MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Biometrische authenticatie op de werkvloer is in Nederland niet zomaar afdwingbaar. Een vingerafdruk, irisscan of gezichtsherkenning levert een bijzonder persoonsgegeven op, en daarvoor geldt onder de AVG in beginsel een verwerkingsverbod. Toestemming van de werknemer biedt vaak geen oplossing, omdat die door de gezagsverhouding zelden als “vrij” geldt. Verplicht gebruik mag in de praktijk pas als het aantoonbaar noodzakelijk is voor beveiliging of authenticatie en er geen minder ingrijpend alternatief is. Voor de meeste MKB-werkgevers betekent dit: eerst kijken naar pincodes, toegangspassen of tokens voordat u biometrie inzet.
Mag een werkgever biometrische authenticatie verplichten? Kort antwoord
In de meeste gevallen niet. Een werkgever mag biometrie alleen verplichten als hij concreet kan aantonen dat het noodzakelijk is voor authenticatie- of beveiligingsdoeleinden en dat lichtere middelen (pincode, toegangspas, token) tekortschieten. Lukt die onderbouwing niet – en in het MKB lukt dat zelden – dan is verplichte biometrie in strijd met de AVG. Toestemming vragen is meestal geen geldig alternatief, omdat die in een arbeidsrelatie doorgaans niet als vrij wordt aangemerkt.
Wat is biometrische authenticatie precies?
Bij authenticatie bewijst iemand dat hij of zij daadwerkelijk de persoon is die toegang vraagt. Veel bedrijven gebruiken hiervoor multifactor-authenticatie (MFA): naast een wachtwoord komt er een tweede element bij dat de identiteit bevestigt. Denk aan een sms-code, een tokengenerator of een biometrisch kenmerk.
Biometrische authenticatie gebruikt unieke lichaamskenmerken om iemand te herkennen. De bekendste voorbeelden zijn de vingerafdruk, de irisscan en gezichtsherkenning. Omdat veel smartphones en laptops zo’n functie al ingebouwd hebben, ligt het voor werkgevers voor de hand om biometrie ook op de werkvloer in te zetten, bijvoorbeeld om een kassasysteem of een serverruimte te beveiligen. Juridisch gezien stapt u daarmee echter meteen op het strengste deel van de privacywetgeving.
Biometrische gegevens zijn bijzondere persoonsgegevens
De AVG merkt biometrische gegevens, voor zover die met het oog op de unieke identificatie van een persoon worden verwerkt, aan als bijzondere persoonsgegevens. De AVG hanteert daarbij een ruime definitie: het gaat om het “resultaat van een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken” van een persoon, op grond waarvan die persoon eenduidig kan worden geïdentificeerd.
De Autoriteit Persoonsgegevens noemt vingerafdrukken, irisscans en gezichtsherkenning als duidelijke voorbeelden. Daarnaast kunnen ook kenmerken zoals stem, hartslag of bepaalde gedragspatronen onder het begrip vallen, mits ze technisch worden verwerkt om iemand eenduidig te identificeren. Er is op dit terrein nog relatief weinig gepubliceerde rechtspraak, waardoor de exacte grenzen zich nog verder uitkristalliseren. Voor bijzondere persoonsgegevens geldt een zwaarder beschermingsregime dan voor “gewone” persoonsgegevens zoals een naam of e-mailadres.
Het juridisch kader in het kort
Voor wie snel wil begrijpen waar de grenzen liggen, draait het om drie lagen:
- Verwerkingsverbod: bijzondere persoonsgegevens mag u in beginsel niet verwerken.
- Toestemming als uitzondering: uitdrukkelijke, vrije toestemming kan een grond zijn, maar werkt in een arbeidsrelatie meestal niet (zie hieronder).
- Noodzaak voor authenticatie of beveiliging: de Nederlandse uitvoeringswet (UAVG) staat verwerking toe als die echt noodzakelijk is voor authenticatie- of beveiligingsdoeleinden. Dit is voor werkgevers vaak de enige reële route, en de lat ligt hoog.
Waarom toestemming vragen meestal niet volstaat
Voor bijzondere persoonsgegevens geldt in beginsel een verwerkingsverbod. De wetgever wil identiteitsfraude en misbruik voorkomen. Op dat verbod bestaan wel uitzonderingen. Een bekende uitzondering is de uitdrukkelijke toestemming van de betrokkene.
Maar juist in de relatie werkgever–werknemer is die route lastig. De AVG eist dat toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig wordt gegeven. Van een echt vrije keuze is volgens de toezichthouder doorgaans geen sprake zodra er een gezagsverhouding bestaat, en bij een arbeidsovereenkomst is dat per definitie het geval. Een werknemer kan zich onder druk gezet voelen om “ja” te zeggen uit angst voor gevolgen voor zijn of haar baan. Daardoor houdt op toestemming gebaseerde biometrie op de werkvloer vaak geen stand.
