Vergelijkingsalgoritme van vingerafdruk

Rijksdienst voor Identiteitsgegevens (RvIG)

Directie Informatievoorziening en Systemen, afdeling Reisdocumentensystemen

Voorschrijvend algoritme. 

Het proces van identiteitsverificatie

In gebruik sinds juni 2009.

Wordt ingezet als technische ondersteuning voor het verifiëren of twee vingerafdrukken afkomstig van één en dezelfde vinger van één en dezelfde persoon zijn.

Vergelijkingsalgoritme wordt ingezet in de volgende gevallen:

1. Kwaliteitsvergelijking tijdens het afnameproces van vingerafdrukken voor opname in een reisdocument. In dit proces worden maximaal drie vingerafdrukkenopnames van één en dezelfde vinger van één en dezelfde persoon gedaan om zorg te dragen dat er vingerafdrukken met een zo hoog mogelijk kwaliteit in de chip van het reisdocument worden opgenomen. De tweede en de derde opname van de vinger wordt tegen de eerste opname geverifieerd om zorg te dragen dat er één en dezelfde vinger van één en dezelfde persoon wordt afgenomen. 
2. Vergelijking van ter plekke afgenomen vingerafdruk(ken) tegen de vingerafdruk(ken) die zijn opgenomen in de chip van de houder van het reisdocument. Dit is mogelijk tijdens het uitlezen van een reisdocument wanneer een houder van een reisdocument verzoekt om inzage van de gegevens in de chip van zijn of haar reisdocument, bij controle van een mogelijk defecte chip of indien er wordt getwijfeld aan de identiteit van de persoon bij uitreiking.

Ministerie van Binnenlandse Zaken en Koninkrijkrelaties doet momenteel een onderzoek naar de prestatie van vingerafdrukvergelijking op basis van de vingerafdrukken zoals afgenomen en opgeslagen in een reisdocument. Het onderzoek moet uitwijzen of de vingerafdrukkwaliteit en de huidig geïnstalleerde hard- en software voldoen om de identiteit burgers op betrouwbare wijze te kunnen verifiëren.

Vingerafdrukken worden ingezet voor identiteitsverificatie alleen als er na de verificatie van de authenticiteit van het reisdocument en de identiteit van de houder na inzetten van gezicht opname verificatie enige twijfel bestaat om de authenticiteit van het document en de identiteit van de houder te bevestigen (zie overweging 19 van verordening 2019/1157). Het inzetten van vingerafdrukken voor identiteitsverificatie samen met gezicht vergelijking, vormt een passende combinatie van betrouwbare identificatie en authenticatie met een lagere fraudegevoeligheid, waarmee reisdocumenten beter kunnen worden beveiligd.

De juridische basis voor zowel het eerste als het tweede geval liggen in de Verordening (EG) 2252/2004  en de Verordening (EU) 2019/1157 . Deze verordeningen bepalen onder andere dat de op te nemen vingerafdrukken in paspoorten, reisdocumenten en identiteitskaarten alleen gebruikt kunnen worden ter verificatie van: a) de authenticiteit van het document en b) de identiteit van de houder. De bepalingen zijn verankerd in nationale wetgeving, namelijk in artikel 3 van de Paspoortwet in samenhang met de daaronder liggende regelgeving:

1. Ten aanzien van het eerste geval waarin het algoritme wordt ingezet (kwaliteitsvergelijking) beschrijft artikel 28a van de Paspoortuitvoeringsregeling Nederland 2001 op welke wijze de vingerafdrukken van de aanvrager van een reisdocument worden opgenomen en in welke gevallen daarvan kan worden afgezien. De kwaliteit van de opgenomen vingerafdruk(ken) is daarin cruciaal (lid 2-3).  
2. Dat het algoritme kan worden ingezet voor identiteitsverificatie bij uitreiking is verwoord in artikel 4.6 van het Paspoortbesluit. 

Met de inzet van het algoritme worden biometrische gegevens en daarmee bijzondere persoonsgegevens verwerkt in de zin van de Algemene Verordening Gegevensbescherming (AVG).  De AVG stelt in principe een verbod op het verwerken van bijzondere persoonsgegevens. De nationale wetgever heeft echter gebruik gemaakt van de ruimte voor lidstaten om uitzonderingen te creëren voor de verwerking van bijzondere persoonsgegevens om redenen van algemeen belang (artikel 9 lid 2 AVG). Op grond van artikel 29 van de Uitvoeringswet AVG is verwerking van biometrische gegevens met oog op de unieke identificatie toegestaan indien de verwerking noodzakelijk is voor authenticatie en beveiligingsdoeleinden.

1. Artikel 4 lid 3 van de Verordening (EG) 2252/2004 van de Raad van 13 december 2004 betreffende normen voor de veiligheidskenmerken van en biometrische gegevens in door de lidstaten afgegeven paspoorten en reisdocumenten.
2. Artikel 11 lid 6 van de Verordening (EU) 2019/1157 van het Europees Parlement en de Raad van 20 juni 2019 betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen.
3. Zie ook artikel 40a van de  Paspoortuitvoeringsregeling Caribische landen en artikel 42a van de Paspoortuitvoeringsregeling Buitenland 2001.

• Uitvoeringswet Algemene verordening gegevensbescherming
• Paspoortverordening (Verordening (EG) nr. 2252/2004) 
• Verordening identiteitskaarten EU 2019/1157

Voor het trainen, testen en valideren worden afzonderlijke datasets gebruikt. Training, test en validatie dataset bevatten representatieve gegevens van wereldwijde bevolking.

Een algoritme voor het matchen van vingerafdrukken vergelijkt twee vingerafdrukbeelden en geeft een binaire beslissing van overeenkomst of geen overeenkomst.

Afdeling Reisdocumentensystemen van Rijksdienst voor Identiteitsgegevens voert uit de acceptatie testen op het algoritme na elke grote wijziging in het aanvraagstation (zoals bijvoorbeeld hardware en software vervanging).

Het verificatieproces wordt gemonitord en uitgevoerd onder de begeleiding van de daartoe aangewezen medewerker. Deze medewerker controleert onder andere: i) visueel de vingertoppen van de aanvrager op tekenen van prothesen, valse vingerafdrukken of schade die opzettelijk kan zijn en ii) of de aanvrager geen vingers onjuist, noch opzettelijk, noch onopzettelijk presenteert of vingers of handen verwisselt.

Er is geen basisbeveiligingstoets afgenomen.

Er wordt gebruik gemaakt van Detection Error Trade-off (DET) en Area Under the Curve (AUC). De belangrijkste beordeelingscriteria worden beheerd met False Rejection Rate en False Acceptance Rate op operationele drempels.

Ministerie van Binnenlandse Zaken en Koninkrijkrelaties, Rijksdienst voor Identiteitsgegevens

DPIA is nog niet uitgevoerd.

Een DPIA: Data Protection Impact Assessment (DPIA), ook wel gegevensbeschermingseffectbeoordeling.

Niet van toepassing

e-mail: info@rvig.nl

31 maart 2023