Gezichten vervagen en EXIF-metadata strippen voordat je een foto deelt

Gepubliceerd 18 juli 2026 · Bijgewerkt 18 juli 2026 · het Occlira-team

Elke foto die je deelt draagt twee risico's met zich mee, één dat je ziet en één dat je niet ziet: de gezichten en identificatiekenmerken in beeld, en de onzichtbare metadata die in het bestand is ingebakken. Slechts één ervan aanpakken laat je kwetsbaar — en de gebruikelijke oplossing voor de zichtbare helft, een vervaging, is vaak terug te draaien. Deze gids laat zien hoe je een foto correct redigeert, op je eigen computer, zodat er niets wordt geüpload.

De twee verborgen risico's in elke foto

Er zijn twee onafhankelijke problemen, en het ene aanpakken doet niets voor het andere. Het eerste is zichtbaar: gezichten, kentekenplaten, badges, huisnummers, schermen en documenten in beeld. Het tweede is onzichtbaar: de metadata die je camera in het bestand schrijft — waar en wanneer de foto is genomen, en met welk apparaat. Je moet beide aanpakken, elk met de juiste techniek.

Wat EXIF-metadata werkelijk lekt

Telefoons en camera's hangen aan elke afbeelding een blok gegevens dat EXIF heet. Het legt doorgaans de datum en tijd vast waarop de foto is genomen, het cameramerk, -model en de instellingen, de GPS-locatie als de locatievoorzieningen aan stonden, de oriëntatie, de gebruikte bewerkingssoftware en in sommige gevallen het serienummer van de camera. Privacy-engineers bij Proton waarschuwen dat deze “onzichtbare metadata kan worden gebruikt om je locatie te volgen, je dagelijkse routines te reconstrueren of jou of je dierbaren te doxen.” (Bron: Proton.) Niets ervan verschijnt op het scherm, en het overleeft gewone bewerkingen zoals bijsnijden of de helderheid aanpassen — en juist daarom moet het verwijderen ervan een bewuste stap zijn.

Echte zaken waarin de metadata van een foto een locatie verried

Dit is niet theoretisch. Eén niet-opgeschoonde foto is genoeg gebleken om mensen te lokaliseren die absoluut niet gevonden wilden worden:

De zaak-McAfee is het schoolvoorbeeld: zoals Scientific American het verwoordde, “smartphonecamera's schrijven de locatie, datum, tijd en camera-instellingen naar het digitale afbeeldingsbestand,” waardoor één gedeelde foto een precieze locatie kan verraden — zonder dat er hacken aan te pas komt. (Bron: Scientific American; PetaPixel.)

Een gezicht is een persoonsgegeven — en een biometrisch gegeven zodra het iemand identificeert

Een herkenbaar gezicht is niet bijkomstig; het is op zichzelf een persoonsgegeven. Onder de AVG wordt een gezichtsafbeelding pas een biometrisch gegeven van bijzondere categorie “wanneer het wordt verwerkt met behulp van een specifieke technische methode die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maakt” — bijvoorbeeld door er gezichtsherkenning op los te laten. (Bron: AVG-overweging 51.) De Britse ICO trekt dezelfde grens: een gewone foto is een persoonsgegeven, maar “is niet automatisch een biometrisch gegeven, ook al gebruik je die voor identificatiedoeleinden” — het wordt pas biometrisch wanneer een algoritme de gezichtskenmerken extraheert en omzet in een sjabloon. (Bron: ICO.) Hoe dan ook is het publiceren van het gezicht van een omstander of een bron een echte privacybeslissing — en juist daarom moet het bedekken ook daadwerkelijk werken.

