Acht vakantieparken hebben de gezichten van bezoekers gescand zodat de gasten toegang konden krijgen tot zwembaden en speeltuinen. Volgens de Autoriteit Persoonsgegevens overtraden ze daarmee de privacyregels. Zeven van de acht parken hebben hun manier van werken aangepast en houden zich nu aan de regels, het achtste park nog niet. Dat krijgt tot begin december de tijd om te stoppen en riskeert een boete of een dwangsom.

De toezichthouder voor privacy meldt niet om welke vakantieparken het gaat. Ze gebruikten de gezichtsherkenning niet alleen bij volwassenen, maar ook bij kinderen.

De parken hadden hun gasten er niet op gewezen dat ze hun gezicht niet hoefden te laten scannen om naar binnen te kunnen gaan. "Als er eenmaal zo'n gezichtsscan van jou gemaakt is, ben je de controle kwijt. Je kunt dan overal geïdentificeerd en gevolgd worden. Je gezicht is uniek en kun je niet zomaar even ruilen voor een ander exemplaar", zegt vicevoorzitter Monique Verdier van de AP.

Uitdrukkelijke toestemming

Gezichtsherkenning mag alleen als dat nodig is voor "een persoonlijk of huishoudelijk doel" zoals het ontgrendelen van een telefoon, wanneer het noodzakelijk is voor de beveiliging van een gevoelige locatie als een kerncentrale, of wanneer mensen uitdrukkelijk toestemming geven voor een scan.

Mensen kunnen alleen "uitdrukkelijke toestemming" geven als ze ook de vrijheid hebben om nee te zeggen. Bij de vakantieparken betekent dit dat bezoekers de mogelijkheid hadden moeten hebben om een polsbandje of een pasje te gebruiken om binnen te komen, maar dat gebeurde niet. Mensen werden volgens Verdier "voor een voldongen feit gesteld: als je wilt zwemmen, moet je je data afstaan. Dat is verboden."