Biometrische authenticatie onder de AVG verwijst naar het gebruik van unieke fysiologische kenmerken, zoals een vingerafdruk, gezichtsgeometrie of irispatroon, als middel om de identiteit van een persoon te verifiëren bij toegang tot systemen of ruimten, waarbij die kenmerken worden gekwalificeerd als bijzondere categorieën persoonsgegevens in de zin van AVG artikel 9. De invoering van het Digital Omnibus-pakket (COM(2025)360) wijzigt deze rechtsgrond voor het eerst substantieel en dwingt compliance officers en IT-beslissers in gereguleerde sectoren tot een grondige herziening van hun Identity and Access Management (IAM)-architectuur.
Wat de Digital Omnibus verandert aan AVG artikel 9
Het Digital Omnibus introduceert in artikel 9 lid 2 een nieuwe sub ia die een specifieke uitzondering schept voor biometrische verwerking ten behoeve van authenticatie. De uitzondering geldt echter alleen onder cumulatieve voorwaarden, en die zijn strikter dan op het eerste gezicht lijkt.
De verwerking moet ten eerste strikt noodzakelijk zijn voor authenticatie of toegangsbeveiliging, niet voor andere doeleinden zoals profilering of monitoring. Ten tweede mogen de biometrische gegevens niet worden gecombineerd met andere verwerkingen buiten het authenticatiedoel. Ten derde, en dit is de meest veeleisende voorwaarde: de verificatiemiddelen moeten uitsluitend onder de controle van het individu staan. Dit sluit gecentraliseerde, servergebaseerde template-opslag in beginsel uit.
Andrea Jelinek, voormalig voorzitter van de EDPB, stelde eerder over biometrische verwerking: “Biometrische gegevens zijn van nature onherroepelijk: als een wachtwoord wordt gestolen, kunt u het wijzigen, maar u kunt uw vingerafdruk niet vervangen. De verplichting tot gegevensbescherming door ontwerp is hier geen optie maar een absolute eis.” Deze uitspraak is des te relevanter nu de uitzondering in COM(2025)360 organisaties de ruimte geeft biometrie in te zetten, mits de architectuur die controle ook technisch garandeert.
On-premise soevereine IAM als juridisch-technische oplossing
Een soevereine IAM-architectuur combineert een on-premise identiteitsprovider, on-device biometrie en cryptografische protocollen die geen persoonsgegevens naar externe partijen sturen. Daarmee voldoet zij aan de controlevoorzorg van de nieuwe uitzondering en vermijdt zij jurisdictionele risico’s van Amerikaanse of Chinese leveranciers.
On-device biometrie en lokale template-opslag
De kern van de technische eis dat verificatiemiddelen “uitsluitend onder controle van het individu” staan is dat de biometrische template nooit de hardware van de gebruiker verlaat. Moderne smartphones en hardware authenticators slaan templates op in een Secure Enclave of Trusted Execution Environment (TEE). De vergelijking vindt lokaal plaats; het systeem ontvangt uitsluitend een cryptografisch resultaat (geslaagd of mislukt), nooit de template zelf.
De internationale norm ISO/IEC 30107-3 specificeert vereisten voor presentatie-aanvalsdetectie (PAD), dat wil zeggen de weerstand van biometrische sensoren tegen spoofing via foto’s, maskers of kunstmatige vingerafdrukken. Organisaties die biometrische authenticatie implementeren in gereguleerde sectoren dienen aantoonbaar te voldoen aan het conformiteitsniveau dat past bij hun risicoprofiel zoals gedefinieerd in ISO/IEC 30107-3.
Voor de IAM-orkestratie geldt dat open-source platforms zoals Keycloak, gecombineerd met FIDO2/WebAuthn, de meest volwassen open standaard bieden waarbij de biometrische vergelijking op het apparaat plaatsvindt en de server alleen een authenticatiebevestiging ontvangt. Keycloak kan on-premise worden geïnstalleerd in een Nederlands of Zwitsers datacenter en integreert via OpenID Connect en SAML met platformen als Nextcloud, waardoor migratie van Microsoft 365 niet gepaard hoeft te gaan met afhankelijkheid van Microsoft Entra ID.
