In antwoord op uw brief van 18 september 2019 deel ik u mee dat de schriftelijke vragen van het lid Verhoeven (D66) over het bericht ‘Gezichtendatabase van politie bevat foto’s van 1,3 miljoen mensen’ worden beantwoord in de bijlage bij deze brief.

De Minister van Justitie en Veiligheid, Ferd Grapperhaus

Vraag 1

Zijn er naast het systeem Catch Strafrecht Verdachte en Veroordeelde (Catch) nog andere gezichtsherkenningssystemen die door de politie gebruikt worden? [1]

Vraag 2

Worden gezichtsherkenningssystemen ook toegepast in de openbare ruimte? Zo ja, kunt u beschrijven hoe dit in de praktijk vormgegeven is?

Antwoord op 1 & 2

Naast Catch Strafrecht Verdachte en Veroordeelde maakt de politie ook gebruik van het systeem Catch in de uitvoering van de vreemdelingentaak. Het gaat hierbij om dezelfde applicatie als Catch Strafrecht Verdachte en Veroordeelde, maar in dit geval wordt gebruik gemaakt van gelaatsfoto’s die zijn opgenomen in de Basisvoorziening Vreemdelingen (BVV). De BVV bevat persoons- en statusgegevens van vreemdelingen. Naast de identificatie van vreemdelingen, mag dit systeem ook worden geraadpleegd ten behoeve van de opsporing en vervolging van strafbare feiten indien er een redelijk vermoeden bestaat dat de verdachte een vreemdeling is, of in het belang van het onderzoek en het opsporingsonderzoek op een dood spoor is beland, dan wel snel resultaat geboden is bij de opheldering van het misdrijf. Raadpleging is alleen toegestaan in geval van een misdrijf waarvoor voorlopige hechtenis is toegestaan en na schriftelijke machtiging van de rechter-commissaris op vordering van de officier van justitie. ^[2]

Naast deze toepassingen onderzoekt de politie of gezichtsherkenning breder kan worden ingezet bij de uitvoering van de politietaak. Zo worden opsporingsfoto’s (en dat kunnen ook ‘stills’ van bewegende beelden zijn) afkomstig van camera’s in de openbare ruimte aangeboden voor gelaatsvergelijking in Catch. In alle gevallen wordt daarbij gekeken naar de wettelijke waarborgen, juridische mogelijkheden en beperkingen en de praktische bruikbaarheid.

Vraag 3

Gebruikt de politie scraping technieken voor andere doeleinden, specifiek voor doeleinden ten behoeve van gezichtsherkenning of anderszins? Zo ja, welke?

Antwoord 3

In algemene zin kan gesteld worden dat de politie te allen tijde de mogelijke toepasbaarheid beziet van methoden en technieken die van belang zouden kunnen zijn voor taakuitvoering (zoals in beperkte mate web crawling en scraping). Het (laten) doen van onderzoek, het kennisnemen van of opbouwen van kennis, en het kennis nemen van of zelf uitvoeren van experimenten zijn daarbij onderdeel van de inzet.

Vraag 4

Wat is de reden dat tijdens een audit zoals bedoeld in artikel 33 Wet politiegegevens (Wpg) niet wordt gekeken naar specifieke werkwijzen of systemen? Is toetsing aan de praktijk niet juist noodzakelijk voor een effectieve audit? Bent u bereid toe te zeggen dat volgende audits (art. 33 Wpg) worden uitgebreid zodat ook gekeken wordt naar de feitelijke situatie bij specifieke werkwijzen en systemen?

Antwoord 4

De audit (hierna: privacy audit) zoals bedoeld in artikel 33 Wet politiegegevens (hierna: Wpg) is gericht op de werking van het stelsel van gegevensbescherming. Bij de uitvoering van de privacy audit toetst een onafhankelijke auditor primair of de organisatie adequaat is ingericht om in voldoende mate tegemoet te komen aan de wettelijke bepalingen. Tijdens deze audit wordt niet gekeken naar specifieke werkwijzen of systemen. ^[3]

Voor de toetsing van specifieke werkwijzen en systemen hecht ik waarde aan de verplichte gegevensbeschermingseffectbeoordeling zoals opgenomen in artikel 4c van de Wpg. Het systeem Catch dateert van voor de inwerkingtreding van dit artikel (1 januari 2019). Er wordt bij de vernieuwing van het systeem Catch – die momenteel door de politie wordt uitgevoerd – een gegevensbeschermingseffectbeoordeling [4] uitgevoerd die het gehele systeem Catch omvat.

Vraag 5

Ziet u het overschrijven van de wettelijke bewaartermijnen als een inbreuk op de beveiliging (art. 33a Wpg) en de onrechtmatige verwerking na de wettelijke bewaartermijn als een risico voor de rechten en vrijheden van de betrokkenen? Zo ja, worden deze overschrijdingen aan de Autoriteit Persoonsgegevens en aan de betrokkenen gemeld?

Antwoord 5

Artikel 1q Wpg geeft een definitie van inbreuk op de beveiliging. Volgens deze definitie is het overschrijden van wettelijke bewaartermijnen dan wel het raadplegen van te lang bewaarde data geen inbreuk op de beveiliging in de zin van art. 33a van de Wpg. Er is daarom geen sprake van een datalek waarvoor een meldplicht geldt.

Het overschrijden van de wettelijke bewaartermijn en de verwerking van te lang bewaarde gegevens levert echter wel een risico op voor de rechten en vrijheden van de betrokkenen. Tegenover dat risico staat het maatschappelijke belang van de opsporing van zware misdrijven, die soms lang onopgelost blijven. Zoals ik in de brief over de aanpak van cold cases ^[5] heb geschetst, streef ik ernaar om bij de herziening van de Wpg/Wjsg een beter evenwicht te vinden tussen beide belangen. Daarbij moet ook goed gekeken worden naar de uitvoerbaarheid.

De (beleids)voorbereidingen voor de herziening van de Wpg en de Wjsg zijn inmiddels gestart. Dit gaat om een algehele herziening en modernisering van beide wetten die de informatiehuishouding van zowel de politie, bijzondere opsporingsdiensten, boa-werkgevers als het justitiële domein regelen. Ik verwacht de contourennota over deze herziening in het voorjaar van 2020 naar uw Kamer te kunnen sturen. Terwijl ik werk aan een structurele oplossing, heb ik de korpschef gevraagd tijdelijke maatregelen te nemen om de risico’s te beperken. In dit kader verwijs ik kortheidshalve naar mijn antwoord op vraag 11 van de eerder gestelde Kamervragen over de gezichtsdatabase¹.