Toestemming voor biometrie: wanneer is die geldig onder de AVG?

Gepubliceerd op 4 mei 2020 · Laatst bijgewerkt op 8 oktober 2026

Toestemming voor biometrie is op de werkvloer bijna nooit een houdbare grondslag. Biometrische gegevens waarmee u iemand uniek identificeert, zijn bijzondere persoonsgegevens, en artikel 9 AVG verbiedt het verwerken ervan. Toestemming is wel een uitzondering op dat verbod, maar een werknemer is afhankelijk van zijn werkgever en kan daardoor zelden vrij kiezen. Voor werkgevers is artikel 29 van de Uitvoeringswet AVG (UAVG) meestal de enige begaanbare route: biometrie mag dan alleen als het noodzakelijk is voor authenticatie of beveiliging.

Waarom zijn biometrische gegevens bijzondere persoonsgegevens?

Omdat ze iemand eenduidig identificeren en niet te veranderen zijn. Daarom valt het verwerken ervan onder het verbod van artikel 9 AVG, zodra het doel unieke identificatie is.

De AVG omschrijft biometrische gegevens als persoonsgegevens die ontstaan door een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken. Met die gegevens kan iemand eenduidig worden geïdentificeerd. Denk aan een vingerafdruk, een irisscan, een gezichtsprofiel of een stemafdruk. Beslissend is het doel. Pas als u de gegevens verwerkt om een persoon uniek te identificeren, geldt het verbod van artikel 9 AVG.

De zware bescherming heeft een reden. Een wachtwoord dat uitlekt, kunt u wijzigen. Een vingerafdruk niet. Bovendien bevat het ruwe kenmerk vaak meer informatie dan nodig is voor de identificatie, soms zelfs gegevens die iets zeggen over gezondheid of afkomst. Komen die gegevens in verkeerde handen, dan is de schade voor de betrokkene blijvend. U mag ze daarom alleen verwerken als een uitzondering uit artikel 9 AVG of uit de UAVG van toepassing is.

Wanneer is toestemming onder de AVG geldig?

Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Voor bijzondere persoonsgegevens moet zij bovendien uitdrukkelijk worden gegeven.

Volgens artikel 4 AVG is toestemming een wilsuiting waarmee de betrokkene door een verklaring of een ondubbelzinnige actieve handeling de verwerking aanvaardt. Voor bijzondere persoonsgegevens komt daar een eis bij: de toestemming moet uitdrukkelijk zijn (artikel 9 lid 2 onder a AVG). Stilzwijgen, een vooraf aangevinkt vakje of het gewoon doorlopen van een proces is dus niet genoeg.

Artikel 7 AVG voegt drie praktische plichten toe. U moet kunnen aantonen dat de toestemming is gegeven. U moet het verzoek in duidelijke taal en in een begrijpelijke, goed toegankelijke vorm voorleggen. En de betrokkene moet de toestemming op elk moment even eenvoudig kunnen intrekken als geven. Dat laatste heeft een hard gevolg: uw systeem moet blijven werken voor de medewerker die vandaag toestemming geeft en die over drie maanden weer intrekt. Kan dat niet, dan was de toestemming in feite geen keuze.

Waarom werkt toestemming op de werkvloer bijna nooit?

Vrije toestemming vraagt om een echte keuze zonder nadelige gevolgen. Tussen werkgever en werknemer bestaat die keuze zelden, en u als werkgever moet het tegendeel bewijzen.

De AVG wijst hier zelf op. Volgens overweging 43 is het onwaarschijnlijk dat toestemming vrij is gegeven als er een duidelijke wanverhouding bestaat tussen de betrokkene en de verwerkingsverantwoordelijke. De Autoriteit Persoonsgegevens (AP) past dat uitgangspunt toe op arbeidsverhoudingen.

In de praktijk betekent dit dat de bewijslast bij u ligt, en dat die zwaar is. Een handtekening onder de arbeidsovereenkomst helpt niet. Ook een ontvangstbevestiging van een personeelshandboek waarin staat dat u voortaan met de vingerafdruk inklokt, helpt niet. U moet laten zien dat er een reëel alternatief was, dat weigeren geen nadeel opleverde en dat medewerkers vooraf specifiek zijn geïnformeerd over doel, bewaartermijn en beveiliging. Wordt een medewerker die weigert, uitgenodigd voor een gesprek met de directie? Dan is ook de toestemming van de rest van het personeel aangetast.

