Gezichtsherkenning is in principe verboden, maar er zijn enkele uitzonderingen. In een nieuw juridisch kader geeft de Nederlandse privacytoezichthouder Autoriteit Persoonsgegevens duidelijkheid over de regels rondom gezichtsherkenning.
Gezichtsherkenning mag wel ingezet worden als gebruikers in alle vrijheid uitdrukkelijke toestemming hebben gegeven. Een andere uitzondering is als gezichtsherkenning noodzakelijk is voor authenticatie- of beveiligingsdoeleinden, bijvoorbeeld bij de bescherming van gevaarlijke stoffen. Het mag echter niet gebruikt worden om de identiteit van iemand vast te stellen, aldus de AP.
De technologie mag niet ingezet worden voor de beveiliging van bijvoorbeeld een supermarkt, benadrukt de AP. In het juridisch kader geeft de toezichthouder een voorbeeld waarbij een supermarkt gezichtsherkenning wil inzetten om diefstal tegen te gaan, en om eigendommen en werknemers te beschermen. De supermarkt zou alle klanten om uitdrukkelijke toestemming willen vragen, maar dat is in de praktijk vrijwel onmogelijk, aldus de AP. "Deze uitzonderingsgrond is dan ook waarschijnlijk niet bruikbaar voor een supermarkt."
Ook het beschermen van eigendommen is niet voldoende uitzonderingsgrond, vindt de toezichthouder. Dat is weliswaar een zwaarwegend belang, maar er lijkt geen sprake van zwaarwegende algemene belangen. "Het inzetten van gezichtsherkenning is bovendien een forse inbreuk op de privacy van alle bezoekers en dit weegt zwaarder dan de zwaarwegende private belangen van de supermarkt."
De AP waarschuwt supermarkten al langer voor de inzet van gezichtsherkenning. In 2020 zei de AP echter nog dat de technologie niet zonder toestemming van klanten mag worden ingezet. Dat suggereerde dat dit met toestemming wel mocht. Daar komt de toezichthouder nu dus van terug.