Risico’s van Amerikaanse en Chinese IAM-leveranciers
Amerikaanse cloudidentiteitsproviders, met Microsoft Entra ID als marktdominante partij (circa 85% marktaandeel in zakelijke cloudproductiviteit in Europa volgens het European Parliament Research Service, 2024), zijn juridisch onderworpen aan de US CLOUD Act en de bevoegdheden van de Foreign Intelligence Surveillance Act. Dit betekent dat Amerikaanse autoriteiten toegang kunnen vorderen tot biometrische templates en authenticatielogs, ook wanneer die data fysiek in Europa staan opgeslagen.
Chinese leveranciers van biometrische hardware, zoals gezichtsherkenningssystemen, vallen onder de Chinese Nationale Inlichtingenwet van 2017, die Chinese bedrijven verplicht samen te werken met staatsveiligheidsdiensten op verzoek. Organisaties die biometrische hardware van Chinese makelij inzetten lopen daarmee een risico dat de template-extractie of de firmware een achterdeur bevat die buiten hun controlebereik ligt.
Een soevereine architectuur met Europees gecertificeerde hardware, on-premise Keycloak en lokale template-opslag elimineert deze jurisdictionele risicovectoren structureel, in plaats van ze contractueel te proberen te mitigeren.
| Architectuurmodel | Template-opslag | Jurisdictioneel risico | Voldoet aan Digital Omnibus sub ia |
|---|---|---|---|
| Microsoft Entra ID (cloud) | Centrale Microsoft-servers | CLOUD Act, FISA | Twijfelachtig |
| Chinese biometrische hardware met cloudkoppeling | Externe servers, mogelijk China | Chinese Nationale Inlichtingenwet | Nee |
| On-premise Keycloak + FIDO2/WebAuthn | Secure Enclave op apparaat gebruiker | Geen externe jurisdictie | Ja, mits ISO/IEC 30107-3 compliant |
Verhouding tot eIDAS 2.0 en de EUDI Wallet
De eIDAS 2.0-verordening, in werking getreden in 2024, introduceert de European Digital Identity Wallet (EUDI Wallet) als verplicht aan te bieden identiteitsmiddel in alle EU-lidstaten. De EUDI Wallet is relevant voor organisatietoegang omdat zij selectieve openbaarmaking van attributen mogelijk maakt: een medewerker kan bewijzen dat hij een bepaalde rol heeft zonder volledige identificatiegegevens prijs te geven.
De Digital Omnibus-uitzondering voor biometrische verificatie en de EUDI Wallet-architectuur zijn complementair, maar niet identiek. De EUDI Wallet gebruikt biometrie als middel om de wallet te ontgrendelen op het apparaat van de gebruiker, wat structureel overeenkomt met de on-device vereiste van sub ia. Organisaties die hun IAM koppelen aan de EUDI Wallet via OpenID for Verifiable Credentials (OID4VC) kunnen daarmee dubbel voordeel behalen: zij voldoen zowel aan de Digital Omnibus-voorwaarden als aan de eIDAS 2.0-interoperabiliteitsvereisten voor grensoverschrijdende organisatietoegang.
Wojciech Wiewiórowski, Europese Toezichthouder voor Gegevensbescherming, formuleerde het bredere afwegingskader als volgt: “De combinatie van de AI Act en de AVG vereist dat organisaties niet alleen vragen of iets technisch mogelijk is, maar of het wettelijk en ethisch gerechtvaardigd is voordat ze biometrische herkenning inzetten.” De EUDI Wallet biedt een kader dat deze vraag al deels beantwoordt door ontwerp.
DPIA-verplichtingen onder het gecombineerde AVG- en AI Act-kader
Een gegevensbeschermingseffectbeoordeling (DPIA) is bij biometrische toegangscontrole vrijwel altijd verplicht, ook na inwerkingtreding van de Digital Omnibus-uitzondering. De EDPB heeft biometrische verwerking expliciet aangemerkt als een categorie waarvoor een DPIA standaard vereist is. Volgens een EDPB Coordinated Enforcement Framework-analyse uit 2023 had een meerderheid van de onderzochte organisaties geen volledige DPIA uitgevoerd voorafgaand aan de inzet van biometrische systemen, wat illustreert hoe breed dit nalevingstekort is.
