Beslissing ten gronde nr. 114/2024

1/71 Geschillenkamer Beslissing ten gronde 114/2024 van 6 september 2024 Dossiernummer : DOS-2022-00896 Betreft: : Tijdsregistratie via biometrische gegevens op het werk De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden; Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG; Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG; Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019; Gelet op de stukken van het dossier; Heeft de volgende beslissing genomen inzake: De klager: X, vertegenwoordigd door Mr. Gert Buelens, kantoorhoudende te 2800 Mechelen, Nekkerspoelstraat 97, hierna “de klager”; De verweersters: Y1, vertegenwoordigd door Mr. Meester Bernard Dewit, kantoorhoudende te 1050 Brussel, Albert Leemansplein 20, hierna “de eerste verweerster”; Y2, vertegenwoordigd door Mr. Jos De Wachter en Mr. Charlotte Peeters, kantoorhoudende te 3600 Genk, Jaarbeurslaan 19, bus 3, hierna “de tweede verweerster”; samen “de verweersters” genoemd. Beslissing ten gronde 114/2024 – 2/71 I. 1. Feiten en procedure Op 3 februari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de eerste verweerster. Deze was in eerste instantie niet ontvankelijk. De klacht werd opnieuw neergelegd en ontvankelijk verklaard op 29 maart 2022. De klager was werkzaam bij de eerste verweerster van maart 2021 t.e.m. 24 februari 2022, aanvankelijk als uitzendkracht en vanaf juni 2021 als werknemer met een contract van onbepaalde duur. Op 16 maart 2020 introduceerde de eerste verweerster op haar beide sites voor alle daar werkzame personeelsleden een systeem van tijdsregistratie met behulp van vingerafdruk. Volgens de eerste verweerster is het systeem op die manier van toepassing op een 200-tal werknemers, waarvan 44 bedienden, 74 arbeiders, 29 uitzendkrachten en voor het overige deel “buitenlandse werknemers”. De leverancier van het systeem (de tweede verweerster) is een dochtervennootschap van een internationale groep met hoofdvestiging in Japan en activiteiten in o.a. de Verenigde Staten en China. De klager meent dat de verwerking van zijn vingerafdrukken (één van elke hand) zijn recht op bescherming van persoonsgegevens schendt doordat hij de vingerafdrukken niet vrijwillig heeft afgegeven en omdat hij niet op de hoogte is gesteld van de modaliteiten van de opslag van de gegevens en de bewaartermijn. De klager drukt ten slotte in zijn klacht ook zijn ongerustheid uit over een eventuele doorgifte naar een derde land dat geen passende waarborgen biedt, gezien de geografische locatie van de zetel van de moedervennootschap van de eerste verweerster. 2. Op 29 maart 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer. 3. Op 21 april 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken. 4. Op 29 augustus 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG). Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en doet de volgende vaststellingen in hoofde van de eerste verweerster: 1. een schending van artikel 5.1, a), 6.1 en 9.1 AVG; 2. een schending van artikel 5.1,

1. b)AVG; 3. geen schending van art. 5.1,
2. c)AVG; 4. een schending van artikel 5.1,
3. a)j° 12.1 en 13 AVG; Beslissing ten gronde 114/2024 – 3/71 5. een schending van artikel 5.1,
4. a)j° 12.1 en 15 AVG; 6. een schending van artikel 5, lid 2 AVG; 7. een schending van artikel 28, lid 3 AVG; 8. een schending van artikel 28, lid 1 AVG; 9. een schending van artikel 32 AVG; 10. een schending van artikel 35 AVG; 11. geen aanwijzingen voor eventuele doorgiften van de biometrische gegevens naar derde landen of internationale organisaties. Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht in hoofde van de tweede verweerster en stelt dat de tweede verweerster haar verplichting krachtens artikel 28.3 AVG tot het afsluiten van een geldige verwerkingsovereenkomst niet is nagekomen. Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht. De Inspectiedienst stelt, in hoofdlijnen, vast dat: 1. er sprake is van een inbreuk op artikel 30 AVG in hoofde van de eerste verweerster wegens het niet houden van een verwerkingsregister voorafgaand aan het Inspectieonderzoek en wegens de gebrekkige inhoud van het huidige verwerkingsregister; 2. er sprake is van een schending van de plicht tot het aanstellen van een functionaris voor gegevensbescherming op grond van artikel 37.1,
5. b)en
6. c)AVG in hoofde van de tweede verweerster. 5. Op 1 september 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde. 6. Op 1 september 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG. Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen. Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweersters vastgelegd op 13 oktober 2022, deze voor de conclusie van repliek van de klager op 3 november 2022 en ten slotte deze voor de conclusie van repliek van de verweersters op 24 november 2022. Beslissing ten gronde 114/2024 – 4/71 Voor wat betreft de vaststellingen buiten het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusies van antwoord van de tweede verweerster vastgelegd op 13 oktober 2022. 7. Op 9 september 2022 vraagt de tweede verweerster een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 13 september 2022. 8. Op 25 september 2022 vraagt de klager een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem op 5 oktober 2022 werd overgemaakt. 9. Op 25 september 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 10. Op 28 september 2022 aanvaardt de eerste verweerster elektronisch alle communicatie omtrent de zaak en vraagt zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 5 oktober 2022 en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG. 11. Op 13 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de eerste verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Eerst schetst de eerste verweerster de vertroebelde arbeidsrelatie met de klager. De vaststellingen van de Inspectiedienst omtrent de rechtmatigheid van de verwerking, het transparantiebeginsel, het beginsel van doelbinding en het beginsel van minimale gegevensverwerking worden niet betwist voor de eerste verweerster. Zij stelt deze inbreuken intussen verholpen te hebben. De verweerster betwist echter de vaststellingen omtrent het recht op inzage van de klager en stelt dat zij in overeenstemming met de AVG geantwoord heeft. De eerste verweerster betwist eveneens de vaststelling dat er geen voldoende veiligheidsmaatregelen genomen werden. Zij heeft een deskundige ter zake ingeschakeld en voldoende documentatie ontvangen om zich te overtuigen van de ernst van de maatregelen genomen door de leverancier (de tweede verweerster). 12. Op 13 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de tweede verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De tweede verweerster voert aan in staat te zijn om de juiste kennis over het systeem te delen. Ook stelt zij tijdig de relevante informatie te hebben overgemaakt aan de eerste verweerster. Voorts voert de tweede verweerster aan dat zij geen persoonsgegevens, en dus ook geen biometrische persoonsgegevens verwerkt aangezien de betrokkenen niet identificeerbaar zijn voor haar, aangezien zij slechts beschikt over versleutelde bestanden. Deze conclusie bevat eveneens de reactie van de tweede verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. De tweede verweerster voert aan dat zij noch onder artikel 37.1.b), Beslissing ten gronde 114/2024 – 5/71 noch onder artikel 37.1.
