1618
Vragen van de leden Jasper van Dijk en Alkaya (beiden SP) aan de Minister
van Economische Zaken en Klimaat en de Staatssecretaris van Sociale Zaken
en Werkgelegenheid over kloksystemen op basis van vingerafdrukken
(ingezonden 2 februari 2018).
Antwoord van Staatssecretaris Van Ark (Sociale Zaken en Werkgelegenheid)
(ontvangen 30 maart 2018). Zie ook Aanhangsel Handelingen, vergaderjaar
2017–2018, nr. 1283.
Vraag 1 Bent u ervan op de hoogte dat er bedrijven zijn die kloksystemen aanbieden die gebruik maken van vingerafdrukken van werknemers?1
Ja.
Vraag 2 Kan een werknemer verplicht worden door een werkgever vingerafdrukken af te staan, als dit niet vanwege veiligheidsvoorschriften noodzakelijk is?
Op grond van de privacy-wetgeving is dat niet waarschijnlijk. Dit wordt hierna toegelicht aan de hand van de regels die zijn opgenomen in de Algemene verordening gegevensbescherming (AVG), die vanaf 25 mei 2018 van toepassing is. Voorts wordt ingegaan op de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG); het voorstel van UAVG (Kamerstukken 34 851) is inmiddels door de Tweede Kamer aanvaard.
De AVG bevat in artikel 9, eerste lid, een verbod tot het verwerken van biometrische gegevens, zoals vingerafdrukken, met het oog op de unieke identificatie van een persoon. Op grond van het tweede lid van artikel 9 is dit verbod niet van toepassing met nadrukkelijke toestemming van de betrokkene, of als dit op grond van het recht van een lidstaat is bepaald, waarbij beoordeeld moet worden of dit evenredig is en de privacy is gewaarborgd. In het wetsvoorstel UAVG is een nationale uitzondering opgenomen. In artikel 29 UAVG is geregeld, dat dit verbod niet van toepassing is indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Deze bepaling geldt ook in de verhouding tussen werkgever en werknemer omdat toestemming van de werknemer geen grondslag kan zijn voor deze verwerking van biometrische gegevens. In de verhouding tussen werkgever en werknemer is namelijk door de gezagsverhouding tussen werkgever en werknemer geen sprake van een in vrijheid gegeven toestemming van de werknemer.
Het criterium van de regeling in de UAVG betekent dat het gebruik van vingerafdrukken noodzakelijk moet zijn voor de beveiliging van de toegang van gebouwen of ICT systemen. Het vastleggen van de biometrische gegevens moet voorts proportioneel zijn en noodzakelijk voor de toegangscontrole. In ieder geval verzet de regeling in de AVG en UAVG zich tegen het gebruiken van vingerafdrukken van een werknemer voor andere doelen dan authenticatie en beveiligingsdoeleinden (zie de memorie van toelichting bij de UAVG bij artikel 29, Kamerstukken II, 2017/18, 34 851, nr. 3, p. 108–109).
Overigens is het aan de Autoriteit persoonsgegevens en uiteindelijk aan de rechter om te beoordelen of in een specifiek geval van verwerking van biometrische gegevens rechtmatig wordt gehandeld.
Vraag 3 Deelt u de mening dat wanneer medewerkers niet uitbetaald worden voor gewerkte uren omdat zij weigeren hun vingerafdruk af te staan, dit onrechtmatig is? Zo nee, waarom niet?
Ja.
Vraag 4 Deelt u de mening dat wanneer medewerkers geen vingerafdruk willen afstaan er een laagdrempelig alternatief mogelijk zou moeten worden qua urenregistratie? Zo nee, waarom niet?
Ja. In die zin dat het alternatief er voor het doel urenregistratie en kloksystemen altijd moet zijn en als enige worden aangeboden. Het gaat hier immers om gebruik dat niet te maken heeft met authenticatie vanwege beveiligingsdoeleinden. Het kloksysteem, dat op de bij de vragen genoemde site wordt aangeboden, betreft een systeem dat overigens een alternatief voor de vingerafdruk biedt namelijk het scannen van een pas van de werknemer.
Vraag 5 Vindt u het wenselijk dat er zo op grote schaal vingerafdrukken door particuliere bedrijven verzameld worden? Zo ja, zijn er volgens u voldoende waarborgen zodat deze data veilig opgeslagen moeten worden?
Het verwerken en dus het verzamelen van vingerafdrukken is zoals in het antwoord op vraag 2 is aangegeven op grond van de AVG verboden tenzij er een beroep op een uitzondering mogelijk is. Op grond van de UAVG is het verwerken van deze bijzonders categorie persoonsgegevens om een persoon uniek te identificeren slechts voor beveiligingsdoeleinden toegestaan. Daarnaast geldt dat als bedrijven rechtmatig deze gegevens mogen verwerken, zij altijd gehouden zijn aan alle andere eisen van de AVG, waaronder het treffen van passende en specifieke veiligheidsmaatregelen, zoals genoemd worden in artikel 32 van de AVG. Daarbij mogen de gegevens niet langer worden bewaard dan voor het doel noodzakelijk is en moeten ze worden vernietigd zodra het kan.
1 https://www.dyflexis.com/nl/kloksysteem-personeel/
