Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 13 september 2026
Biometrische data zoals een vingerafdruk mag uw werkgever in beginsel niet opslaan. Artikel 9 van de Algemene verordening gegevensbescherming verbiedt het verwerken van biometrische gegevens met het oog op unieke identificatie. Alleen uitdrukkelijke toestemming of de uitzondering van artikel 29 van de Uitvoeringswet AVG, die geldt bij authenticatie of beveiligingsdoeleinden, kan dat verbod opheffen. Op een gewone werkvloer lukt dat zelden.
Inhoudsopgave
Wat zijn biometrische gegevens volgens de AVG?
Biometrische gegevens zijn persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken, en die de unieke identificatie van iemand mogelijk maken. Die definitie staat in artikel 4 van de Algemene verordening gegevensbescherming. Een vingerafdruk, een gezichtsscan, een irisscan en een stemprofiel vallen er allemaal onder.
Kenmerkend is dat u deze gegevens niet kunt vervangen. Een gelekt wachtwoord verandert u in een minuut, een gelekte vingerafdruk houdt u uw leven lang. Juist daarom heeft de wetgever biometrie ondergebracht bij de bijzondere categorieën persoonsgegevens, met een zwaarder beschermingsregime dan voor gewone gegevens.
Let op de precieze reikwijdte van het verbod. Het gaat om verwerking met het oog op de unieke identificatie van een persoon. Een foto op een personeelspas is nog geen biometrisch gegeven; zodra u die foto door software laat omzetten in een sjabloon waarmee het systeem iemand herkent, is dat wel het geval. Hoe dat uitpakt buiten de werkvloer beschrijven wij in ons artikel over gezichtsherkenning en de juridische grenzen daarvan.
Op de werkvloer komt u vier vormen tegen. De vingerafdrukscan is de goedkoopste en daarom de meest voorkomende. Gezichtsherkenning wint terrein omdat veel panden al camera’s hebben, maar juist die combinatie vergroot de inbreuk, omdat beeldmateriaal ook zonder herkenning al gevoelig ligt. Een irisscan is nauwkeurig en kostbaar en komt vooral voor in zwaar beveiligde zones. Stemherkenning ziet u bij telefonie en klantcontact. Juridisch maakt de techniek geen verschil: zodra het systeem iemand uniek herkent, geldt hetzelfde verbod en dezelfde toets.
Waarom is het verwerken van biometrische data in beginsel verboden?
Omdat de risico’s voor de betrokkene onomkeerbaar zijn. Artikel 9 AVG bevat een verbod op de verwerking van bijzondere categorieën persoonsgegevens, waaronder biometrische gegevens die dienen om iemand uniek te identificeren. Verwerken mag alleen als een van de in dat artikel genoemde uitzonderingen van toepassing is; ontbreekt die uitzondering, dan is het systeem onrechtmatig, hoe goed het ook beveiligd is.
Een tweede vergissing is even hardnekkig. Werkgevers denken vaak dat een grondslag uit artikel 6 AVG, bijvoorbeeld het gerechtvaardigd belang, volstaat. Dat is niet zo: bij bijzondere persoonsgegevens moet u eerst door de poort van artikel 9 en pas daarna toetsen aan de gewone beginselen van doelbinding, dataminimalisatie en bewaartermijn.
De sanctie is navenant. Onrechtmatige verwerking van bijzondere persoonsgegevens valt in de zwaarste boetecategorie van artikel 83 AVG, met een maximum van twintig miljoen euro of een aandeel van de wereldwijde jaaromzet als dat hoger uitvalt. Daarnaast kan de Autoriteit Persoonsgegevens de verwerking verbieden, wat betekent dat een net aangeschaft systeem van de ene op de andere dag uit moet.
Wanneer mag een werkgever toch een vingerscan gebruiken?
In de praktijk komen maar twee routes in aanmerking: uitdrukkelijke toestemming van de werknemer, of de uitzondering van artikel 29 van de Uitvoeringswet AVG. Dat artikel bepaalt dat het verbod niet geldt als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Die uitzondering wordt strikt uitgelegd.
