Gepubliceerd op 25 oktober 2019 · Laatst bijgewerkt op 8 september 2026
Een vingerscan op de werkvloer mag een werkgever niet zomaar verplicht stellen. Een vingerafdruk is een biometrisch persoonsgegeven en valt onder het verwerkingsverbod van artikel 9 AVG. Alleen als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden geldt de uitzondering van artikel 29 van de Uitvoeringswet AVG, en die drempel ligt hoog.
Inhoudsopgave
Is een vingerafdruk een persoonsgegeven?
Ja. Artikel 4 AVG omschrijft biometrische gegevens als persoonsgegevens die het resultaat zijn van een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon, en die de unieke identificatie van die persoon mogelijk maken of bevestigen. Een vingerafdruk voldoet daaraan: hij onderscheidt de ene persoon van de andere en is aan een individu gebonden.
Dat een werkgever de scan technisch opslaat als een reeks kenmerken en niet als een afbeelding van de vinger, doet daaraan niets af. Ook een zogenoemde template is een biometrisch gegeven zolang die tot herleiding van een persoon leidt. Wanneer gewone gegevens zoals een e-mailadres onder de verordening vallen, leest u in ons artikel over het e-mailadres als persoonsgegeven; voor biometrie geldt bovenop die regels een verbod.
Waarom geldt voor biometrie een verwerkingsverbod?
Artikel 9 AVG verbiedt de verwerking van biometrische gegevens met het oog op de unieke identificatie van een persoon. De reden is dat biometrie onveranderlijk is. Een wachtwoord of toegangspas kunt u vervangen na een lek; een vingerafdruk niet. Een inbreuk raakt de betrokkene daarom levenslang, en misbruik is moeilijk terug te draaien. Daarom is verwerking in beginsel verboden en niet, zoals bij gewone persoonsgegevens, toegestaan zodra er een grondslag is.
Het verbod geldt alleen voor biometrie die dient tot unieke identificatie. Een systeem dat een vingerafdruk uitsluitend lokaal op het apparaat van de gebruiker verwerkt, zoals de ontgrendeling van een eigen telefoon, ligt anders dan een centraal autorisatiesysteem waarmee een werkgever vaststelt wie er inlogt. Zodra de werkgever het systeem inricht en beheert, is hij verwerkingsverantwoordelijke en moet hij het verbod en de uitzonderingen langslopen.
Wanneer geldt de uitzondering van artikel 29 UAVG?
De Nederlandse wetgever heeft in artikel 29 van de Uitvoeringswet AVG bepaald dat het verbod niet geldt als de verwerking van biometrische gegevens noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Het sleutelwoord is noodzakelijk. Dat is meer dan handig, goedkoop of gebruikelijk. De werkgever moet aantonen dat het doel zonder biometrie niet of niet voldoende te bereiken is.
Die toets valt uiteen in drie vragen. Is het doel legitiem en zwaarwegend genoeg om deze inbreuk te rechtvaardigen? Staat het middel in verhouding tot dat doel? En is er geen minder ingrijpend alternatief, zoals een toegangspas, een pincode of een combinatie daarvan? Blijft een van die vragen onbeantwoord, dan valt de verwerking terug onder het verbod van artikel 9 AVG.
De vingerscan bij een schoenenketen
De kantonrechter van de rechtbank Amsterdam oordeelde op 12 augustus 2019 over een schoenenketen die haar winkelpersoneel alleen via een vingerscan toegang gaf tot het kassasysteem (ECLI:NL:RBAMS:2019:6005). De werkgever voerde aan dat dit noodzakelijk was om financiele gegevens en persoonsgegevens van werknemers te beschermen, en dat andere methoden fraudegevoelig waren. Een medewerkster weigerde haar vingerafdruk af te staan en beriep zich op artikel 9 AVG.
De kantonrechter gaf haar gelijk. Het bedrijfsbelang, het tegengaan van omzetderving door frauderend personeel, maakte de vingerscan niet noodzakelijk voor authenticatie- of beveiligingsdoeleinden in de zin van artikel 29 UAVG. De werkgever had niet onderbouwd waarom een toegangspas of cijfercode, of een combinatie daarvan, tekortschoot. Er was geen zorgvuldige afweging gemaakt tussen de verschillende beveiligingsmethoden. Bovendien viel op dat de winkel verder nauwelijks beveiligd was: geen camerabeveiliging, geen detectiepoortjes. Wie zich op de noodzaak van biometrie beroept terwijl eenvoudiger maatregelen ontbreken, ondergraaft zijn eigen betoog.
Waarom is toestemming van de werknemer meestal geen oplossing?
Op papier kent artikel 9 AVG ook de uitzondering van uitdrukkelijke toestemming. In de arbeidsverhouding biedt die weinig soelaas. Toestemming moet vrij zijn gegeven, en tussen werkgever en werknemer bestaat een gezagsverhouding waarin een weigering gevolgen kan hebben voor rooster, beoordeling of contractverlenging. Toestemming van een werknemer is daarom in beginsel geen geldige grondslag.
Daar komt bij dat toestemming te allen tijde en even eenvoudig moet kunnen worden ingetrokken als zij is gegeven. Een beveiligingssysteem dat alleen werkt als iedereen meedoet, verdraagt zich slecht met dat vereiste. Wie zijn systeem op toestemming bouwt, moet dus hoe dan ook een gelijkwaardig alternatief klaar hebben staan voor wie niet meedoet.
