Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdsregistratie. De Autoriteit Persoonsgegevens (AP) heeft na onderzoek geconcludeerd dat het bedrijf geen vingerafdrukken van medewerkers had mogen verwerken en legt daarom een boete op van 725.000 euro.

De reden voor de boete is dat het bedrijf zich kan beroepen op een uitzonderingsgrond voor het verwerken van bijzondere persoonsgegevens. Biometrische gegevens, zoals een vingerafdruk, zijn volgens de AP bijzondere persoonsgegevens. Een organisatie mag geen bijzondere persoonsgegevens gebruiken, tenzij daarvoor in de wet een uitzondering is. Monique Verdier, vicevoorzitter van de AP: “Deze categorie persoonsgegevens wordt door de wet extra beschermd. Komen deze gegevens in verkeerde handen, dan kan dit mogelijk leiden tot onherstelbare schade. Zoals chantage of identiteitsfraude. Een vingerafdruk is niet vervangbaar, zoals een wachtwoord. Als het mis gaat, kan de impact groot zijn en een leven lang negatief effect hebben op iemand.”

Geen uitzondering op verbod
Voor het gebruik van vingerafdrukken zouden in dit geval twee uitzonderingen op het verbod mogelijk kunnen zijn: als de betrokkenen om uitdrukkelijke toestemming wordt gevraagd of als het gebruik van biometrische gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
De AP heeft geconcludeerd dat dit bedrijf zich niet kan beroepen op een van deze twee uitzonderingen voor het afnemen, opslaan en gebruiken van de vingerafdrukken van medewerkers.

Beveiliging
Een werkgever kan een medewerker vragen een vingerafdruk te geven voor bijvoorbeeld toegangscontrole. Soms is een medewerker verplicht zijn vingerafdruk af te staan, soms niet. Dat hangt ervan af of de verwerking van de vingerafdruk noodzakelijk is voor authenticatie of beveiliging.
Een werkgever moet afwegen of gebouwen en informatiesystemen zó goed beveiligd moeten zijn dat dit niet anders kan dan door (alleen) biometrie te gebruiken. Die noodzaak zal er vaak niet zijn, omdat er goede alternatieven zijn.

Toestemming
Vraagt een werkgever om toestemming aan medewerkers om hun vingerafdruk te verwerken? Dat mag in principe niet. Medewerkers zijn afhankelijk van hun werkgever, dus vaak niet in een positie om te kunnen weigeren.
De privacywet stelt strenge eisen aan het vragen van uitdrukkelijke toestemming. De toestemming moet ondubbelzinnig, specifiek, geïnformeerd én vrij zijn.
Dit bedrijf heeft niet aangetoond dat de medewerkers uitdrukkelijke toestemming hebben verleend. Medewerkers hebben daarnaast het vastleggen van hun vingerafdruk als een verplichting ervaren.
De organisatie heeft bezwaar gemaakt tegen het besluit van de AP. De naam van de organisatie maakt de AP niet openbaar door een uitspraak van de rechter.