Gepubliceerd op 4 mei 2020 · Laatst bijgewerkt op 8 september 2026
Toestemming voor biometrie is zelden een houdbare grondslag. Biometrische gegevens die dienen om iemand uniek te identificeren, zijn bijzondere persoonsgegevens en het verwerken ervan is verboden op grond van artikel 9 AVG. Toestemming is een van de uitzonderingen, maar op de werkvloer is die door de afhankelijkheid van de werknemer vrijwel nooit vrijelijk gegeven. In de praktijk komt u eerder uit bij artikel 29 van de Uitvoeringswet AVG.
Inhoudsopgave
Waarom zijn biometrische gegevens bijzondere persoonsgegevens?
Onder biometrische gegevens verstaat de AVG persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken, en aan de hand waarvan iemand eenduidig kan worden geïdentificeerd. Een vingerafdruk, een irisscan, een gezichtsprofiel en een stemafdruk vallen daaronder. Beslissend is het doel: pas wanneer de gegevens worden verwerkt met het oog op de unieke identificatie van een persoon, geldt het verbod van artikel 9 AVG.
De reden voor die zware bescherming is dat biometrische kenmerken onveranderlijk zijn. Een wachtwoord dat uitlekt, wijzigt u; een vingerafdruk niet. Bovendien bevat het ruwe kenmerk vaak meer informatie dan voor de identificatie nodig is, waaronder gegevens die iets over gezondheid of afkomst kunnen zeggen. Komen die gegevens in verkeerde handen, dan is de schade voor de betrokkene blijvend. Om die reden mag u ze alleen verwerken als een van de uitzonderingen van artikel 9 AVG of van de Uitvoeringswet AVG opgaat.
Wat is geldige toestemming onder de AVG?
Toestemming is volgens artikel 4 AVG elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door een verklaring of een ondubbelzinnige actieve handeling de verwerking aanvaardt. Voor bijzondere persoonsgegevens komt daar een eis bovenop: de toestemming moet uitdrukkelijk zijn. Stilzwijgen, een vooraf aangevinkt vakje of het simpelweg doorlopen van een proces volstaat dus niet.
Artikel 7 AVG voegt daaraan drie praktische verplichtingen toe. U moet kunnen aantonen dat de toestemming is gegeven, u moet het verzoek in begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke taal presenteren, en de betrokkene moet de toestemming te allen tijde even eenvoudig kunnen intrekken als geven. Dat laatste heeft een harde consequentie: uw systeem moet blijven werken voor de medewerker die vandaag toestemming geeft en die over drie maanden intrekt. Kan dat niet, dan was de toestemming feitelijk geen keuze.
Waarom werkt toestemming op de werkvloer bijna nooit?
Vrije toestemming veronderstelt een echte keuze zonder nadelige gevolgen. In de verhouding werkgever en werknemer bestaat die keuze zelden. De AVG wijst daar zelf op: waar sprake is van een duidelijke wanverhouding tussen de betrokkene en de verwerkingsverantwoordelijke, is het onwaarschijnlijk dat de toestemming vrijelijk is verleend. De Autoriteit Persoonsgegevens hanteert dat uitgangspunt consequent bij arbeidsverhoudingen.
Praktisch betekent dit dat de bewijslast bij u als werkgever ligt en dat die zwaar is. Een handtekening onder de arbeidsovereenkomst helpt niet, en ook niet de ontvangstbevestiging van een personeelshandboek waarin staat dat voortaan met de vingerafdruk wordt ingeklokt. U zult moeten laten zien dat er een reëel alternatief was, dat weigeren geen nadeel opleverde en dat medewerkers vooraf specifiek zijn geïnformeerd over doel, bewaartermijn en beveiliging. Wordt een weigerende medewerker uitgenodigd voor een gesprek met de directie, dan is de toestemming van de rest van het personeel daarmee ook aangetast.
Uitgesloten is de route niet. In een kleine organisatie zonder gezagsdruk, met een volwaardig alternatief zoals een pas of een pincode dat feitelijk gelijkwaardig wordt gebruikt, kan toestemming standhouden. Maar u moet er van goeden huize voor komen, en u moet het bewijs vóóraf opbouwen, niet pas wanneer de toezichthouder aan de deur staat.