Wat moet u als werkgever kunnen aantonen?
Leg de afweging vast voordat u het systeem invoert, niet achteraf in een procedure. Beschrijf welk concreet risico u wilt afdekken, welke alternatieven u heeft onderzocht en waarom die tekortschieten. Bij verwerking van biometrische gegevens op enige schaal is een gegevensbeschermingseffectbeoordeling op grond van artikel 35 AVG in de regel verplicht; die beoordeling is meteen het document waarmee u uw noodzaak onderbouwt. Neem de verwerking op in uw register van verwerkingsactiviteiten en tref passende beveiligingsmaatregelen.
Beperk daarnaast wat u opslaat en hoe lang. Sla waar mogelijk geen centrale database met templates aan, informeer werknemers vooraf over doel, grondslag en bewaartermijn, en bied een gelijkwaardig alternatief. Welke AVG-verplichtingen in het midden- en kleinbedrijf het vaakst blijven liggen, staat in ons artikel over verwerkingsregister, DPIA en datalek. Voor andere controlemiddelen gelden vergelijkbare eisen, zoals blijkt uit onze uitleg over personeelsmonitoring en privacy en over cameratoezicht op kantoor en in de winkel.
Welke rol heeft de ondernemingsraad?
Een biometrisch autorisatiesysteem is niet alleen een privacyvraagstuk maar ook een medezeggenschapskwestie. Op grond van artikel 27 van de Wet op de ondernemingsraden heeft de ondernemingsraad instemmingsrecht bij regelingen op het gebied van de verwerking van persoonsgegevens van werknemers en bij voorzieningen die zijn gericht op waarneming van of controle op aanwezigheid, gedrag of prestaties. Een vingerscansysteem raakt beide.
Voert u het systeem in zonder de vereiste instemming, dan kan de ondernemingsraad de nietigheid van het besluit inroepen. Dat is een zelfstandig gebrek, los van de vraag of de verwerking de AVG-toets zou doorstaan. Wat de ondernemingsraad precies vermag, leest u in ons artikel over de ondernemingsraad.
Wat riskeert u bij overtreding?
De Autoriteit Persoonsgegevens handhaaft actief op biometrie op de werkvloer. Zij legde een onderneming een boete van 725.000 euro op omdat die vingerafdrukken van werknemers gebruikte voor tijd- en aanwezigheidsregistratie, terwijl noch geldige uitdrukkelijke toestemming noch noodzaak voor beveiligingsdoeleinden kon worden aangetoond (zie het bericht van de Autoriteit Persoonsgegevens). Tijdregistratie is dus iets anders dan beveiliging: het gemak van een klokkende vinger is geen noodzaak.
Naast een boete op grond van artikel 83 AVG kunnen betrokkenen schadevergoeding vorderen op grond van artikel 82 AVG. Arbeidsrechtelijk loopt u een tweede risico: een werknemer die weigert mee te werken aan een verwerking die de wet niet toestaat, weigert geen redelijke opdracht. Een loonstop, een waarschuwing of zelfs ontslag op die grond houdt dan geen stand.
Wat kunt u doen als werknemer?
Maak uw bezwaar schriftelijk kenbaar en vraag uw werkgever op welke grondslag de verwerking berust en welke alternatieven zijn onderzocht. Vraag om inzage in de gegevensbeschermingseffectbeoordeling en om een gelijkwaardig alternatief, zoals een pas of pincode. Schakel de ondernemingsraad in: als instemming ontbreekt, is dat een sterk argument.
Komt u er niet uit, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens of de kantonrechter vragen te verklaren dat u niet verplicht bent uw vingerafdruk af te staan. Dat laatste is precies wat de medewerkster in de zaak uit 2019 met succes deed. Onderteken in de tussentijd geen toestemmingsformulier waarvan u de reikwijdte niet overziet.
Veelgestelde vragen
Mag een werkgever een vingerscan gebruiken voor tijdregistratie?
In de regel niet. Tijdregistratie is geen authenticatie- of beveiligingsdoel in de zin van artikel 29 UAVG, en er zijn eenvoudige alternatieven. De Autoriteit Persoonsgegevens heeft hiervoor al een boete opgelegd.
Mag een vingerscan wel bij toegang tot een serverruimte of kluis?
Dat kan, mits u kunt onderbouwen dat het te beschermen belang zwaar genoeg weegt en dat minder ingrijpende maatregelen tekortschieten. Leg die afweging vooraf vast in een gegevensbeschermingseffectbeoordeling.
Wat als een deel van het personeel wel toestemming geeft?
Toestemming in een gezagsverhouding is zelden vrij en dus zelden geldig. Bovendien moet zij zonder nadelige gevolgen kunnen worden ingetrokken. U heeft hoe dan ook een gelijkwaardig alternatief nodig.
Geldt hetzelfde voor gezichtsherkenning of irisscans?
Ja. Ook dat zijn biometrische gegevens met het oog op unieke identificatie. Dezelfde toets van artikel 9 AVG en artikel 29 UAVG is van toepassing, en de instemming van de ondernemingsraad is eveneens vereist.
Advies over biometrie op de werkvloer
Wij toetsen of uw beveiligings- of toegangssysteem de AVG doorstaat, stellen de gegevensbeschermingseffectbeoordeling en het instemmingsverzoek aan de ondernemingsraad op, en staan werknemers bij die geen vingerafdruk willen afstaan. Neem contact op met Law & More in Eindhoven via +31 40 369 06 80.
