Een systeem van tijdsregistratie dat werkt op basis van vingerafdrukken schendt het recht op bescherming van persoonsgegevens van werknemers, zo oordeelde de Gegevensbeschermingsautoriteit in haar beslissing van 6 september 2024. Aan de onderneming in kwestie werd een boete opgelegd van 45.000 euro.
Mag een werkgever dan in geen enkel geval gebruik maken van vingerafdrukken voor een systeem van tijdsregistratie?
Principieel verbod op verwerking van ‘bijzondere persoonsgegevens’
De Algemene Verordening Gegevensbescherming (AVG of GDPR) bepaalt dat vingerafdrukken biometrische en daardoor zogenaamde ‘bijzondere’ persoonsgegevens zijn. Aan deze bijzondere persoonsgegevens wordt een hogere bescherming geboden omdat de verwerking ervan aanzienlijke risico's kan opleveren voor de grondrechten en fundamentele vrijheden van mensen.
De verwerking van dergelijke gevoelige persoonsgegevens is dan ook principieel verboden, tenzij aan een specifieke uitzonderingsgrond (uit artikel 9.2 AVG) voldaan wordt. Voorbeelden van de specifieke uitzonderingsgronden zijn o.a. de uitdrukkelijke toestemming, redenen van algemeen belang op het vlak van volksgezondheid en de bescherming van zogenaamde vitale belangen.
Deze laatste twee uitzonderingsgronden kunnen slechts door een zeer beperkt aantal werkgevers ingeroepen worden om vingerafdrukken van werknemers te verwerken. Dat zou bv. het geval kunnen zijn in een gevaarlijk chemisch bedrijf, omwille van veiligheidsoverwegingen. Al blijft het ook in die context de vraag of de verwerking van vingerafdrukken ook voor tijdsregistratiedoeleinden (wat op zich geen veiligheidsdoel heeft) geoorloofd is .
Voor de meeste werkgevers komt enkel de ‘uitdrukkelijke toestemming’ als uitzonderingsgrond in aanmerking om ‘bijzondere persoonsgegevens’ zoals vingerafdrukken van werknemers te kunnen verwerken.
(Uitdrukkelijke) toestemming als uitzonderlijke verwerkingsgrond in arbeidsverhoudingen?
Al is ook het verkrijgen van een ‘uitdrukkelijke toestemming’ geen evidentie in de verhouding werkgever – werknemer.
De AVG omschrijft toestemming als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt”.
In de onderliggende zaak oordeelde de Gegevensbeschermingsautoriteit dat er iets schortte aan de “uitdrukkelijke toestemming” van de werknemers waarop de onderneming in kwestie zich probeerde te beroepen. Er worden drie redenen aangehaald:
Allereerst wordt toestemming in een arbeidscontext slechts in zeer uitzonderlijke gevallen als 'vrij' beschouwd, gelet op de machtsverhouding tussen de werkgever en zijn werknemers. Werknemers zijn zich namelijk bewust van de mogelijke nadelige gevolgen wanneer zij deze toestemming zouden weigeren. In het concrete geval was er geen daadwerkelijke keuzevrijheid voor de betrokken werknemers, aangezien er geen alternatief werd geboden voor de tijdregistratie met vingerafdrukken en het arbeidsreglement sancties oplegde voor het niet registreren van de arbeidstijd. Om die reden kon de toestemming niet als vrij worden gezien.
Daarnaast was er geen sprake van een geïnformeerde toestemming. Een welkomstbrochure was het enige document waarmee de werknemers werden geïnformeerd over de verwerking van hun vingerafdrukken. Deze brochure ging slechts oppervlakkig in op het tijdsregistratiesysteem. Bovendien werden de doelstellingen en de rechtsgrond voor de verwerking, de bewaartermijnen van de persoonsgegevens, of het feit dat de toestemming op elk moment ingetrokken kon worden, niet (volledig) vermeld. Ook het arbeidsreglement bevatte aanvankelijk geen enkele bepaling over de verwerking van vingerafdrukken in het kader van de tijdsregistratie.
Tot slot bestaat er bij bijzondere persoonsgegevens nog de bijkomende voorwaarde dat de toestemming ook ‘uitdrukkelijk’ moet zijn gegeven. Dit heeft onder meer tot gevolg dat de toestemming niet kan worden afgeleid uit het uitblijven van enige vorm van protest tegen de verwerking door de werknemers. Ook het ondertekenen van de welkomstbrochure ter ontvangst, beschouwde de Gegevensbeschermingsautoriteit niet als een uitdrukkelijke toestemming voor het verwerken van vingerafdrukken.
De Gegevensbeschermingsautoriteit besluit dat de onderneming de vingerafdrukken onrechtmatig had verwerkt voor de registratie van de arbeidsduur van de werknemers.
Is het gebruik van vingerafdrukken dan volledig uitgesloten?
In theorie, sluit de Gegevensbeschermingsautoriteit de ‘uitdrukkelijke toestemming’ in arbeidsverhoudingen als rechtsgrond niet volledig uit voor de verwerking van vingerafdrukken.
Maar een prikkloksysteem met vingerafdrukken baseren op de vrije, uitdrukkelijke toestemming van de werknemer, lijkt in de praktijk niet werkbaar:
(1) De voorliggende beslissing leert ons immers dat de kans op aanvaarding van de ‘vrije toestemming’ als rechtsgrond groter zal zijn als de werknemers de keuze krijgen tussen een systeem op basis van vingerafdrukken en een alternatief systeem. Dit zorgt in de praktijk echter waarschijnlijk juist voor meer complexiteit doordat twee tijdsregistratiesystemen naast elkaar kunnen bestaan.
(2) Bovendien moeten werknemers hun toestemming op elk moment kunnen intrekken. Ook dat is vanuit praktisch oogpunt niet wenselijk.
(3) Tot slot zal de werknemer de toestemming in een specifiek daartoe voorzien document moeten geven en bevat het arbeidsreglement best al de nodige informatie zodat de werknemer voldoende geïnformeerd is.
Zelfs als deze zware verplichtingen inzake toestemming nageleefd worden, moet de werkgever nog steeds beginselen zoals proportionaliteit, doelbinding, minimale gegevensverwerking en opslagbeperking respecteren, voldoen aan de geldende informatieverplichtingen en desgevallend een Gegevensbeschermingseffectbeoordeling uitvoeren.
Besluit: de ‘gegevensbeschermingslat’ ligt zo hoog dat het gebruik van vingerafdrukken voor tijdsregistratie in de meeste gevallen geen (werkbare) optie is.
Heeft u nog vragen ? Commit Advocaten helpt u graag verder.
Ondanks alle zorg die besteed is aan het opstellen van deze tekst, blijven vergissingen en/of onvolkomenheden mogelijk. De auteur en Commit Advocaten bv kunnen daarvoor geen aansprakelijkheid aanvaarden.