7. c)van de AVG verplicht was om een functionaris voor gegevensbescherming aan te stellen. Intussen heeft de tweede verweerster vrijwillig een functionaris voor gegevensbescherming aangesteld. 13. Op 3 november 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager. Vooreerst werpt de klager op dat de situatieschets van de eerste verweerder omtrent de arbeidsrelatie tussen hen beide niet ter zake doet in deze procedure. Voor wat betreft de vaststellingen van de Inspectiedienst over het voorwerp van de klacht vraagt hij aan de Geschillenkamer de bevestiging ervan. 14. Op 24 november 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de eerste verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht waarin zij de argumenten van haar conclusie van antwoord herneemt. 15. Op 24 november 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de tweede verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De tweede verweerster verwijst naar haar conclusie van antwoord en vraagt bijkomend aan de Geschillenkamer om rekening te houden met de werkelijke beweegredenen van de partijen. 16. Op 2 december 2022 worden de partijen ervan in kennis gesteld dat de hoorzitting zal plaatsvinden op 17 februari 2023. 17. Op 2 december 2022 geeft de klager te kennen dat hij niet meer wenst gehoord te worden. 18. Op 17 februari 2023 worden de aanwezige partijen gehoord door de Geschillenkamer. 19. Op 22 februari 2023 wordt het proces-verbaal van de hoorzitting aan de aanwezige partijen voorgelegd. 20. Op 28 februari 2023 ontvangt de Geschillenkamer vanwege de tweede verweerster enkele opmerkingen met betrekking tot het proces-verbaal, dewelke zij beslist mee op te nemen in haar beraad. 21. Op 4 juni 2024 heeft de Geschillenkamer aan de eerste verweerster het voornemen kenbaar gemaakt om over te gaan tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan teneinde haar de gelegenheid te geven zich te verdedigen, voordat de sanctie effectief wordt opgelegd. 22. Op 26 augustus 2024 ontvangt de Geschillenkamer de reactie van de eerste verweerster op het voornemen tot het opleggen van een administratieve geldboete, alsmede het bedrag daarvan. II. Motivering Beslissing ten gronde 114/2024 – 6/71 II.1. 23. Rechtmatigheid van de verwerking (art. 5.1, a), 6.1 en 9.2 AVG) t.a.v. de eerste verweerster De vraag stelt zich of de verwerking van de persoonsgegevens in het kader van de tijdsregistratie door de eerste verweerster een rechtmatige verwerking uitmaakt. 24. Uitgangspunt van artikel 5.1.
8. a)AVG is dat persoonsgegevens alleen op rechtmatige wijze mogen worden verwerkt. II.1.1.1. 25. (Bijzondere) persoonsgegevens Volgens artikel 4, 1) van de AVG betreffen persoonsgegevens alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”). Als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, door bijvoorbeeld een of meer elementen die kenmerkend zijn voor de fysieke of fysiologische identiteit van die natuurlijke persoon. 26. Ingevolge artikel 4, 14) van de AVG zijn biometrische gegevens persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens. 27. Artikel 9.1 van de AVG definieert bijzondere persoonsgegevens als volgt: “[...] persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid [...]”. De partijen betwisten niet dat de eerste verweerster optreedt als verwerkingsverantwoordelijke zoals bedoeld in artikel 4, 7) AVG voor wat betreft de tijdsregistratie van haar werknemers op basis van hun biometrische gegevens. 28. Gelet op het bovenstaande stelt de Geschillenkamer vast dat de vingerafdruk een biometrisch gegeven in de zin van artikel 4.14) AVG uitmaakt. Aangezien deze door de eerste verweerster wordt aangewend ter identificatie van de betrokkene in het kader van tijdsregistratie, vormt dit eveneens een bijzonder persoonsgegeven in de zin van artikel 9.1 AVG in hoofde van de eerste verweerster. II.1.1.2. Verbod op de verwerking van biometrische gegevens Beslissing ten gronde 114/2024 – 7/71 29. De Geschillenkamer zal hieronder beoordelen of de eerste verweerster de bijzondere categorieën van persoonsgegevens op rechtmatige wijze verwerkt heeft in het kader van de tijdsregistratie van haar werknemers. 30. Persoonsgegevens die bijzonder gevoelig zijn verdienen specifieke bescherming, omdat de verwerking ervan hoge risico’s kan meebrengen voor grondrechten en fundamentele vrijheden. De verwerking van bijzondere categorieën van persoonsgegevens is daarom op grond van artikel 9.1 AVG verboden, tenzij een wettelijke uitzondering van toepassing is.1 31. Indien er een verwerking van categorieën van bijzondere persoonsgegevens overeenkomstig artikel 9.1 AVG plaatsvindt, dient de verwerkingsverantwoordelijke een rechtsgrond overeenkomstig artikel 6 AVG én een uitzonderingsgrond uit artikel 9.2 AVG aan te duiden om te kunnen spreken van een rechtmatige verwerking. Deze cumul van rechtsgronden uit de artikelen 6.1 en 9.2 AVG is recentelijk bevestigd in het arrest Meta (C252/21) van het Hof van Justitie2 waarin uitdrukkelijk wordt geoordeeld door het Hof dat het verwerken van gevoelige persoonsgegevens slechts is toegelaten indien een dergelijke verwerking als rechtmatig kan worden aangemerkt onder artikel 6.1 AVG. Ook het advies 2/2019 van de European Data Protection Board (hierna: EDPB) 3 en het advies 06/2014 van de Groep Gegevensbescherming Artikel 294 verwijzen consequent naar de cumulatieve toepassing van zowel artikel 6 AVG als artikel 9 AVG in geval van verwerking van bijzondere persoonsgegevens. Overweging 51 AVG geeft ten slotte duidelijk aan dat artikel 6 AVG steeds dient te worden toegepast. 32. Het is aan de verwerkingsverantwoordelijke om te bepalen welke rechtsgrond passend is ten aanzien van het doel van de verwerking. 5 Aangezien uit verschillende rechtsgronden verschillende gevolgen voortvloeien, met name wat de rechten van de betrokkenen betreft, is het niet toegestaan dat de verwerkingsverantwoordelijke zich, afhankelijk van de omstandigheden, op de ene of de andere rechtsgrond beroept. Indien er eenmaal gekozen is voor een bepaalde rechtsgrond is het niet de bedoeling dat er onderling nog wordt gewisseld of dat er, wanneer de gekozen rechtsgrond ophoudt te gelden, wordt teruggevallen op een andere rechtsgrond voor dezelfde verwerkingsactiviteit, voor dezelfde doeleinden.6 Artikel 5.1.
