Werknemer Manfield niet verplicht vingerafdruk af te staan

Rechtbank Amsterdam 12 augustus 2019, IT 2833; ECLI:NL:RBAMS:2019:6005 (Manfield tegen X) Privacy. AVG. Manfield is een bedrijf dat schoenenwinkels exploiteert. X is werknemer bij Manfield. Manfield en X hebben gezamenlijk een verzoek ingediend, omdat zij zich afvragen of X op goede gronden weigert haar vingerafdruk af te staan voor een nieuw ingevoerd systeem van vingerscanautorisatie bij Manfield. Manfield is van mening dat er noodzaak is bij het gebruik van dit systeem om haar gegevens goed te beschermen. X is van mening dat dit een ongerechtvaardigde inbreuk op haar privacy vormt. Allereerst moet worden vastgesteld of een vingerafdruk een persoonsgegeven is in de zin van de AVG. Algemeen uitgangspunt is dat biometrische gegevens niet mogen worden verwerkt, tenzij er een uitzondering geldt. Nu er in dit geval ook alternatieven zijn (die onvoldoende zijn onderzocht) wordt X in het gelijk gesteld.

18. De vraag is allereerst of een vingerscan/vingerafdruk een persoonsgegeven is in de zin van de AVG. De kantonrechter beantwoordt deze vraag bevestigend. Biometrische gegevens kunnen worden beschouwd als informatie betreffende een natuurlijk persoon, aangezien het gaat om gegevens die door hun aard informatie verstrekken over een bepaalde persoon. Door middel van een biometrisch gegeven als een vingerafdruk is de persoon identificeerbaar en kan hij/zij van een andere persoon worden onderscheiden. In artikel 4 AVG wordt dit bij de definitiebepalingen ook met zoveel woorden bevestigd.

21. In artikel 29 van de UAVG wordt invulling gegeven aan de ruimte die artikel 9 lid 2 AVG, zoals hiervoor aangehaald, laat voor het opnemen van een uitzondering op het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken. Dit verbod is niet van toepassing wanneer de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. In de Memorie van Toelichting (Tweede Kamer, 2017-2018, 34851 nr. 3, blz 108 onderaan) wordt blijk gegeven van het inzicht dat in een werknemer-werkgeververhouding er niet snel sprake zal kunnen zijn van toestemming die geheel in vrijheid is gegeven. Daarom wordt voormelde uitzondering mogelijk gemaakt, ook al is de betreffende toestemming niet verkregen. Er gelden blijkens de toelichting wel een aantal randvoorwaarden, welke ook in de onderhavige zaak onderwerp van debat ter zitting zijn geweest:
- er dient een afweging te worden gemaakt of identificatie met biometrische gegevens noodzakelijk is voor de authenticatie of beveiligingsdoeleinden, waarbij dan het voorbeeld wordt genoemd van toegang die (zeer) beperkt dient te zijn voor personen die daartoe geautoriseerd zijn, bijvoorbeeld bij een kerncentrale.
- de verwerking dient proportioneel te zijn, waarbij het voorbeeld wordt genoemd van de toegang tot een garage van een reparatiebedrijf. In dat geval zal de noodzaak van beveiliging niet zodanig zijn dat werknemers allen met biometrie toegang krijgen. Maar aan de andere kant wordt het voorbeeld genoemd van beveiliging van informatiesystemen die zelf veel persoonsgegevens bevatten en waarbij onrechtmatige toegang, ook van werknemers, moet worden voorkomen.

22. De tussenconclusie is daarom dat als hoofdregel geldt dat verwerking van biometrische gegevens, behoudens gegeven toestemming, is verboden, tenzij wordt voldaan aan de uitzondering van artikel 29 UAVG.

26. [verzoeker 2] heeft de noodzaak om in verband hiermee een vingerscanautorisatiesysteem in te voeren gemotiveerd bestreden. Alternatieven zoals toegangspas, werknemerspas en/of cijfercodes, al dan niet in combinatie met elkaar, zijn naar haar oordeel onvoldoende onderzocht. Via een dergelijk systeem is zonodig een “dubbele” waarborg te realiseren die naar haar oordeel geen inbreuk maakt op de privacy. Naar het oordeel van de kantonrechter heeft Manfield dit argument van [verzoeker 2] niet of onvoldoende bestreden en heeft zij evenmin, bijvoorbeeld aan de hand van documenten, onderbouwd waarom, met afweging van voors en tegens van verschillende systemen, zij heeft gekozen voor het vingerscanautorisatiesysteem. Om te kunnen toetsen aan de voorwaarden van noodzakelijkheid en proportionaliteit die artikel 29 UAVG aan het toelaten van een uitzondering op de hoofdregel van het verbod van verwerking van biometrische gegevens stelt, had dat wel op haar weg gelegen.