De Rechtbank Amsterdam heeft in een uitspraak van 12 augustus 2019 bepaald dat schoenenwinkel Manfield een werkneemster niet mag verplichten een autorisatiesysteem te gebruiken voor het kassasysteem dat werkt op basis van een vingerscan. Hoe de rechtbank tot dat oordeel is gekomen wordt hieronder verder toegelicht.
Manfield heeft in alle filialen een vingerscan-autorisatiesysteem voor haar kassasysteem ingevoerd. Om in te kunnen loggen dient een medewerker zich te identificeren en zijn vinger op een scanoppervlak van een apparaat te leggen. Het apparaat leest de vingerafdruk uit, zet deze om in een code en vergelijkt deze code met een reeds bekende code in het kassasysteem. Indien de code gelijk is, wordt toegang tot het kassasysteem verschaft. Medewerkers van Manfield kunnen alleen toegang krijgen tot het kassasysteem indien zij hun vingerafdruk scannen. Zonder deze toegang is het niet mogelijk om de kassa te gebruiken. Het systeem maakt ook een koppeling met de arbeidstijden, zodat de gegevens enige tijd worden bewaard.
Werkneemster heeft zich verzet tegen het gebruik van haar vingerafdruk. In de procedure stelt zij dat deze autorisatiemethode een inbreuk maakt op haar privacy, omdat het om een biometrisch persoonsgegeven gaat. Zij doet een beroep op artikel 9 lid 1 van de op Europees niveau vastgestelde Algemene Verordening Gegevensbescherming (AVG) waarin is bepaald dat het in beginsel verboden is om bijzondere persoonsgegevens, waaronder biometrische gegevens, te verwerken.
Manfield stelt zich op het standpunt dat er noodzaak is bij het gebruik van een vingerscanautorisatiesysteem. Die noodzaak bestaat uit het beveiligen van gevoelige informatie die via haar kassasysteem toegankelijk is. Verder stelt Manfield dat zij bedrijfsbelang heeft bij invoering van het systeem, omdat zij recent is geconfronteerd met fraude waarbij werknemers zijn betrokken. Manfield is van mening dat zij hetzelfde niveau van bescherming van haar belangen, de belangen van haar werknemers en van haar klanten niet op een andere, minder ingrijpende, manier kan bereiken.
De eerste vraag die de kantonrechter moet beantwoorden is of een vingerscan een persoonsgegeven is in de zin van de AVG. De kantonrechter beantwoordt deze vraag bevestigend. Biometrische gegevens kunnen namelijk beschouwd worden als informatie betreffende een natuurlijke persoon, aangezien het gaat om gegevens die door hun aard informatie verstrekken over een bepaald persoon. Algemeen uitgangspunt is dat er een verbod geldt voor verwerking van biometrische gegevens, en dat geldt met name als die gegevens gebruikt worden ter identificatie. Een uitzondering kan aan de orde zijn indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden, zo is bepaald in de Nederlandse uitvoeringswet (UAVG). Uit de toelichting op de UAVG blijkt dat de uitzonderingsmogelijkheden zeer beperkt zijn, en er wordt als voorbeeld de beveiliging van een kerncentrale genoemd.
Het staat Manfield vrij om op te treden tegen fraude, maar zij dient daarbij wel de AVG in acht te nemen, zo overweegt de kantonrechter. Dit type bedrijfsbelang is naar het oordeel van de kantonrechter niet aan te merken als ‘noodzakelijk voor authenticatie- of beveiligingsdoeleinden’. Er is volgens de kantonrechter niet voldaan aan de strenge voorwaarden die gesteld worden aan het gebruik van een vingerafdruk als identificatiemiddel. Alternatieve middelen zoals toegangspas, werknemerspas en/of cijfercodes zijn ook geschikt om het doel te bereiken, maar de inzet van deze middelen zijn onvoldoende onderzocht door Manfield.
De kantonrechter komt dan ook tot het oordeel dat Manfield aan werkneemster niet de verplichting tot het gebruik van een vingerscanautorisatiesysteem mag opleggen omdat dit in de gegeven omstandigheden in strijd met de AVG moet worden geacht. Uit deze uitspraak blijkt dus dat er zeer goede redenen moeten zijn om biometrische gegevens (denk bijvoorbeeld ook aan een irisscan) te gebruiken als identificatiemiddel. In ieder geval zal duidelijk moeten blijken dat er een afweging is gemaakt tussen diverse mogelijkheden en waarom biometrische gegevens het enige passende identificatiemiddel is.
Heeft u vragen? Neem gerust contact op met Matthijs Hoekstra of Gülsüm Yilmaz.