9. b)AVG vereist immers dat persoonsgegevens “voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld 1 Zie overweging 51 van de AVG. 2 HvJEU Arrest van 4 juli 2023, Meta, C-252/21, ECLI:EU:C:2023:537, para. 90. 3 Advies 2/2019 (EDPB) over de vragen en antwoorden over de wisselwerking tussen de verordening betreffende klinische proeven (VKP) en de algemene verordening gegevensbescherming (AVG) (artikel 70, lid 1, onder b)) van 23 januari 2019. 4 Advies 06/2014 (WP 29) over het begrip “gerechtvaardigd belang van de voor de gegevensverwerking verantwoordelijke” in artikel 7 van Richtlijn 95/46/EG. 5 Zie ook beslissing 77/2023, para 74, van de Geschillenkamer. 6 Zie bijvoorbeeld beslissingen 38/2021, 54/2023 en 77/2023 van de Geschillenkamer. Beslissing ten gronde 114/2024 – 8/71 en […] vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; […] (“doelbinding”)”. Wanneer één verwerking verschillende doeleinden nastreeft, moet elk doel gebaseerd zijn op een rechtsgrond.7 33. De vraagt rijst dan ook op welke rechtsgrond uit artikel 6.1 en 9.2 AVG de eerste verweerster zich beroept voor de litigieuze verwerking van een bijzondere categorie van persoonsgegevens. De Inspectiedienst komt na onderzoek tot de vaststelling dat uit de bezorgde documentatie niet eenduidig kan worden opgemaakt op welke rechtsgrond de eerste verweerster zich precies beroept voor de litigieuze verwerking. Enerzijds beroept de eerste verweerster zich namelijk in verschillende documenten op verschillende rechtsgronden, anderzijds beroept zij zich niet op één, maar meerdere rechtsgronden tegelijk. In ieder geval staat vast dat geen van de ingeroepen rechtsgronden een geldige rechtsgrond kan zijn voor de litigieuze verwerking, zo stelt de Inspectiedienst vast. 34. De eerste verweerster betwist de vaststellingen van de Inspectiedienst niet. In haar conclusies stelt de eerste verweerster dat de HR-manager op de verwelkomingsdag van nieuw personeel de welkomstbrochure uitdeelt en dat de werknemer dan toestemming geeft voor de tijdsregistratie op basis van de vingerafdruk. De eerste verweerster erkent dat dit in strijd is met de aanbeveling van het Kenniscentrum van de GBA betreffende de verwerking van biometrische gegevens dd. 1 december 2021 die stelt dat het onwaarschijnlijk is dat de betrokkene zijn/haar toestemming voor gegevensverwerking zou kunnen onthouden zonder angst voor nadelige gevolgen voortkomend uit die weigering omwille van de wanverhouding in de werkcontext. Als verzachtende omstandigheid voert de eerste verweerster aan dat bij de invoering van het nieuwe arbeidsreglement geen enkele werknemer commentaar heeft geleverd op de toevoegingen omtrent het biometrische systeem. Opmerkingen konden anoniem gemaakt worden. Geen enkele vakbondsdelegatie maakte opmerkingen. Bovendien hebben de werknemers zelf aangegeven dat zij het biometrische systeem verkiezen boven een systeem met toegangspasjes. 35. Wat betreft de rechtmatigheid van de verwerking, stelt de Geschillenkamer vast dat de eerste verweerster in haar conclusie van antwoord niet uitdrukkelijk vermeldt op welke rechtsgrond ex artikel 6.1 j° artikel 9.2 AVG zij zich beroept voor de litigieuze verwerking. De Geschillenkamer stelt tevens vast dat in de loop van het onderzoek verschillende rechtsgronden naar voor werden geschoven voor de litigieuze verwerking van de persoonsgegevens. Op basis van de conclusies en de hoorzitting stelt de Geschillenkamer vast dat de eerste verweerster zich uiteindelijk beroept op de toestemming als rechtsgrond. De Geschillenkamer toetst in het navolgende of de eerste verweerster zich rechtmatig kan beroepen op de uitzondering van de toestemming zoals begrepen in artikel 9.2.
