Vingerafdruk op het werk: wanneer uw werkgever biometrie mag gebruiken

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 29 oktober 2026

Een werkgever mag de vingerafdruk van een werknemer in beginsel niet opslaan. Artikel 9 van de Algemene verordening gegevensbescherming (AVG) verbiedt het verwerken van biometrische gegevens om iemand uniek te identificeren. Alleen de uitzondering van artikel 29 Uitvoeringswet AVG (noodzakelijk voor authenticatie of beveiliging) of echt vrije toestemming heft dat verbod op, en op een gewone werkvloer lukt dat zelden.

Wat zijn biometrische gegevens volgens de AVG?

Biometrische gegevens zijn persoonsgegevens die ontstaan door een specifieke technische verwerking van fysieke, fysiologische of gedragskenmerken, en die de unieke identificatie van iemand mogelijk maken. Die definitie staat in artikel 4 van de Algemene verordening gegevensbescherming. Een vingerafdruk, een gezichtsscan, een irisscan en een stemprofiel vallen er allemaal onder.

U kunt deze gegevens niet vervangen. Een gelekt wachtwoord verandert u in een minuut, een gelekte vingerafdruk houdt u uw leven lang. Daarom staat biometrie in artikel 9 AVG tussen de bijzondere categorieën persoonsgegevens, met een zwaarder beschermingsregime dan gewone gegevens.

Het verbod gaat over verwerking met het oog op unieke identificatie. Een foto op een personeelspas is nog geen biometrisch gegeven. Zodra software die foto omzet in een sjabloon waarmee het systeem iemand herkent, is dat wel zo. Hoe dat buiten de werkvloer uitpakt, leest u in ons artikel over gezichtsherkenning en de juridische grenzen daarvan.

Op de werkvloer komt u vier vormen tegen: de vingerafdrukscan, gezichtsherkenning, de irisscan en stemherkenning. Juridisch maakt de techniek geen verschil. Zodra het systeem iemand uniek herkent, gelden hetzelfde verbod en dezelfde toets. Bij gezichtsherkenning via bestaande camera’s komt daar de inbreuk van het cameratoezicht zelf nog bij.

Waarom is een gewone grondslag uit artikel 6 AVG niet genoeg?

Omdat artikel 9 AVG eerst een verbod stelt. Verwerken mag alleen als een van de uitzonderingen uit dat artikel of uit de Uitvoeringswet AVG van toepassing is. Ontbreekt die uitzondering, dan is het systeem onrechtmatig, hoe goed het ook beveiligd is.

Werkgevers denken vaak dat het gerechtvaardigd belang uit artikel 6 AVG volstaat. Dat is niet zo. Bij bijzondere persoonsgegevens moet u eerst door de poort van artikel 9, en pas daarna toetst u aan doelbinding, dataminimalisatie en bewaartermijn.

Onrechtmatige verwerking van bijzondere persoonsgegevens valt in de zwaarste boetecategorie van artikel 83 AVG: tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet als dat hoger is. Daarnaast kan de Autoriteit Persoonsgegevens de verwerking verbieden. Een net aangeschaft systeem moet dan direct uit.

De twee routes naast elkaar

Wanneer valt een vingerscan onder de beveiligingsuitzondering?

Artikel 29 van de Uitvoeringswet AVG bepaalt dat het verbod niet geldt als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Die uitzondering wordt strikt uitgelegd.

Noodzakelijk betekent: het doel is niet op een minder ingrijpende manier te bereiken. U onderzoekt dus eerst of een toegangspas, een pincode of een combinatie daarvan volstaat, en u legt dat onderzoek vast. Haalt een pas met pincode hetzelfde beveiligingsniveau, dan is biometrie niet noodzakelijk. Gemak, snelheid en het tegengaan van fraude met inlogcodes zijn geen beveiligingsdoeleinden in de zin van dit artikel.

De uitzondering kan opgaan bij objecten waar onbevoegde toegang buitengewoon ernstige gevolgen heeft, zoals nucleaire installaties, locaties met staatsgeheime informatie of delen van vitale infrastructuur. Voor een kantoor, winkel of magazijn haalt de afweging die drempel vrijwel nooit. Hoe de noodzakelijkheidstoets bij andere controlemiddelen uitpakt, leest u in ons artikel over privacy op het werk.

Is toestemming van een werknemer een geldige grondslag?

Meestal niet. Toestemming moet vrij gegeven zijn (artikel 4 en 7 AVG), en die vrijheid staat onder druk zodra er een gezagsverhouding is. Een werknemer die weigert, vreest gevolgen voor zijn positie, rooster of beoordeling. De Autoriteit Persoonsgegevens gaat er daarom van uit dat toestemming op de werkvloer in beginsel geen deugdelijke grondslag is.