Noodzakelijk betekent hier: het doel is niet op een minder ingrijpende manier te bereiken. U moet dus eerst serieus onderzoeken of een toegangspas, een pincode, een sleutelkaart of een combinatie daarvan volstaat, en dat onderzoek vastleggen. Kan een pas met pincode hetzelfde beveiligingsniveau halen, dan is biometrie per definitie niet noodzakelijk. Gemak, snelheid en het tegengaan van fraude met inlogcodes zijn geen beveiligingsdoeleinden in de zin van dit artikel.
Waar de uitzondering wel opgaat, gaat het om objecten waar de gevolgen van onbevoegde toegang buitengewoon groot zijn: nucleaire installaties, locaties met staatsgeheime informatie, delen van vitale infrastructuur. Voor een kantoorpand, een winkel of een magazijn haalt de afweging die drempel vrijwel nooit. Wilt u weten hoe die noodzakelijkheidstoets bij andere controlemiddelen uitpakt, lees dan ons artikel over personeelsmonitoring en privacy.
Is toestemming van een werknemer een geldige grondslag?
Meestal niet. Toestemming moet vrijelijk gegeven zijn, en die vrijheid ontbreekt zodra er een gezagsverhouding is. Een werknemer die weigert, vreest gevolgen voor zijn positie, zijn rooster of zijn beoordeling. Zowel de Autoriteit Persoonsgegevens als de wetgever gaat er daarom van uit dat toestemming op de werkvloer in beginsel geen deugdelijke grondslag oplevert.
Dat betekent niet dat toestemming nooit werkt, maar de lat ligt hoog. De werkgever moet aantonen dat weigeren geen enkel nadeel oplevert, dat er een volwaardig alternatief klaarligt dat net zo snel en net zo toegankelijk is, en dat de werknemer zijn keuze op elk moment kan herzien. Wie voor de pas kiest, mag niet langer bij de poort staan of extra formulieren moeten invullen.
Ook de intrekbaarheid is bepalend. Toestemming kan altijd worden ingetrokken, en vanaf dat moment moet de verwerking stoppen en moeten de gegevens worden gewist. Een systeem dat technisch niet kan functioneren zonder de gegevens van iedere medewerker, is dus per definitie niet op toestemming te bouwen.
Zorg dat het alternatief volwaardig is en niet zichtbaar tweederangs. Wie kiest voor een pas met pincode mag niet in een aparte rij belanden, geen extra handeling per dag hebben en niet herkenbaar zijn voor collega’s of leidinggevenden als degene die geweigerd heeft. Registreer daarom niet wie welke methode gebruikt, of scheid die registratie strikt van beoordelings- en verzuiminformatie. Zodra de keuze zichtbaar wordt, staat de vrijwilligheid onder druk en verliest een op toestemming gebouwd systeem zijn grondslag.
Wat besliste de rechter over de vingerscan bij een kassasysteem?
De kantonrechter van de rechtbank Amsterdam oordeelde op 12 augustus 2019 dat een winkelketen haar medewerkers niet mocht verplichten het kassasysteem met een vingerscan te ontgrendelen (ECLI:NL:RBAMS:2019:6005). De verwerking was in strijd met artikel 9 AVG en de uitzondering van artikel 29 UAVG ging niet op.
De redenering is leerzaam. De werkgever had niet onderbouwd waarom alternatieven als een personeelspas, een cijfercode of een combinatie daarvan tekortschoten; er lag geen enkele vergelijking van beveiligingssystemen. Verder viel het bestrijden van fraude met kassabonnen volgens de rechter niet onder authenticatie of beveiligingsdoeleinden, en was het middel disproportioneel omdat in de winkel verder nauwelijks beveiligingsmaatregelen golden. Dat de medewerkers eerder hadden meegewerkt, maakte de verwerking niet rechtmatig.
Voor de praktijk volgen daar twee lessen uit. Wie biometrie overweegt, moet het huiswerk vooraf op papier hebben staan: een gedocumenteerde vergelijking van alternatieven en een concrete onderbouwing van het beveiligingsbelang. En wie het doel omschrijft als fraudebestrijding of urenregistratie, kan zich niet op de uitzondering beroepen, want die is bedoeld voor authenticatie en beveiliging.
