Naar inhoud

Kennisbank · AI in HR

Mogen wij vingerafdruk- of gezichtsherkenning gebruiken voor tijdregistratie of toegang?

Voor tijdregistratie in de regel niet. Biometrische gegevens om iemand uniek te identificeren zijn bijzondere persoonsgegevens. De Nederlandse uitvoeringswet staat ze alleen toe als dat noodzakelijk is voor authenticatie of beveiliging, en alleen voor zover dat nodig is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen of systemen. De Autoriteit Persoonsgegevens beboette een bedrijf dat vingerafdrukken gebruikte voor aanwezigheids- en tijdsregistratie, en toestemming van werknemers is volgens de AP in principe geen uitweg. Een regeling hierover vraagt instemming van de ondernemingsraad.

Geldt nu (sinds 25 mei 2018)Laatst geverifieerd:

Biometrie is een bijzonder persoonsgegeven

Het verwerken van biometrische gegevens met het oog op de unieke identificatie van een persoon is in beginsel verboden [1].

De Nederlandse uitzondering

Het verbod geldt niet als de verwerking noodzakelijk is voor authenticatie of beveiliging, en slechts voor zover dat noodzakelijk is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen [2].

Tijdregistratie of toegang

Werktijden registreren is iets anders dan de toegang tot een plek beveiligen. De Autoriteit Persoonsgegevens beboette een bedrijf waar werknemers hun vingerafdruk moesten laten scannen voor aanwezigheids- en tijdsregistratie [8]. Een pasje of pincode volstaat daar meestal, zodat biometrie niet noodzakelijk is. Bij toegang tot bijvoorbeeld een kluis, een serverruimte of een afgeschermde opslag van waardevolle of gevaarlijke goederen kan het zwaarwegend belang wel aanwezig zijn. Leg uw afweging vast.

Toestemming

Toestemming van werknemers biedt meestal geen uitweg. Volgens de AP mag een werkgever daar in principe niet om vragen, omdat werknemers afhankelijk zijn van hun werkgever en vaak niet kunnen weigeren [9].

De ondernemingsraad

Een regeling over voorzieningen die geschikt zijn voor controle op aanwezigheid vraagt instemming van de ondernemingsraad [3] [4], net als een regeling over het verwerken van persoonsgegevens van personeel [5].

En de AI-verordening

Een systeem dat alleen bevestigt dat iemand is wie hij zegt te zijn, valt uitdrukkelijk buiten de hoog-risicocategorie voor biometrische identificatie op afstand [6]. Biometrische verificatie is een één-op-één-vergelijking met eerder verstrekte gegevens [7]. De AVG-regels blijven gelden.

Bronnen

  1. [1] AVG art. 9, lid 1 (Algemene verordening gegevensbescherming (AVG)). Verwerking van biometrische gegevens voor unieke identificatie is in beginsel verboden.
    1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
    Bron, opgehaald op 3 oktober 2026.
  2. [2] UAVG art. 29 (Uitvoeringswet AVG). Uitzondering voor biometrie die noodzakelijk is voor authenticatie of beveiliging vanwege een zwaarwegend algemeen belang van rechtmatige toegang.
    Gelet op artikel 9, tweede lid, onderdeel g, van de verordening, is het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of omwille van beveiligingsdoeleinden en slechts voor zover dit noodzakelijk is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen.
    Bron, opgehaald op 3 oktober 2026.
  3. [3] WOR art. 27, lid 1, aanhef (Wet op de ondernemingsraden). Instemming van de OR is nodig voor de regelingen van artikel 27, lid 1.
    De ondernemer behoeft de instemming van de ondernemingsraad voor elk door hem voorgenomen besluit tot vaststelling, wijziging of intrekking van:
    Bron, opgehaald op 3 oktober 2026.
  4. [4] WOR art. 27, lid 1, onder l (Wet op de ondernemingsraden). Instemming is nodig voor een regeling over voorzieningen voor controle op aanwezigheid, gedrag of prestaties.
    l. een regeling inzake voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen;
    Bron, opgehaald op 3 oktober 2026.
  5. [5] WOR art. 27, lid 1, onder k (Wet op de ondernemingsraden). Instemming is nodig voor een regeling over het verwerken van persoonsgegevens van personeel.
    k. een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen;
    Bron, opgehaald op 3 oktober 2026.
  6. [6] AI Act, bijlage III, punt 1, onder a) (AI-verordening (EU) 2024/1689). Biometrische verificatie die alleen bevestigt dat iemand is wie hij zegt te zijn, valt buiten bijlage III, punt 1, onder a).
    a) systemen voor biometrische identificatie op afstand. Dit geldt niet voor AI-systemen die bedoeld zijn om te worden gebruikt voor biometrische verificatie met als enig doel te bevestigen dat een specifieke natuurlijke persoon de persoon is die hij of zij beweert te zijn;
    Bron, opgehaald op 3 oktober 2026.
  7. [7] AI Act art. 3, punt 36 (AI-verordening (EU) 2024/1689). Definitie van biometrische verificatie.
    “biometrische verificatie”: de geautomatiseerde één-op-éénverificatie, met inbegrip van de authenticatie, van de identiteit van natuurlijke personen door hun biometrische gegevens te vergelijken met eerder verstrekte biometrische gegevens;
    Bron, opgehaald op 3 oktober 2026.
  8. [8] AP, nieuwsbericht 30 april 2020 (Autoriteit Persoonsgegevens). De AP oordeelde dat een bedrijf geen vingerafdrukken van werknemers had mogen verwerken voor aanwezigheids- en tijdsregistratie.
    Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdsregistratie. De Autoriteit Persoonsgegevens (AP) heeft na onderzoek geconcludeerd dat het bedrijf geen vingerafdrukken van medewerkers had mogen verwerken.
    Bron, opgehaald op 3 oktober 2026.
  9. [9] AP, nieuwsbericht 30 april 2020 (Autoriteit Persoonsgegevens). Volgens de AP mag een werkgever in principe niet om toestemming voor het verwerken van vingerafdrukken vragen.
    Vraagt een werkgever om toestemming aan medewerkers om hun vingerafdruk te verwerken? Dat mag in principe niet. Medewerkers zijn afhankelijk van hun werkgever, dus vaak niet in een positie om te kunnen weigeren.
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Mogen wij AI gebruiken om de productiviteit of het gedrag van medewerkers te volgen?Heeft onze ondernemingsraad instemmingsrecht als wij een AI-tool voor HR invoeren?Moeten wij een DPIA doen voordat wij AI inzetten bij werving of personeelsbeheer?

Leg één systeem vast en zie welke verplichtingen erop van toepassing zijn, met artikel en bron.

Maak een systeemsnapshot Of vraag een expert

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.