Vingerscan betrouwbaar, maar ook toegestaan?
Volgens de rechtbank zijn vingerafdrukken biometrische gegevens waarmee personen identificeerbaar zijn. Biometrische gegevens die worden verwerkt met het oog op de unieke identificatie van personen kwalificeren als zogenaamde bijzondere persoonsgegevens. Deze gegevens genieten vanwege hun gevoelige karakter extra bescherming. De AVG verbiedt het verwerken van bijzondere persoonsgegevens, behoudens wettelijk geregelde uitzonderingen.
Naar het oordeel van de rechtbank deed zich echter zo’n uitzondering niet voor. Daarvoor zou volgens de Memorie van Toelichting namelijk moeten zijn voldaan aan de volgende randvoorwaarden:
- de identificatie met biometrische gegevens moet noodzakelijk zijn voor authenticatie of beveiligingsdoeleinden. De werkgever zal moeten afwegen of de gebouwen en informatiesystemen zodanige beveiliging behoeven dat dit met biometrie dient plaats te vinden. Denk aan een kerncentrale, waarbij de toegang (zeer) beperkt dient te zijn;
- de verwerking dient proportioneel te zijn. Voor de toegang tot een garage van een reparatiebedrijf zal de beveiligingsnoodzaak niet zodanig zijn dat werknemers alleen met biometrie toegang kunnen krijgen en daartoe deze gegevens worden opgeslagen. Soms echter kan biometrie juist wel een belangrijk beveiligingsmiddel zijn. Denk aan informatiesystemen die veel persoonsgegevens bevatten, waarbij onrechtmatige toegang, ook van werknemers, moet worden voorkomen.
Gerechtvaardigd belang?
Voor iedere verwerking van persoonsgegevens is een wettelijke grondslag nodig. De AVG bevat zes – limitatieve – grondslagen. Een daarvan is de aanwezigheid van een gerechtvaardigd belang. Manfield beriep zich op haar bedrijfsbelang en verwees daarbij naar een aantal recente fraudegevallen door haar eigen personeel. Haar eerdere systeem van inlogcodes zou eenvoudig te omzeilen zijn en niet de mogelijkheid bieden de diefstal tot de dader te herleiden. De rechtbank maakte hier echter korte metten mee: hoewel zij begreep dat Manfield omzetderving wilde tegengaan, is dit belang niet ‘noodzakelijk voor authenticatie of beveiligingsdoeleinden’.
Ook was het gebruik van vingerscans volgens de rechtbank niet proportioneel, nu Manfield in haar winkels op geen enkele wijze in beveiliging voorziet: er is geen camerabeveiliging, er zijn geen alarmpoortjes bij de ingang en er zijn geen personeelskluisjes.
Tenslotte mocht ook een beroep op de noodzaak van vingerscans voor de beveiliging van gevoelige informatie die via haar kassa’s toegankelijk is, Manfield niet baten. Zij had mogelijke alternatieven, zoals toegangspassen, werknemerspassen en/of cijfercodes, al dan niet in combinatie met elkaar, onvoldoende onderzocht. Aldus de rechtbank.
Kortom, Manfield mocht haar personeel niet verplichten gebruik te maken van het vingerscanautorisatiesysteem wegens strijdigheid met de privacywetgeving.
Juridische uitdaging of HR vraagstuk?
CLINT | Littler zorgt voor heldere oplossingen. Kom in contact met een van onze arbeidsrecht advocaten of mediators.
Toestemming?
Opvallend is dat HEMA van plan was haar werknemers via een formulier toestemming te vragen voor het gebruik van de vingerafdrukken. Ook toestemming is een wettelijke grondslag voor verwerking. Voorwaarde is dat de toestemming ‘vrijelijk, specifiek, geïnformeerd en ondubbelzinnig’ wordt gegeven. Van vrijelijke toestemming is in de arbeidsrelatie vrijwel nooit sprake, daarover zijn de Europese privacy toezichthouders het inmiddels wel eens. Vanwege de afhankelijke positie waarin de werknemer zich bevindt ten opzichte van zijn werkgever, zal deze niet snel zijn toestemming onthouden uit angst voor repercussies zoals het niet verlengen van de arbeidsovereenkomst of het mislopen van een promotie of salarisverhoging.
Werkgevers doen er daarom verstandig aan als vuistregel aan te houden dat toestemming geen geldige verwerkingsgrond is onder de AVG.
