Wat is biometrische verificatie en hoe werkt het?

Biometrische verificatie controleert iemands identiteit aan de hand van unieke lichaamskenmerken, zoals een gezicht of een vingerafdruk. In plaats van iets dat je weet (een wachtwoord) of iets dat je hebt (een pasje), gebruikt het iets dat je bent. Voor organisaties die zeker willen weten wie er tegenover ze staat, is dat een betrouwbaardere manier om identiteit vast te stellen. Maar het werkt met gevoelige gegevens, en daar gelden strikte regels voor.

In dit artikel

• Wat is biometrische verificatie?
• Verificatie, identificatie en authenticatie: wat is het verschil?
• Welke biometrische kenmerken zijn er?
• Hoe werkt biometrische verificatie in de praktijk?
• Biometrische gegevens en de AVG: wat mag wel en niet?
• Waar komt biometrische verificatie van pas?
• Hoe DataChecker helpt

Wat is biometrische verificatie?

Biometrische verificatie is het bevestigen van iemands identiteit op basis van een uniek, meetbaar lichaamskenmerk. Denk aan een gezichtsscan, een vingerafdruk of een irisscan. Het systeem vergelijkt een kenmerk dat op dat moment wordt vastgelegd met een referentie die eerder is opgeslagen, en bepaalt of die twee bij dezelfde persoon horen.

Het verschil met een wachtwoord of een pasje is fundamenteel. Een wachtwoord kun je delen, vergeten of laten uitlekken. Een pasje kun je verliezen of uitlenen. Een biometrisch kenmerk zit aan één persoon vast. Dat maakt het lastiger te vervalsen, maar ook gevoeliger: een wachtwoord reset je, je gezicht niet.

Let op: “biometrie” betekent niet overal hetzelfde. In de zorg verwijst het naar oogmetingen voor een staaroperatie, en in de verloskunde naar echometingen. Deze blog gaat over biometrie in de context van identiteit: het vaststellen of iemand echt is wie hij zegt te zijn. Dat is het gebied waarop ID Verificatie draait.

Verificatie, identificatie en authenticatie: wat is het verschil?

Drie termen die door elkaar lopen, maar iets anders betekenen.

Verificatie is een 1-op-1-vergelijking. Iemand zegt wie hij is, en het systeem controleert of dat klopt: past dit gezicht bij het paspoort dat is geüpload? Dat is biometrische verificatie.

Identificatie is een 1-op-veel-vergelijking. Het systeem heeft alleen een kenmerk en zoekt in een database naar een match: van wie is deze vingerafdruk? Dit speelt bijvoorbeeld in opsporing.

Authenticatie is het verlenen van toegang nadat de identiteit is bevestigd. Je telefoon ontgrendelen met je gezicht is authenticatie: het apparaat checkt of jij het bent en geeft daarna toegang.

Voor het vaststellen van identiteit bij onboarding of een klantcontrole gaat het bijna altijd om verificatie: er ligt een claim (“dit ben ik, hier is mijn document”) en die wordt gecontroleerd.

Welke biometrische kenmerken zijn er?

Biometrische kenmerken vallen grofweg in twee groepen.

Fysieke kenmerken zijn eigenschappen van het lichaam: het gezicht, de vingerafdruk, de iris of het netvlies, en de vorm van de hand. Dit zijn de kenmerken die het meest worden gebruikt voor identiteitsverificatie, omdat ze stabiel zijn en goed te meten.

Gedragskenmerken gaan over hoe iemand iets doet: de manier van typen, de stem, of de handtekening. Deze worden vaker ingezet voor doorlopende beveiliging dan voor een eenmalige identiteitscheck.

In identiteitsverificatie zijn twee kenmerken dominant. Het gezicht, omdat een selfie eenvoudig op afstand te maken is en te vergelijken met de foto op een identiteitsbewijs. En de vingerafdruk, die als biometrisch gegeven is opgeslagen in de chip van moderne paspoorten en identiteitskaarten. Die chip uitlezen via NFC is een betrouwbare manier om het document aan de persoon te koppelen, en is de basis onder Digital ID.

Hoe werkt biometrische verificatie in de praktijk?

Een biometrische controle verloopt in een paar stappen.

Eerst wordt het kenmerk vastgelegd: de gebruiker maakt een selfie of scant een vingerafdruk. Dat beeld wordt niet bewaard als foto, maar omgezet in een template: een versleutelde, wiskundige weergave van de unieke punten in het kenmerk. Uit een template valt het oorspronkelijke gezicht niet terug te bouwen.

