AP deelt hoge boete uit voor onrechtmatige verwerking van vingerafdrukken werknemers

De Autoriteit Persoonsgegevens (‘AP’) heeft een boete van € 725.000,- opgelegd aan een bedrijf wegens de onrechtmatige verwerking van vingerafdrukken van haar werknemers voor afwezigheids- en tijdsregistratie.

Op 5 juli 2018 heeft de AP een melding ontvangen dat werknemers van het bedrijf met behulp van een vingerafdruk in- en uit moesten klokken. Naar aanleiding daarvan is de AP in oktober 2018 een onderzoek gestart naar de naleving van artikel 9 van de Algemene Verordening Gegevensbescherming (‘AVG’), welk artikel ziet op het verbod op de verwerking van bijzondere categorieën van persoonsgegevens. Biometrische gegevens, zoals vingerafdrukken, kwalificeren als bijzondere categorieën  persoonsgegevens. Er bestaan een aantal uitzonderingen op het verbod om bijzondere persoonsgegevens te verwerken. De AP onderscheidt twee uitzonderingen als mogelijke grondslag voor verwerking van vingerafdrukken door het bedrijf: uitdrukkelijke toestemming en de noodzaak voor authenticatie of beveiligingsdoeleinden.

Uitdrukkelijke toestemming

De AP is van mening dat werknemers geen uitdrukkelijke toestemming hebben gegeven, omdat het bedrijf niet kon aantonen dat dergelijke uitdrukkelijke toestemming was verkregen voor het verwerken van de vingerafdrukken. Bovendien stelt de AP dat toestemming niet vrijelijk gegeven kan worden door werknemers. Volgens de AP is het, gezien de machtsverhouding in de relatie tussen werkgever en werknemer, in beginsel onwaarschijnlijk dat een werknemer vrijelijk toestemming kan verlenen aan zijn of haar werkgever. Het bedrijf kon ook niet aantonen dat de toestemming in dit geval wél vrijelijk gegeven was.

Noodzakelijk voor authenticatie of beveiligingsdoeleinden

De AP heeft vervolgens beoordeeld of de verwerking van vingerafdrukken mocht geschieden, omdat dit noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Hiervoor dient te worden afgewogen of deze wijze van identificatie noodzakelijk en proportioneel is voor authenticatie of beveiligingsdoeleinden.
De AP concludeert kort dat het verwerken van biometrische gegevens voor tijdsregistratie, aanwezigheidscontrole en bevoegd gebruik van apparatuur bij dit bedrijf niet noodzakelijk en proportioneel is. Minder ingrijpende manieren kunnen dit volgens de AP ook bewerkstelligen.

Op grond van bovenstaande komt de AP tot de conclusie dat de verwerking van vingerafdrukken van werknemers onrechtmatig heeft plaatsgevonden van 25 mei 2018 tot en met 16 april 2019. De AP legt een boete op van € 725.000,-. Dit bedrag is gelijk aan de basisboete die op een dergelijke overtreding staat op grond van de Boetebeleidsregels van de AP. Het bedrijf heeft inmiddels bezwaar gemaakt tegen het besluit van de AP. Deze bezwaarprocedure loopt nog. De naam van het bedrijf is niet gepubliceerd wegens een rechterlijke uitspraak die dit heeft verboden.

Dit is een Legal Update van team Technology Information & Privacy.