De boete voor vingerafdrukken bij tijdregistratie
De Autoriteit Persoonsgegevens legde in 2020 een boete van 725.000 euro op aan een bedrijf dat de vingerafdrukken van zijn werknemers scande voor aanwezigheids- en tijdregistratie. Het bedrijf beriep zich op toestemming, maar kon niet aantonen dat medewerkers voldoende waren geïnformeerd en dat zij vrij hadden kunnen weigeren. Een beroep op noodzaak voor beveiligingsdoeleinden slaagde evenmin: aanwezigheidsregistratie en het tegengaan van fraude met inklokken zijn geen beveiligingsbelang van het gewicht dat de wet daarvoor eist.
De les uit die zaak is dat het administratieve gemak van biometrie nooit de rechtvaardiging kan zijn. Waar een pas, een pincode of een app hetzelfde doel bereikt, ontbreekt de noodzaak en valt de grondslag weg. Wij bespraken de noodzakelijkheidstoets eerder in ons artikel over de vingerafdruk in strijd met de AVG en in onze uitleg over de vraag of uw werkgever vingerafdrukken mag opslaan.
De uitzondering van artikel 29 Uitvoeringswet AVG
Naast de uitzonderingen in artikel 9 AVG kent Nederland een eigen bepaling. Artikel 29 van de Uitvoeringswet AVG bepaalt dat het verbod om biometrische gegevens met het oog op unieke identificatie te verwerken niet van toepassing is indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Dit is in de praktijk de enige route die voor werkgevers werkelijk begaanbaar is.
Noodzakelijk betekent hier meer dan handig. U moet aantonen dat het te beschermen belang zwaar genoeg weegt, en dat er geen minder ingrijpend middel is waarmee hetzelfde resultaat wordt bereikt. Toegang tot een serverruimte met bedrijfsgeheimen, tot een laboratorium met gevaarlijke stoffen of tot een kluis met medicijnen kan die toets doorstaan. De deur van het kantoorpand of de tijdklok bij de ingang doorstaat hem niet. Leg de afweging schriftelijk vast, inclusief de alternatieven die u heeft overwogen en waarom die tekortschieten; zonder die vastlegging heeft u bij een onderzoek niets te tonen.
Wat moet u verder regelen?
Een geldige grondslag is het begin, niet het einde. Voor grootschalige verwerking van bijzondere persoonsgegevens is een gegevensbeschermingseffectbeoordeling verplicht (artikel 35 AVG). Verwerk verder alleen wat nodig is en bewaar niet langer dan nodig (artikel 5 AVG): sla geen ruwe afbeeldingen op maar een onomkeerbaar sjabloon, bewaar dat waar mogelijk lokaal op een pas of in het apparaat in plaats van in een centrale database, en verwijder het bij uitdiensttreding.
Neem de verwerking op in uw register (artikel 30 AVG), beveilig haar passend (artikel 32 AVG) en informeer betrokkenen vooraf over doel, grondslag, bewaartermijn en hun rechten (artikelen 13 en 14 AVG). Gaat het toch mis en lekken biometrische sjablonen uit, dan geldt de meldplicht; wat die inhoudt, leest u in ons artikel over de meldplicht bij een datalek. De boetebevoegdheid van artikel 83 AVG loopt bij overtreding van artikel 9 op tot twintig miljoen euro of, als dat hoger is, vier procent van de wereldwijde jaaromzet.
De ondernemingsraad moet instemmen
Een biometrisch toegangs- of registratiesysteem is een voorziening die gericht is op waarneming van of controle op aanwezigheid, gedrag of prestaties van werknemers. Voor de invoering, wijziging of intrekking van zo’n regeling heeft de werkgever de instemming van de ondernemingsraad nodig (artikel 27 WOR). Datzelfde geldt voor de regeling over de verwerking van persoonsgegevens van het personeel.
Ontbreekt die instemming, dan kan de ondernemingsraad binnen een maand de nietigheid van het besluit inroepen en kan de werkgever het besluit niet uitvoeren. Dat is een zelfstandig gebrek: ook een verwerking die de AVG-toets zou doorstaan, kan hierop stranden. Hoe die procedure verloopt, beschrijven wij in ons artikel over het instemmingsrecht van de OR.
