Rechterlijke beslissing, Gegevensbeschermingsautoriteit, 2024-09-06

Geschillenkamer
Beslissing ten gronde 114/2024 van 6 september 2024
Dossiernummer : DOS-2022-00896
Betreft: : Tijdsregistratie via biometrische gegevens op het werk
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer Hielke Hijmans, voorzitter, en de heren Dirk Van Der Kelen en Jelle Stassijns, leden;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna AVG;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, hierna WOG;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op 15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, vertegenwoordigd door Mr. Gert Buelens, kantoorhoudende te 2800 Mechelen, Nekkerspoelstraat 97, hierna “de klager”;
De verweersters: Y1, vertegenwoordigd door Mr. Meester Bernard Dewit, kantoorhoudende te 1050 Brussel, Albert Leemansplein 20, hierna “de eerste verweerster”;
Y2, vertegenwoordigd door Mr. Jos De Wachter en Mr. Charlotte Peeters, kantoorhoudende te 3600 Genk, Jaarbeurslaan 19, bus 3, hierna “de tweede verweerster”;
samen “de verweersters” genoemd.
I. Feiten en procedure
1. Op 3 februari 2022 dient de klager een klacht in bij de Gegevensbeschermingsautoriteit tegen de eerste verweerster. Deze was in eerste instantie niet ontvankelijk. De klacht werd opnieuw neergelegd en ontvankelijk verklaard op 29 maart 2022.
De klager was werkzaam bij de eerste verweerster van maart 2021 t.e.m. 24 februari 2022, aanvankelijk als uitzendkracht en vanaf juni 2021 als werknemer met een contract van onbepaalde duur. Op 16 maart 2020 introduceerde de eerste verweerster op haar beide sites voor alle daar werkzame personeelsleden een systeem van tijdsregistratie met behulp van vingerafdruk. Volgens de eerste verweerster is het systeem op die manier van toepassing op een 200-tal werknemers, waarvan 44 bedienden, 74 arbeiders, 29 uitzendkrachten en voor het overige deel “buitenlandse werknemers”. De leverancier van het systeem (de tweede verweerster) is een dochtervennootschap van een internationale groep met hoofdvestiging in Japan en activiteiten in o.a. de Verenigde Staten en China. De klager meent dat de verwerking van zijn vingerafdrukken (één van elke hand) zijn recht op bescherming van persoonsgegevens schendt doordat hij de vingerafdrukken niet vrijwillig heeft afgegeven en omdat hij niet op de hoogte is gesteld van de modaliteiten van de opslag van de gegevens en de bewaartermijn. De klager drukt ten slotte in zijn klacht ook zijn ongerustheid uit over een eventuele doorgifte naar een derde land dat geen passende waarborgen biedt, gezien de geografische locatie van de zetel van de moedervennootschap van de eerste verweerster.
2. Op 29 maart 2022 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op grond van de artikelen 58 en 60 WOG en wordt de klacht op grond van artikel 62, § 1 WOG overgemaakt aan de Geschillenkamer.
3. Op 21 april 2022 wordt overeenkomstig artikel 96, § 1 WOG het verzoek van de Geschillenkamer tot het verrichten van een onderzoek overgemaakt aan de Inspectiedienst, samen met de klacht en de inventaris van de stukken.
4. Op 29 augustus 2022 wordt het onderzoek door de Inspectiedienst afgerond, wordt het verslag bij het dossier gevoegd en wordt het dossier door de inspecteur-generaal overgemaakt aan de Voorzitter van de Geschillenkamer (artikel 91, § 1 en § 2 WOG).
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht en doet de volgende vaststellingen in hoofde van de eerste verweerster:
1. een schending van artikel 5.1, a), 6.1 en 9.1 AVG;
2. een schending van artikel 5.1, b) AVG;
3. geen schending van art. 5.1, c) AVG;
4. een schending van artikel 5.1, a) j° 12.1 en 13 AVG;
5. een schending van artikel 5.1, a) j° 12.1 en 15 AVG;
6. een schending van artikel 5, lid 2 AVG;
7. een schending van artikel 28, lid 3 AVG;
8. een schending van artikel 28, lid 1 AVG;
9. een schending van artikel 32 AVG;
10. een schending van artikel 35 AVG;
11. geen aanwijzingen voor eventuele doorgiften van de biometrische gegevens naar derde landen of internationale organisaties.
Het verslag bevat vaststellingen met betrekking tot het voorwerp van de klacht in hoofde van de tweede verweerster en stelt dat de tweede verweerster haar verplichting krachtens artikel 28.3 AVG tot het afsluiten van een geldige verwerkingsovereenkomst niet is nagekomen.
Het verslag bevat daarnaast vaststellingen die verder gaan dan het voorwerp van de klacht.