Waarom een gezicht vervagen of pixelen geen veilige redactie is

Hier zit het contra-intuïtieve deel dat de meeste “vervagings”-tools verkeerd doen: zwakke verhulling is omkeerbaar. Vervaging en pixelen verwijderen het identificerende detail niet — ze husselen het op een voorspelbare, wiskundig herstelbare manier. Beveiligingsonderzoeker Dan Petro van Bishop Fox bouwde een tool, Unredacter, die de oorspronkelijke tekst terughaalt uit gepixelde redacties, omdat pixelen de “diffusie” mist die het onherstelbaar zou maken. Zijn regel is ondubbelzinnig: gebruik massieve balken en “gebruik nooit iets anders. Geen pixelisatie, geen vervaging, geen verdoezeling, geen verwringing.” (Bron: Bishop Fox.)

Het bewijs dat vervaging en pixelen terug te draaien zijn

Dit is niet de mening van één onderzoeker — het is een goed gedocumenteerd resultaat, zowel bij tekst als bij gezichten:

• Gepixelde tekst is weer leesbaar te maken. Depix is een openbaar proof-of-concept dat platte tekst terughaalt — oorspronkelijk een gepixeld beheerderswachtwoord — uit een schermafbeelding die met een lineair box-filter is vervaagd. (Bron: Depix.) De openbare Unredacter-uitdaging van Bishop Fox werd vervolgens gewonnen op een echte gepixelde tekenreeks, wat bewijst dat de aanval ook buiten het lab werkt. (Bron: Bishop Fox.)
• Vervaagde en gemozaïekte gezichten zijn opnieuw te identificeren. In een peer-reviewed studie identificeerde een neuraal netwerk 16×16 gemozaïekte gezichten met 96,25% nauwkeurigheid en door YouTube vervaagde gezichten met 57,75% nauwkeurigheid, met de conclusie dat het verhullen van een afbeelding “mogelijk niet langer volstaat voor privacy.” (Bron: McPherson, Shokri & Shmatikov.)
• De meeste anonimiseringsmethoden zijn minstens deels omkeerbaar. De “Fantômas”-studie uit 2024 vond dat 11 van de 15 geteste gezichtsanonimiseringsmethoden — waaronder Gauss-vervaging en pixelen — minstens gedeeltelijk konden worden teruggedraaid, omdat ze identificerende informatie alleen verbergen in plaats van verwijderen. (Bron: Fantômas, PoPETS 2024.) Een methode uit 2025 gaat verder en gebruikt een diffusiemodel om met Gauss vervaagde gezichten te herstellen met behoud van de identiteit. (Bron: arXiv 2506.12344.)

Onomkeerbare redactie: massieve vlakken voor het beeld, harde verwijdering voor de metadata

De oplossing volgt rechtstreeks uit het probleem. Bedek voor de zichtbare helft gezichten en identificatiekenmerken met een massief, dekkend vlak zodat de pixels eronder simpelweg verdwenen zijn uit de kopie die je deelt — niets meer om te reconstrueren. Verwijder voor de onzichtbare helft de metadata daadwerkelijk in plaats van erop te vertrouwen dat een platform dat voor je doet. Doe beide, en controleer.

Waarom je het op je eigen computer doet, en niet met een online vervager of EXIF-verwijderaar

Het is verleidelijk om een foto in een webgebaseerde “gezichtsvervager” of “EXIF-verwijderaar” te plakken. Maar bedenk wat dat betekent: om een gevoelige foto te beschermen, heb je zojuist het origineel — gezichten, GPS en al — geüpload naar de server van iemand anders. Dat is het tegenovergestelde van privacy. Occlira doet beide — gezichten bedekken met een massief vlak en de EXIF strippen — lokaal, waarbij er niets wordt geüpload. Het op je eigen machine doen houdt het originele bestand lokaal, zonder account en zonder upload — dezelfde reden waarom lokale verwerking de veiligere standaard is, ook voor documenten en audio. Je kunt precies nalezen wat er op je apparaat blijft op onze pagina Gegevens- en privacybeleid.

