Rechtspraak GDPR: vingerafdrukken gebruiken voor tijdsregistratie niet toegestaan door GBA

De werkgever voerde in maart 2020 een systeem van tijdsregistratie met behulp van vingerafdruk in.

In 2022 kwam er een klacht van een werknemer die onder meer van mening was dat de verwerking van zijn vingerafdrukken een inbreuk vormden op het recht op bescherming van zijn persoonsgegevens, aangezien hij de vingerafdrukken niet vrijwillig heeft afgegeven en hij niet op de hoogte was gesteld van de modaliteiten van de opslag van de gegevens en de bewaartermijn.

Na het probleem eerst te hebben aangekaart bij de intussen ex-werkgever heeft de werknemer hiervoor klacht neergelegd bij de Gegevensbeschermingsautoriteit. In navolging van de klacht voerde deze een inspectie uit bij de werkgever waarbij de inspectiedienst inderdaad vaststelling deed van verschillende inbreuken.

Rechtmatigheid van de verwerking

De Geschillenkamer is van oordeel dat de vingerafdruk beschouwd moet worden als een biometrisch gegeven in de zin van artikel 4.14 van de Algemene Verordening Gegevensbescherming (AVG). Omdat de vingerafdrukken door de werkgever gebruikt werden ter identificatie van de werknemers in het kader van tijdsregistratie vormt dit ook een bijzonder persoonsgegeven in de zin van artikel 9.1 AVG.

De verwerking van bijzondere categorieën van persoonsgegeven is op grond van artikel 9.1 AVG in principe verboden, tenzij een wettelijke uitzondering van toepassing is. Als een verwerking van bijzondere persoonsgegevens zou gebeuren dan moet de verwerkingsverantwoordelijke zich kunnen beroepen op zowel een rechtsgrond overeenkomstig artikel 6 AVG én een uitzonderingsgrond op basis van artikel 9.2 AVG.

De werkgever in deze zaak baseerde zich vooral op de rechtsgrond toestemming (art. 6.1 a) AVG).

Toestemming in het kader van de AVG moet vrij gegeven kunnen worden. De geschillenkamer herinnert eraan dat het voor werkgevers problematisch is om persoonsgegevens van werknemers te verwerken op basis van toestemming, omdat het onwaarschijnlijk is dat werknemers vrije toestemming kunnen geven rekening houdend met de machtsverhouding tussen werkgever en werknemer. Dit betekent niet dat werkgevers nooit toestemming kunnen gebruiken als rechtsgrond voor verwerkingen. De werkgever kan aantonen dat de toestemming wel degelijk vrij is gegeven als de betrokkene een werkelijke keuze heeft en er geen sprake is van bedrog, intimidatie of dwang en de betrokkene ook niet het risico van aanzienlijke negatieve gevlogen loopt wanneer hij of zij niet toestemt.

In deze casus bleek dat tijdsregistratie enkel mogelijk was met het systeem van vingerafdruk. Er was dus met andere woorden geen alternatieve vorm van tijdregistratie voorzien waardoor er geen keuzevrijheid was voor de werknemers. Bijgevolg waren er automatisch negatieve gevolgen gekoppeld aan een weigering door de werknemer.

Er werd ook niet voldaan aan de informatieverplichting (zie hierna) waardoor er geen geïnformeerde toestemming gegeven kon worden door de werknemers.

De werkgever kon bovendien niet aantonen dat er uitdrukkelijke toestemming werd gegeven door de werknemers. Op het moment van de klacht maakte enkel een welkomstbrochure en het arbeidsreglement melding van het tijdsregistratiesysteem. Werknemers ondertekenden bij de indiensttreding voor ontvangst van deze documenten, maar ondertekenden niet voor akkoord.

Het argument van de werkgever dat er geen protest was gekomen van de werknemers en de werknemersvertegenwoordiging en daaruit toestemming kon worden afgeleid werd niet weerhouden door de geschillenkamer.

De vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting kon niet worden aangetoond door de werkgever. De geschillenkamer kwam bijgevolg tot de conclusie dat de verwerking van persoonsgegevens niet rechtmatig gebeurde door de werkgever.

Beginsel van doelbinding

Het beginsel van doelbinding heeft 2 elementen:

• Persoonsgegeven mogen alleen verzameld en verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden;
• Wanneer persoonsgegevens verzameld worden, mogen zij niet verder verwerkt worden op een manier die onverenigbaar is met de doeleinden.

De werkgever gaf in deze zaak tijdsregistratie, fraudebestrijding en veiligheid van het personeel op als doeleinden voor de gegevensverwerking.