De Inspectiedienst stelt, in hoofdlijnen, vast dat:
1. er sprake is van een inbreuk op artikel 30 AVG in hoofde van de eerste verweerster wegens het niet houden van een verwerkingsregister voorafgaand aan het Inspectieonderzoek en wegens de gebrekkige inhoud van het huidige verwerkingsregister;
2. er sprake is van een schending van de plicht tot het aanstellen van een functionaris voor gegevensbescherming op grond van artikel 37.1, b) en c) AVG in hoofde van de tweede verweerster.
5. Op 1 september 2022 beslist de Geschillenkamer op grond van artikel 95, § 1, 1° en artikel 98 WOG dat het dossier gereed is voor behandeling ten gronde.
6. Op 1 september 2022 worden de betrokken partijen per aangetekende zending in kennis gesteld van de bepalingen zoals vermeld in artikel 95, § 2, alsook van deze in artikel 98 WOG.
Tevens worden zij op grond van artikel 99 WOG in kennis gesteld van de termijnen om hun verweermiddelen in te dienen.
Voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusie van antwoord van de verweersters vastgelegd op 13 oktober 2022, deze voor de conclusie van repliek van de klager op 3 november 2022 en ten slotte deze voor de conclusie van repliek van de verweersters op 24 november 2022.
Voor wat betreft de vaststellingen buiten het voorwerp van de klacht werd de uiterste datum voor ontvangst van de conclusies van antwoord van de tweede verweerster vastgelegd op 13 oktober 2022.
7. Op 9 september 2022 vraagt de tweede verweerster een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 13 september 2022.
8. Op 25 september 2022 vraagt de klager een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke hem op 5 oktober 2022 werd overgemaakt.
9. Op 25 september 2022 aanvaardt de klager elektronisch alle communicatie omtrent de zaak en geeft hij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
10. Op 28 september 2022 aanvaardt de eerste verweerster elektronisch alle communicatie omtrent de zaak en vraagt zij een kopie van het dossier (artikel 95, § 2, 3° WOG), dewelke haar werd overgemaakt op 5 oktober 2022 en geeft zij te kennen gebruik te willen maken van de mogelijkheid om te worden gehoord, overeenkomstig artikel 98 WOG.
11. Op 13 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de eerste verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. Eerst schetst de eerste verweerster de vertroebelde arbeidsrelatie met de klager.
De vaststellingen van de Inspectiedienst omtrent de rechtmatigheid van de verwerking, het transparantiebeginsel, het beginsel van doelbinding en het beginsel van minimale gegevensverwerking worden niet betwist voor de eerste verweerster. Zij stelt deze inbreuken intussen verholpen te hebben. De verweerster betwist echter de vaststellingen omtrent het recht op inzage van de klager en stelt dat zij in overeenstemming met de AVG geantwoord heeft. De eerste verweerster betwist eveneens de vaststelling dat er geen voldoende veiligheidsmaatregelen genomen werden. Zij heeft een deskundige ter zake ingeschakeld en voldoende documentatie ontvangen om zich te overtuigen van de ernst van de maatregelen genomen door de leverancier (de tweede verweerster).
12. Op 13 oktober 2022 ontvangt de Geschillenkamer de conclusie van antwoord vanwege de tweede verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht. De tweede verweerster voert aan in staat te zijn om de juiste kennis over het systeem te delen. Ook stelt zij tijdig de relevante informatie te hebben overgemaakt aan de eerste verweerster. Voorts voert de tweede verweerster aan dat zij geen persoonsgegevens, en dus ook geen biometrische persoonsgegevens verwerkt aangezien de betrokkenen niet identificeerbaar zijn voor haar, aangezien zij slechts beschikt over versleutelde bestanden. Deze conclusie bevat eveneens de reactie van de tweede verweerster omtrent de vaststellingen die door de Inspectiedienst werden gedaan buiten de scope van de klacht. De tweede verweerster voert aan dat zij noch onder artikel 37.1.b), noch onder artikel 37.1.c) van de AVG verplicht was om een functionaris voor gegevensbescherming aan te stellen. Intussen heeft de tweede verweerster vrijwillig een functionaris voor gegevensbescherming aangesteld.
13. Op 3 november 2022 ontvangt de Geschillenkamer de conclusie van repliek van de klager.
Vooreerst werpt de klager op dat de situatieschets van de eerste verweerder omtrent de arbeidsrelatie tussen hen beide niet ter zake doet in deze procedure. Voor wat betreft de vaststellingen van de Inspectiedienst over het voorwerp van de klacht vraagt hij aan de Geschillenkamer de bevestiging ervan.
14. Op 24 november 2022 ontvangt de Geschillenkamer de conclusie van dupliek van de eerste verweerster voor wat betreft de vaststellingen met betrekking tot het voorwerp van de klacht waarin zij de argumenten van haar conclusie van antwoord herneemt.
15. Op 24...