Helemaal uitgesloten is de route niet. In een kleine organisatie zonder gezagsdruk kan toestemming standhouden, als er een volwaardig alternatief is, zoals een pas of een pincode, en dat alternatief ook echt gelijkwaardig wordt gebruikt. Maar de lat ligt hoog. Bouw het bewijs vooraf op, en niet pas wanneer de toezichthouder vragen stelt.

Wat leert de boete voor vingerafdrukken bij tijdregistratie?

Dat administratief gemak nooit een rechtvaardiging is voor biometrie. De AP legde een bedrijf een boete op van 725.000 euro voor het scannen van vingerafdrukken voor aanwezigheids- en tijdregistratie.

Het boetebesluit dateert van 4 december 2019 en werd in 2020 bekendgemaakt. Het ging om een langlopende verwerking bij een groot deel van het personeel. Het bedrijf beriep zich op toestemming. Het kon echter niet aantonen dat medewerkers voldoende waren geïnformeerd en dat zij vrij hadden kunnen weigeren. Ook een beroep op artikel 29 UAVG slaagde niet. Aanwezigheidsregistratie is geen beveiligingsdoel dat biometrie noodzakelijk maakt, en er bestonden minder ingrijpende middelen.

De les is duidelijk. Bereikt een pas, een pincode of een app hetzelfde doel, dan ontbreekt de noodzaak en valt de grondslag weg. Wij bespraken de noodzakelijkheidstoets eerder in ons artikel over de vingerafdruk in strijd met de AVG en in onze uitleg over de vraag of uw werkgever vingerafdrukken mag opslaan.

Wanneer biedt artikel 29 UAVG een uitzondering?

Alleen als biometrie noodzakelijk is voor authenticatie of beveiliging. Handig of efficiënt is niet genoeg.

Naast de uitzonderingen in artikel 9 AVG heeft Nederland een eigen regel. Volgens artikel 29 UAVG geldt het verbod om biometrische gegevens te verwerken voor unieke identificatie niet, als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Voor werkgevers is dit in de praktijk de enige route die werkelijk begaanbaar is.

Noodzakelijk betekent hier meer dan handig. U moet aantonen dat het belang dat u beschermt zwaar genoeg weegt. Ook moet u laten zien dat er geen minder ingrijpend middel is dat hetzelfde resultaat geeft. Toegang tot een serverruimte met bedrijfsgeheimen, een laboratorium met gevaarlijke stoffen of een kluis met medicijnen kan die toets doorstaan. De voordeur van een kantoorpand of de tijdklok bij de ingang doorstaat hem niet.

Leg uw afweging schriftelijk vast. Noteer welke alternatieven u heeft overwogen en waarom die tekortschieten. Zonder die vastlegging heeft u bij een onderzoek niets te laten zien.

Wat moet u naast de grondslag regelen?

Een geldige grondslag is het begin, niet het einde. U moet ook de risico’s beoordelen, zo weinig mogelijk gegevens verwerken en die goed beveiligen.

Bij grootschalige verwerking van bijzondere persoonsgegevens is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht (artikel 35 AVG). Verwerk verder alleen wat nodig is en bewaar het niet langer dan nodig (artikel 5 AVG). Sla dus geen ruwe afbeeldingen op, maar een onomkeerbaar sjabloon. Bewaar dat sjabloon waar mogelijk lokaal, op een pas of in het apparaat, in plaats van in een centrale database. Verwijder het bij uitdiensttreding.

Neem de verwerking op in uw verwerkingsregister (artikel 30 AVG) en beveilig haar passend (artikel 32 AVG). Informeer betrokkenen vooraf over het doel, de grondslag, de bewaartermijn en hun rechten (artikelen 13 en 14 AVG). Lekken er toch biometrische sjablonen uit, dan geldt de meldplicht. Wat die inhoudt, leest u in ons artikel over de meldplicht bij een datalek. Bij overtreding van artikel 9 kan de boete volgens artikel 83 AVG oplopen tot twintig miljoen euro of, als dat hoger is, vier procent van de wereldwijde jaaromzet.

