Voor het gebruik van een kassasysteem werd binnen een bedrijf gebruik gemaakt van vingerafdrukken van de werknemers. De noodzaak voor het gebruik hiervan werd echter onvoldoende aangetoond. De inbreuk op de privacy van de werknemers werd niet gerechtvaardigd door het bedrijfsbelang. Volgens de kantonrechter handelde de werkgever in strijd met de wettelijke regels omtrent de privacybescherming van zijn werknemers. 

Een keten van schoenenwinkels voeder onlangs een nieuw kassasysteem in. Voor het gebruik ervan dienden de werknemers van de keten zich te identificeren door middel van een vingerafdruk. Een van werkneemster beklaagde zich hierin over inbreuk op haar privacy. Volgens haar werd dit gepleegd door het scannen van haar vingerafdruk. Aangezien de werkgever en de werkneemster het samen niet eens werden over de vraag of er ook volgens de wet sprake is van die inbreuk, besloten zij gezamenlijk de vraag voor te leggen aan de kantonrechter. Hierbij zouden ze beide op voorhand afzien van het instellen van hoger beroep.

Overwegingen
In deze zaak bepaalde de kantonrechter allereerst dat de wet AVG (Algemene Verordening Gegevensbescherming van de Europese Unie) van toepassing is. Deze wet is in alle lidstaten van de Europese Unie van kracht. Lidstaten mogen hiervan in nationale wetgeving afwijken, mits in lijn met de algemene verordening. In Nederland gebeurt dit binnen de Uitvoeringswet AVG.

De AVG en de uitzonderingen
De scan van een vingerafdruk is volgens de kantonrechter een persoonsgegeven in de geest van de AVG. Dit omdat er een persoon mee kan worden geïdentificeerd. De AVG bevat een verbod voor het verwerken van zogenaamde ‘bio-metrische gegevens’ zoals gezichtsafbeeldingen en vingerafdrukken. De AVG kent vervolgens echter ook een aantal uitzonderingen op dit verbod. Een ervan is bijvoorbeeld de toestemming voor het verwerken van die bio-metrische gegevens, voor het gebruik voor het gebruik van bijvoorbeeld een kassasysteem. En daarvoor had werknemer nu juist geen toestemming verleend, en de werkgever had ook niet om die toestemming gevraagd.

AVG en persoonlijke belangen
De AVG laat ook toe dat de lidstaten van de Europese Unie in nationale wetgeving een uitzondering op het verbod toepassen. Dit zou bijvoorbeeld zijn om specifieke taken beter en veiliger uit te kunnen voeren. Echter moeten de persoonsgegevens van, in dit geval, werknemers op een veilige manier verwerkt worden. De Nederlandse Uitvoeringswet AVG voorziet in een dergelijke uitzondering. Bijvoorbeeld voor het identificeren van een persoon, wanneer dit noodzakelijk is voor beveiligingsdoeleinden. De vraag is of er in onderhavig geval sprake is van een soortgelijke uitzondering.

Noodzakelijkheid
Uit de wetsgeschiedenis blijkt dat de wetgever heeft gedacht aan een uitzondering voor de toegang tot bijvoorbeeld een kerncentrale, maar niet tot de werkplaats van een garage. De wetgever had ook erkend dat het gebruik van bio-metrische gegevens in informatiesystemen met persoonsgegevens toegestaan zijn, wanneer dit onrechtmatig gebruik zou tegengaan. De uitzondering op het verbod van het gebruik dient volgens de wetgever noodzakelijk te zijn voor de authentificatie. Daarnaast moet het gebruik van proportioneel zijn en in verhouding staan tot het doel van het gebruik.

Andere middelen
De winkelketen had aangevoerd dat de scan van de vingerafdruk noodzakelijk was ter voorkoming van fraude door werknemers. Het gebruik van alleen een persoonlijke code zou in de praktijk onvoldoende zijn gebleken. Collega’s zouden zo gezegd namelijk van elkaars code gebruik maken. Ook kon de code worden afgekeken tijdens het intoetsen. Verder zou ook het gebruik van een pas niet voldoende zekerheid bieden. De kantonrechter bleek echter niet overtuigd te zijn door deze onderbouwing. De winkelketen had namelijk niet aangegeven waarom bijvoorbeeld niet een combinatie van pas en code zou kunnen worden gebruikt.

Vingerscan in strijd met AVG
Het belang van het voorkomen van fraude door middel van de vingerscan werd door de kantonrechter onvoldoende geacht. Het bleek onvoldoende voor een uitzondering op het verbod tot gebruik van bio-metrische gegevens. De kantonrechter stelde verder dat de winkelketen nauwelijks andere maatregelen had getroffen ter voorkoming van derving. Zoals cameratoezicht of detectiepoortjes bij de uitgang. De kantonrechter oordeelde daarom dat het gebruik van de vingerscan in dit geval in strijd is met de AVG en met de Uitvoeringswet AVG.