Manfield kreeg vorige maand van de kantonrechter te horen dat de vingerafdruk die bij hen noodzakelijk was om in te loggen, in strijd was met de AVG. Wat mag je als werkgever wel en niet doen met gegevens van jouw personeel? “Het is van belang dat je alles goed vastlegt.”

Onlangs werd schoenenzaak Manfield op de vingers getikt vanwege het kassasysteem dat ze sinds kort in alle filialen gebruikten. Om in te loggen moest personeel een vingerafdrukscanner gebruiken, wat in strijd is met de Algemene Verordening Gegevensbescherming (AVG). De zaak werd aangespannen door een oud-werknemer maar de schoenenzaak maakte er een gezamenlijke stap naar de rechter van omdat ook zij duidelijkheid wilden. Manfield gaf aan dat de vingerafdruk noodzakelijk was om gevoelige informatie over klanten en personeel te beschermen. De kantonrechter kon zich daar niet in vinden en oordeelde dat Manfield werknemers niet mag verplichten een vingerafdruk af te staan.

Het is niet zo dat er door de AVG niets meer mag, een inlog met een vingerafdrukscanner is dan ook niet verboden. Het is echter wel van belang dat een bedrijf goed onderbouwt waarom deze manier van inloggen noodzakelijk is. Als Manfield een uitwerking had gemaakt van alle voors- en tegens, waarna er dit systeem uit was gekomen, was er dan een mogelijkheid dat het wel had gemogen? Hoog tijd om eens te bellen met Thijmen de Coo, adviseur bij Inretail, om te vragen wat er nu wel en niet mag op het gebied van personeelsgegevens en privacy.

Wat mag je wel en niet bewaren van je personeel?

“In beginsel zijn er richting het personeel dezelfde verplichtingen als richting je klanten. Het is van belang dat je alles goed vastlegt als werkgever. Daarbij kun je denken aan regelingen over cameratoezicht, hoe je gegevens van personeel bewaart en wat jij er aan doet om die gegevens te beschermen. Dit leg je allemaal vast in een verwerkingsregister. Een simpel voorbeeld is een sollicitatieformulier, die mag je standaard vier weken bewaren na de sollicitatieprocedure, tenzij de sollicitant aangeeft dat deze langer bewaard mag worden, moet deze dus na vier weken vernietigd worden.”

Zijn er veel winkeliers die hetzelfde kassasysteem gebruiken als Manfield?

“Ik ken een aantal winkeliers die de vingerafdrukscanner gebruiken maar een inlogcode of pasjessysteem is meer gebruikelijk. In de retail ontbreekt over het algemeen de noodzaak voor het gebruik van biometrische gegevens zoals de vingerafdruk. Bij een kerncentrale bijvoorbeeld is er een veel duidelijk verband tussen die vingerafdruk en de beveiliging. Door de kantonrechter in Amsterdam werd het voor Manfield niet gezien als proportionele beveiligingsmaatregel. Uit kamerstukken volgt dat biometrie een belangrijke vorm van beveiliging kan zijn voor bijvoorbeeld informatiesystemen die zelf veel persoonsgegevens bevatten, dus de deur is denk ik nog niet volledig dicht.”

“Daarnaast is ook de toestemming voor die vingerafdruk een lastig punt voor een werkgever. In de werknemer-werkgeververhouding is er niet snel sprake van toestemming die geheel in vrijheid is gegeven. Er moet dan in ieder geval ook een alternatief worden geboden zonder dat er consequenties aan vast zitten. Anders krijg je een ongelijke verhouding tussen de werkgever en de werknemer.”

Wat zijn de alternatieven?

“Een combinatie van een persoonlijke personeelspas met daarbij een code om in te loggen (twee-factor authenticatie) wordt beoordeeld als een sterke beveiliging. De rechter heeft dit ook aangegeven in het geval van Manfield. Het alleen gebruiken van een pas of code volstond niet volgens Manfield. Dat begrijp ik. Een combinatie van een werknemerspasje met een persoonlijke code zou zeker al minder fraudegevoelig zijn dan alleen de inlogcode of alleen het werknemerspasje.”

Hoe beveilig je de gegevens van je personeel?

“Retailers werken vaak met bepaalde personeelssystemen, bijvoorbeeld ADP. Als personeelslid kun je dan alleen je eigen gegevens inkijken en HR kan alle personeelsgegevens bekijken. Autorisatie is daarbij slechts een van de beveiligingsmaatregelen. Wanneer je nog een hard copy van de personeelsadministratie hebt, moeten deze bij voorkeur in een verzegelde kast en in een afsluitbare ruimte of kantoor zitten zodat anderen hier niet bij kunnen.”

Wat mag je niet bewaren als werkgever?

“Wat ik vaak zie is dat sollicitatiebrieven heel lang blijven liggen, of er hangen nog oude sollicitaties in mailboxen. Dit mag niet, nadat de sollicitatieprocedure is afgerond mag je deze brieven slechts vier weken bewaren. Tenzij de sollicitant toestemming geeft dat zijn of haar gegevens langer bewaard mogen worden. Dan mag de sollicitatie nog maximaal een jaar worden bewaard. Voor personeel dat uit dienst is, geeft de Autoriteit Persoonsgegevens duidelijke richtlijnen. Dat houdt in dat alles wat te maken heeft met salaris en arbeidsvoorwaarden zeven jaar bewaard moet worden na het einde van het dienstverband. Overige zaken als een kopie van de ID-kaart en een loonbelastingverklaring bewaar je vijf jaar. Dan zijn er nog de ontwikkelingsplannen, informatieverslagen en details uit functioneringsgesprekken, daar zit normaliter een bewaartermijn op van twee jaar.”