Je smartphone snel ontgrendelen door je vingerafdruk op een sensor te leggen of je gezicht te laten scannen door de camera. Het kan tegenwoordig allemaal. Vingerafdrukken worden tegenwoordig in diverse gevallen gebruikt. Toch vindt de rechter het gebruiken van vingerafdrukken niet altijd goed. Zo is Manfield eind 2019 op de vingers getikt. Het gebruiken van vingerafdrukken van medewerkers om fraude te voorkomen ging in dit geval te ver. Maar wanneer mag je deze bijzondere/biometrische persoonsgegevens wel gebruiken?
Wat zijn biometrische gegevens?
Biometrische gegevens, zoals vingerafdrukken, zijn persoonsgegevens die tot stand komen via een specifieke technische verwerking van fysieke of gedragsgerelateerde kenmerken. Hierdoor kan iemand duidelijk worden geïdentificeerd.
Andere veelgebruikte vormen van biometrische gegevens zijn de iris- of netvliesscan en natuurlijk de veel gebruikte gezichtsherkenning. Dat laatste gebruiken wij samen met de vingerafdrukscan vaak om onze telefoon te ontgrendelen. Elke nieuwe smartphone heeft wel één van deze twee opties.
Mag je biometrische gegevens zomaar verwerken?
De AVG bepaalt dat biometrische gegevens bijzondere persoonsgegevens zijn. De verwerking van deze bijzondere gegevens is verboden. Het verbod op het verwerken van bijzondere gegevens is volgens de Uitvoeringswet van de AVG niet van toepassing als de verwerking van deze gegevens noodzakelijk is voor authenticatie, beveiligingsdoeleinden of indien toestemming is gegeven.
Noodzakelijke verwerking van biometrische gegevens
De toelichting bij de Uitvoeringswet geeft als voorbeeld van een noodzakelijke verwerking van biometrische persoonsgegevens de toegangscontrole bij een kerncentrale. In zo’n geval is het gebruiken van een vingerafdrukscan noodzakelijk. Maar de vraag die blijft, is in welke gevallen een vingerafdrukscan nog meer noodzakelijk is. Per geval zal dit moeten worden bekeken.
Toestemming gebruik biometrische gegevens
Daarnaast is toestemming dus ook een geldige grondslag. Echter, de toestemming dient wel in vrijheid te worden gegeven. In de relatie tussen werkgever en werknemer is er geen sprake van in vrijheid gegeven toestemming. Dit komt door de gezagsverhouding tussen de werkgever en werknemer. De gegeven toestemming door de werknemer levert dan ook geen geldige grondslag op voor de verwerking van biometrische gegevens.
Risico’s bij gebruik van vingerafdrukken
Dat vingerafdrukken niet altijd gebruikt mogen worden heeft een gegronde reden. Wanneer vingerafdrukken worden gebruikt voor niet noodzakelijke doeleinden wordt het risico op misbruik ook groter. De vingerafdrukken kunnen namelijk gebruikt worden voor identiteitsfraude.
Gebruik van vingerafdrukken door Manfield
Je zou denken dat het gebruiken van vingerafdrukken om fraude te voorkomen is toegestaan, omdat het noodzakelijk is voor beveiligingsdoeleinden. Toch vond de rechter dit niet voldoende. In 2019 heeft de rechtbank Amsterdam hier uitspraak over gedaan. De schoenenketen Manfield gebruikte namelijk vingerafdrukken om op die manier in het kassasysteem te komen.
Een cijfercode was volgens Manfield namelijk niet voldoende om het kassasysteem te beveiligen. Toch heeft de rechter besloten dat het gebruiken van vingerafdrukken een te ingrijpend middel is. Manfield had namelijk via andere wegen maatregelen kunnen treffen om de kassasystemen beter te beveiligen in plaats van via vingerafdrukken.
Toch bijzondere persoonsgegevens verwerken
Je kan bijzondere persoonsgegevens, zoals vingerafdrukken, verwerken indien je daar gegronde redenen toe hebt en de AVG dit ook toelaat. Maar zoals hiervoor al besproken worden er hoge eisen gesteld aan het verwerken van deze persoonsgegevens.
Wanneer je bijzondere persoonsgegevens verwerkt in strijd met de AVG, dan loop je het risico dat je hoge boetes moet betalen aan de Autoriteit Persoonsgegevens. Ga dus van te voren na of het echt nodig is om bijzondere persoonsgegevens te verwerken.
Hulp nodig?
Het bovenstaande geeft in een notendop de belangrijkste aspecten omtrent bijzondere persoonsgegevens weer. Heb je vragen over het verwerken van dergelijke persoonsgegevens of over de AVG? Bel of mail mij dan gerust.
Esmée Piening
Advocaat