Moet de ondernemingsraad instemmen?

Ja. Een biometrisch toegangs- of registratiesysteem heeft de instemming van de ondernemingsraad (OR) nodig. Zonder die instemming kan de OR de nietigheid van het besluit inroepen.

Een biometrisch systeem is een voorziening die gericht is op waarneming van of controle op aanwezigheid, gedrag of prestaties van werknemers. Voor het invoeren, wijzigen of intrekken van zo’n regeling heeft de werkgever de instemming van de OR nodig (artikel 27 WOR). Hetzelfde geldt voor een regeling over de verwerking van persoonsgegevens van het personeel.

Ontbreekt de instemming, dan kan de OR binnen een maand de nietigheid van het besluit inroepen. De werkgever kan het besluit dan niet uitvoeren. Dat is een zelfstandig gebrek. Ook een verwerking die de AVG-toets zou doorstaan, kan hierop stranden. Hoe die procedure verloopt, beschrijven wij in ons artikel over het instemmingsrecht van de OR.

Welke rol speelt de AI-verordening?

De AI-verordening (Verordening (EU) 2024/1689) voegt een tweede laag regels toe. Sommige toepassingen zijn verboden, andere vallen straks onder strenge eisen voor hoog-risicosystemen.

Verboden zijn AI-systemen die emoties van werknemers op de werkplek afleiden, behalve om medische of veiligheidsredenen. Ook verboden is biometrische categorisering die gevoelige kenmerken afleidt, zoals ras, politieke opvattingen, vakbondslidmaatschap of seksuele gerichtheid (artikel 5 lid 1 onder f en g). Die verboden gelden al. Toestemming van de werknemer verandert daar niets aan: een verboden praktijk wordt niet toelaatbaar door toestemming.

Daarnaast kent bijlage III bij de verordening hoog-risicocategorieën. Biometrische verificatie die alleen bevestigt dat iemand is wie hij zegt te zijn, bijvoorbeeld om een deur te openen, valt buiten de categorie biometrische identificatie op afstand. Maar AI-systemen waarmee u prestaties of gedrag van werknemers monitort en beoordeelt, vallen onder de categorie werkgelegenheid en zijn dus wel hoog-risico. Volgens de Europese Commissie gelden de regels voor deze hoog-risicogebieden vanaf 2 december 2027. Begin nu met de voorbereiding: risicobeheer, technische documentatie, menselijk toezicht en logging laten zich niet achteraf inbouwen. Meer leest u in onze artikelen over verboden AI-praktijken en over hoog-risico AI-systemen.

Waar let u als werkgever op?

Begin bij het doel, niet bij de techniek. Bepaal welk belang u beschermt en onderzoek of een pas, een pincode of een sleutel volstaat.

Leg die afweging vast. Voert u biometrie toch in, vraag dan instemming aan de OR, voer een DPIA uit, informeer uw medewerkers schriftelijk en bied een gelijkwaardig alternatief aan wie niet meedoet. Baseer u waar mogelijk op artikel 29 UAVG en gebruik toestemming hooguit aanvullend.

• Leg vast waarom biometrie noodzakelijk is en welke alternatieven, zoals een pas of pincode, u heeft overwogen (artikel 29 UAVG).
• Vraag vóór invoering instemming van de ondernemingsraad (artikel 27 WOR).
• Voer vóór de start een DPIA uit (artikel 35 AVG).
• Sla alleen een onomkeerbaar sjabloon op en verwijder dat bij uitdiensttreding.

Waar let u als werknemer op?

Geef uw vingerafdruk niet zonder meer af. U mag vragen naar de grondslag, het doel, de bewaartermijn en het alternatief.

Voelt u druk, of volgt er bij weigering een gesprek met de leiding? Dan is er geen sprake van vrije toestemming. U kunt uw toestemming intrekken en uw rechten uitoefenen volgens de artikelen 15 tot en met 17 AVG, zoals het recht op inzage en verwijdering. Zo nodig dient u een klacht in bij de Autoriteit Persoonsgegevens.