Vervolgens vergelijkt het systeem die template met de referentie, bijvoorbeeld de gezichtsfoto uit de paspoortchip. Het resultaat is geen simpel ja of nee, maar een matchscore: de mate van overeenkomst. Een organisatie bepaalt zelf welke drempel hoog genoeg is om de identiteit als bevestigd te beschouwen.

De belangrijkste stap tegen fraude is liveness-detectie. Die controleert of er een echt, levend persoon voor de camera zit, en niet een foto, een masker, een scherm of een deepfake. Zonder liveness is een gezichtscontrole te misleiden met een afdruk of een video. Het is precies het onderdeel dat handmatige controle, waarbij iemand een geüploade scan beoordeelt, niet kan bieden.

Die dreiging is niet theoretisch. Met algemeen beschikbare AI-tools is een gezicht van een foto in korte tijd om te zetten in een knipperende, pratende deepfake. Daarmee verschuift de controle van “ziet het er echt uit?” naar “is dit een echt, levend persoon?”.

Biometrische gegevens en de AVG: wat mag wel en niet?

Hier wordt het juridisch belangrijk. Zodra biometrische gegevens worden verwerkt met als doel iemand uniek te identificeren, zijn het bijzondere persoonsgegevens onder de AVG. Daarvoor geldt in principe een verwerkingsverbod, tenzij je je op een wettelijke uitzondering kunt beroepen (bron: Autoriteit Persoonsgegevens).

Of iets onder die strenge regels valt, hangt volgens de Autoriteit Persoonsgegevens af van drie punten samen: de aard van de gegevens (een fysiek, fysiologisch of gedragskenmerk), een specifieke technische verwerking (het omzetten naar een template), en het doel: unieke identificatie. Een gewone foto in een personeelssysteem valt daar niet automatisch onder; een gezichtsscan die wordt omgezet in een template om iemand te identificeren wel.

De twee meest genoemde uitzonderingen zijn uitdrukkelijke toestemming van de betrokkene, en het geval waarin verwerking noodzakelijk is voor authenticatie of beveiliging (bron: Autoriteit Persoonsgegevens). Let op de context: in een verhouding tussen werkgever en werknemer is “uitdrukkelijke toestemming” volgens de AP vrijwel nooit geldig, omdat een werknemer afhankelijk is van de werkgever en toestemming dan niet vrij gegeven is.

Deze blog legt uit hoe de regels werken, niet wat u in uw specifieke situatie moet doen. Voor een concrete inschatting van wat in uw organisatie is toegestaan, is juridisch advies op zijn plaats.

Waar komt biometrische verificatie van pas?

Biometrische verificatie wordt vooral ingezet waar identiteit op afstand en op schaal moet worden vastgesteld.

Bij digitale onboarding van klanten of medewerkers vervangt een selfie-plus-documentcheck de fysieke balie. Bij klantonderzoek in het kader van Know Your Customer hoort vaststellen dat een klant echt bestaat en is wie hij beweert te zijn. En bij het controleren van het recht om te werken, Right to Work, helpt het koppelen van persoon aan document om documentfraude eruit te filteren.

De operationele pijn die het oplost is concreet. Handmatige controle van geüploade documenten is tijdrovend en foutgevoelig, en een mens ziet een goed gemaakte vervalsing of een deepfake niet betrouwbaar. Een geautomatiseerde biometrische check met liveness vangt precies dat af.

De omvang van het probleem is meetbaar. Bij het Centraal Meldpunt Identiteitsfraude kwamen in 2025 bijna negenduizend meldingen van mogelijke identiteitsfraude binnen (bron: Rijksdienst voor Identiteitsgegevens). Voor organisaties die op afstand klanten of medewerkers aannemen, is het koppelen van persoon aan document een van de plekken waar die fraude wordt afgevangen.

Hoe DataChecker helpt

DataChecker combineert documentcontrole met biometrische verificatie in één proces. Een gebruiker scant het identiteitsbewijs, leest waar mogelijk de NFC-chip uit, en maakt een selfie die met liveness-detectie wordt gecontroleerd en gekoppeld aan het document. Zo wordt persoon en bewijsstuk aan elkaar verbonden, in plaats van los beoordeeld.

Dat verkort de doorlooptijd van een identiteitscontrole en haalt een groot deel van het handwerk weg, zonder dat de controle zwakker wordt. DataChecker neemt de wettelijke verantwoordelijkheid niet over, maar levert de techniek om identiteit betrouwbaar vast te stellen.

Bekijk hoe ID Verificatie van DataChecker werkt en wat het voor jouw onboarding betekent.