1689, wetpunt.nl 2026 – Stand oktober 2026