Welke stappen moet u zetten voordat u biometrie invoert?
Begin met een gegevensbeschermingseffectbeoordeling. Artikel 35 AVG verplicht daartoe als een verwerking waarschijnlijk een hoog risico oplevert, en grootschalige verwerking van biometrische gegevens voor unieke identificatie valt daar in de regel onder. Die beoordeling moet af zijn voordat u het systeem aanschaft, niet erna. In deze beoordeling legt u vast:
- wat u precies verwerkt en met welk doel, en waarom u de verwerking noodzakelijk acht;
- welke minder ingrijpende alternatieven u heeft onderzocht en waarom die tekortschieten;
- welke technische en organisatorische maatregelen de risico’s voor werknemers beperken;
- hoe lang u de gegevens bewaart en wanneer ze worden gewist.
Vervolgens komt de medezeggenschap in beeld. Een regeling over een voorziening die gericht is op controle op de aanwezigheid of het gedrag van werknemers, en een regeling over de verwerking van hun persoonsgegevens, zijn instemmingsplichtig op grond van artikel 27 van de Wet op de ondernemingsraden. Zonder instemming van de ondernemingsraad is het besluit nietig als de ondernemingsraad daarop tijdig een beroep doet. Wat dat precies inhoudt, leest u in ons artikel over het instemmingsrecht van de OR.
Tot slot informeert u de werknemers voordat het systeem draait: welk gegeven wordt verwerkt, met welk doel, op welke grondslag, hoe lang het wordt bewaard, wie erbij kan en welke rechten zij hebben. Doe dat in gewone taal. Een verwijzing naar een privacyverklaring op het intranet is geen transparantie. Hoe u zo’n beoordeling praktisch opzet, beschrijven wij stap voor stap in ons artikel over het uitvoeren van een DPIA volgens de AVG.
Hoe moet u biometrische gegevens opslaan en beveiligen?
Een biometrisch systeem bewaart geen foto van uw vinger, maar een sjabloon: een numerieke weergave van kenmerkende punten. Dat sjabloon blijft een bijzonder persoonsgegeven, dus de eisen van artikel 32 AVG gelden onverkort. Versleuteling volgens de actuele stand van de techniek, strikte toegangsrechten en logging van toegangspogingen zijn het minimum.
Kies waar het kan voor decentrale opslag. Blijft het sjabloon op de pas of op het apparaat van de werknemer staan en vergelijkt het systeem alleen ter plaatse, dan bestaat er geen centrale database die gestolen kan worden. Een centrale opslag vraagt om een aanmerkelijk zwaardere onderbouwing, want daar zit het grootste risico. Verwerk daarnaast uitsluitend de uitkomst herkend of niet herkend, en gebruik die uitkomst niet alsnog voor prestatiebeoordeling of urenregistratie: dat is een ander doel en daarvoor heeft u geen grondslag.
Gaat het toch mis, dan geldt de meldplicht datalekken. Bij biometrische gegevens is de kans op een hoog risico voor betrokkenen groot, wat betekent dat u naast de melding bij de Autoriteit Persoonsgegevens ook de werknemers zelf moet informeren. Wanneer een melding verplicht is, zetten wij uiteen in ons artikel over het melden van een datalek. Bewaartermijnen legt u vooraf vast, net als bij de rest van het personeelsdossier.
Leg de bewaartermijn ook echt vast en handhaaf hem. Een sjabloon heeft geen enkel doel meer zodra iemand uit dienst gaat of overstapt op een pas, en moet dan onverwijld worden gewist, inclusief kopieën in back-ups en logbestanden. Spreek met de leverancier af dat wissen aantoonbaar gebeurt en dat hij als verwerker gebonden is aan een verwerkersovereenkomst met een verbod op gebruik voor eigen doeleinden, zoals het trainen van herkenningssoftware.
Wat kan een werknemer doen die weigert?
Een werknemer hoeft niet mee te werken aan een verwerking waarvoor geen grondslag bestaat. De eerste stap is een schriftelijk bezwaar bij de werkgever, met het verzoek om een alternatief en om verwijdering van reeds vastgelegde gegevens. Zet daarin ook het verzoek om inzage: u heeft recht om te weten welke gegevens over u zijn vastgelegd en met welk doel.
