Mag ik van medewerkers een vingerafdruk vragen?
Als werkgever moet je bij het maken van nieuw beleid ook goed nadenken over de privacy rechten van je medewerkers. Sinds de invoering van de nieuwe privacyregels in 2018 (de AVG) wordt er strenger gecontroleerd op het naleven van privacyregels en zijn medewerkers zich meer bewust van hun rechten. Winkelketen Manfield werd hiermee ook geconfronteerd en heeft recent een privacy-vraag voorgelegd aan de Rechtbank. Zij waren namelijk overgestapt naar een nieuwe inlogmethode voor hun kassasysteem waarbij de vingerafdruk van het personeel wordt gebruikt. Werknemers moesten daardoor aan Manfield hun vingerafdruk beschikbaar stellen, anders konden zij hun werk niet uitvoeren. Eén medewerkster besloot daaraan niet mee te werken, omdat zij dit een inbreuk vond op haar privacyrecht.
Manfield en de werkneemster hebben samen deze vraag voorgelegd aan de rechter. Dit kan op grond van een ‘artikel 96-procedure’. Er is dan niet één partij die de andere partij voor de rechter daagt, maar partijen leggen gezamenlijk een vraag voor, waarover zij duidelijkheid wensen.
Argumenten van de werkgever
Tijdens de zitting betoogde Manfield dat dit systeem júist is ingevoerd ter bescherming van privacy. Wie inlogt op het kassasysteem kan immers allerlei klantgegevens en gegevens van medewerkers inzien. En op grond van de AVG (de privacywet uit 2018) moet je zorgen voor een adequate bescherming van die gegevens. Dat hebben zij dus gedaan door de toegang tot het systeem te koppelen aan een vingerafdruk. Voorheen was dit een persoonlijke code, maar dat zou te kraken zijn door hackers, aldus Manfield. Een tweede reden was gelegen in fraudebestrijding. Manfield zag zich recent geconfronteerd met veel interne fraudekwesties, waarbij de persoonlijke inlogcode van andere collega’s werd gebruikt. Een systeem met vingerafdruk maakt dit soort fraude onmogelijk. Tot slot vond Manfield dat het ook bij deze tijd hoort, dat vingerafdrukken gebruikt worden voor inlogsystemen. Zo ontgrendelen we bijna allemaal dagelijks onze telefoon daarmee.
Wat vond de rechter?
De kantonrechter in Amsterdam mocht uitsluitsel geven over deze kwestie. En die ging niet mee in de argumentatie van Manfield. De rechter oordeelde dat hier sprake was van een ongeoorloofde inbreuk op de privacy van het personeel. Manfield had niet aangetoond dat het noodzakelijk was om vingerscan-authorisatie te gebruiken voor de systemen, ter bescherming van de gegevens die daarin te vinden zijn. Er zijn immers ook andere opties, zoals een toegangspas in combinatie met een persoonlijke code bijvoorbeeld. Daar had Manfield geen onderzoek naar gedaan. Deze maatregel ging de rechter dus te ver. Dat veel consumenten een vingerafdruk gebruiken voor inloggen, maakt ook geen verschil.
Wat zegt de wet?
Deze uitspraak viel eigenlijk wel te verwachten. In de AVG is letterlijk opgenomen dat “biometrische gegevens met het oog op unieke identificatie” in de categorie bijzondere persoonsgegevens vallen. Daar gelden dus al strengere regels voor. De hoofdregel is dat je dit soort gegevens (een vingerafdruk, een irisscan, etc.) niet mag gebruiken. Vervolgens worden in de AVG een aantal specifieke uitzonderingen genoemd. Ook is in de Nederlandse uitwerking van deze wet een uitzondering opgenomen: deze biometrische gegevens mogen wél gebruikt worden in het kader van authenticatie of beveiliging, als dit noodzakelijk is voor het algemeen belang.
De memorie van toelichting bij de wet noemt hier het voorbeeld van een kerncentrale, dat een toegangssysteem met vingerafdruk gebruikt. Daar is het logisch, iedereen heeft er baat bij dat die plek zeer goed beveiligd wordt. Maar bij een schoenenwinkel is het toch allemaal wat minder spannend.
Slecht nieuws dus voor Manfield en andere bedrijven die zo’n– waarschijnlijk kostbaar – systeem hebben ingevoerd. Het valt te verwachten dat in onze sectoren een dergelijk systeem dus niet snel geoorloofd zal zijn. Er moet wel een heel groot veiligheidsrisico bestaan, wil een vingerafdruk of irisscan, geoorloofd zijn.