10. a)AVG. 7 Zie ook beslissing 77/2023, para 77, van de Geschillenkamer Beslissing ten gronde 114/2024 – 9/71 36. Op grond van artikel 4, 11) van de AVG is toestemming een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt. 37. Opdat toestemming met kennis van zaken wordt gegeven, moet de betrokkene onder andere geïnformeerd worden over de identiteit van de verwerkingsverantwoordelijke, het doel van de verwerking, welke (soort) gegevens worden verwerkt en het bestaan van het recht om toestemming in te trekken.8 38. Een betrokkene moet daarnaast de toestemming vrij kunnen geven. In de Richtsnoeren inzake toestemming van de EDPB overeenkomstig de AVG wordt hierover opgemerkt: “Wanverhouding doet zich ook voor in het kader van de arbeidsverhouding. Gezien de afhankelijkheid die het gevolg is van de relatie tussen werkgever en werknemer, is het onwaarschijnlijk dat de betrokkene zijn/haar toestemming voor gegevensverwerking zou kunnen onthouden zonder angst of reële dreiging van nadelige gevolgen als gevolg van een weigering. Het is onwaarschijnlijk dat de werknemer vrijelijk zou kunnen reageren op een verzoek voor toestemming van zijn/haar werkgever voor, bijvoorbeeld, het activeren van toezichtsystemen zoals camera observatie op de werkvloer, of het invullen van beoordelingsformulieren, zonder druk te voelen om toestemming te verlenen. Daarom is WP29 van mening dat het voor werknemers problematisch is om persoonsgegevens van huidige of toekomstige werknemers te verwerken op basis van toestemming, omdat het onwaarschijnlijk is dat deze vrijelijk wordt verleend. Voor de merendeel van dergelijke gegevensverwerking op het werk, kan en mag de rechtsgrond geen toestemming van de werknemers zijn (artikel 6, lid 1, onder
11. a)vanwege de aard van de relatie tussen werkgever en werknemer. Dit betekent echter niet dat werkgevers nooit kunnen vertrouwen op toestemming als een rechtsgrond voor verwerking. Er kunnen situaties zijn waarin de werkgever kan aantonen dat toestemming daadwerkelijk vrijelijk wordt verleend. Gezien de wanverhouding tussen een werkgever en zijn personeel, kunnen werknemers alleen in uitzonderlijke omstandigheden vrijelijk toestemming geven, en wel wanneer het geen negatieve gevolgen heeft als zij al dan niet toestemming geven. [...] Wanverhoudingen zijn niet beperkt tot overheidsinstanties en werknemers, ze kunnen zich ook voordoen in andere situaties. Zoals WP29 in verschillende adviezen heeft benadrukt, kan "toestemming" alleen rechtsgeldig zijn als de betrokkene een werkelijke keuze heeft en er geen sprake is van bedrog, intimidatie of dwang en de betrokkene ook niet het risico van aanzienlijke negatieve gevolgen (bijvoorbeeld op aanzienlijke extra kosten) loopt wanneer hij of zij niet toestemt. 8 Zie overweging 42 van de AVG, de Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 dd. 28 november 2017 blz. 15 en artikel 7, derde lid, van de AVG. Beslissing ten gronde 114/2024 – 10/71 Toestemming is niet vrij in gevallen waar sprake is van enig element van dwang, druk of niet kunnen uitoefenen van de vrije wil”. 39. De Geschillenkamer benadrukt op grond hiervan dat in een arbeidsrelatie slechts in uitzonderlijke omstandigheden een verwerking kan worden gebaseerd op toestemming. Zij gaat na in hoeverre zich hier een dergelijke omstandigheid voordoet. 40. Op grond van artikel 7.1 AVG moet de verwerkingsverantwoordelijke voorts kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens. 41. De voorwaarden van artikel 7 van de AVG gelden ook voor het begrip toestemming in artikel 9.2 AVG.9 Om te voldoen aan de voorwaarde van artikel 9.2.
12. a)AVG voor uitzondering op het verbod van verwerking van biometrische gegevens van artikel 9.1 AVG geldt – bovenop de voorwaarden die artikel 7 AVG stelt aan de toestemming – dat de betrokkene uitdrukkelijk toestemming moet geven. Met andere woorden, het afleiden van toestemming uit het feit dat iemand niet handelt of niet protesteert, is niet toegestaan. 42. De eerste verweerster heeft in haar antwoord van 5 augustus 2022 bevestigd aan de Inspectiedienst dat eerdere versies van het arbeidsreglement daterend van voor de versie van juni 2022 geen enkele bepaling omtrent het biometrisch tijdsregistratiesysteem bevatten. Er is dan ook geen sprake van een geïnformeerde toestemming. 43. De eerste verweerster maakt aan de Geschillenkamer de welkomstbrochure over die aan nieuwe werknemers werd bezorgd bij initiële indiensttreding alsook het arbeidsreglement. Door middel van deze documenten wordt de werknemer geïnformeerd over het tijdsregistratiesysteem. Deze documenten werden ondertekend, doch voor ontvangst en niet voor akkoord. Hoewel deze documenten de werknemers enige - beknopte - informatie geven over het tijdsregistratiesysteem, kan op basis hiervan niet worden geconcludeerd dat er sprake is van een ondubbelzinnige toestemming. 44. Daarnaast heeft de eerste verweerster niet aangetoond dat er sprake is van een vrij gegeven toestemming. De welkomstbrochure vermeldt het volgende “[j]e verloning wordt gebaseerd op je tikkingen, vergeet dit dus zeker niet”. Daarnaast stelt artikel 32 van het arbeidsreglement dat het niet naleven van de regels betreffende het tikken kunnen leiden tot het opleggen van straffen. Op basis van het Inspectieverslag stelt de Geschillenkamer vast dat de tijdsregistratie met vingerafdruk het enige middel van tijdsregistratie is dat in werking is. Dit impliceert dat, indien een betrokkene zou weigeren om diens toestemming te geven inzake de tijdsregistratie met vingerafdruk, deze zich zou blootstellen aan sancties zoals bepaald in het arbeidsreglement, aangezien er geen alternatieve methodes voorzien zijn voor tijdsregistratie. Integendeel, het arbeidsreglement stelt zelfs dat alle 9 Richtsnoeren inzake toestemming overeenkomstig Verordening 2016/679 d.d. 28 november 2017, p. 23 Beslissing ten gronde 114/2024 – 11/71 personeelsleden verplicht zijn hun arbeidstijd via Z te registreren, en dat er geen ander systeem bestaat voor de registratie van de arbeidstijd, waardoor er geen keuzevrijheid bestaat in hoofde van de werknemers. Bijgevolg zijn er negatieve gevolgen gekoppeld aan het weigeren van het akkoord van de werknemer. De Geschillenkamer merkt eveneens op dat de klager initieel tewerkgesteld was als uitzendkracht, hetgeen hem in een nog ongunstigere positie stelt om opmerkingen te maken over het tijdsregistratiesysteem. 45. De eerste verweerster is van mening dat de medewerkers toestemming hebben gegeven voor het gebruik van hun vingerafdrukken en dat ook nooit iemand daar bezwaar tegen heeft gemaakt. De eerste verweerster stelt dat het badgesysteem als onhandig werd ervaren voor werknemers en dat zij enkel goede bedoelingen had. Bovendien konden de werknemers ook aangeven een alternatieve wijze van tijdsregistratie te wensen, zo betoogt de eerste verweerster. De eerste verweerster is daarmee van mening dat de werknemers vrijelijk hun toestemming hebben kunnen geven. 46. De Geschillenkamer volgt deze zienswijze niet. Gezien de afhankelijkheid die het gevolg is van de relatie tussen werkgever en werknemer, is het onwaarschijnlijk dat de werknemer zijn of haar toestemming vrijelijk kan verlenen. De Geschillenkamer verwijst in deze context naar de Richtlijnen omtrent toestemming 10 van de EDPB waarin wordt gesteld dat er sprake kan zijn van een onevenwichtige machtsverhouding in een arbeidscontext. Aangezien het in casu een werkgever/werknemersrelatie betreft, is het onwaarschijnlijk dat de betrokkene als werknemer zijn toestemming kan weigeren zonder vrees of reëel risico op schadelijke gevolgen. De Geschillenkamer merkt ook op dat de welkomstbrochure, noch het arbeidsreglement ten tijde van de tewerkstelling van de klager, vermelden dat alternatieve wijzen van tijdsregistratie kunnen worden aangevraagd. Tijdens de hoorzitting maakt de eerste verweerster evenwel documenten over waaruit blijkt dat het litigieuze tijdsregistratiesysteem werd stopgezet in navolging van de vaststellingen van de Inspectiedienst. 47. Op grond van de volgende feiten komt de Geschillenkamer tot de conclusie dat de eerste verweerster niet heeft aangetoond dat haar werknemers uitdrukkelijk toestemming hebben gegeven voor de verwerking van hun biometrische gegevens. De vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting is niet vast komen te staan. 48. De Geschillenkamer concludeert dus dat de eerste verweerster het principieel verbod op het verwerken van bijzondere categorieën persoonsgegevens in onderhavige zaak heeft geschonden aangezien ze geen beroep kan doen op artikel 6.1.
