45.000 euro boete voor tijdregistratie met vingerafdruk

Wat zijn biometrische gegevens?

Biometrische gegevens zijn unieke kenmerken, zoals vingerafdrukken, irisscans of gezichtsherkenning, die een persoon identificeren. De GDPR beschouwt biometrische gegevens als bijzondere persoonsgegevens, waardoor er strenge regels gelden voor hun verwerking. Organisaties moeten hiermee rekening houden bij het gebruik van technologieën die deze gegevens verzamelen, bijvoorbeeld voor toegangscontrole of tijdregistratie software.

Laten we kijken naar de redenen waarom deze werkgever een boete kreeg en welke lessen we hieruit kunnen trekken.

Waarom werd deze werkgever beboet?

In deze specifieke zaak gebruikte een organisatie vingerafdrukscans voor tijdregistratie. Werknemers konden hun werkuren alleen registreren via een vingerscan en er was geen alternatieve methode beschikbaar. Wie niet meewerkte, riskeerde sancties van het bedrijf.

In het kader van de GDPR moet altijd een geldige wettelijke basis worden gekozen. Voor biometrische gegevens zijn er meestal twee opties:

1. Toestemming: Door het machtsverschil tussen werkgever en werknemer kan toestemming nooit echt vrij zijn.

2. Gerechtvaardigd belang: De organisatie kon geen alternatieven aanbieden, zoals badges of persoonlijke toegangscodes.

Het bedrijf kreeg een boete van 45.000 euro, omdat naast de verwerking van biometrische gegevens ook andere GDPR-verplichtingen niet werden nageleefd. Deze zaak laat zien dat werkgevers zich bewust moeten zijn van de risico’s die biometrische gegevens met zich meebrengen. Een kleine fout kan grote financiële gevolgen hebben.

Essentiële GDPR-principes voor werkgevers

Bij de verwerking van biometrische gegevens moet je als werkgever rekening houden met een aantal GDPR-principes:

1. Rechtmatigheid van verwerking
   Je mag biometrische gegevens alleen verwerken als er een geldige rechtsgrond is. Toestemming is in een arbeidsrelatie vaak geen optie, omdat werknemers zich onder druk kunnen voelen om akkoord te gaan. Zorg daarom voor een andere rechtsgrond, zoals gerechtvaardigd belang.

2. Minimale gegevensverwerking
   Verwerk niet meer gegevens dan strikt noodzakelijk. Voor tijdregistratie zijn alternatieven zoals badges of mobiele apps minder ingrijpend en daarom te verkiezen.

3. Informatieplicht
   Werknemers hebben recht op duidelijke informatie over wat er met hun gegevens gebeurt. Leg uit waarom je de gegevens verzamelt, hoe lang je ze bewaart en hoe je ze verwerkt.

4. Gegevensbeschermingseffectbeoordeling
   Bij verwerking van gevoelige gegevens moet je vooraf een effectbeoordeling uitvoeren om privacyrisico’s te identificeren en te beperken.

5. Recht op inzage
   Als een organisatie persoonsgegevens van een medewerker verzamelt, dan heeft die medewerker het recht om zijn eigen persoonsgegevens in te zien.

6. Doelbinding
   Gebruik de persoonsgegevens alleen voor het doel waarvoor ze oorspronkelijk zijn verzameld. Wil je ze later voor iets anders gebruiken? Dan moet het nieuwe doel aansluiten bij het oorspronkelijke.

7. Opslagbeperking
   Organisaties mogen persoonsgegevens niet langer bewaren dan nodig.

8. Verwerkingsregister
   Zorg ervoor dat je alle verwerkingen van persoonsgegevens (zoals tijdregistratie) in je verwerkingsregister opneemt.

Wat betekent dit voor jouw organisatie?

We begrijpen dat het naleven van de wetgeving een uitdaging kan zijn voor HR-professionals en werkgevers. De uitspraak van de GBA onderstreept hoe belangrijk het is om voorzichtig om te gaan met biometrische gegevens. Werkgevers moeten ervoor zorgen dat hun systemen volledig voldoen aan de GDPR. Dit kan onder andere door:

• Alternatieve methoden te gebruiken: Het aanbieden van alternatieven maakt het gebruik van biometrische systemen beter verdedigbaar in het kader van gerechtvaardigd belang. Met badges of mobiele apps, zoals GPS Emprova, voldoe je aan de GDPR-eisen.

• Duidelijke procedures op te stellen: Zorg voor een transparant privacybeleid en informeer werknemers tijdig.

• Regelmatig controles uit te voeren: Laat een expert jouw tijdregistratiesysteem beoordelen op naleving van de GDPR.

Conclusie

Het gebruik van vingerafdrukken voor tijdregistratie is handig, maar het brengt grote risico’s met zich mee. Zonder een geldige rechtsgrond en heldere communicatie kan de GBA hoge boetes opleggen.

Bron: Gegevensbeschermingsautoriteit – Beslissing ten gronde 114/2024 van 6 september 2024 inzake tijdsregistratie via biometrische gegevens op het werk