Hoe zit het tussen de AVG-wetgeving en tijdregistratiesystemen?

Sinds de invoering van de AVG-wetgeving is er in mijn ogen veel verwarring ontstaan rondom de wet. Sommige gebieden zijn grijs of gewoonweg niet duidelijk. Dit kan vervelende situaties veroorzaken. Zoals mij afgelopen week is overkomen.

Toen ik zocht naar de wetgeving van een tijdregistratiesysteem mét vingerscan vond ik veelal artikelen waarin men beweert dat het gebruiken van biometrische gegevens (lees: vingerscan) verboden is wanneer de ‘noodzaak’ ontbreekt. Bij noodzaak wordt hier dan gesproken over de gegevens die nodig zijn voor beveiliging van gebouwen óf ICT-systemen. Oftewel, TimeMoto brengt tijdregistratiesystemen uit die tegen een wetgeving ingaan omdat ze een vingerscan hebben? De gegevens zijn immers niet noodzakelijk voor het beveiligen van het gebouw of de ICT. Dit leek zo onwaarschijnlijk, dat wij het zijn gaan uitzoeken.

De nieuwe UAVG-wetgeving zegt over deze kloksystemen het volgende in artikel 22, lid 1¹:
Overeenkomstig artikel 9, eerste lid, van de verordening zijn verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvatting, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid verboden.
Oftewel: wanneer ik een vingerafdruk afneem, gebruik ik biometrische gegevens. Dit is bij wet verboden om personen mee te identificeren.

Daarentegen voegt artikel 22, lid 2 dit toe¹:
Overeenkomstig artikel 9, tweede lid, onderdelen a, c, d, e en f, van de verordening is het verbod om bijzondere categorieën van persoonsgegevens te verwerken niet van toepassing, indien:

1. De betrokkene uitdrukkelijke toestemming heeft gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden;

Oftewel: als mijn werknemers mij toestemming geven, mag het wel? Nee, dat is niet waar. Deze bepaling geldt niet in de verhouding tussen werkgever en werknemer omdat toestemming van de werknemer geen grondslag kan zijn voor de verwerking van biometrische gegevens. In de verhouding tussen werkgever en werknemer geen sprake van een in vrijheid gegeven toestemming van de werknemer.

Nu heb ik dus de wet doorgespit en heb ik nóg geen antwoord op mijn vraag. En dat ik niet de enige ben met vragen omtrent het verwerken van biometrische gegevens in kloksystemen blijkt uit het feit dat er op 30 maart 2018 kamervragen zijn gesteld aan de staatssecretaris van Sociale Zaken. Gelukkig, maar: eindelijk een antwoord. In deze kamervragen werd onderstaande doorslaggevende vraag gesteld over het gebruiken van biometrische gegevens bij tijdregistratiesystemen:

“Deelt u de mening dat wanneer medewerkers geen vingerafdruk willen afstaan er een laagdrempelig alternatief mogelijk zou moeten worden qua urenregistratie? Zo nee, waarom niet?”

Antwoord van de staatssecretaris²:

Ja. In die zin dat het alternatief er voor het doel urenregistratie en kloksystemen altijd moet zijn en als enige worden aangeboden. Het gaat hier immers om gebruik dat niet te maken heeft met authenticatie vanwege beveiligingsdoeleinden. Het kloksysteem, dat op de bij de vragen genoemde site wordt aangeboden, betreft een systeem dat overigens een alternatief voor de vingerafdruk biedt namelijk het scannen van een pas van de medewerker.

Conclusie

Het is dus niet verboden om biometrische gegevens (lees: vingerafdrukken) te gebruiken bij tijdregistratiesystemen. Echter, dient er een alternatief te zijn voor werknemers zodat zij kunnen weigeren. Dit alternatief dient laagdrempelig te zijn. Omwille van deze redenen werken veel systemen met RFID-pasjes/sleutelhangers of een pincode. Deze identificatiemethoden zijn laagdrempelig voor de werknemer. Wanneer een systeem gebruik maakt van een vingerafdruk is het belangrijk dat er voldaan wordt aan passende en specifieke veiligheidsmaatregelen, zoals genoemd in artikel 32 van de AVG. Daarbij mogen gegevens niet langer worden bewaard dan voor het doel noodzakelijk is en moeten ze worden vernietigd zodra het kan. Moet u dit als ondernemer zelf regelen? Nee, zeker niet. Veel systemen, waaronder de systemen van TimeMoto geven aan dat zij voldoen aan de AVG. Zij bieden laagdrempelige alternatieven en bieden een betrouwbare dataversleuteling.

Bronvermelding

Bron 1: UAVG wetgeving. (16 mei 2018). Geraadpleegd op 19 september 2018, van https://autoriteitpersoonsgegevens.nl/nl/over-privacy/wetten/algemene-verordening-gegevensbescherming-avg
Bron 2: Kloksystemen op basis van vingerafdrukken (30 maart 2018). Geraadpleegd op 19 september 2018, van: https://www.tweedekamer.nl/kamerstukken/kamervragen/detail?id=2018Z01774&did=2018D22260