Toestemming as uitsondering vir die verwerking van biometriese data

Onlangs het die Nederlandse Data Protection Authority (AP) 'n groot boete opgelê, naamlik 725,000 euro, op 'n maatskappy wat vingerafdrukke van werknemers vir bywoning en tydregistrasie geskandeer het. Biometriese data, soos 'n vingerafdruk, is spesiale persoonlike gegewens in die betekenis van artikel 9 BBP. Dit is unieke eienskappe wat na 'n spesifieke persoon teruggevoer kan word. Hierdie data bevat egter meer inligting as wat nodig is vir byvoorbeeld identifikasie. Die verwerking daarvan hou dus groot risiko's in op die gebied van fundamentele regte en vryhede van mense. As hierdie data in die verkeerde hande kom, kan dit moontlik tot onherstelbare skade lei. Biometriese data word dus goed beskerm, en die verwerking daarvan is kragtens artikel 9 BBR verbode, tensy daar 'n wettige uitsondering hiervoor is. In hierdie geval het die AP tot die gevolgtrekking gekom dat die betrokke onderneming nie geregtig was op 'n uitsondering vir die verwerking van spesiale persoonlike data.

Oor die vingerafdruk in die konteks van die GDPR en een van die uitsonderings, nl noodsaaklikheid, het ons voorheen in een van ons blogs geskryf: 'Vingerafdruk in stryd met die GDPR'. Hierdie blog fokus op die ander alternatiewe grond vir uitsondering: permission. As 'n werkgewer biometriese gegewens soos vingerafdrukke in sy onderneming gebruik, kan hy dan voldoende wees met die toestemming van sy werknemer ten opsigte van privaatheid?

Toestemming as uitsondering vir die verwerking van biometriese data

Met toestemming word bedoel a spesifiek, ingelig en ondubbelsinnig uitdrukking van wil waarmee iemand die verwerking van sy persoonlike gegewens met 'n verklaring of ondubbelsinnige aktiewe aksie aanvaar, volgens artikel 4, afdeling 11, BBP. In die konteks van hierdie uitsondering moet die werkgewer dus nie net demonstreer dat sy werknemers toestemming verleen het nie, maar ook dat dit ondubbelsinnig, spesifiek en ingelig was. Die ondertekening van die dienskontrak of die ontvangs van die personeelhandleiding waarin die werkgewer slegs die voorneme aangeteken het om volledig met die vingerafdruk in te sluit, is onvoldoende in hierdie konteks. As bewys daarvan moet die werkgewer byvoorbeeld beleid, prosedures of ander dokumentasie indien, wat toon dat sy werknemers voldoende ingelig is oor die verwerking van die biometriese data en dat hulle ook toestemming (eksplisiet) vir die verwerking daarvan gegee het.

As die werknemer die toestemming verleen, moet dit verder nie net 'uitdruklike' maar ook 'vrylik gegee'volgens die AP. 'Eksplisiet' is byvoorbeeld skriftelike toestemming, handtekening, stuur van 'n e-pos om toestemming te gee, of toestemming met tweestap-verifikasie. 'Vry gegee' beteken dat daar geen dwang daaragter moet wees nie (soos die geval was in die betrokke geval: wanneer weier word om die vingerafdruk te laat skandeer, word 'n gesprek met die direkteur / direksie gevolg) of dat toestemming 'n voorwaarde kan wees vir iets verskillende. Die voorwaarde 'vrylik gegee' word in elk geval nie deur die werkgewer nagekom as werknemers verplig is nie, of, soos in die betrokke geval, dit ervaar as 'n verpligting om hul vingerafdruk op te neem nie. In die algemeen is die AP volgens hierdie vereiste van mening dat, gegewe die afhanklikheid wat voortspruit uit die verhouding tussen die werkgewer en werknemer, dit onwaarskynlik is dat die werknemer vryelik sy of haar toestemming kan verleen. Die teenoorgestelde moet deur die werkgewer bewys word.

Vra 'n werknemer toestemming van hul werknemers om hul vingerafdruk te verwerk? Dan verneem die AP in die konteks van hierdie saak dat dit in beginsel nie toegelaat word nie. Immers, werknemers is afhanklik van hul werkgewer en is daarom dikwels nie in staat om te weier nie. Dit is nie te sê dat die werkgewer nooit suksesvol op die toestemmingsgrond kan staatmaak nie. Die werkgewer moet egter oor voldoende getuienis beskik om sy appèl op grond van toestemming suksesvol te maak, ten einde biometriese gegewens van sy werknemers, soos vingerafdrukke, te verwerk. Is u van plan om biometriese data in u onderneming te gebruik, of vra u werkgewer byvoorbeeld toestemming om u vingerafdruk te gebruik? In daardie geval is dit belangrik om nie onmiddellik op te tree en toestemming te verleen nie, maar eers behoorlik ingelig te word. Law & More advokate is kundiges op die gebied van privaatheid en kan u inligting voorsien. Het u enige ander vrae oor hierdie blog? Kontak asseblief Law & More.

Deel