Om te kunnen spreken van gerechtvaardigde doeleinden moet de persoonsverwerking in beginsel al gebaseerd kunnen worden op een rechtsgrond opgenomen in artikel 6 AVG. Aangezien de geschillenkamer tot de conclusie kwam dat hier niet aan voldaan werd is bijgevolg niet voldaan aan het beginsel van doelbinding.

Beginsel van minimale gegevensverwerking

Het beginsel van minimale gegevensverwerking vereist dat de verwerkte persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij verwerkt worden. Dit betekent dat de persoonsgegevens alleen verwerk moeten worden als het doel van de verwerking niet redelijkerwijs op een andere manier kan worden verwezenlijkt. De werkwerking moet ook evenredig zijn aan het beoogde doel.

Bij de beoordeling van de noodzaak om gevoelige persoonsgegevens – zoals biometrische gegevens – te gebruiken om arbeidstijdregistraties bij te houden, moeten de beschikbare middelen in overweging genomen worden die hetzelfde doel kunnen bereiken met minder inbreuk op de privacy van de werknemers.

De verwerking van bijzondere persoonsgegevens is volgens de geschillenkamer niet noodzakelijk voor het bereiken van de vooropgestelde doeleinden van de werkgever. Deze doeleinden kunnen bereikt worden door andere en minder strenge maatregelen, die geen systematische verwerking van de biometrische gegevens van de werknemers vereisen.

De Geschillenkamer benadrukt in haar beslissing dat het gebruik van biometrische gegevens om een persoon op een unieke manier te identificeren enkel mogelijk is als andere, minder strenge maatregelen niet volstaan. Dit kan volgens haar beoordeling het geval zijn wanneer de verwerking bedoeld is voor toegangscontrole van bepaalde zones op de werkplek vanwege speciale veiligheidsoverwegingen, zoals de behandeling van levensmiddelen of gevaarlijke stoffen. Omdat die in deze zaak niet aan de orde waren oordeelde de Geschillenkamer dat het beginsel van minimale gegevensverwerking geschonden was.

Andere vastgestelde inbreuken

• Inbreuk op de informatieverplichting: de verwerking van persoonsgegevens moet op transparante wijze gebeuren. De verwerkingsverantwoordelijke heeft een specifieke informatieverplichting. In deze zaak heeft de werkgever niet voldaan aan de informatieverplichting naar de werknemers toe wat betreft de verwerking van de bijzondere persoonsgegevens voor de tijdsregistratie.
• Geen Gegevensbeschermingseffectbeoordeling: de Geschillenkamer is van oordeel dat bij het invoeren van een degelijk systeem van tijdsregistratie met gebruik van vingerafdrukken voorafgaand een gegevensbeschermingseffectbeoordeling had moeten gebeuren door de werkgever. Deze heeft hier niet aan voldaan.
• Onvolledig verwerkingsregister: Het verwerkingsregister dat de werkgever had overgemaakt aan de inspectiediensten van de GBA was onvolledig en deels onjuist.

Het gebruik van vingerafdrukken voor tijdsregistratie is erg moeilijk te verantwoorden in het kader van gegevensbescherming.

De GBA sluit in haar beslissing niet volledig uit dat de uitdrukkelijke toestemming als rechtsgrond gebruikt kan worden in de arbeidsverhouding voor de verwerking van vingerafdrukken. Maar de lat ligt zo hoog dat dit in de meeste gevallen geen haalbare optie zal zijn:

• Om de ‘vrije toestemming’ als rechtsgrond te kunnen gebruiken moet de werknemer een keuze hebben. Dit betekent dat je nog een ander systeem voor tijdsregistratie zal moeten voorzien wat voor nog meer complexiteit zorgt.
• Werknemers moeten hun toestemming op elk moment kunnen intrekken.
• De toestemming moet uitdrukkelijk gegeven worden in een specifiek document en je moet werknemers ook de nodige informatie bezorgen zodat zij geïnformeerd kunnen toestemmen.

Naast deze specifieke verplichtingen inzake toestemming moet je als werkgever ook nog alle andere grondbeginselen respecteren: proportionaliteit, doelbinding, minimale gegevensverwerking, opslagbeperking, informatieverplichting. En je zal een Gegevensbeschermingseffectbeoordeling moeten uitvoeren.

Gegevensbeschermingsautoriteit - Beslissing ten gronde 114/2024 van 6 september 2024 Tijdsregistratie via biometrische gegevens op het werk