13. a)j° artikel 9.2.
14. a)van de AVG voor de litigieuze verwerking van bijzondere categorieën van persoonsgegevens, namelijk de tijdsregistratie op basis van biometrische gegevens. Bijgevolg is er sprake van een 10 https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent en.pdf. Beslissing ten gronde 114/2024 – 12/71 schending van artikel 9.1, j° artikel 6.1.
15. a)en artikel 9.2.
16. a)AVG. Het feit dat de litigieuze verwerkingen werden gestaakt ingevolge de vaststellingen van de Inspectiedienst verhindert de vaststelling van de historische inbreuk niet. II.2. 49. Beginsel van doelbinding (artikel 5.1,
17. b)AVG) t.a.v. de eerste verweerster Voor zoveel als nodig herinnert de Geschillenkamer eraan dat persoonsgegevens alleen mogen worden verzameld en verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Wanneer de gegevens later voor een ander doel worden gebruikt, dan moet dat nieuwe doel verenigbaar zijn met het oorspronkelijke verzameldoel. Het beginsel van doelbinding kent dus twee elementen: a. de doeleinden waarvoor persoonsgegevens worden verwerkt, moeten welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn; en b. wanneer persoonsgegevens verzameld worden, mogen zij niet verder verwerkt worden op een manier die onverenigbaar is met die doeleinden. Op die manier zorgt het beginsel van doelbinding ervoor dat er grenzen worden vastgesteld voor het gebruik van persoonsgegevens, rekening houdende met de redelijke verwachtingen van de betrokkenen en het feit dat verder gebruik voor andere doeleinden, dan die waarvoor de gegevens initieel werden verzameld, ook nuttig kan zijn. 50. Tijdens het Inspectieonderzoek heeft de eerste verweerster verwezen naar vier doeleinden: - registratie van de arbeidstijd waardoor loonstrookjes kunnen worden opgesteld; - voorkomen van fraude bij tijdsregistratie; - veiligheidsredenen, onder meer om te allen tijde te weten hoeveel mensen er op de productielocatie aanwezig zijn ingeval van brand of in geval van controle van de wisseling van opeenvolgende ploegen; en 51. controle op de toegang tot het gebouw van de werkgever. De Inspectiedienst stelt vast dat het vierde doeleinde (toegangscontrole tot het gebouw) in geen enkel ander document terug te vinden is en dat uit het schrijven van de eerste verweerster blijkt dat de verwerking voor dit doeleinde nog niet was gerealiseerd. Het betreft dus een potentiële verdere verwerking waarvan het doeleinde krachtens artikel 5.1.
18. b)en artikel 6.4 AVG niet onverenigbaar mag zijn met de oorspronkelijke doeleinden. De Inspectiedienst concludeert dat verwerking voor toegangscontrole slechts in zeer beperkte gevallen mogelijk zal zijn, gelet op het feit dat het biometrische gegevens betreft, en wijst erop dat de initiële verzameling reeds onrechtmatig was. De Inspectiedienst verwijst naar het arbeidsreglement (versie juni 2022) waarin op twee plaatsen wordt verwezen naar dezelfde drie doeleinden als in het antwoord van de eerste verweerster: tijdsregistratie (incl. loonadministratie), fraudebestrijding en veiligheid. In het verwerkingsregister is echter Beslissing ten gronde 114/2024 – 13/71 slechts één doeleinde terug te vinden, nl. tijdsregistratie. In de welkomstbrochure vindt de Inspectiedienst twee doeleinden terug, nl. tijdsregistratie en veiligheidsredenen. De Inspectiedienst werpt op dat het doeleinde van fraudebestrijding ontbreekt in de welkomstbrochure. Dit is van belang voor de Inspectiedienst omdat dit het enige document is waarvan de eerste verweerster kan aantonen dat het aan de klager ter kennis werd gebracht voorafgaand aan de verwerking. De Inspectiedienst stelt dan ook vast dat niet voldaan is aan de voorwaarde van de verzameling voor ‘welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden’. 52. Tot slot concludeert de Inspectiedienst dat geen enkel doeleinde voldoet aan de voorwaarde van gerechtvaardigdheid zoals bepaald in artikel 5.1.
