Verwerking van biometriese data verduidelik
Onlangs het die Nederlandse Databeskermingsowerheid (AP) ’n groot boete, naamlik 725,000 9 euro, opgelê aan ’n maatskappy wat vingerafdrukke van werknemers geskandeer het vir bywoning en tydregistrasie. Biometriese data, soos 'n vingerafdruk, is spesiale persoonlike data binne die betekenis van Artikel XNUMX GDPR. Dit is unieke eienskappe wat na een spesifieke persoon teruggevoer kan word. Hierdie data bevat egter dikwels meer inligting as wat nodig is vir byvoorbeeld identifikasie.
Die verwerking daarvan hou dus groot risiko's in op die gebied van fundamentele regte en vryhede van mense. Indien hierdie data in die verkeerde hande beland, kan dit moontlik tot onherstelbare skade lei. Biometriese data word dus goed beskerm, en die verwerking daarvan word verbied kragtens Artikel 9 AVG, tensy daar 'n wetlike uitsondering hiervoor is. In hierdie geval het die AP tot die gevolgtrekking gekom dat die betrokke maatskappy nie geregtig was op 'n uitsondering vir die verwerking van spesiale persoonlike data nie.
vingerafdruk
Oor die vingerafdruk in die konteks van die AVG en een van die uitsonderings, naamlik noodsaaklikheid , het ons voorheen in een van ons blogs geskryf: 'Vingerafdruk in stryd met AVG'. Hierdie blog fokus op die ander alternatiewe grond vir uitsondering: toestemming . Wanneer 'n werkgewer biometriese data soos vingerafdrukke in sy maatskappy gebruik, kan hy, met betrekking tot privaatheid, volstaan met die toestemming van sy werknemer?
Met toestemming word bedoel 'n spesifieke, ingeligte en ondubbelsinnige wilsuiting waarmee iemand 'n verwerking van sy persoonlike data met 'n verklaring of ondubbelsinnige aktiewe aksie aanvaar, volgens Artikel 4, afdeling 11, AVG. In die konteks van hierdie uitsondering moet die werkgewer dus nie net aantoon dat sy werknemers toestemming verleen het nie, maar ook dat dit ondubbelsinnig, spesifiek en ingelig was.
Die ondertekening van die dienskontrak of die ontvangs van die personeelhandleiding waarin die werkgewer slegs die voorneme om volledig met die vingerafdruk in te klok aangeteken het, is in hierdie konteks onvoldoende, het die AP afgesluit. As bewys moet die werkgewer byvoorbeeld beleid, prosedures of ander dokumentasie indien, wat toon dat sy werknemers voldoende ingelig is oor die verwerking van die biometriese data en dat hulle ook (uitdruklike) toestemming vir die verwerking daarvan gegee het.
Indien die toestemming deur die werknemer verleen word, moet dit verder nie net ' eksplisiet ' wees nie, maar ook ' vrylik gegee ', volgens die AP. 'Eksplisiet' is byvoorbeeld skriftelike toestemming, handtekening, die stuur van 'n e-pos om toestemming te gee, of toestemming met tweestap-verifikasie. 'Vrylik gegee' beteken dat daar geen dwang daaragter mag wees nie (soos die geval was in die betrokke geval: wanneer geweier word om die vingerafdruk te laat skandeer, het 'n gesprek met die direkteur/raad gevolg) of dat toestemming 'n voorwaarde vir iets anders kan wees.
Die voorwaarde 'vryelik gegee' word in elk geval nie deur die werkgewer nagekom wanneer werknemers verplig word of, soos in die betrokke geval, dit as 'n verpligting ervaar om hul vingerafdruk te laat opneem nie. Oor die algemeen, onder hierdie vereiste, het die AP van mening dat gegewe die afhanklikheid wat voortspruit uit die verhouding tussen die werkgewer en werknemer, dit onwaarskynlik is dat die werknemer vryelik sy of haar toestemming kan verleen. Die teendeel sal deur die werkgewer bewys moet word.
Versoek 'n werknemer toestemming van hul werknemers om hul vingerafdruk te verwerk? Dan verneem die AP in die konteks van hierdie saak dat dit in beginsel nie toegelaat word nie. Werknemers is immers afhanklik van hul werkgewer en is dus dikwels nie in 'n posisie om te weier nie. Dit is nie te sê dat die werkgewer nooit suksesvol op die toestemmingsgrond kan staatmaak nie.
Die werkgewer moet egter genoegsame bewyse hê om sy appèl op grond van toestemming suksesvol te maak, ten einde biometriese data van sy werknemers, soos vingerafdrukke, te verwerk. Is jy van plan om biometriese data binne jou maatskappy te gebruik of vra jou werkgewer jou vir byvoorbeeld toestemming om jou vingerafdruk te gebruik? In daardie geval is dit belangrik om nie dadelik op te tree en toestemming te verleen nie, maar om eers behoorlik ingelig te word. Regte & More prokureurs is kundiges op die gebied van privaatheid en kan jou van inligting voorsien. Het jy enige ander vrae oor hierdie blog? Kontak asseblief Law & More.