Toestemming kan alleen werken als weigeren geen enkel nadeel oplevert. Er moet een volwaardig alternatief zijn dat net zo snel en toegankelijk is, en de werknemer moet zijn keuze op elk moment kunnen herzien. Wie voor de pas kiest, mag niet langer bij de poort staan, geen extra handeling hebben en niet herkenbaar zijn als degene die weigerde. Registreer daarom niet wie welke methode gebruikt, of scheid die registratie strikt van beoordelings- en verzuiminformatie.

Toestemming kan bovendien altijd worden ingetrokken (artikel 7 lid 3 AVG). Vanaf dat moment stopt de verwerking en worden de gegevens gewist. Een systeem dat niet kan functioneren zonder de gegevens van iedere medewerker, is dus niet op toestemming te bouwen.

Wat besliste de kantonrechter over de vingerscan bij een kassasysteem?

De kantonrechter in Amsterdam oordeelde op 12 augustus 2019 dat een schoenenwinkelketen een werkneemster niet mocht verplichten haar kassasysteem met een vingerscan te ontgrendelen (ECLI:NL:RBAMS:2019:6005). De verwerking was in strijd met de AVG.

Twee punten uit de motivering zijn bruikbaar voor elke werkgever. Het bestrijden van fraude was volgens de kantonrechter geen noodzaak voor authenticatie of beveiliging in de zin van artikel 29 UAVG. En de werkgever had niet onderbouwd waarom minder ingrijpende alternatieven, zoals een pas of een code, niet volstonden. Zonder die onderbouwing kon de rechter noodzaak en proportionaliteit niet toetsen.

Wie biometrie overweegt, moet dus vooraf op papier hebben: een vergelijking van alternatieven en een concrete onderbouwing van het beveiligingsbelang. Wie het doel omschrijft als fraudebestrijding of urenregistratie, kan zich niet op de uitzondering beroepen.

Ook de toezichthouder treedt op. De Autoriteit Persoonsgegevens maakte op 30 april 2020 een boete bekend voor een bedrijf dat vingerafdrukken van personeel verwerkte voor aanwezigheids- en tijdregistratie. Volgens de AP kon het bedrijf zich niet op een uitzondering beroepen.

Welke stappen zet een werkgever vóór de invoering?

Begin met een gegevensbeschermingseffectbeoordeling (DPIA). Artikel 35 AVG verplicht daartoe als een verwerking waarschijnlijk een hoog risico oplevert, en verwerking van biometrische gegevens van werknemers voor identificatie valt daar in de regel onder. De beoordeling moet af zijn voordat u het systeem aanschaft. U legt daarin vast:

• wat u verwerkt, met welk doel en waarom u de verwerking noodzakelijk acht;
• welke minder ingrijpende alternatieven u onderzocht en waarom die tekortschieten;
• welke technische en organisatorische maatregelen de risico’s beperken;
• hoe lang u de gegevens bewaart en wanneer ze worden gewist.

Daarna komt de medezeggenschap. Een regeling over een voorziening voor controle op aanwezigheid, gedrag of prestaties, en een regeling over de verwerking van persoonsgegevens van werknemers, hebben de instemming van de ondernemingsraad nodig (artikel 27 lid 1 onder k en l Wet op de ondernemingsraden). Zonder instemming is het besluit nietig als de ondernemingsraad daarop tijdig een beroep doet. Meer hierover leest u in ons artikel over het instemmingsrecht van de OR.

Tot slot informeert u de werknemers voordat het systeem draait (artikel 13 AVG): welk gegeven, welk doel, welke grondslag, welke bewaartermijn, wie toegang heeft en welke rechten zij hebben. Doe dat in gewone taal. Hoe u de beoordeling opzet, beschrijven wij in ons artikel over het uitvoeren van een DPIA volgens de AVG.

Hoe bewaart en beveiligt u een biometrisch sjabloon?

Een biometrisch systeem bewaart meestal geen afbeelding van de vinger, maar een sjabloon: een numerieke weergave van kenmerkende punten. Dat sjabloon blijft een bijzonder persoonsgegeven, dus artikel 32 AVG geldt volledig. Versleuteling, strikte toegangsrechten en logging van toegangspogingen zijn het minimum.

Kies waar het kan voor decentrale opslag. Blijft het sjabloon op de pas van de werknemer en vergelijkt het systeem alleen ter plaatse, dan is er geen centrale database die gestolen kan worden. Verwerk daarnaast alleen de uitkomst “herkend” of “niet herkend”. Gebruik die uitkomst niet alsnog voor prestatiebeoordeling of urenregistratie; dat is een ander doel zonder grondslag.