19. b)AVG. Aangezien de initiële verwerking onrechtmatig was, is ieder doeleinde waarvoor de gegevens worden verzameld onrechtmatig. Bijgevolg stelt het Inspectieverslag dan ook dat de door de eerste verweerster aangehaalde doeleinden in alle gevallen niet gerechtvaardigd zijn, en in sommige gevallen daarenboven ook niet welbepaald en duidelijk omschreven zijn. 53. De eerste verweerster voert aan dat zij rekening heeft gehouden met deze conclusie en dat zij voornemens is deze op te volgen. Zij schorste daarom onmiddellijk alle toekomstige projecten met betrekking tot de biometrische beveiliging van haar bedrijfssite. 54. De Geschillenkamer gaat hieronder na of aan het beginsel van doelbinding voldaan is. Een welbepaald doeleinde 55. Zoals reeds gesteld dient een doeleinde welbepaald te zijn, wat betekent dat het verwerkingsdoeleinde moet bepaald zijn vooraleer de gegevens worden verkregen. Ingevolge artikel 13.1 AVG dient de verwerkingsverantwoordelijke, in geval van verkrijgen van de persoonsgegevens bij de betrokkene, bij de verkrijging het verwerkingsdoeleinde mee te delen.11 Bijgevolg voldoen enkel de twee doeleinden “tijdsregistratie” en “veiligheid van de bedrijfssite” aan deze voorwaarde, aangezien deze aan de klager werden meegedeeld in de welkomstbrochure. Een uitdrukkelijk welomschreven doeleinde 56. Het uitdrukken van de doeleinden kan op verschillende manieren gebeuren, zoals een beschrijving van de doeleinden in een kennisgeving aan de betrokkenen.12 De Geschillenkamer stelt dat het meedelen van de doeleinden in de welkomstbrochure kan voldoen aan deze voorwaarde. Daarnaast stelt de Geschillenkamer dat het voor de gemiddelde burger begrijpelijk is wat de doeleinden “tijdsregistratie” en “veiligheid van de bedrijfssite” inhouden. 11 https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203 en.pdf, p. 17. 12 https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203 en.pdf, p. 18. Beslissing ten gronde 114/2024 – 14/71 Een gerechtvaardigd doeleinde 57. De persoonsgegevens moeten worden verkregen of verzameld voor gerechtvaardigde doeleinden. Opdat de doeleinden gerechtvaardigd zouden zijn, moet de verwerking - in alle verschillende stadia en op elk ogenblik te allen tijde - gebaseerd zijn op ten minste één van de in artikel 6 genoemde rechtsgronden.13 Aangezien in onderdeel II.1 reeds werd vastgesteld dat de verwerking niet rechtmatig is, is er ook geen sprake van een gerechtvaardigd doeleinde. 58. Gelet op het bovenstaande oordeelt de Geschillenkamer dat er sprake is van een inbreuk op artikel 5.1.
20. b)AVG. II.3. Beginsel van minimale gegevensverwerking (artikel 5.1.
21. c)AVG t.a.v. de eerste verweerster 59. Het beginsel van minimale gegevensverwerking zoals bepaald in artikel 5.1.
22. c)AVG stelt dat de verwerkte persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Hieruit volgt dat de persoonsgegevens alleen mogen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere manier kan worden verwezenlijkt. De verwerking moet evenredig zijn aan het beoogde doel. 60. De Inspectiedienst stelt vast dat de eerste verweerster geen enkel intern document of bewijs van beraadslaging of besluitvorming kan voorleggen dat de uitvoering van een evenredigheidstoets aantoont. De Inspectiedienst komt dan ook tot de conclusie dat de eerste verweerster niet heeft onderzocht of de nagestreefde doelstelling niet redelijkerwijs op een andere wijze had kunnen plaatsvinden, zoals bijvoorbeeld met behulp van multifactorauthenticatie. 61. Voor wat betreft het doeleinde “bestrijding van fraude” stelt de Inspectiedienst vast dat het systeem van tijdsregistratie niet proportioneel is aan het fraudegeval dat de aanleiding was tot het invoeren van het litigieuze systeem. Dat incident ging over een werknemer die het werk voortijdig had verlaten en in het papieren aanwezigheidsregister onterecht had getekend voor het einde van de dag. De Inspectiedienst voert aan dat een minder ingrijpend controlesysteem ook had volstaan om dergelijke fraudegevallen op te sporen en te voorkomen. 62. Voor wat betreft het doeleinde “veiligheid van het personeel”, te weten de zekerheid dat de machines systematisch door een werknemer worden gevolgd, ziet de Inspectiedienst geen duidelijk verband tussen het genoemde doeleinde en het middel (de litigieuze tijdsregistratie) aangezien de aanwezigheid van een werknemer op de bedrijfssite niet 13 https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2013/wp203 en.pdf, p. 19. Beslissing ten gronde 114/2024 – 15/71 gelijkstaat met de systematische bemanning van een bepaalde machine, te meer omdat uittikken voor pauzes niet nodig is volgens de welkomstbrochure. In de zin dat brandveiligheid ook begrepen moet worden onder de doelstelling “veiligheid van het personeel” begrijpt de Inspectiedienst wel het belang van een correct aanwezigheidsregister. De Inspectiedienst werpt hierbij evenwel op dat het bij een evacuatie vooral van belang is om te weten hoeveel mensen aanwezig zijn in het gebouw en in ondergeschikte orde hun identiteit. 63. In haar conclusies verbindt de eerste verweerster zich ertoe om het tijdsregistratiesysteem op basis van biometrische gegevens onmiddellijk te stoppen. De eerste verweerster licht toe dat haar klanten veeleisend zijn op het punt van veiligheid, waardoor zij vereisen dat zij een hele reeks certificeringen verkrijgt, waarvoor tal van voorwaarden inzake veiligheid gelden. Hiertoe maakt de eerste verweerster twee documenten over. Zij voert aan dat de omgeving waarin zij moet opereren zeer beperkend is en dat dat haar ertoe gebracht heeft om te werken met het litigieuze systeem van tijdsregistratie. 64. De Geschillenkamer herinnert eraan dat bij het beoordelen van de noodzaak om gevoelige persoonsgegevens, zoals biometrische gegevens, te gebruiken om arbeidstijdregistraties bij te houden, de beschikbare middelen in overweging genomen moeten worden die hetzelfde doel bereiken met minder inbreuk op de privacy van de werknemers. Aangenomen kan worden dat werkgevers kunnen beschikken over tal van middelen voor het aan- en afmelden van werknemers in een loonlijstsysteem dat niet gebaseerd is op biometrische of andere gevoelige persoonlijke informatie. Voorbeelden zijn prikklokken, personeelskaarten en toegangscodes. Voorts kunnen de bovengenoemde middelen worden gemengd met een zogenaamde steekproefsgewijze controle of controle-instantie bij de ingang van de werkplek. De Geschillenkamer begrijpt dat de eerste verweerster moet voldoen aan hoge eisen van haar klanten, maar is tegelijkertijd van oordeel dat de verwerking van bijzondere persoonsgegevens niet noodzakelijk is voor het bereiken van de doeleinden van de eerste verweerster - namelijk tijdsregistratie, fraudebestrijding of veiligheid van het personeel - en dat deze doeleinden kunnen worden bereikt door andere en minder strenge maatregelen die geen systematische verwerking van de biometrische gegevens van de werknemers vereisen. 65. De Geschillenkamer benadrukt dat het gebruik van biometrische informatie om een persoon op een unieke manier te identificeren over het algemeen aan zeer strikte beperkingen is onderworpen. Dit is met name relevant wanneer andere, minder strenge maatregelen niet volstaan en kan relevant zijn wanneer de verwerking bedoeld is voor toegangscontrole van bepaalde zones op de werkplek vanwege speciale veiligheidsoverwegingen, zoals de behandeling van levensmiddelen of gevaarlijke stoffen Beslissing ten gronde 114/2024 – 16/71 (artikel 9.2.