• Vraag schriftelijk naar de grondslag, het doel en de bewaartermijn van de verwerking.
• Ga na of u een gelijkwaardig alternatief krijgt aangeboden, zoals een pas of pincode.
• Trek uw toestemming in als u die onder druk heeft gegeven (artikel 7 AVG).
• Dien zo nodig een klacht in bij de Autoriteit Persoonsgegevens.

Waar vindt u de regels?

De regels staan in de Algemene verordening gegevensbescherming en in de Uitvoeringswet AVG. Hoe de toezichthouder ze toepast, leest u in de toelichting van de Autoriteit Persoonsgegevens bij de boete voor vingerafdrukscans. Bij biometrie draait het niet om het ophalen van een handtekening. Het draait om een grondslag die de toets doorstaat en om een dossier dat dit aantoont.

Wat kunnen wij voor u doen bij biometrie op de werkvloer?

Wij adviseren werkgevers en werknemers over de inzet van biometrische systemen.

• Wij toetsen of uw biometrische toepassing onder artikel 29 UAVG valt of op een andere uitzondering in artikel 9 AVG kan steunen.
• Wij stellen de noodzakelijkheidsafweging en de DPIA mee op (artikel 35 AVG).
• Wij begeleiden het instemmingsverzoek aan de ondernemingsraad (artikel 27 WOR).
• Wij beoordelen of het systeem onder een verbod of een hoog-risicocategorie van de AI-verordening valt.
• Wij staan werknemers bij die hun toestemming intrekken, inzage of verwijdering vragen of een klacht bij de Autoriteit Persoonsgegevens indienen.

Samengevat

• Biometrische gegevens voor unieke identificatie zijn bijzondere persoonsgegevens; artikel 9 AVG verbiedt de verwerking, tenzij een uitzondering geldt.
• Toestemming van werknemers is door de gezagsverhouding zelden vrij; u draagt als werkgever de bewijslast.
• Artikel 29 UAVG staat biometrie toe als die noodzakelijk is voor authenticatie of beveiliging. Tijdregistratie valt daar niet onder.
• Regel ook een DPIA, dataminimalisatie, beveiliging, informatie aan medewerkers en de instemming van de OR (artikel 27 WOR).
• De AI-verordening verbiedt emotieherkenning op de werkplek; voor hoog-risicosystemen in werkgelegenheid gelden eisen vanaf 2 december 2027.

Veelgestelde vragen

Mag mijn werkgever mij verplichten mijn vingerafdruk af te geven?

Alleen als de verwerking noodzakelijk is voor authenticatie of beveiliging in de zin van artikel 29 UAVG, en er geen minder ingrijpend alternatief is. Voor tijdregistratie of toegang tot een gewoon kantoorpand is dat niet zo.

Ik heb getekend voor de vingerafdrukscan. Zit ik daaraan vast?

Nee. U kunt uw toestemming op elk moment intrekken, en intrekken moet even eenvoudig zijn als geven (artikel 7 AVG). Bovendien is een handtekening die onder druk of zonder echte keuze is gezet, geen geldige toestemming.

Is gezichtsherkenning voor toegangscontrole toegestaan?

Daarvoor geldt dezelfde toets als voor de vingerafdruk. Beslissend is of de identificatie noodzakelijk is voor authenticatie of beveiliging, en of een pas of code hetzelfde doel bereikt. Daarnaast moet het systeem voldoen aan de AI-verordening.

Geldt dit ook voor bezoekers en klanten?

Ja. Het verbod van artikel 9 AVG geldt voor iedereen van wie u biometrische gegevens verwerkt. Bij bezoekers en klanten kan toestemming eerder vrij zijn, omdat er geen gezagsverhouding is. Ook dan moet u een reëel alternatief bieden.

Wat riskeer ik als werkgever als het niet klopt?

De Autoriteit Persoonsgegevens kan een verwerkingsverbod opleggen en een boete geven op grond van artikel 83 AVG. Betrokkenen kunnen schadevergoeding vorderen volgens artikel 82 AVG. En de OR kan de nietigheid van het besluit inroepen.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.