Werkgever, let op bij het gebruik van vingerafdrukken van werknemers!

Het gebruik van vingerafdrukken wordt steeds gebruikelijker. Zo worden mobiele telefoons tegenwoordig vaak ontgrendeld door middel van een vingerafdruk.

Maar betekent dit dat een werkgever zijn werknemers kan verplichten om vingerafdrukken af te staan voor bijvoorbeeld toegang tot een kassasysteem? Hoe verhoudt het afstaan van vingerafdrukken zich tot de privacyregels?

In deze blog gaan wij in op een recente uitspraak van rechtbank Amsterdam, waarin de rechter deze vragen heeft behandeld.

Inbreuk op privacy?

In deze zaak werd door een schoenenketen een vingerscan-autorisatiesysteem gebruikt waarmee werknemers toegang kregen tot een kassasysteem. Een werknemer moest hierbij zijn vinger op de scanner leggen, waardoor een vingerafdruk werd uitgelezen. Deze vingerafdruk werd omgezet in een code. Indien deze code correspondeerde met een eerder opgeslagen code van de werknemer, werd toegang tot het systeem verschaft.

De vingerscan was de enige mogelijkheid om toegang tot het kassasysteem te krijgen, zonder vingerscan was het niet mogelijk om gebruik te maken van de kassa. Eén van de medewerkers van de schoenenketen maakte bezwaar tegen het gebruiken van haar vingerafdruk voor het systeem. Zij stelde zich op het standpunt dat deze autorisatiemethode inbreuk maakte op haar privacy.

Vingerafdruk is een bijzonder persoonsgegeven

Volgens de werkneemster maakte het systeem een inbreuk op haar privacy, omdat het hier om een biometrisch persoonsgegeven ging. Zij stelde zich op het standpunt dat ten aanzien van dit bijzondere persoonsgegeven een verwerkingsverbod geldt op grond van artikel 9 lid 1 AVG.

De kantonrechter bevestigde dit en oordeelde dat een vingerscan/vingerafdruk een bijzonder persoonsgegeven is in de zin van de AVG. Biometrische gegevens kunnen worden beschouwd als informatie betreffende een natuurlijk persoon, aangezien het gaat om gegevens die door hun aard informatie verstrekken over een bepaalde persoon, aldus de kantonrechter. Door middel van een biometrisch gegeven, zoals een vingerafdruk, is de persoon identificeerbaar en kan hij/zij van een andere persoon worden onderscheiden.

Verbod op verwerken biometrische gegevens

Als algemeen uitgangspunt geldt dat het verwerken van biometrische gegevens verboden is, tenzij sprake is van een wettelijke uitzondering. Het verbod om biometrische gegevens met het oog op unieke identificatie van een persoon te verwerken is niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Bij de beoordeling of in dit geval sprake was van de uitzondering ‘noodzakelijk voor authenticatie- of beveiligingsdoeleinden’ verwierp de kantonrechter het beroep van werkgever op het bedrijfsbelang. Werkgever had aangegeven dat ze te maken hebben gehad met fraude door eigen personeel, waardoor zij het nieuwe systeem hadden ingevoerd.

Hiertegen bracht werkneemster in dat er geen enkele beveiliging was in de winkel waar zij werkzaam was. De kantonrechter oordeelde dat dit type bedrijfsbelang niet onder de uitzondering viel. Omdat er geen andere beveiligingsmaatregelen waren, plaatste de kantonrechter ook vraagtekens ten aanzien van de proportionaliteit.

Onvoldoende onderzoek naar alternatieven

De kantonrechter ging verder met het standpunt van werkneemster mee dat werkgever onvoldoende alternatieven, zoals een toegangspas, cijfercodes of werknemerspas had onderzocht. De werkgever had onvoldoende onderbouwd (door middel van documenten waarom, met afweging van voors en tegens van verschillende systemen) waarom werd gekozen voor het vingerscanautorisatiesysteem. En dus oordeelde de rechter dat de werkgever op grond van de privacyregelgeving werkneemster niet mocht verplichten tot het gebruik van de vingerscanautorisatie.

Conclusie: strenge regels voor het gebruik van vingerafdrukken

De conclusie die we uit de uitspraak van de kantonrechter Amsterdam kunnen trekken, is dat een vingerscan als bijzonder persoonsgegeven wordt beschouwd. Dit betekent dat ten aanzien van het verwerken en gebruiken van vingerafdrukken strenge(re) regels gelden.

Het is echter denkbaar dat bedrijven om verschillende redenen toch willen werken met een vingerscanautorisatie. Ondanks dat als uitgangspunt geldt dat het verwerken van biometrische gegevens (bijzondere persoonsgegevens) verboden is, kan dit verbod terzijde worden geschoven als sprake is van een wettelijke uitzondering. Daarvan zal echter niet snel sprake van zijn.

Voor invoering van nieuwe (personeel volg-) systemen, zoals kassasystemen of kloksystemen, zal beoordeeld moeten worden of dergelijke systemen in het licht van de AVG en UAVG zijn toegestaan. Heb je vragen over dit onderwerp? Neem dan gerust contact op met Chantal Grouls of Marleen Koeslag.