Manfield schoenenwinkel gaat goed met haar tijd mee: zij voert een vingerscanautorisatiesysteem in waarmee toegang wordt verschaft tot het kassasysteem. Personen waarvan de vingerafdruk niet geregistreerd staat hebben geen toegang tot de kassa. Het systeem vervangt de oude persoonsgebonden cijfercodes waarmee medewerkers eerst de kassa konden openen. Eén van de werknemers beschouwt het systeem als een inbreuk op haar privacy. Tezamen met Manfield legt zij deze vraag aan de rechtbank voor: is het gebruik van het vingerscanautorisatiesysteem een ongeoorloofde inbreuk op de privacy van de werknemer?
Manfield: vingerscan is noodzakelijk
Het kassasysteem van Manfield geeft niet alleen inzage in financiële informatie, maar ook in persoonsgebonden informatie van zowel medewerkers als klanten. Naar aanleiding van een aantal fraudegevallen (met betrekking tot diefstal van contant geld door middel van gefingeerde retourboekingen) heeft Manfield besloten de nieuwe autorisatiemethode breed in te voeren. Groot voordeel van de vingerscan? Medewerkers kunnen niet (bewust dan wel onbewust) hun inlogcodes aan anderen verstrekken. Een vingerafdruk is onontvreemdbaar.
Werkneemster: vingerscan is ongeoorloofde inbreuk privacy
De medewerkster ziet deze noodzaak niet. Zij verwijt Manfield dat niet is gekozen voor een ander – minder ingrijpend – systeem. Zeker gezien de aard van het bedrijf. Zoals de werkneemster omschrijft: “het gaat hier niet om een kerncentrale”. Van zeer privacy gevoelige informatie, of van andere omstandigheden die strenge beveiliging noodzakelijk maken, is volgens de werkneemster geen sprake.
Oordeel rechtbank: AVG verbiedt de vingerscan
Vingerafdrukken worden beschouwd als biometrische gegevens. Door middel van een vingerafdruk is iemand immers identificeerbaar en kan diegene worden onderscheiden van andere personen. Met invoering van de Algemene Verordening Gegevensbescherming is de verwerking van biometrische gegevens verboden.
Nederland heeft bij invoering van de AVG een uitzondering opgenomen op bovenstaand verbod: de Uitvoeringswet AVG staat het verwerken van biometrische gegevens toe indien verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Uiteraard geldt bij een beroep op deze uitzondering te allen tijde dat verwerking van de biometrische gegevens noodzakelijk en proportioneel moet zijn.
De rechter verwerpt het beroep van Manfield op het bedrijfsbelang. In dit verband heeft Manfield immers enkel verwezen naar enkele recente gevallen van fraude. Het willen voorkomen van fraude is volgens de evenwel niet aan te merken als een bedrijfsbelang dat “noodzakelijk [is] voor authenticatie- of beveiligingsdoeleinden”.
Hier komt bij dat Manfield ook de noodzaak van dit specifieke systeem (met de vingerafdruk) onvoldoende heeft onderbouwd. De rechter is van oordeel dat minder ingrijpende alternatieven zoals een combinatie van werknemerspas met persoonlijke cijfercode onvoldoende zijn onderzocht. Dit alternatief zou immers ook de dubbele waarborg bieden waar Manfield zo naar streeft, maar dan zonder de inbreuk op de privacy van haar werknemers.
Eindoordeel is dat Manfield haar werknemers niet mag verplichten tot het gebruik van het vingerscanautorisatiesysteem.
De AVG bij u op de werkvloer
De angst voor de AVG is vaak veel groter dan nodig is. Toch laat bovenstaande uitspraak zien dat soms beter moet worden nagedacht over de invoering van nieuwe systemen. Voorkom klachten achteraf door bij invoering van systemen een gegevensbeschermingseffectbeoordeling (Data Protection Impact Assessment) uit te voeren en zo de noodzaak en proportionaliteit van de maatregel te kunnen onderbouwen.
Meer informatie
Vragen omtrent privacy en de toepassing van de AVG? Leg uw casus voor aan één van onze advocaten. Mail hiervoor naar vandamme@honoreadvocaten.nl of bel: 030 214 51 50.