Zo vervaag je gezichten en strip je EXIF vóór het delen — stap voor stap

1. Detecteer gezichten op je eigen computer. Open de foto in een tool die gezichtsdetectie lokaal uitvoert, zodat de gevoelige afbeelding nooit naar een webdienst wordt geüpload. Laat de tool in een eerste ronde automatisch elk gezicht vinden en markeren.
2. Bedek elk gezicht en identificatiekenmerk met een dekkend vlak. Geen vervaging of mozaïek — een massief vlak. Bedek elk gezicht, en ook de minder opvallende identificatiekenmerken die een detector niet opmerkt: kentekenplaten, ID-badges en lanyards, huisnummers, computerschermen, documenten op een bureau, en spiegelingen in ramen of brillen.
3. Bevestig dat de redactie onomkeerbaar is. Het doel van het vlak is dat de pixels eronder verdwenen zijn uit de kopie die je deelt — geen filter dat weer weggetrokken kan worden. Past je tool een omkeerbare vervaging toe, zet die dan om naar een massief masker voor alles wat je publiceert.
4. Strip de locatie- en EXIF-metadata. Het verwijderen van het zichtbare gezicht doet niets aan de onzichtbare metadata. Verwijder als aparte stap de GPS-coördinaten, het cameramerk/-model/serienummer, de tijdstempels en de bewerkingsgeschiedenis die in het bestand zijn ingebakken.
5. Controleer de geëxporteerde kopie. Open het schone bestand opnieuw en controleer twee dingen: geen enkel gezicht is nog te herstellen, en een EXIF-viewer toont dat de metadata leeg is. Neem het niet aan — bevestig het.
6. Houd het origineel privé. Deel alleen de geëxporteerde kopie. Bewaar het onaangeroerde origineel — met de gezichten en metadata intact — op je eigen machine.

Checklist vóór het delen

• Elk gezicht bedekt met een dekkend vlak — geen omkeerbare vervaging of mozaïek.
• Kentekenplaten, badges, schermen, documenten en spiegelingen ook weggevlakt.
• GPS-/locatiegegevens verwijderd.
• Cameramerk, -model, serienummer en tijdstempel verwijderd.
• Het geëxporteerde bestand opnieuw gecontroleerd in een EXIF-viewer — de metadata is leeg.
• Origineel privé gehouden; alleen de schone kopie wordt gedeeld.

Doe het lokaal met Occlira

Occlira lost beide helften van het fotorisico op in één lokale ronde. Het detecteert gezichten lokaal en biedt drie maskeerstijlen — vervaging, mozaïek of een massief vlak — en laat je een vlak tekenen over alles wat de detector heeft gemist. Omdat vervaging en mozaïek terug te draaien zijn, kies je het massieve vlak voor alles wat je publiceert. In dezelfde stap stript het de GPS- en EXIF-metadata — locatie, cameramerk/-model en tijdstempels — en het laat je originele bestand onaangeroerd, terwijl het een schone kopie exporteert om te delen. Er wordt niets geüpload, en er is geen account.

Het is één onderdeel van een bredere lokale gereedschapskist die ook Word, PDF en Excel redigeert en namen wegpiept uit audio — allemaal lokaal. Eén eerlijke kanttekening, dezelfde die we elders gebruiken: de omkeerbare anonimiseringsmodus van Occlira voor tekst is pseudonimisering, dus die uitvoer blijft een persoonsgegeven. Maar een dekkend vlak op een foto en een gestript EXIF-blok zijn per ontwerp onomkeerbaar — precies wat je wilt voor een afbeelding die je op het punt staat te publiceren. Occlira helpt je dit goed te doen; het is geen garantie, en je beoordeelt elk resultaat zelf.

Veelgestelde vragen

Redigeer een foto op de juiste manier

Bedek gezichten met een echt vlak en strip de metadata — op je eigen computer. 14 dagen gratis op Windows en macOS.

Meer: lokale versus cloud-redactie · voor journalisten · hoe je gegevens worden verwerkt