Reageert de werkgever niet of onvoldoende, dan kan de werknemer een klacht indienen bij de Autoriteit Persoonsgegevens. De toezichthouder kan een waarschuwing geven, een verwerkingsverbod opleggen of een boete opleggen. Daarnaast kan de werknemer zich tot de kantonrechter wenden met een verzoek de verwerking te staken, zoals in de Amsterdamse zaak gebeurde.
Wie schade lijdt door een onrechtmatige verwerking kan op grond van artikel 82 AVG vergoeding vorderen, ook van immateriële schade. De bedragen die Nederlandse rechters toekennen zijn bescheiden en er moet concreet nadeel worden gesteld en onderbouwd; enkel de inbreuk is niet genoeg. Voor de werkgever weegt het reputatie- en handhavingsrisico meestal zwaarder dan de schadevergoeding. Ook bij minder ingrijpende middelen zoals cameratoezicht op de werkvloer loopt de discussie langs dezelfde lijnen, en over de oudere praktijk rond de vingerscan schreven wij eerder in ons artikel over de vingerafdruk en de AVG.
Veelgestelde vragen
Mag mijn werkgever mijn vingerafdruk opslaan voor tijdregistratie?
Nee. Tijdregistratie is geen authenticatie- of beveiligingsdoel, dus de uitzondering van artikel 29 UAVG gaat niet op. Toestemming biedt hier evenmin uitkomst, omdat die in een gezagsverhouding zelden vrijelijk is gegeven. Voor het bijhouden van gewerkte uren bestaan minder ingrijpende middelen die wel zijn toegestaan.
Mag ik weigeren mijn vinger te laten scannen?
Ja, wanneer er geen geldige grondslag is. Een werkgever mag u dan niet benadelen omdat u weigert. Vraag schriftelijk om een alternatief, bijvoorbeeld een pas of een pincode, en om verwijdering van gegevens die al zijn vastgelegd. Blijft een reactie uit, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens.
Wanneer is een gegevensbeschermingseffectbeoordeling verplicht?
Als de verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, zoals artikel 35 AVG het formuleert. Bij grootschalige verwerking van biometrische gegevens voor unieke identificatie is dat in de regel het geval. De beoordeling moet gereed zijn voordat u met de verwerking begint.
Heeft de ondernemingsraad iets te zeggen over biometrische toegangscontrole?
Ja. Een regeling over controle op aanwezigheid of gedrag van werknemers en over de verwerking van hun persoonsgegevens valt onder het instemmingsrecht van artikel 27 WOR. Neemt de werkgever het besluit zonder instemming, dan kan de ondernemingsraad de nietigheid daarvan inroepen binnen de wettelijke termijn.
Mag een kerncentrale of vitale infrastructuur wel biometrie gebruiken?
Daar is de uitzondering van artikel 29 UAVG eerder van toepassing, omdat onbevoegde toegang tot ernstige gevolgen leidt. De werkgever moet ook dan aantonen dat alternatieven onvoldoende zijn, een gegevensbeschermingseffectbeoordeling uitvoeren en de gegevens passend beveiligen. De uitzondering ontslaat niemand van die verplichtingen.
Wat riskeert een werkgever die zonder grondslag vingerafdrukken opslaat?
Een verwerkingsverbod, een boete uit de zwaarste categorie van artikel 83 AVG en civiele aansprakelijkheid voor schade op grond van artikel 82 AVG. Daarbij komt dat het systeem moet worden uitgezet en de gegevens moeten worden gewist, waardoor de investering verloren gaat.
Biometrie op de werkvloer is juridisch geen kwestie van goede bedoelingen maar van bewijs: kunt u aantonen dat het niet anders kan? Wie die vraag niet met stukken kan beantwoorden, kan het systeem beter niet invoeren.
Law & More adviseert werkgevers en ondernemingsraden over biometrische toegangscontrole, van de effectbeoordeling en het instemmingstraject tot het verweer bij de Autoriteit Persoonsgegevens. Werknemers staan wij bij wanneer zij bezwaar willen maken tegen een verplichte vingerscan. Neem gerust contact op met ons kantoor.
