Onlangs het die Nederlandse Data Protection Authority (AP) 'n groot boete opgelê, naamlik 725,000 euro, op 'n maatskappy wat vingerafdrukke van werknemers vir bywoning en tydregistrasie geskandeer het. Biometriese data, soos 'n vingerafdruk, is spesiale persoonlike gegewens in die betekenis van artikel 9 BBP. Dit is unieke eienskappe wat na 'n spesifieke persoon teruggevoer kan word. Hierdie data bevat egter meer inligting as wat nodig is vir byvoorbeeld identifikasie. Die verwerking daarvan hou dus groot risiko's in op die gebied van fundamentele regte en vryhede van mense. As hierdie data in die verkeerde hande kom, kan dit moontlik tot onherstelbare skade lei. Biometriese data word dus goed beskerm, en die verwerking daarvan is kragtens artikel 9 BBR verbode, tensy daar 'n wettige uitsondering hiervoor is. In hierdie geval het die AP tot die gevolgtrekking gekom dat die betrokke onderneming nie geregtig was op 'n uitsondering vir die verwerking van spesiale persoonlike data.
vingerafdruk
Oor die vingerafdruk in die konteks van die GDPR en een van die uitsonderings, nl noodsaaklikheid, het ons voorheen in een van ons blogs geskryf: 'Vingerafdruk in stryd met die AVG'. Hierdie blog fokus op die ander alternatiewe grond vir uitsondering: permission. As 'n werkgewer biometriese gegewens soos vingerafdrukke in sy onderneming gebruik, kan hy dan voldoende wees met die toestemming van sy werknemer ten opsigte van privaatheid?
Met toestemming word bedoel a spesifiek, ingelig en ondubbelsinnig uitdrukking van wil waarmee iemand die verwerking van sy persoonlike gegewens met 'n verklaring of ondubbelsinnige aktiewe aksie aanvaar, volgens artikel 4, afdeling 11, BBP. In die konteks van hierdie uitsondering moet die werkgewer dus nie net demonstreer dat sy werknemers toestemming verleen het nie, maar ook dat dit ondubbelsinnig, spesifiek en ingelig was. Die ondertekening van die dienskontrak of die ontvangs van die personeelhandleiding waarin die werkgewer slegs die voorneme aangeteken het om volledig met die vingerafdruk in te sluit, is onvoldoende in hierdie konteks. As bewys daarvan moet die werkgewer byvoorbeeld beleid, prosedures of ander dokumentasie indien, wat toon dat sy werknemers voldoende ingelig is oor die verwerking van die biometriese data en dat hulle ook toestemming (eksplisiet) vir die verwerking daarvan gegee het.
As die werknemer die toestemming verleen, moet dit verder nie net 'uitdruklike' maar ook 'vrylik gegeevolgens die AP. 'Eksplisiet' is byvoorbeeld skriftelike toestemming, handtekening, die stuur van 'n e-pos om toestemming te gee, of toestemming met tweestapsverifikasie. 'Vrylik gegee' beteken dat daar geen dwang daaragter mag wees nie (soos in die betrokke geval die geval was: wanneer daar geweier word om die vingerafdruk te laat skandeer, word 'n gesprek met die direkteur / raad gevolg) of dat toestemming 'n voorwaarde vir iets kan wees anders. Die voorwaarde 'vrylik gegee' word in elk geval nie deur die werkgewer nagekom wanneer werknemers verplig is nie, of soos in die betrokke geval, dit ervaar as 'n verpligting om hul vingerafdruk te laat opteken. In die algemeen, volgens hierdie vereiste, het die AP van mening dat dit onwaarskynlik is dat die werknemer vryelik sy of haar toestemming kan verleen gegewe die afhanklikheid as gevolg van die verhouding tussen die werkgewer en werknemer. Die teenoorgestelde sal deur die werkgewer bewys moet word.
Vra 'n werknemer toestemming van hul werknemers om hul vingerafdruk te verwerk? Dan verneem die AP in die konteks van hierdie saak dat dit in beginsel nie toegelaat word nie. Immers, werknemers is afhanklik van hul werkgewer en is daarom dikwels nie in staat om te weier nie. Dit is nie te sê dat die werkgewer nooit suksesvol op die toestemmingsgrond kan staatmaak nie. Die werkgewer moet egter oor voldoende getuienis beskik om sy appèl op grond van toestemming suksesvol te maak, ten einde biometriese gegewens van sy werknemers, soos vingerafdrukke, te verwerk. Is u van plan om biometriese data in u onderneming te gebruik, of vra u werkgewer byvoorbeeld toestemming om u vingerafdruk te gebruik? In daardie geval is dit belangrik om nie onmiddellik op te tree en toestemming te verleen nie, maar eers behoorlik ingelig te word. Law & More advokate is kundiges op die gebied van privaatheid en kan u inligting voorsien. Het u enige ander vrae oor hierdie blog? Kontak asseblief Law & More.