Twijfelachtige gezichtsherkenning bij Ryanair: onderzoek naar gegevensbescherming geopend

Sommige Ryanair-klanten zijn verplicht gezichtsherkenning te ondergaan na het boeken van vluchten. De Ierse gegevensbeschermingsautoriteit controleert of dit is toegestaan.

De Ierse Data Protection Commission (DPC) onderzoekt nu of de Ierse lagekostenmaatschappij Ryanair biometrische verificatie van haar klanten mocht eisen. Volgens eigen informatie controleert zij of de door Ryanair gebruikte gezichtsherkenning in overeenstemming is met het toepasselijke recht van de Europese Unie en de Europese Economische Ruimte (EER).

Het onderzoek heeft betrekking op de verificatieprocedures voor klanten die hun Ryanair-vluchten via externe websites of online reisportals hebben geboekt. Hier hadden de gegevensbeschermingsfunctionarissen talloze klachten ontvangen van klanten die vervolgens hun identiteit bij Ryanair moesten bevestigen, zei de adjunct-commissaris van de DPC, Graham Doyle , vrijdag.

Gezichtsherkenning legaal?

Er werd ook gebruik gemaakt van gezichtsherkenning met behulp van biometrische gegevens. Er wordt nu onderzocht of de door de luchtvaartmaatschappij gehanteerde verificatiemethoden verenigbaar zijn met de Algemene Verordening Gegevensbescherming.

Het onderzoek werd geleid door de commissaris voor gegevensbescherming, dr. Des Hogan en Dale Sunderland en is gebaseerd op artikel 110 van de Data Protection Act 2018. De DPC is bedoeld om over de grenzen heen – niet alleen in Ierland – te onderzoeken of Ryanair aan zijn verplichtingen onder de AVG heeft voldaan, inclusief de rechtmatigheid en transparantie van gegevens verwerking.

Opmerkingen van luchtvaartmaatschappijen

De luchtvaartmaatschappij gaf vrijdag commentaar op het lopende DPC-onderzoek. De persdienst van de luchtvaartmaatschappij vertelde Heise Online dat de luchtvaartmaatschappij het DPC-onderzoek naar haar boekingsverificatiemethoden, zoals gezichtsherkenning, fundamenteel verwelkomt.

Ryanair benadrukte dat de aanvullende verificatiemaatregelen dienen om klanten te beschermen tegen de ‘weinig overgebleven’ ongeautoriseerde online reisportals, ook wel bekend als Online Travel Agents (OTA). Volgens Ryanair zouden deze valse klantcontact- en betalingsgegevens verstrekken om te verhullen dat zij buitensporige prijzen hanteren en consumenten oplichten.

Geen preciezere informatie

Volgens de luchtvaartmaatschappij moeten klanten die via deze ongeautoriseerde OTA’s boeken “een eenvoudig verificatieproces doorlopen” – hetzij biometrisch, hetzij via een digitaal verificatieformulier – dat in beide gevallen volledig in overeenstemming is met de AVG.

Met deze evaluatie wil de luchtvaartmaatschappij ervoor zorgen dat deze reizigers de nodige veiligheidsverklaringen afleggen en direct alle veiligheids- en regelgevingsprotocollen ontvangen die wettelijk vereist zijn tijdens het reizen.

Ryanair verwijst naar OTA-partners

Blijkbaar zijn dit niet de ‘weinig overgebleven’ OTA’s zoals de luchtvaartmaatschappij aanvankelijk stelde. Op de verdere vraag wat dit precies betekende, sprak de luchtvaartmaatschappij expliciet over eDreams of Booking.com, waarmee de luchtvaartmaatschappij geen samenwerkingsverbanden heeft. Gezien de vele OTA’s op de markt is het echter gemakkelijker om alleen maar te verwijzen naar de vijftien OTA’s waarmee Ryanair een partnerschap heeft, waaronder TUI, Kiwi en Expedia, aldus Ryanair.

Het bedrijf maakte vrijdag niet duidelijk of dit betekende dat Ryanair de klanten van alle andere OTA’s zou dwingen biometrische verificatiemaatregelen te ondergaan.

Klachten ook in Spanje, België en Frankrijk

En het zijn niet alleen de Ierse DPC die klachten hebben over de verificatiepraktijken van de luchtvaartmaatschappij: ook de EU Travel Tech-vereniging, waartoe bedrijven als Airbnb, Booking.com, eDreams, Expedia en Skyscanner behoren, heeft hierover geklaagd bij de Franse en Belgische gegevensbeschermingsautoriteiten. in mei.

Sinds december 2023 verplicht de goedkope luchtvaartmaatschappij hen om passagiers zonder Ryanair-klantaccount te verifiëren met behulp van geautomatiseerde gezichtsherkenning en ID-gegevens. Vooral klanten die hun vluchten boeken via een online reisbureau worden getroffen. EU Travel Tech verwees ook naar de AVG en waarschuwde: gecompromitteerde gegevens “konden niet langer worden ingetrokken of gewijzigd”.

Beschuldiging: intimidatie van klanten

Ook burgerrechtenorganisatie Noyb diende in juli 2023 een klacht in tegen de gedwongen gezichtsherkenning van een klant van het eDreams-portaal. Nadat ze via eDreams een Ryanair-vlucht had geboekt, werd ze gedwongen een betaalde verificatie door de luchtvaartmaatschappij te ondergaan.

Vanuit het standpunt van Noyb is dit helemaal niet nodig omdat de luchtvaartmaatschappij al over alle benodigde informatie beschikt om illegale praktijken uit te sluiten. In werkelijkheid wil de luchtvaartmaatschappij eenvoudigweg “de levens van reizigers en concurrenten ingewikkelder maken om haar eigen winsten te vergroten.”

Ryanair daarentegen stond erop klanten in 2023 te beschermen tegen phishing, accountmisbruik, dubieuze online reisbureaus en andere fraudeurs.