De Autoriteit Persoonsgegevens heeft de hoogste boete tot nu toe voor het overtreden van de Algemene verordening gegevensbescherming (AVG) opgelegd. De boete van € 725.000 werd opgelegd aan een bedrijf, omdat de werknemers hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdregistratie. De Autoriteit Persoonsgegevens heeft geconcludeerd dat het bedrijf geen vingerafdrukken had mogen verwerken. Het bedrijf kon zich namelijk niet beroepen op een uitzonderingsgrond voor het verwerken van bijzondere persoonsgegevens.

Bijzondere persoonsgegevens

De vingerafdruk is een gegeven waarmee een eenduidige identificatie van een persoon mogelijk is. Ook wel een biometrisch gegeven genoemd. Biometrische gegevens zijn bijzondere persoonsgegevens. Deze categorie persoonsgegevens wordt extra beschermd. Op grond van de AVG mag een bedrijf geen bijzondere persoonsgegevens gebruiken, tenzij de wet hiervoor een uitzondering biedt.

Biedt de wet een uitzondering?

De Autoriteit Persoonsgegevens heeft geconcludeerd dat het bedrijf in kwestie zich niet kan beroepen op een uitzonderingsgrond. Voor het gebruik van vingerafdrukken zouden in dit geval twee uitzonderingen mogelijk kunnen zijn, namelijk op basis van uitdrukkelijke toestemming of als het gebruik van de gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Uitdrukkelijke toestemming

De AVG stelt strenge eisen aan het vragen van uitdrukkelijke toestemming. Toestemming dient ondubbelzinnig, specifiek en vrij te zijn. Het bedrijf in deze kwestie kon niet aantonen dat de medewerkers uitdrukkelijke toestemming aan de werkgever hadden verleend. De medewerkers hebben daarnaast zelfs aangegeven dat zij het vastleggen van de vingerafdruk als verplichting ervaarden. De Autoriteit Persoonsgegevens oordeelt bovendien ook dat medewerkers afhankelijk zijn van hun werkgever en dus vaak niet in een positie om te kunnen weigeren. Hierdoor mag het vragen van toestemming in principe niet.

Beveiliging

De Autoriteit Persoonsgegevens geeft aan dat een werkgever moet afwegen of gebouwen en informatiesystemen zó goed beveiligd moeten zijn dat dit niet anders kan dan alleen door gebruik van biometrische gegevens, zoals de vingerafdruk. Doorgaans ontbreekt die noodzaak, omdat er goede authenticatie- of beveiligingsalternatieven zijn.

Bezwaar

Het bedrijf in kwestie heeft inmiddels bezwaar gemaakt tegen het besluit tot oplegging van de boete. Het is nog niet duidelijk of het besluit hierdoor gewijzigd zal worden.

 

Verwerkt u biometrische gegevens, bijvoorbeeld een vingerafdruk om de aanwezigheid van uw medewerkers te registreren en twijfelt u of die verwerking in lijn is met de AVG? Neem dan contact op met een van de juristen van Frontyr via 085 – 773 26 66 of advies@frontyr.nl. Zij leggen u graag uit hoe u aan de AVG kunt voldoen, zodat hoge boetes kunnen worden voorkomen.

Heeft u naar aanleiding van dit artikel een vraag? Stel direct een vraag online...