Een lezer vertelde mij dat zij bij het aanmelden bij haar nieuwe sportschool werd gevraagd om haar vingerafdruk te registreren. Zo kan je bij binnenkomst direct door het poortje, zonder dat je hoeft te denken aan dat vervelende pasje dat iedereen steeds vergeet. Zij vroeg mij: mag dat wel?
De Autoriteit Persoonsgegevens zegt hier over het volgende:
“Uw sportschool kan u vragen uw vingerafdruk af te staan. Bijvoorbeeld voor toegangscontrole. Maar u bent niet verplicht uw vingerafdruk af te staan.
Toestemming
Uw sportschool mag uw vingerafdruk gebruiken als u hiervoor toestemming geeft. Maar dit mag alleen als de sportschool een goede reden heeft om uw vingerafdruk te gebruiken. Bijvoorbeeld omdat de sportschool u hiermee makkelijker kan identificeren.
De sportschool moet u daarbij de mogelijkheid bieden om uzelf op een andere manier te identificeren. Bijvoorbeeld door uw identiteitsbewijs te laten zien of een toegangspas te gebruiken.
Beveiligen vingerafdruk
De vingerafdruk zelf mag niet worden opgeslagen, alleen in de vorm van een versleutelde code. Met deze code kan de sportschool nagaan of u het bent. Uit zo’n code kan niemand uw vingerafdruk afleiden. De sportschool is wettelijk verplicht het systeem dat de code op deze manier opslaat goed te beveiligen.”
GDPR
Onder de GDPR (AVG) wordt de vingerafdruk apart benoemd, als biometrisch gegeven. Een biometrisch gegeven is ‘uniquely identifying’ en daarmee een direct gevoelig persoonsgegeven.
En de sportschool zelf?
Als sportschool wil je graag zo hip mogelijk zijn en de beste service aan je klanten bieden. Maar sta er wel bij stil dat dit speciale gegevens zijn die je aan het verwerken bent. Dit betekent dat je systemen hier goed op ingericht moeten zijn, maar dat ook je personeel op de hoogte moet zijn van de verwerkingen die plaatsvinden en hoe die goed en veilig gebeuren. Je bent als sportschool meteen aan strengere wetgeving onderworpen wanneer je deze gegevens verwerkt.
Niet afgeven of niet vragen?
Als klant bij de sportschool zou ik mijn vingerafdruk niet afgeven. Ik zou er niet zomaar gerust op zijn dat een sportschool dusdanig beveiligde systemen heeft: het is een sportschool en de core business van een sportschool ligt ten slotte bij het sporten. Als klant mag je je ook op een andere manier identificeren.
Als sportschool zou ik me ver weg houden van de verwerking van biometrische gegevens. Je haalt je hier strenge wetgeving met bijbehorende vereisten op de hals. De publiciteit die komt met een hack of een lek deelt rake klappen uit.
Imke.
Bron: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/identificatie/biometrie
afdeling legal 