Reken er als werkgever niet op dat een handtekening onder een toestemmingsformulier voldoende is. In een arbeidsrelatie wordt aan die toestemming zwaar getild, en vaak wordt zij niet als vrij beschouwd.
Wel toegestaan: alleen als biometrie noodzakelijk is
Er is een tweede route. In de Nederlandse uitvoeringswet bij de AVG (de UAVG) staat een uitzondering voor situaties waarin de verwerking van biometrische gegevens noodzakelijk is voor authenticatie- of beveiligingsdoeleinden. Met dit woord “noodzakelijk” mag niet lichtzinnig worden omgesprongen. In de toelichting bij de wet wordt als voorbeeld de beveiliging van een kerncentrale genoemd – dus echt situaties met een zwaarwegend belang. Toegang tot bijvoorbeeld een gewone werkplaats of winkel haalt die drempel doorgaans niet.
De praktische toets komt neer op een belangenafweging:
- Proportionaliteit: staat de inbreuk op de privacy in verhouding tot het beveiligingsbelang?
- Subsidiariteit: is er geen minder ingrijpend alternatief dat hetzelfde doel bereikt, zoals een pincode, toegangspas of tokengenerator?
- Onderbouwing: kunt u met documenten en een afweging laten zien waarom u juist voor biometrie kiest?
Kunt u niet aantonen dat een minder ingrijpend middel onvoldoende is, dan ontbreekt al snel de noodzaak en is biometrie niet toegestaan.
De zaak-Manfield: vingerafdrukken op de kassa
Een sprekend voorbeeld is een uitspraak van de rechtbank Amsterdam van 12 augustus 2019 over schoenenwinkel Manfield. Manfield had haar kassasystemen voorzien van een vingerafdrukscanner en verplichtte werknemers hun vingerafdruk af te staan. Volgens het bedrijf was dat nodig om fraude te voorkomen en gevoelige gegevens in het kassasysteem te beschermen.
De rechter ging daar niet in mee. Manfield had onvoldoende onderbouwd waarom uitgerekend een vingerafdruksysteem noodzakelijk was, terwijl er minder ingrijpende alternatieven bestonden, zoals cijfercodes en toegangspassen, eventueel in combinatie. Het bedrijfsbelang van Manfield bracht volgens de rechtbank niet de noodzaak voor beveiligings- of authenticatiedoeleinden mee die de wet vereist. De les: een algemeen beroep op “veiligheid” of “fraudepreventie” is niet genoeg. U moet de noodzaak concreet kunnen aantonen, bij voorkeur onderbouwd met een DPIA en een aantoonbaar onderzoek naar alternatieven.
Biometrie of een lichter alternatief? Een korte vergelijking
Voordat u kiest voor biometrie, is het verstandig de gangbare authenticatiemiddelen naast elkaar te zetten. De vuistregel: hoe minder bijzondere persoonsgegevens u verwerkt, hoe lager uw juridische risico.
- Pincode of wachtwoord: geen bijzondere persoonsgegevens, eenvoudig te resetten, laag privacyrisico. Vaak voldoende.
- Toegangspas of badge: persoonsgegeven maar geen biometrie; te blokkeren bij verlies of uitdiensttreding.
- Hardware-token of authenticator-app (MFA): sterke beveiliging zonder lichaamskenmerken; breed inzetbaar.
- Biometrie (vingerafdruk, iris, gezicht): bijzonder persoonsgegeven, verwerkingsverbod als uitgangspunt, onomkeerbaar bij een lek. Alleen bij aantoonbare noodzaak.
In veruit de meeste MKB-situaties bereiken de eerste drie opties hetzelfde beveiligingsdoel. Juist dat maakt het voor werkgevers zo lastig om de noodzaak van biometrie te onderbouwen.
Risico’s bij onterechte inzet van biometrie
Zet u biometrische authenticatie in zonder solide grondslag, dan loopt u als werkgever meerdere risico’s tegelijk:
- Handhaving door de Autoriteit Persoonsgegevens: de toezichthouder kan optreden tegen een verwerking die in strijd is met de AVG.
- Schadevergoeding: werknemers van wie de gegevens onrechtmatig zijn verwerkt, kunnen een vergoeding vorderen.
- Arbeidsrechtelijke spanningen: een werknemer die weigert mag daar niet zomaar voor worden bestraft, wat tot conflicten of procedures kan leiden.
- Reputatieschade: privacyincidenten rond personeel liggen gevoelig en kunnen het vertrouwen binnen het bedrijf aantasten.
Bovendien zijn biometrische gegevens onomkeerbaar: een gelekte vingerafdruk kunt u, anders dan een wachtwoord, niet resetten. Dat maakt zorgvuldigheid vooraf des te belangrijker.
