Veel bedrijven zoeken naar nieuwe manieren om de toegang tot gegevens of fysieke lokalen extra te beveiligen. Hierin speelt MFA (Multi-Factor Authenticatie) een belangrijke rol. Bij MFA zijn er altijd meerdere identiteitscontroles voorzien. De hoogste mate van beveiliging vindt plaats wanneer daarbij ook rekening wordt gehouden met biometrische gegevens, zoals een scan van de vinger of iris. Voor werkgevers is het echter heel moeilijk om zoiets af te dwingen. In Nederland kreeg recent een bedrijf zelfs een tik van 725.000 euro op de vingers omdat werknemers hun vingerafdruk moesten scannen voor de aanwezigheidsregistratie.
Problematiek van biometrische gegevens
Biometrische gegevens, zoals een vingerafdruk of een iris, zijn bijzondere beschermde persoonsgegevens. De verwerking van dergelijke gegevens is enkel onder zeer strikte voorwaarden toegestaan in de AVG. Bijvoorbeeld wanneer een extreem hoog niveau van beveiliging is vereist. Daarnaast is ook de voorafgaande toestemming van de betrokkene om deze biometrische gegevens te verwerken noodzakelijk. De betrokkene moet vooraf ingelicht worden over de doeleinden van de verwerking en van de verschillende rechten, bijvoorbeeld wat het recht op toegang tot de gegevens betreft en over het bestaan van een foutenmarge.
Ten slotte moet er streng op worden toegezien dat de biometrische gegevens niet langer worden bewaard dan strikt noodzakelijk is. Voor een sensor is dat bijvoorbeeld niet langer dan nodig is om de gegevens te vergelijken.
Noodzaak van de verwerking
Eerst en vooral is het zo dat het absoluut noodzakelijk moet zijn om deze bijzondere beschermde persoonsgegevens te verwerken. Hierbij moet er steeds een belangenafweging worden gemaakt en moet de verwerkingsverantwoordelijke nagaan of niet-biometrische systemen een alternatief kunnen zijn. Denk bijvoorbeeld aan het gebruik van een badge met pasfoto die aan een balie moet worden voorgelegd.
Een slager kan dus niet aan zijn klanten vragen om zich met een vingerafdruk te identificeren wanneer ze een bestelling komen ophalen. Voor de beveiliging van pakweg een laboratorium waar zich pathogenen bevinden, kan dat wel noodzakelijk zijn.
Proportionaliteit van de verwerking
De Gegevensbeschermingsautoriteit heeft in het verleden al een aantal technische eisen opgelegd die moeten garanderen dat het biometrisch systeem aan de proportionaliteitsvereiste voldoet.
In de eerste plaats moet het biometrisch systeem fysieke kenmerken registreren die geen sporen nalaten. Een vingerafdruk is bijvoorbeeld niet toegestaan omdat mensen die vingerafdruk overal achterlaten. Wel kan mijn dan bijvoorbeeld het bloedvatennetwerk in de vinger analyseren.
Daarnaast mogen de referentiegegevens (waarmee de scan wordt vergeleken) enkel worden opgeslagen op een chipkaart of eventueel in een biometrische sensor die alleen lokaal toegankelijk is. Het is dus niet toegestaan om de biometrische sensor aan het netwerk of het informaticasysteem te koppelen. De strengste mate van beveiliging is uiteraard noodzakelijk.
Ten slotte mag men enkel templates van de referentiegegevens opslaan. De chipkaart of biometrische sensor mogen met andere woorden geen echte foto van de vinger bevatten, maar enkel de cijfermatige gegevens die eruit werden afgeleid. Anders gaat de verwerking verder dan wat strikt noodzakelijk is.
Toestemming van werknemers ongeldig
De AVG vereist dat de toestemming vrij moet zijn. Daarom is het niet toegestaan om negatieve gevolgen te koppelen aan een weigering. Een website mag bijvoorbeeld de toegang niet weigeren als je de cookies niet accepteert. Het zorgt er echter ook voor dat de toestemming op de werkvloer nooit vrij is: personeelsleden staan in ondergeschikt verband en staan onder druk om te accepteren. Hun toestemming is nooit vrij en dus is de verwerking van biometrische gegevens niet toegestaan.
Om te garanderen dat de toestemming toch vrij zou zijn, moet de werkgever ook alternatieven voorstellen zoals het gebruik van een badge. Ook mogen er geen negatieve gevolgen aan de weigering worden gekoppeld.
