Koartlyn sette de Nederlandse Autoriteit voor gegevensbescherming (AP) in grutte boete op, nammentlik 725,000 euro, op in bedriuw dat fingeravdrukken fan meiwurkers skande foar oanwêzichheid en tiidregistraasje. Biometryske gegevens, lykas in fingerprint, binne spesjale persoanlike gegevens yn 'e betsjutting fan kêst 9 GDPR. Dit binne unike skaaimerken dy't kinne wurde weromfûn nei ien spesifike persoan. Dizze gegevens befetsje lykwols faak mear ynformaasje dan nedich is foar bygelyks identifikaasje. Harren ferwurking stelt dêrom grutte risiko's op it mêd fan fûnemintele rjochten en frijheden fan minsken. As dizze gegevens yn 'e ferkearde hannen reitsje, kin dit potinsjeel liede ta unreparabele skea. Biometryske gegevens binne dêrom goed beskerme, en ferwurkjen dêrfan is ferbean ûnder kêst 9 GDPR, útsein as d'r in wetlike útsûndering foar is. Yn dit gefal konkludearre de AP dat it bedriuw yn kwestje net rjocht hie op in útsûndering foar it ferwurkjen fan spesjale persoanlike gegevens.
Fingerprint
Oer de fingerprint yn 'e kontekst fan' e GDPR en ien fan 'e útsûnderingen, nammentlik needsaak, skreauwen wy earder yn ien fan ús blogs: 'Fingerprint yn striid mei GDPR'. Dit blog rjochtet him op 'e oare alternative grûn foar útsûndering: privé. As in wurkjouwer biometryske gegevens brûkt lykas fingerprints yn syn bedriuw, kin hy dan, oangeande privacy, foldwaande wêze mei de tastimming fan syn wurknimmer?
Mei tastimming wurdt bedoeld a spesifyk, ynformeare en untydich útdrukking fan wil wêrby't immen in ferwurking fan syn persoanlike gegevens aksepteart mei in ferklearring as eenduidige aktive aksje, neffens artikel 4, paragraaf 11, GDPR. Yn 'e kontekst fan dizze útsûndering moat de wurkjouwer dêrom net allinich bewize dat syn meiwurkers tastimming hawwe jûn, mar ek dat dit untydich, spesifyk en ynformearre west hat. It ûndertekenjen fan it wurkgelegenheidskontrakt of it ûntfangen fan it personielshânboek wêryn de wurkjouwer allinich de bedoeling hat opnommen folslein yn te klokje mei de fingerprint, is yn dit ferbân net genôch, konkludearre de AP. As bewiis moat de wurkjouwer bygelyks belied, prosedueres of oare dokumintaasje yntsjinje, wat lit sjen dat syn meiwurkers genôch wurde ynformeare oer de ferwurking fan de biometryske gegevens en dat se ek (eksplisite) tastimming hawwe jûn foar de ferwurking dêrfan.
As de tastimming wurdt ferliend troch de wurknimmer, moat it boppedat net allinich 'útwurke'mar ek'frij jûn', neffens de AP. 'Eksplisyt' is, bygelyks, skriftlike tastimming, hantekening, it ferstjoeren fan in e-post om tastimming te jaan, of tastimming mei ferifikaasje yn twa stappen. 'Frij jûn' betsjut dat d'r gjin twang achter hoecht te wêzen (lykas it gefal wie yn it gefal yn kwestje: as wegerje de fingerprint te scannen, folge in petear mei de direkteur / bestjoer) of dat tastimming in betingst kin wêze foar iets ferskillend. De betingst 'frij jûn' wurdt yn alle gefallen net foldien troch de wurkjouwer as meiwurkers ferplicht binne of, lykas yn it gefal yn kwestje, it ûnderfine as in ferplichting om har fingerprint te registrearjen. Yn 't algemien beskôge de AP ûnder dizze eask dat it net wierskynlik is dat de meiwurker syn of har tastimming kin jaan, sjoen de ôfhinklikheid as gefolch fan' e relaasje tusken de wurkjouwer en wurknimmer. It tsjinoerstelde sil moatte wurde bewiisd troch de wurkjouwer.
Freget in meiwurker tastimming fan har meiwurkers om har fingerprint te ferwurkjen? Dan leart de AP yn 'e kontekst fan dizze saak dat dit yn prinsipe net tastien is. Immers, wurknimmers binne ôfhinklik fan har wurkjouwer en binne dêrom faaks net yn steat om te wegerjen. Dit is net te sizzen dat de wurkjouwer nea mei súkses kin fertrouwe op 'e tastimminggrûn. De wurkjouwer moat lykwols genôch bewiis hawwe om syn berop op basis fan ynstimming suksesfol te meitsjen, om biometryske gegevens fan syn meiwurkers te ferwurkjen, lykas fingerprinten. Binne jo fan doel biometryske gegevens te brûken yn jo bedriuw of freget jo wurkjouwer jo om tastimming om bygelyks jo fingerprint te brûken? Yn dat gefal is it wichtich om net direkt te hanneljen en tastimming te jaan, mar earst goed ynformeare te wurden. Law & More advokaten binne saakkundigen op it mêd fan privacy en kinne jo ynformaasje jaan. Hawwe jo oare fragen oer dit blog? Nim dan kontakt op Law & More.