Vingerafdruk of gezichtsscan op het werk: wat is er sinds 1 september veranderd?

Een vingerafdrukscanner bij de prikklok, gezichtsherkenning bij de deur van het magazijn, een handlezer voor de serverruimte. Biometrie is goedkoop geworden en wordt vaak als gemak verkocht. Sinds 1 september 2026 is de wettelijke ruimte daarvoor kleiner. De Verzamelwet gegevensbescherming heeft artikel 29 van de Uitvoeringswet AVG (UAVG) aangescherpt. Dat is de bepaling die een uitzondering maakt op het verbod om biometrische gegevens te verwerken.

Het uitgangspunt is een verbod

Biometrische gegevens waarmee een persoon uniek wordt geïdentificeerd, zijn een bijzondere categorie persoonsgegevens. Artikel 22, eerste lid, UAVG legt overeenkomstig artikel 9, eerste lid, AVG vast dat het verwerken daarvan verboden is. Een vingerafdruk of gezichtsscan die vaststelt wie er voor de lezer staat, valt daaronder. U heeft dus een uitzondering nodig. Voor een werkgever komen er in de praktijk twee in beeld: uitdrukkelijke toestemming van de betrokkene (artikel 22, tweede lid, onder a, UAVG) en de biometrie-uitzondering van artikel 29 UAVG.

Wat er in artikel 29 is veranderd

Tot 1 september gold het verbod niet als de verwerking "noodzakelijk is voor authenticatie of beveiligingsdoeleinden". Artikel I, onderdeel K, van de Verzamelwet gegevensbescherming (Staatsblad 2026, 154) vervangt het woord "beveiligingsdoeleinden". Sindsdien moet de verwerking noodzakelijk zijn "voor authenticatie of omwille van beveiligingsdoeleinden en slechts voor zover dit noodzakelijk is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen". Het inwerkingtredingsbesluit (Staatsblad 2026, 196) zet de wet op 1 september 2026 in werking. Alleen het onderdeel over accountants, artikel 23a, is daarvan uitgezonderd.

De regering leest in de nieuwe tekst een dubbele noodzakelijkheidstoets, die per geval moet worden toegepast. De verwerking moet noodzakelijk zijn voor authenticatie of beveiliging, én noodzakelijk vanwege een zwaarwegend algemeen belang. Volgens de memorie van toelichting geeft die tweede toets invulling aan artikel 9, tweede lid, onder g, AVG. Dat artikel staat een nationale uitzondering alleen toe om redenen van zwaarwegend algemeen belang. De oude tekst van artikel 29 noemde dat belang niet.

Wat telt als zwaarwegend algemeen belang?

De wet geeft geen lijst. Volgens de regering is het "niet goed mogelijk" om het begrip in te vullen met concrete criteria die onder alle omstandigheden betekenisvol zijn. De memorie van toelichting geeft wel richting. Zij noemt de beveiliging van een kerncentrale als aansprekend voorbeeld, en verder het beschermen van de volksgezondheid, het voorkomen van milieuschade en het beveiligen van vitale processen. Bij toegangscontrole denkt de toelichting aan vitale, gevoelige of gevaarlijke locaties, zoals bedrijven in de vitale infrastructuur, aanbieders van essentiële diensten en digitale dienstverleners onder de NIS-richtlijn, en bedrijven of gebieden met veiligheidsrisico's.

Voor de meeste werkgevers staat de belangrijkste zin daar vlak bij. Er moet een belang worden gediend "dat uitstijgt boven louter reguliere bedrijfs- of organisatiebelangen (als efficiëntie of kostenbesparing)". Een vingerafdrukscanner die vooral bedoeld is om uren sneller en goedkoper te registreren, past daar naar onze inschatting niet in.

Ook een organisatie die wel in een van de genoemde sectoren werkt, is er niet automatisch. De toelichting geeft voorbeelden, geen vrijstellingen, en de dubbele toets blijft per geval gelden. Valt u onder de Cyberbeveiligingswet, dan maakt dat biometrie voor de serverruimte dus niet vanzelf toegestaan.

Het gaat bovendien niet alleen om deuren. De toelichting merkt op dat ook toegangsbeveiliging van laptops en telefoons, als authenticatie ter beveiliging van systemen en netwerken, onder artikel 29 kan vallen. Ook dan moet er een belang zijn dat boven efficiëntie of kostenbesparing uitstijgt.

Toestemming van werknemers

Dan de route van uitdrukkelijke toestemming. Die staat niet in artikel 29, maar de toelichting gaat er wel op in. Omdat een werknemer afhankelijk is van de werkgever, is toestemming in deze context volgens de regering alleen in vrijheid gegeven als werknemers een alternatieve manier van toegang krijgen, zoals een wachtwoord of een token, en geen druk ervaren om voor biometrie te kiezen.

Dat alternatief moet dan ook echt bruikbaar zijn. Richt u het zo in dat de pas langzamer of omslachtiger is, of dat iedereen in de praktijk toch de scanner gebruikt, dan is moeilijk vol te houden dat er geen druk was.

Vergeet de ondernemingsraad niet

Heeft uw onderneming een ondernemingsraad, dan speelt er nog iets. Een regeling over de verwerking en bescherming van persoonsgegevens van werknemers, en een regeling over voorzieningen voor controle op aanwezigheid, gedrag of prestaties, vallen onder het instemmingsrecht van artikel 27, eerste lid, onder k en l, van de Wet op de ondernemingsraden. Een biometrisch systeem voor tijdregistratie of toegang raakt daar in de regel aan.

Wat u deze maand kunt nagaan

Gebruikt u al biometrie, of staat er een systeem op de inkooplijst? Begin bij het doel. Schrijf op waarvoor het systeem dient en of een pas, pincode of token hetzelfde bereikt. Lukt dat, dan is de noodzaak onder artikel 29 lastig te onderbouwen. Kunt u wel een zwaarwegend algemeen belang aanwijzen, leg dan vast welk belang dat is, voor welke ruimten of systemen het geldt en waarom een lichter middel niet volstaat. Beperk de biometrie vervolgens tot die plekken. Een goede reden voor de serverruimte is geen reden voor de kantinedeur.

Steunt u op toestemming, kijk dan of het alternatief werkelijk beschikbaar is en of medewerkers dat weten. Kijk ook naar de leverancier: waar de biometrische kenmerken worden opgeslagen, wie erbij kan en wat ermee gebeurt als u overstapt of stopt. Die afspraken horen in het contract en de verwerkersovereenkomst. Over leveranciers met toegang tot gevoelige gegevens schreven we eerder in ons artikel over Shadow AI.

Wilt u eerst een indicatie van waar uw organisatie staat? De Recht & AI Reality Scan laat in ongeveer vier minuten zien waar uw grootste juridische risico ligt. Die uitslag is indicatief. Of uw eigen systeem binnen artikel 29 UAVG past, vraagt een beoordeling van uw situatie. Lees hoe REZA Legal naar privacy en data kijkt, of plan een intake.