Manfield mag geen vingerscan bij kassa gebruiken

Schoenenwinkel Manfield mag een werkneemster niet verplichten haar vingerafdruk af te geven voor een autorisatiesysteem voor de kassa. De werkneemster had geweigerd haar vingerafdruk te geven omdat zij dit een ongeoorloofde inbreuk op haar privacy achtte. Het oude systeem werkte met een persoonsgebonden code.

Manfield verdedigt de keuze voor de vingerscan door zich te beroepen op haar verantwoordelijkheid als verwerker van persoonsgegevens van medewerkers en klanten via het (online) kassasysteem. Manfield moet deze persoonsgegevens afdoende beschermen met technische en organisatorische maatregelen. Onlangs is een serieuze fraude aan het licht gekomen waarbij werknemers de code van hun collega’s hadden misbruikt. De simpele personeelscode is niet langer afdoende beschermend. De vingerscan wordt al lang in smartphones gebruikt, en wordt in de praktijk al lang niet meer alleen gebruikt voor het beveiligen van objecten met een hoog beveiligingsrisico, zoals een kerncentrale, het voorbeeld dat in de Memorie van Toelichting bij artikel 29 UAVG, betoogt Manfield.

De kantonrechter oordeelt dat een vingerafdruk inderdaad een biometrisch persoonsgegeven is, waarvan de verwerking verboden is, tenzij (i) de betrokkene hiervoor toestemming heeft gegeven, of (ii) deze ter uitvoering van een wettelijke plicht is of (iii) de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden (art. 9 lid 2 AVG). Er gelden in het laatste geval een aantal randvoorwaarden (art. 29 Uitvoeringswet AVG):

– er dient een afweging te worden gemaakt of identificatie met biometrische gegevens noodzakelijk is voor de authenticatie of beveiligingsdoeleinden, bijvoorbeeld bij een kerncentrale;

-de verwerking dient proportioneel te zijn.

Naar het oordeel van de kantonrechter is het bestrijden van fraude als bedrijfsbelang niet aan te merken als “noodzakelijk voor authenticatie- of beveiligingsdoeleinden” in de zin van in artikel 9 lid 2 AVG.

Ook bij de proportionaliteit plaatst de kantonrechter vraagtekens nu in het filiaal geen enkele andere vorm van beveiliging heeft doorgevoerd zoals camerabeveiliging, alarmpoortjes en kluisjes voor het personeel.

Ook de verantwoordelijkheid om persoonsgegevens te beschermen door het treffen van organisatorische en technische maatregelen, maakt het invoeren van een vingerscan niet noodzakelijk. De alternatieve vormen van identificatie die de werkneemster voorstelde, zoals een (werknemers)pas eventueel gecombineerd met cijfercodes heeft Manfield onvoldoende onderzocht (noodzakelijkheid en proportionaliteit, art. 29 UAVG)

Zie voor de gehele uitspraak: Rechtbank Amsterdam 12 augustus 2019, ECLI:NL:RBAMS:2019:6005, http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBAMS:2019:6005