De DPIA voor biometrische IAM in gereguleerde sectoren, zoals overheid, rechtspraak, zorg en financiële dienstverlening, moet ten minste de volgende elementen bevatten: een beschrijving van de verwerkingsarchitectuur inclusief template-opslaglocatie, een noodzakelijkheids- en proportionaliteitstoets, een risicobeoordeling voor de rechten van betrokkenen, technische en organisatorische maatregelen waaronder ISO/IEC 30107-3-conformiteit, en een beoordeling van de AI-risicoclassificatie. De EDPB en de EDPS hebben in hun gezamenlijke opinies over de AI Act benadrukt dat de twee kaders complementair zijn en niet afzonderlijk mogen worden beoordeeld.
Per oktober 2024 hadden slechts 5 van de 27 EU-lidstaten de NIS-2-richtlijn volledig omgezet (Europese Commissie, 2024), wat betekent dat de nationale uitvoeringsdetails, inclusief sectoreisen voor authenticatieniveaus, in veel lidstaten nog in ontwikkeling zijn. Organisaties doen er verstandig aan hun DPIA zodanig te structureren dat zij ook toekomstige nationale NIS-2-vereisten kunnen incorporeren zonder het gehele document opnieuw te moeten schrijven.
FAQ: Biometrische authenticatie, AVG en soevereine IAM
Mag ik biometrische authenticatie nu zonder toestemming van de medewerker inzetten na de Digital Omnibus?
Nee. De nieuwe uitzondering in Digital Omnibus COM(2025)360 artikel 9 lid 2 sub ia vervangt de toestemmingsgrondslag niet zomaar. De uitzondering geldt uitsluitend als de verwerking strikt noodzakelijk is voor authenticatie, de biometrische data niet buiten het authenticatieproces worden gebruikt, en de verificatiemiddelen uitsluitend onder controle van het individu staan. In arbeidsrechtelijke contexten blijft toestemming bovendien problematisch omdat die zelden als vrijelijk gegeven kan worden beschouwd.
Wat is het verschil tussen biometrische identificatie en biometrische verificatie in de zin van de AI Act?
De AI Act artikel 5 verbiedt real-time biometrische identificatie op afstand in de publieke ruimte met enkele smalle uitzonderingen. Biometrische verificatie, waarbij een persoon zelf een identiteitsclaim indient die vervolgens wordt bevestigd, valt buiten dit verbod mits aan AVG-voorwaarden wordt voldaan. Het onderscheid is juridisch cruciaal: een systeem dat passief gezichten scant in een menigte is identificatie; een systeem dat op verzoek van de gebruiker diens vingerafdruk controleert is verificatie.
Wat houdt “uitsluitend onder controle van het individu” precies in als technische eis?
In de praktijk betekent dit dat de biometrische template nooit de eigen hardware van de gebruiker verlaat. On-device opslag in een Secure Enclave of TEE van een smartphone of een hardware authenticator, waarbij de template nooit naar een centrale server wordt gestuurd, is de gangbare invulling. Vergelijking vindt lokaal plaats; alleen een geslaagd of mislukt resultaat wordt doorgegeven aan het authenticatiesysteem.
Is een DPIA altijd verplicht bij biometrische toegangscontrole?
Ja, vrijwel altijd. De EDPB heeft biometrische verwerking aangemerkt als categorie waarvoor een DPIA standaard verplicht is. In gereguleerde sectoren geldt dit des te sterker. Onder het gecombineerde kader van de AVG en de AI Act moet de DPIA ook een analyse bevatten van de classificatie van het biometrische systeem als AI-systeem en de bijbehorende risicoclassificatie conform Verordening EU 2024/1689.
Hoe sluit een soevereine Nextcloud-omgeving aan op biometrische IAM?
Nextcloud ondersteunt integratie met open-source IAM-platforms zoals Keycloak via OpenID Connect en SAML. Keycloak kan worden geconfigureerd om biometrische authenticatie te orkestreren via FIDO2/WebAuthn, waarbij de feitelijke biometrische vergelijking op het apparaat van de gebruiker plaatsvindt. De Nextcloud-instantie en Keycloak draaien beide on-premise of in een soeverein Europees datacenter, zodat er geen afhankelijkheid ontstaat van Microsoft Entra ID of andere Amerikaanse cloudidentiteitsproviders.