Biometrie en de AI-verordening
Sinds de AI-verordening (Verordening (EU) 2024/1689) geldt er een tweede laag regels. Systemen voor het afleiden van emoties van werknemers op de werkplek zijn een verboden praktijk, net als biometrische categorisering die gevoelige kenmerken zoals ras, politieke opvattingen of seksuele gerichtheid afleidt. Dat verbod is al van toepassing en staat los van de vraag of iemand toestemming heeft gegeven; toestemming maakt een verboden praktijk niet toelaatbaar.
Biometrische identificatie- en verificatiesystemen die u in de arbeidsrelatie inzet, vallen daarnaast onder het hoogrisicoregime van bijlage III bij de verordening. De toepassing van dat regime is uitgesteld tot 2 december 2027, maar de voorbereiding daarop begint nu: risicobeheer, technische documentatie, menselijk toezicht en logging laten zich niet achteraf inbouwen. Meer daarover leest u in onze artikelen over verboden AI-praktijken en over hoog-risico AI-systemen.
Wat kunt u doen?
Bent u werkgever en overweegt u biometrie, begin dan bij het doel en niet bij de techniek. Bepaal welk belang u beschermt, onderzoek of een pas, een pincode of een sleutel volstaat, en leg die afweging vast. Voert u het toch in, vraag dan instemming aan de ondernemingsraad, verricht een gegevensbeschermingseffectbeoordeling, informeer uw medewerkers schriftelijk en bied een gelijkwaardig alternatief aan wie niet meedoet. Baseer u op artikel 29 UAVG waar dat kan, en gebruik toestemming hooguit aanvullend.
Wordt u als werknemer om uw vingerafdruk gevraagd, geef die dan niet zonder meer. U mag vragen op welke grondslag de verwerking berust, wat het doel is, hoelang de gegevens worden bewaard en welk alternatief er is. Voelt u druk of dreigt een gesprek met de leiding bij weigering, dan is er per definitie geen vrije toestemming. U kunt uw toestemming intrekken, uw rechten uitoefenen op grond van de artikelen 15 tot en met 17 AVG en zo nodig een klacht indienen bij de Autoriteit Persoonsgegevens.
Veelgestelde vragen
Mag mijn werkgever mij verplichten mijn vingerafdruk af te geven?
Alleen als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden in de zin van artikel 29 UAVG en er geen minder ingrijpend alternatief bestaat. Voor tijdregistratie of toegang tot een gewoon kantoorpand is dat niet het geval.
Ik heb getekend voor de vingerafdrukscan. Zit ik daaraan vast?
Nee. Toestemming kunt u te allen tijde intrekken, en het intrekken moet even eenvoudig zijn als het geven (artikel 7 AVG). Bovendien is een handtekening die onder druk of zonder echte keuze is gezet geen geldige toestemming.
Is gezichtsherkenning voor toegangscontrole toegestaan?
Dat volgt dezelfde toets als de vingerafdruk. Beslissend is of de identificatie noodzakelijk is voor authenticatie of beveiliging en of een pas of code hetzelfde doel bereikt. Daarnaast gelden de eisen van de AI-verordening voor het gebruikte systeem.
Geldt dit ook voor bezoekers en klanten?
Het verbod van artikel 9 AVG geldt voor iedereen van wie u biometrische gegevens verwerkt. Bij bezoekers en klanten kan toestemming eerder vrij zijn dan bij werknemers, omdat de gezagsverhouding ontbreekt, maar u moet ook dan een reëel alternatief bieden.
Wat riskeer ik als het niet klopt?
De Autoriteit Persoonsgegevens kan een verwerkingsverbod opleggen en beboeten op grond van artikel 83 AVG. Daarnaast kunnen betrokkenen schadevergoeding vorderen op grond van artikel 82 AVG, en kan de ondernemingsraad de nietigheid van het besluit inroepen.
Advies over biometrie en privacy
Biometrie is juridisch geen kwestie van een handtekening ophalen, maar van een grondslag die de toets doorstaat en van een dossier dat dat aantoont. De regels vindt u in de Algemene verordening gegevensbescherming, in de Uitvoeringswet AVG en in de toelichting van de Autoriteit Persoonsgegevens bij de boete voor vingerafdrukscans.
Overweegt u biometrie in te voeren, of wordt u als werknemer om toestemming gevraagd? De privacyadvocaten van Law & More in Eindhoven beoordelen de grondslag, begeleiden de effectbeoordeling en het traject met de ondernemingsraad, en staan u bij in een onderzoek van de Autoriteit Persoonsgegevens.
