Biometrische gegevens – Aanbeveling GBA onderstreept gebrek aan rechtsgrond

Op 1 december 2021 publiceerde de Belgische Gegevensbeschermingsautoriteit (de GBA) – na een openbare raadpleging – de finale versie van haar aanbeveling over de verwerking van biometrische gegevens.


Nathalie Ragheno, COMPETENTIECENTRUM RECHT & ONDERNEMING
14 december 2021

De bedoeling daarvan is om de verwerkingsverantwoordelijken en de verwerkers richtsnoeren te geven over hoe ze de GDPR moeten interpreteren en naleven wanneer ze dit soort gegevens verwerken. De GDPR beschouwt die biometrische gegevens namelijk als gevoelig, wat betekent dat het in principe verboden is om ze te verwerken, behalve als de verwerkingsverantwoordelijke een rechtsgrond kan inroepen.

Biometrische gegevens zijn gegevens met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens.

Er is een uitzondering voorzien waardoor die gegevens wel gebruikt mogen worden voor de toegang tot persoonlijke toestellen (bijvoorbeeld smartphone, tablet enz.) maar de aanbeveling heeft het niet over het gemengd gebruik van apparatuur voor zowel professioneel als privégebruik.

De aanbeveling onderzoekt 2 mogelijke rechtsgronden voor de verwerking van biometrische gegevens: de expliciete toestemming van de betrokken persoon en het “zwaarwegend algemeen belang” dat kan worden ingeroepen door de verwerkingsverantwoordelijke.

Het zwaarwegend algemeen belang kan op dit moment echter enkel worden ingeroepen in het kader van de verwerking van biometrische gegevens voor de Belgische elektronische identiteitskaart (eID) en het Europees paspoort. Er is op dit moment geen enkele wet die het gebruik van biometrische gegevens toestaat omwille van het zwaarwegend algemeen belang.

Bovendien is het weinig waarschijnlijk dat werkgevers de geldige toestemming van hun werknemers zullen kunnen aanvoeren om dit soort gevoelige gegevens te behandelen, aangezien die vermoedelijk niet vrijelijk werd gegeven.

Als gevolg van die lacune in het Belgisch recht gebeuren de meeste verwerkingen van biometrische gegevens vandaag zonder rechtsgrond. De Belgische wetgever zou de verwerkingsmodaliteiten van die gegevens dus zo snel mogelijk in een wet moeten vastleggen, voor zover hij het gebruik van die gegevens wil (blijven) toestaan in een welomschreven context.

Er moet bijzondere aandacht gaan naar de evenredigheid van de verwerking van biometrische gegevens. Ze mogen enkel worden verwerkt als de verwerkingsverantwoordelijke kan aantonen dat er geen andere, minder invasieve manieren zijn om de vooropgestelde doeleinden te bereiken.

VBO – Aangezien deze vereiste van rechtsgrond afwijkt van het stelsel dat van kracht was vóór de GDPR, had de GBA in de voorlopige versie van haar aanbeveling een redelijk korte overgangsperiode van 1 jaar voorzien om de wetgever toe te staan om voor tal van verwerkingen een rechtsgrond te voorzien. Het VBO betreurt het weinig pragmatische karakter van deze aanbeveling die geen rekening houdt met de praktijk van de ondernemingen en vindt het jammer dat er in de definitieve versie van de aanbeveling geen sprake meer is van de overgangsperiode.

Onze partners

Actiedomeinen

Een gezond ondernemingsklimaat is essentieel voor een gezonde economie en duurzame groei in België. Als VBO nemen we de verantwoordelijkheid om de motor van onze welvaartsstaat op kruissnelheid te houden. Om dat te bereiken, focussen we op 18 actiedomeinen die bijdragen tot een duurzame groei.


VBO-NIEUWSBRIEVEN EN PERSBERICHTEN

Schrijf u nu in en ontvang wekelijks de laatste artikelen direct in uw mailbox.