23. g)AVG). Dergelijke omstandigheden zijn in casu niet aan de orde. Bijgevolg oordeelt de Geschillenkamer dat er sprake is van een inbreuk op de artikelen 5.1.
24. c)AVG. II.4. Beginsel van opslagbeperking (artikel 5.1.
25. e)AVG) t.a.v. de eerste verweerster 66. Overeenkomstig artikel 5.1.
26. e)AVG moeten persoonsgegevens "worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is". Concreet wil dit zeggen dat eens het doeleinde van de verwerking is vervuld, of wanneer de rechtsgrond vervalt (bijvoorbeeld door de intrekking van de toestemming door de betrokkenen, of het wegvallen van het zwaarwegend algemeen belang), de betrokken biometrische gegevens verwijderd moeten worden. Dit sluit evenwel niet uit dat de gegevens langer worden bewaard ingevolge een wettelijke verplichting of wanneer deze gegevens noodzakelijk zijn in het kader van een rechtsvordering. 67. Het Kenniscentrum van de GBA wijst erop dat de ruwe biometrische gegevens die worden verzameld in het kader van de eerste inzamelingsfase van een biometrisch systeem (registratiefase) in principe onmiddellijk verwijderd moeten worden zodra de biometrische template werd aangemaakt. Daarnaast mogen de gegevens die worden verzameld tijdens de tweede inzamelingsfase niet langer worden bewaard dan de tijd die nodig is om de ingezamelde gegevens te vergelijken met de referentie-informatie.14 68. Voor wat betreft het beginsel van opslagbeperking, ontvangt de Inspectiedienst geen verwijzing naar de bewaringstermijn van de eerste verweerster. Uit bijlage 10 bij het arbeidsreglement (versie juni 2022) en uit het verwerkingsregister leidt de Inspectiedienst af dat de gegevens worden bewaard zolang de arbeidsverhouding duurt. Deze documenten maken echter geen onderscheid tussen de ruwe biometrische gegevens en de hieruit afgeleide templates. Op basis van zijn onderzoek concludeert de Inspectiedienst dat de bewaartermijnen van de ruwe biometrische gegevens overeen lijken te stemmen met de door het Kenniscentrum van de GBA vooropgestelde principes. De Inspectiedienst stelt dat verdergaand onderzoek niet proportioneel is aangezien de litigieuze verwerking al op verschillende punten onrechtmatig is gebleken. 69. De Geschillenkamer merkt op dat de Inspectiedienst geen inbreuk hieromtrent heeft vastgesteld en ziet geen reden om hieromtrent een ander standpunt in te nemen. De Geschillenkamer oordeelt dan ook dat er geen inbreuk is op artikel 5.1.
27. e)AVG. 14 Aanbeveling betreffende de verwerking van biometrische gegevens, p. 35 te raadplegen https://www.gegevensbeschermingsautoriteit.be/publications/aanbeveling-nr.01-2021-van-1-december-2021.pdf. via Beslissing ten gronde 114/2024 – 17/71 II.5. Informatieverplichtingen (artikel 5.1.
28. a)j° artikelen 12.1 en 13 AVG) t.a.v. de eerste verweerster 70. De Inspectiedienst stelt tijdens zijn onderzoek vast dat niet voldaan zou zijn aan de informatievereisten uit artikel 12.1 en artikel 13 AVG, dewelke vereisen dat de informatie verstrekt moet worden aan de betrokkenen bij de verkrijging van de persoonsgegevens. 71. Op basis van de artikelen 12.1, 13.1 en 13.2 van de AVG is het noodzakelijk dat de eerste verweerster als verwerkingsverantwoordelijke aan de betrokkenen beknopte, transparante en begrijpelijke informatie bezorgt over de persoonsgegevens die verwerkt worden. De voormelde transparantieverplichtingen vormen een concretisering van de algemene transparantieverplichting van artikel 5.1.
