De Rechtbank Amsterdam heeft recent geoordeeld dat een kassamedewerkster niet verplicht kan worden om haar vingerafdruk af te geven ten behoeve van een kassasysteem dat werkt op basis van vingerscanautorisatie. Dat is in het onderhavige geval strijd met de Algemene Verordening Gegevensbescherming (AVG). Wat was hier aan de hand?
Wat speelde er?
Schoenenwinkel Manfield nam een nieuw kassasysteem in gebruik. Voorheen konden kassamedewerkers inloggen met een code. Het nieuwe systeem werkt op basis van vingerscanautorisatie. Een medewerker moet zich identificeren en op het kassasysteem inloggen door zijn vinger op een scanoppervlak van een apparaat te leggen, welke vervolgens de vingerafdruk uitleest. De vingerafdruk wordt omgezet in een code, deze code wordt vergeleken met een reeds bekende code in het kassasysteem en — indien de code gelijk is — wordt toegang tot het kassasysteem verschaft. Zonder vingerscan kunnen met dit systeem geen kassawerkzaamheden uitgevoerd worden.
Medewerkers moesten hiervoor dus hun vingerafdruk afgeven. Een medewerkster weigerde dit. De medewerkster en Manfield hebben zich samen tot de kantonrechter gewend, met het verzoek om een oordeel te geven over de vraag of het gebruik van een vingerscanautorisatiesysteem zoals ingevoerd door Manfield een ongeoorloofde inbreuk maakt op de privacy van de medewerkster. Deze procedure is mogelijk op grond van artikel 96 Wetboek Burgerlijke Rechtsvordering (Rv).
Wat oordeelt de kantonrechter?
De kantonrechter stelt eerst dat een vingerafdruk inderdaad een persoonsgegeven is. Vervolgens overweegt de kantonrechter dat het uitgangspunt is dat verwerking van biometrische gegevens met het oog op unieke identificatie van een persoon verboden is op grond van artikel 9 lid 1 AVG. In artikel 9 lid 2 AVG zijn enkele uitzonderingen opgenomen.
Op grond van artikel 9 lid 2 AVG kan een uitzondering aan de orde zijn met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het sociale zekerheids- en beschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt.
Artikel 29 van de Uitvoeringswet AVG (UAVG) geeft invulling aan dit artikel. Artikel 29 UAVG bepaalt dat het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken niet van toepassing is, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Binnen een werknemer-werkgeververhouding zal er niet snel sprake kunnen zijn van toestemming die geheel in vrijheid is gegeven, vanwege de afhankelijkheidspositie die een werknemer heeft. Op grond van de voormelde uitzondering kan verwerking mogelijk worden gemaakt, ook al is de betreffende toestemming niet verkregen.
Manfield voerde onder andere aan dat een vingerscanautorisatie noodzakelijk was in verband met recente fraudegevallen door eigen personeel. De medewerkster voerde daartegenover aan dat er verder in de winkel waar zij werkte geen enkele beveiliging was.
De kantonrechter overweegt dat het Manfield vrij staat op te treden tegen bedoelde vormen van omzetderving, maar haar handelen dient wel in overeenstemming te zijn met de AVG. Dit type bedrijfsbelang is niet aan te merken als “noodzakelijk voor authenticatie- of beveiligingsdoeleinden” in de zin van in artikel 9 lid 2 AVG. Omdat er geen andere beveiligingsmaatregelen zijn genomen, plaatst de kantonrechter ook vraagtekens bij de proportionaliteit. Tot slot is de kantonrechter het met de medewerkster eens dat het op de weg van Manfield had gelegen om onderzoek te doen naar alternatieven zoals een toegangspas, werknemerspas en/of cijfercodes, al dan niet in combinatie met elkaar.
Omdat partijen zich gezamenlijk tot de kantonrechter hebben gewend om antwoord op de onderhavige vraag te krijgen, heeft de kantonrechter zich ook beperkt tot het beantwoorden van deze vraag. Van een echte tik op de vingers is (nog) geen sprake, maar het is wel een duidelijke waarschuwing van de kantonrechter dat hij dit niet toegestaan acht.
Met deze uitspraak is niet gezegd dat in alle gevallen een (kassa)systeem met vingerscanautorisatie nooit is toegestaan, maar wel wordt weer duidelijk dat een organisatie niet om privacyaspecten heen kan. Bijvoorbeeld bij de invoering van een nieuw systeem, zoals een kassa of wellicht een kloksysteem, moet beoordeeld worden of de privacy van medewerkers in het geding kan komen en zo ja, of dat in dat geval toegestaan is. Altijd moet er beoordeeld worden of de verwerking van de (biometrische) persoonsgegevens noodzakelijk is en of er geen andere – minder ingrijpende – methode is om het doel te bereiken. Biometrische gegevens mogen ook worden verwerkt als daarvoor uitdrukkelijk toestemming is gegeven door de betrokkene. Echter, omdat niet snel zal worden aangenomen dat een werknemer de toestemming volledig vrij heeft gegeven, is de verwerking op grond van toestemming niet zonder risico.
De volledige uitspraak leest u hier.
Thema's:
Overheid en onderwijs en Arbeid
Auteur:
mr. José Kemper