Gaat het mis, dan geldt de meldplicht datalekken: melden bij de Autoriteit Persoonsgegevens binnen 72 uur (artikel 33 AVG) en, bij een hoog risico, ook de werknemers zelf informeren (artikel 34 AVG). Bij biometrie is dat hoge risico snel aanwezig. Zie ons artikel over het melden van een datalek. Bewaartermijnen legt u vooraf vast, net als bij de rest van het personeelsdossier.

Een sjabloon heeft geen doel meer zodra iemand uit dienst gaat of overstapt op een pas, en moet dan worden gewist, ook in back-ups en logbestanden. Leg met de leverancier een verwerkersovereenkomst vast (artikel 28 AVG) met aantoonbaar wissen en een verbod op gebruik voor eigen doeleinden, zoals het trainen van herkenningssoftware.

Actueel (sinds 2 februari 2025): artikel 5 van de AI-verordening verbiedt AI-systemen die emoties van mensen op de werkplek herkennen, behalve om medische of veiligheidsredenen. Combineert een systeem gezichtsherkenning met analyse van gezichtsuitdrukkingen, dan geldt dat verbod naast de AVG.

Wat kan een werknemer doen die de vingerscan weigert?

U hoeft niet mee te werken aan een verwerking zonder grondslag, en uw werkgever mag u om die weigering niet benadelen. De eerste stap is een schriftelijk bezwaar met het verzoek om een alternatief, zoals een pas of pincode. Vraag daarin ook inzage in de vastgelegde gegevens (artikel 15 AVG) en verwijdering daarvan (artikel 17 AVG). De werkgever moet binnen een maand reageren (artikel 12 lid 3 AVG).

Reageert de werkgever niet of onvoldoende, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens. Die kan een waarschuwing geven, een verwerkingsverbod of een boete opleggen. U kunt ook de kantonrechter vragen te bepalen dat u het systeem niet hoeft te gebruiken, zoals in de Amsterdamse zaak.

Wie schade lijdt door een onrechtmatige verwerking, kan op grond van artikel 82 AVG vergoeding vorderen, ook van immateriële schade. U moet die schade dan wel concreet stellen en onderbouwen. Over minder ingrijpende middelen loopt de discussie langs dezelfde lijnen; zie ons artikel over cameratoezicht op de werkvloer. Over de oudere praktijk rond de vingerscan schreven wij in ons artikel over de vingerafdruk en de AVG.

Controlepunten voor beide kanten

Wat Law & More doet bij biometrie op de werkvloer

Onze advocaten arbeidsrecht adviseren werkgevers, ondernemingsraden en werknemers over biometrische toegangscontrole.

• Wij toetsen of een systeem onder artikel 29 UAVG valt of op geldige toestemming kan steunen.
• Wij beoordelen de DPIA en de vergelijking met minder ingrijpende alternatieven.
• Wij begeleiden het instemmingstraject met de ondernemingsraad.
• Wij stellen voor werknemers het bezwaar en het inzage- en verwijderingsverzoek op en procederen zo nodig bij de kantonrechter.

In het kort

• Een vingerafdruk voor identificatie is een bijzonder persoonsgegeven; artikel 6 AVG alleen is niet genoeg.
• Fraudebestrijding en urenregistratie vallen niet onder de beveiligingsuitzondering van artikel 29 UAVG.
• Zonder gedocumenteerde vergelijking met pas of pincode kan een werkgever de noodzaak niet aantonen.
• Een werknemer kan weigeren, inzage en verwijdering vragen en klagen bij de AP.

Veelgestelde vragen

Mag mijn werkgever mijn vingerafdruk gebruiken voor in- en uitklokken?

Nee. Tijdregistratie is geen authenticatie- of beveiligingsdoel, dus artikel 29 UAVG gaat niet op. Toestemming biedt meestal ook geen uitkomst vanwege de gezagsverhouding. Voor het bijhouden van gewerkte uren zijn er minder ingrijpende middelen.

Mag een kerncentrale of vitale infrastructuur wel biometrie gebruiken?

Daar ligt artikel 29 UAVG meer voor de hand, omdat onbevoegde toegang ernstige gevolgen heeft. Ook dan moet de werkgever aantonen dat alternatieven onvoldoende zijn, een DPIA uitvoeren en de gegevens passend beveiligen.

Telt een gewone pasfoto in het personeelssysteem ook als biometrisch gegeven?

Nee, zolang de foto niet technisch wordt verwerkt om iemand automatisch te herkennen. Wordt dezelfde foto gebruikt voor gezichtsherkenning, dan valt die verwerking wel onder artikel 9 AVG.