725.000 euro boete om verwerken vingerafdrukken medewerkers

Na onderzoek heeft de Autoriteit Persoonsgegevens (AP) geconcludeerd dat het bedrijf de vingerafdrukken van medewerkers niet had mogen verwerken. Het bedrijf kan zich volgens de AP ook niet beroepen op een uitzonderingsgrond voor het verwerken van bijzondere persoonsgegevens.

Biometrische gegevens, zoals een vingerafdruk, zijn bijzondere persoonsgegevens. Een organisatie mag geen bijzondere persoonsgegevens gebruiken, tenzij daarvoor in de wet een uitzondering is.

Chantage of identiteitsfraude

Monique Verdier, vicevoorzitter van de AP: 'Deze categorie persoonsgegevens wordt door de wet extra beschermd. Komen deze gegevens in verkeerde handen, dan kan dit mogelijk leiden tot onherstelbare schade, zoals chantage of identiteitsfraude. Een vingerafdruk is niet vervangbaar, zoals een wachtwoord. Als het mis gaat, kan de impact groot zijn en een leven lang negatief effect hebben op iemand.'

Voor het gebruik van vingerafdrukken zouden in dit geval 2 uitzonderingen op het verbod mogelijk kunnen zijn: als de betrokkenen om uitdrukkelijke toestemming wordt gevraagd of als het gebruik van biometrische gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden. De AP oordeelt dat het bedrijf zich hierop niet kan beroepen.

Beveiliging

Een werkgever kan een medewerker vragen een vingerafdruk te geven voor bijvoorbeeld toegangscontrole. Soms kan een medewerker verplicht zijn een vingerafdruk af te staan. Dat hangt ervan af of de verwerking van de vingerafdruk noodzakelijk is voor authenticatie of beveiliging. Die noodzaak zal er vaak niet zijn, omdat er goede alternatieven zijn.

Een werkgever mag medewerkers in principe niet om toestemming vragen om hun vingerafdruk te verwerken. Toestemming moet volgens de privacyregels in vrijheid kunnen worden gegeven Omdat medewerkers afhankelijk van hun werkgever, zullen zij vaak niet in een positie zijn om te kunnen weigeren.

Bezwaar gemaakt

Volgens de AP heeft dit bedrijf niet aangetoond dat de medewerkers uitdrukkelijke toestemming hebben verleend. Bovendien hebben medewerkers het vastleggen van hun vingerafdruk als een verplichting ervaren. De organisatie heeft bezwaar gemaakt tegen het besluit van de AP.