29. a)van de AVG. De Geschillenkamer zal onderzoeken of de eerste verweerster haar informatieverplichtingen heeft nageleefd. 72. De Geschillenkamer leest in het Inspectieverslag dat de Inspectiedienst concludeert tot een schending van artikel 12.1 en 13 AVG aangezien de welkomstbrochure, het enige document met informatie over de litigieuze verwerking dat bij indiensttreding werd bezorgd aan de klager, niet alle door de AVG vereiste informatie bevatte. Artikel 13 AVG stipuleert welke informatie de verwerkingsverantwoordelijke moet verstrekken aan de betrokkene wanneer deze gegevens bij die persoon worden verzameld, en dit bij de verkrijging van de persoonsgegevens. Uit de welkomstbrochure kan de Inspectiedienst enkel de volgende informatie voor de betrokkene afleiden: de categorie van verwerkte persoonsgegevens, één van de doeleinden van de tijdsregistratie expliciet (nl. tijdsregistratie via vingerafdruk) en één doeleinde impliciet (nl. de veiligheid van het personeel). Bij een tweede bevraging hieromtrent heeft de eerste verweerster geen nieuwe elementen aangereikt. 73. Volgens de vaststellingen van de Inspectiedienst verwees het arbeidsreglement (versie 2020), dat aan de klager werd bezorgd bij zijn indiensttreding, enkel naar het gebruik van “elektronische registratieapparaten” voor de meting en de controle van de arbeid en bevat deze enkel de volgende verwijzing naar het gegevensbeschermingsrecht: “De wet ter bescherming van de persoonlijke levenssfeer van 8 december 1992 en/of de Algemene Verordening Gegevensbescherming (AVG of GDPR) zal worden gerespecteerd bij de verwerking van persoonlijke gegevens”. 74. Bovenstaande informatieverstrekking voldeed volgens de Inspectiedienst niet aan de informatieverplichtingen ex artikel 12.1 en 13 AVG. De eerste verweerster voert aan in haar conclusies dat, van zodra het inspectieonderzoek liep, zij onmiddellijk de maat genomen heeft van de verplichtingen waaraan zij moest voldoen. Daarom is zij begonnen met het aanpassen van haar werkregels; zij zal deze blijven corrigeren. 75. De Geschillenkamer zal beoordelen of voldaan is aan de informatieverplichtingen ex artikel 13 AVG j° artikel 12.1 AVG. Na onderzoek van de door de eerste verweerster overgemaakte Beslissing ten gronde 114/2024 – 18/71 conclusies met bijhorende stukken merkt de Geschillenkamer op dat de eerste verweerster inderdaad stappen hieromtrent genomen heeft. Dit blijkt uit het feit dat zij bij haar conclusies een in 2022 gewijzigd arbeidsreglement heeft overgemaakt. Gelet op het Inspectieverslag stelt de Geschillenkamer vast dat, op het moment van indiensttreding van de klager, de welkomstbrochure de enige bron van informatie was voor de werknemers, zulks totdat het arbeidsreglement werd aangepast in juni 2022 (hierna: “arbeidsreglement (versie 2022)”). De Geschillenkamer zal dus eerst de welkomstbrochure bespreken zoals het van toepassing was op het moment van indiensttreding van de klager en vervolgens het arbeidsreglement (versie 2022), onder andere in functie van het litigieuze systeem van tijdsregistratie. Welkomstbrochure 76. De welkomstbrochure verstrekt de volgende informatie omtrent de litigieuze verwerking: “We maken gebruik van een tijdsregistratiesysteem via vingerafdruk. Na het onthaalmoment zal je geregistreerd worden en dan is het de bedoeling bij aanvang en einde van je shift in en uit te tikken. We hebben een korte shiftoverdracht, waardoor je minstens voor 5 minuten voor aanvang dient ingetikt te zijn. Je verloning wordt gebaseerd op je tikkingen, vergeet dit dus zeker niet. Tijdens je pauze dien je niet uit- of in te tikken, behalve wanneer je het terrein verlaat. Dit is om veiligheidsredenen”. 77. Wat betreft de vermelding van de identiteit van de verwerkingsverantwoordelijke in het de welkomstbrochure, stelt de Geschillenkamer vast dat de identiteit van de eerste verweerster als werkgever impliciet naar voor wordt geschoven als verwerkingsverantwoordelijke, al merkt de Geschillenkamer op dat het tot aanbeveling strekt om dit expliciet te vermelden. De Geschillenkamer stelt verder vast dat de welkomstbrochure niet voldoet aan andere informatieverplichtingen. Voor wat betreft onder andere de bewaartermijnen (artikel 13.2.
30. e)AVG), doeleinden en rechtsgrond (artikel 13.1.
31. c)AVG) stelt de Geschillenkamer vast dat deze niet (op afdoende wijze) werden opgenomen in de welkomstbrochure. Aangezien de eerste verweerster zich – weliswaar onrechtmatig – beroept op toestemming op basis van artikel 6.1.
32. a)en artikel 9.2.
33. a)AVG, diende ook meegedeeld te worden aan de betrokkenen dat zij het recht hadden om hun toestemming in te trekken (artikel 13.2.
34. c)AVG). Wat betreft de vermelding van de mogelijkheid om een klacht in te dienen bij de GBA (art. 13.2.
35. d)AVG), stelt de Geschillenkamer vast dat dit evenmin vermeld is in de welkomstbrochure. 78. Gelet op het bovenstaande concludeert de Geschillenkamer dat de welkomstbrochure niet voldoet aan de informatieverplichtingen zoals voorgeschreven door artikel 13 AVG en dat de informatie die in de welkomstbrochure opgenomen is niet op transparante en begrijpelijke wijze is opgenomen zoals bepaald in artikel 12.1 AVG. Beslissing ten gronde 114/2024 – 19/71 Arbeidsreglement (versie 2022) 79. De eerste verweerster werpt op reeds stappen ondernomen te hebben om haar informatieverplichtingen na te leven, door het aanpassen van het arbeidsreglement. De Geschillenkamer stelt vast dat het arbeidsreglement (versie 2022) een bijlage 10 genaamd “GDPR en privacybeleid voor werknemers” bevat. 80. In het arbeidsreglement (versie 2022) stelt de Geschillenkamer het volgende vast met betrekking tot informatieverplichtingen inzake de verwerking van de biometrische gegevens. 81. Voor wat betreft de doeleinden van en de rechtsgrond voor de verwerking (artikel 13.1.
36. c)AVG) stelt de Geschillenkamer vast dat het arbeidsreglement (versie 2022) stipuleert dat de biometrische gegevens en tijdregistratie-informatie via vingerafdrukken worden verwerkt op basis van artikel 6.1.
37. f)AVG, namelijk “de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van [eerste verweerster], waaronder (
38. i)de bescherming van het bedrijf door middel van een solide tijdsregistratiesysteem (
39. ii)het waarborgen van de veiligheid van het personeel, (iii) het controleren en vergemakkelijken van de toegang tot de bedrijfsruimten. Voor wat betreft de rechtmatigheid van de verwerkingsgrond en de toepasselijke rechtsgrond verwijst de Geschillenkamer naar onderdeel II.1. Voorts stelt de Geschillenkamer vast dat het arbeidsreglement (versie 2022) voldoet aan de informatieverplichtingen ex artikel 13 AVG. De informatie wordt ook schematisch weergegeven waardoor deze op beknopte, transparante en begrijpelijke wijze toegankelijk is voor de betrokkene (artikel 12.1 AVG). 82. De Geschillenkamer stelt op basis van bovenstaande vast dat de eerste verweerster een inbreuk heeft gepleegd op artikel 12.1 AVG j° artikelen 13.1.c), 13.2.c),
40. d)en
41. e)AVG voor het gebrek aan transparantie in de welkomstbrochure en op artikel 12.1 AVG j° artikel 13.1.
42. c)voor wat betreft het arbeidsreglement