Boete voor bedrijf voor verwerken vingerafdrukken werknemers

Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdsregistratie. De Autoriteit Persoonsgegevens (AP) heeft na onderzoek geconcludeerd dat het bedrijf geen vingerafdrukken van medewerkers had mogen verwerken. Het bedrijf kan zich namelijk niet beroepen op een uitzonderingsgrond voor het verwerken van bijzondere persoonsgegevens. Het bedrijf krijgt hiervoor een boete van 725.000 euro.

Bijzondere persoonsgegevens

Biometrische gegevens, zoals een vingerafdruk, zijn bijzondere persoonsgegevens. Een organisatie mag geen bijzondere persoonsgegevens gebruiken, tenzij daarvoor in de wet een uitzondering is.

Monique Verdier, vicevoorzitter van de AP: ‘Deze categorie persoonsgegevens wordt door de wet extra beschermd. Komen deze gegevens in verkeerde handen, dan kan dit mogelijk leiden tot onherstelbare schade. Zoals chantage of identiteitsfraude. Een vingerafdruk is niet vervangbaar, zoals een wachtwoord. Als het mis gaat, kan de impact groot zijn en een leven lang negatief effect hebben op iemand.’

Geen uitzondering op verbod

Voor het gebruik van vingerafdrukken zouden in dit geval 2 uitzonderingen op het verbod mogelijk kunnen zijn: als de betrokkenen om uitdrukkelijke toestemming wordt gevraagd of als het gebruik van biometrische gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

De AP heeft geconcludeerd dat dit bedrijf zich niet kan beroepen op 1 van deze 2 uitzonderingen voor het afnemen, opslaan en gebruiken van de vingerafdrukken van medewerkers.

Beveiliging

Een werkgever kan een medewerker vragen een vingerafdruk te geven voor bijvoorbeeld toegangscontrole. Soms is een medewerker verplicht zijn vingerafdruk af te staan, soms niet. Dat hangt ervan af of de verwerking van de vingerafdruk noodzakelijk is voor authenticatie of beveiliging.

Een werkgever moet afwegen of gebouwen en informatiesystemen zó goed beveiligd moeten zijn dat dit niet anders kan dan door (alleen) biometrie te gebruiken. Die noodzaak zal er vaak niet zijn, omdat er goede alternatieven zijn.

Toestemming

Vraagt een werkgever om toestemming aan medewerkers om hun vingerafdruk te verwerken? Dat mag in principe niet. Medewerkers zijn afhankelijk van hun werkgever, dus vaak niet in een positie om te kunnen weigeren.

De privacywet stelt strenge eisen aan het vragen van uitdrukkelijke toestemming. De toestemming moet ondubbelzinnig, specifiek, geïnformeerd én vrij zijn.

Dit bedrijf heeft niet aangetoond dat de medewerkers uitdrukkelijke toestemming hebben verleend. Medewerkers hebben daarnaast het vastleggen van hun vingerafdruk als een verplichting ervaren.

Rechtsmiddelen

De organisatie heeft bezwaar gemaakt tegen het besluit van de AP. De naam van de organisatie maakt de AP niet openbaar door een uitspraak van de rechter.