Stappenplan voor MKB-werkgevers
Overweegt u biometrische authenticatie of een andere ingrijpende beveiligingsmaatregel? Werk dan gestructureerd te werk:
- Bepaal het doel. Welk concreet beveiligings- of authenticatieprobleem wilt u oplossen?
- Onderzoek alternatieven. Volstaan een sterk wachtwoordbeleid, MFA via een token of een toegangspas? Zo ja, dan is biometrie waarschijnlijk niet noodzakelijk.
- Maak een belangenafweging. Weeg het beveiligingsbelang af tegen de privacy van uw medewerkers en leg dit schriftelijk vast.
- Voer een DPIA uit. Bij verwerking van bijzondere persoonsgegevens is een gegevensbeschermingseffectbeoordeling (DPIA) in de regel aangewezen.
- Informeer en betrek personeel. Wees transparant en betrek waar van toepassing de ondernemingsraad.
- Leg afspraken vast. Verwerk het in uw interne privacybeleid en documenteer de bewaartermijn en beveiliging van de gegevens.
Veelgestelde vragen
Mag ik mijn werknemers verplichten een vingerafdruk te gebruiken?
Alleen als u kunt aantonen dat dit noodzakelijk is voor beveiliging of authenticatie en er geen minder ingrijpend alternatief bestaat. In de meeste reguliere bedrijfssituaties lukt die onderbouwing niet en is verplichte biometrie daarom niet toegestaan.
Is toestemming van de werknemer voldoende?
Meestal niet. Door de gezagsverhouding tussen werkgever en werknemer wordt toestemming vaak niet als “vrij” aangemerkt. U kunt dus niet zonder meer op toestemming bouwen om biometrie in te voeren.
Vallen vingerafdruk-ontgrendeling van een privételefoon en gezichtsherkenning hier ook onder?
Het gaat om de vraag wie de gegevens verwerkt en met welk doel. Ontgrendelt een medewerker zelf zijn eigen toestel, dan verwerkt u als werkgever die biometrie meestal niet. Legt u een biometrisch systeem op voor toegang tot bedrijfsmiddelen, dan bent u wél verantwoordelijke en gelden de strenge regels.
Wat is een minder ingrijpend alternatief voor biometrie?
Denk aan een persoonlijke pincode, een toegangspas, een hardware-token of MFA via een app. Zulke middelen bereiken vaak hetzelfde beveiligingsdoel zonder dat u bijzondere persoonsgegevens hoeft te verwerken.
Moet ik een DPIA uitvoeren voor biometrie op de werkvloer?
In de regel wel. Het op grote schaal verwerken van bijzondere persoonsgegevens, zoals biometrie, geldt doorgaans als een verwerking met een hoog risico. Een gegevensbeschermingseffectbeoordeling (DPIA) helpt u de noodzaak, proportionaliteit en alternatieven aantoonbaar af te wegen – precies wat een rechter of de toezichthouder van u verwacht.
Mag ik een werknemer ontslaan of straffen die weigert zijn vingerafdruk af te staan?
Wees daar zeer terughoudend mee. Als de verplichte biometrie zelf juridisch niet houdbaar is, handelt de werknemer met zijn weigering rechtmatig en is een sanctie of ontslag op die grond riskant. Het kan leiden tot een arbeidsrechtelijk geschil. Beoordeel daarom eerst of de maatregel überhaupt is toegestaan voordat u aan gevolgen voor de werknemer denkt.
Wat gebeurt er als ik de regels overtreed?
De Autoriteit Persoonsgegevens kan handhaven en gedupeerde werknemers kunnen een schadevergoeding claimen. Daarnaast riskeert u arbeidsrechtelijke conflicten en reputatieschade. Een zorgvuldige afweging vooraf voorkomt veel problemen.
Zorgvuldig omgaan met persoonsgegevens van personeel
Als werkgever komt u doorlopend in aanraking met persoonsgegevens van uw medewerkers, zeker bij digitale systemen, nieuwe werkvormen zoals bring your own device en beveiligingstoepassingen. Een doordacht privacybeleid voorkomt boetes, claims en gedoe op de werkvloer. Wilt u biometrie of een andere maatregel goed regelen, leg dan vooraf vast wat u verwerkt, waarom en hoe lang – bijvoorbeeld in een interne privacyverklaring voor werknemers. Omdat dit raakt aan de positie van uw personeel, is het verstandig dit af te stemmen op uw bredere arbeidsrechtelijke afspraken.
Hulp nodig bij privacy op de werkvloer?
Twijfelt u of uw beveiligingsmaatregel door de juridische toets komt, of wilt u uw privacybeleid op orde brengen? Onze juristen denken graag met u mee, praktisch en zonder onnodig jargon.
- Meer over ons werk binnen privacy en gegevensbescherming
- Vragen over personeel en de werkvloer? Bekijk onze expertise arbeidsrecht
Plan een vrijblijvende intake in en bespreek uw situatie met een van onze juristen.
