En weer een boete van de AP: € 725.000

De Autoriteit Persoonsgegevens (AP) heeft weer een flinke boete opgelegd. Deze keer betreft het een boete uit december 2019 aan een onbekend bedrijf voor het verwerken van vingerafdrukken van werknemers.

Onaangekondigd onderzoek op locatie

De AP ontving in juli 2018 een melding dat werknemers bij het bedrijf verplicht zijn om hun vingerafdruk te laten scannen voor het in- en uitklokken. Naar aanleiding daarvan heeft de AP in de periode daarna onderzoek gedaan. Zo werd onder meer een onaangekondigd onderzoek uitgevoerd op locatie. De AP mag als toezichthouder op basis van de wet een onaangekondigd onderzoek doen waar een bedrijf in beginsel gehouden is om toegang te verlenen is aan de toezichthouder.

Vingerscanners voor het in- en uitklokken

Tijdens het onderzoek zijn vijf scanstations gevonden, waarvan drie met vingerscanners. De eerste vingerscanner was voor het registreren van de vingerafdrukken. Werknemers werden opgeroepen om langs te komen en van de werknemers werden vervolgens twee vingerafdrukken gemaakt en vastgelegd. De andere twee vingerscanners werden gebruikt voor het in- en uitklokken van werknemers. Via speciale software kon de werkgever zo de aan- en afwezigheid, werktijden, ziekteverzuim en overuren controleren.

Wanneer werknemers uit dienst gingen, werden de vingerafdrukken geblokkeerd in het softwareprogramma, maar nog wel bewaard. Dat betekent dat oud-werknemers ook in het bestand bleven.

Vingerafdrukken zijn biometrische persoonsgegevens

Vingerafdrukken zijn fysieke kenmerken van een natuurlijk persoon, waardoor die persoon te identificeren is. Volgens de Algemene Verordening Gegevensbescherming (AVG) is dan sprake van biometrische persoonsgegevens en daarvoor geldt een verwerkingsverbod. Organisaties mogen deze persoonsgegevens dus niet verwerken tenzij ze daar een wettelijke uitzondering voor hebben, bijvoorbeeld uitdrukkelijke toestemming.

De werkgever heeft aangegeven dat werknemers ook voor een ‘druppel’ of ‘tag’ konden kiezen, maar op de werkvloer voelde de vingerscan verplicht. Het weigeren om de vingerafdruk te laten inscannen leverde in bepaalde gevallen een gesprek met de directeur/het bestuur op, waarna de vingerafdruk alsnog werd gescand. De AP komt dan ook tot de conclusie dat uitdrukkelijke toestemming niet gevraagd is.

Een andere grondslag uit de AVG voor het nemen van een vingerafdruk is de noodzakelijkheid voor authenticatie- of beveiligingsdoeleinden. Het betreft hier echter niet het gebruik van de vingerafdruk voor bijvoorbeeld de beveiliging van het computernetwerk of extra beveiligde ruimten.
De AP concludeert op basis van bovenstaande factoren dat een boete van € 725.000 gerechtvaardigd is, gezien de inbreuk op de privacy van de werknemers.

Boete van € 725.000, voor welk bedrijf eigenlijk?

Het is onbekend aan wie de boete van € 725.000 is opgelegd. In een uitspraak van de Rechtbank Limburg van 4 maart blijkt dat een bedrijf in een zeer vergelijkbare situatie bij de rechter anonimiteit heeft afgedwongen. Ook in die zaak ging het om het opnemen van vingerafdrukken van haar werknemers met een boete van de AP op 4 december 2019.

Het bedrijf heeft vermoedelijk aan de rechter gevraagd om bij de bekendmaking van de boete door de AP anoniem te blijven. Het bedrijf heeft dus tegen het openbaarmakingsbesluit bezwaar gemaakt. Die betreft wel een voorlopige voorziening: de naam van het bedrijf kan in latere fases alsnog mogelijk openbaar worden.

Tot slot

De AP kreeg in de afgelopen twee jaar na de invoering van de AVG kritiek over haar optreden. Zij zou te weinig handhaven. We zien nu dat de AP de laatste maanden erg actief haar handhaving publiceert en het betreft vaak onderzoeken die al een tijdje lopen. Denk bijvoorbeeld aan de recente boete aan de Koninklijke Nederlandse Tennis Lawn Bond (KNLTB) van € 525.000. De vraag is dus of de kritiek terecht is geweest.

Heeft u vragen over privacy? Heeft u vragen over de handelswijze van de AP? Neemt u dan contact op met een van onze advocaten privacy.