Mag je een gezichtsscanner gebruiken bij tabaksverkoop?

In de media is recent aandacht geweest voor tankstations die gezichtsscanners gebruiken om de leeftijd van klanten te schatten bij de verkoop van tabaksproducten. Dat roept de vraag op of dat juridische mag en onder welke voorwaarden. Het antwoord hierop is helaas niet zo zwart-wit.

Op grond van de Tabaks- en rookwarenwet moet een verkoper van tabakswaren vaststellen dat de koper 18 jaar of ouder is. Tenzij iemand onmiskenbaar 18 jaar of ouder is, gebeurt dat via controle van een officieel legitimatiebewijs, zoals een paspoort, identiteitskaart of rijbewijs. Gezichtsscanners worden gebruikt als hulpmiddel om de leeftijd van een klant in te schatten. Zo’n scanner kan bijvoorbeeld een signaal geven wanneer een klant naar verwachting onder of boven een bepaalde leeftijd zit. Dat neemt echter niet weg dat de wettelijke verplichting tot leeftijdscontrole blijft gelden. Een gezichtsscanner is dus geen vervanging van de leeftijdscontrole via een legitimatiebewijs als een koper niet onmiskenbaar 18 jaar of ouder is.

AVG en biometrische gegevens

Naast de Tabaks- en rookwarenwet is ook de privacywetgeving ‘AVG’ van toepassing. Beoordelen of een gezichtsscanner op basis van de AVG gebruikt mag worden, is niet eenvoudig en hangt onder meer af van de manier waarop de scanner gegevens verwerkt. De eerste vraag daarbij is: is er sprake van verwerking van biometrische gegevens? De AVG stelt daarvoor strenge eisen. Van biometrische gegevens is in elk geval sprake wanneer gezichtsgegevens worden verwerkt met als doel een persoon ‘eenduidig te identificeren’, dus de identiteit van deze persoon te achterhalen. In dat geval gelden extra voorwaarden en is rechtmatige verwerking in de praktijk al snel problematisch.

Voor zover BOVAG begrijpt, zijn leeftijdsscanners die in deze context worden gebruikt niet bedoeld en in staat om personen te identificeren, maar alleen om een leeftijd in te schatten. Als de scan uitsluitend daarvoor wordt gebruikt, er geen gegevens worden opgeslagen en niemand individueel wordt herkend, is verdedigbaar dat geen biometrische gegevens in de zin van de AVG worden verwerkt. Dat neemt niet weg dat de Autoriteit Persoonsgegevens hier kritisch naar kan kijken. Een woordvoerder van de toezichthouder heeft in het Algemeen Dagblad aangegeven dat bij het gebruik van gezichtsscanners in tankstations wél sprake kan zijn van verwerking van biometrische gegevens.

Ook zonder biometrie blijft de AVG van toepassing

Ook als geen biometrische gegevens worden verwerkt, blijft de AVG van toepassing. Er worden dan namelijk nog steeds persoonsgegevens verwerkt. Een gebruiker van een gezichtsscanner zal daarom moeten onderbouwen worden waarom deze verwerking noodzakelijk is voor het beoogde doel en waarom dat doel niet op een minder ingrijpende manier kan worden bereikt. Ook zal de gebruiker van een gezichtsscanner duidelijk moeten maken hoe de gescande personen worden geïnformeerd over het gebruik van de scanner en de (zo beperkt mogelijke) verwerking van hun persoonsgegevens.

De Franse privacytoezichthouder CNIL heeft in 2025 onderzocht of gezichtsscanners die de leeftijd schatten bij tabaksverkoop in overeenstemming zijn met de AVG. De CNIL kwam tot de conclusie dat dit niet het geval is. Volgens de Franse toezichthouder is het gebruik niet noodzakelijk en niet proportioneel, onder meer omdat verkopers hun klanten nog steeds om een legitimatiebewijs kunnen of moeten vragen. Ook wijst de CNIL op het risico dat verkopers te veel gaan vertrouwen op de uitkomst van de scanner. Die opvatting laat zien hoe een toezichthouder deze technologie onder de AVG kan beoordelen. Het is niet uitgesloten dat de Nederlandse Autoriteit Persoonsgegevens een vergelijkbare lijn volgt.

Juridisch risico

Of gezichtsscanners bij tabaksverkoop juridisch toelaatbaar zijn, is op dit moment dus niet zwart-wit. Voor zover BOVAG bekend, bestaat hierover nog geen rechtspraak. Gebruik is dus niet zonder risico. De Autoriteit Persoonsgegevens zou zomaar het standpunt kunnen innemen dat gebruik van zulke scanners in strijd is met de AVG, daarop gaan handhaven en eventueel boetes opleggen. 

Daar komt bij dat het gebruik van een gezichtsscanner niets verandert aan de wettelijke verplichting om, behalve bij klanten die onmiskenbaar 18 jaar of ouder zijn, de leeftijd vast te stellen aan de hand van een legitimatiebewijs.

Wie een gezichtsscanner gebruikt of overweegt te gebruiken, zal daarom moeten kunnen onderbouwen hoe dit gebruik zich verhoudt tot de AVG, welke rol de scanner precies vervult in het verkoopproces en welke waarborgen er worden getroffen om de privacy van de klanten zoveel mogelijk te beschermen. Als je besluit de gezichtsscanner te gebruiken, neem dan in elk geval contact op met de leverancier om te bespreken hoe de privacyrisico’s zoveel mogelijk kunnen worden beperkt. De verantwoordelijkheid voor het gebruik ligt uiteindelijk bij de ondernemer.