Stel: een medewerker meldt dat zijn vingerafdrukgegevens zijn opgeslagen op een server die hij nooit kende, door een systeem dat hij jaren geleden verplicht gebruikte om zijn werkplek binnen te komen. Dat klinkt als een uitzonderingssituatie, maar het komt vaker voor dan organisaties toegeven. Biometrische toegangscontrole wordt breed ingezet in kantoren, ziekenhuizen, logistieke centra en scholen, terwijl de vraag wie die data beheert, hoe lang die bewaard wordt en wat er bij een datalek op het spel staat, lang niet altijd even helder beantwoord is. Wij van Something.be leggen in dit artikel uit hoe de techniek werkt, waarom biometrische data juridisch een aparte categorie vormt, en waar organisaties aan moeten voldoen voordat ze zo’n systeem invoeren.
Drie technieken, één principe
De meest gebruikte vormen van biometrische toegangscontrole zijn vingerafdrukherkenning, gezichtsherkenning en irisscanning. Ze werken verschillend, maar het basisprincipe is hetzelfde: een sensor meet een uniek lichaamskenerk, een algoritme vertaalt dat naar een digitale representatie, en die representatie wordt vergeleken met een opgeslagen referentie.
- Vingerafdruk: optische of capacitieve sensoren leggen de minuutjes vast, de kleine uiteinden en vertakkingen van de huidlijnen. Deze worden omgezet in een wiskundig patroon, een zogenoemde template.
- Gezichtsherkenning: camera’s meten de afstand tussen ogen, neus, mond en kaak. Moderne systemen gebruiken ook diepte-informatie via infrarood om spoofing met een foto te voorkomen.
- Irisscan: de ingewikkeldste en nauwkeurigste van de drie. Een infraroodcamera legt het patroon van de iris vast, dat zo uniek is dat zelfs een eeneiige tweeling er anders uitziet.
De nauwkeurigheid verschilt. Irisscanning heeft de laagste foutmarges, maar vraagt meer van de gebruiker (oogcontact op een vaste afstand) en van de hardware. Vingerafdrukscanners zijn goedkoper en gebruiksvriendelijker, maar gevoeliger voor vuile of beschadigde handen. Gezichtsherkenning werkt contactloos en snel, maar presteert wisselvallig bij slechte belichting of bij personen met bepaalde huidtinten.
Van sensor tot deur: het technische proces
Wat er achter de scanner gebeurt, verloopt globaal in vier stappen.
Stap 1: registratie. Bij de eerste inschrijving scant het systeem jouw kenmerk meerdere keren en maakt er een wiskundige template van. Cruciaal: een goed systeem slaat nooit de ruwe afbeelding op, alleen die wiskundige samenvatting.
Stap 2: opslag. De template wordt opgeslagen, ofwel lokaal op de kaart of de scanner zelf, ofwel centraal in een database. Lokale opslag (op een smartcard of een beveiligd geheugen op de terminal) is privacyvriendelijker, omdat de data niet via een netwerk reist.
Stap 3: vergelijking. Bij elke toegangspoging scant het systeem opnieuw, maakt een nieuwe template en vergelijkt die met de opgeslagen versie via een matching-algoritme. Het systeem geeft een score terug; alleen boven een bepaalde drempelwaarde gaat de deur open.
Stap 4: logging. Vrijwel elk systeem registreert wanneer wie toegang heeft gekregen of geweigerd. Die logbestanden zijn op zichzelf al gevoelige persoonsgegevens.
Het verschil tussen lokale en centrale opslag is geen technisch detail. Bij centrale opslag kunnen honderden of duizenden templates tegelijk worden gestolen als een database wordt gehackt. Bij lokale opslag is de schade bij een lek beperkt tot één persoon.
Waarom biometrie anders is dan een pincode
Een pincode kun je wijzigen. Een wachtwoord kun je resetten. Een lichaamskenerk niet. Als jouw biometrische template gelekt is, kun je niet naar een kantoor bellen voor een nieuwe vinger. Dat is het kernprobleem van biometrische data: de onvervangbaarheid.
Daarbij is de dreiging niet alleen diefstal van de template zelf. Zelfs zonder de ruwe afbeelding kan een gelekte wiskundige representatie in sommige systemen worden terugvertaald naar een bruikbare nep-afdruk. De beveiliging van de template is dus minstens zo belangrijk als de beveiliging van de sensor.
Wat zegt de AVG?
Biometrische data die worden verwerkt met het doel een natuurlijke persoon te identificeren, vallen onder artikel 9 van de AVG als bijzondere persoonsgegevens. Dat betekent dat de normale grondslagen (zoals gerechtvaardigd belang) niet volstaan. Je hebt een uitzondering nodig.
Voor werkgevers die biometrische toegangscontrole willen invoeren, zijn er twee relevante uitzonderingen: uitdrukkelijke toestemming van de betrokkene, of een noodzaak die is neergelegd in lidstatelijk recht. De Nederlandse UAVG en de Belgische privacywetgeving vullen dit anders in. In België laat de wet ruimte onder strikte voorwaarden; in Nederland is de toestemmingsgrond op de werkvloer problematisch, omdat toestemming van een werknemer naar zijn werkgever zelden echt vrij is. De Autoriteit Persoonsgegevens heeft dit meermaals benadrukt.
Wij van Something.be adviseren elke HR-manager of OR die met dit onderwerp te maken krijgt om niet zomaar te vertrouwen op de uitleg van de leverancier. Raadpleeg een privacyjurist voor de specifieke situatie in jouw sector en land.
Proportionaliteit: wanneer schiet het door?
Een biometrisch systeem kan proportioneel zijn bij toegang tot een serverruimte met staatsgeheimen, een kluis bij een juwelier, of een laboratorium met gevaarlijke stoffen. De combinatie van een hoog beveiligingsbelang en een kleine, geïnformeerde groep gebruikers maakt de inzet verdedigbaar.
Maar een vingerafdrukscanner op de ingang van een kantoorgebouw met honderd medewerkers die ook gewoon een badge hadden kunnen gebruiken? Dat is moeilijk te rechtvaardigen. Hetzelfde geldt voor gezichtsherkenning bij een winkelentree om winkeldieven te detecteren, waarbij ook duizenden onverdachte klanten worden gescand. Het doel moet de middelen werkelijk rechtvaardigen, niet alleen aannemelijk maken.
Concrete risico’s voor werknemers en bezoekers
Drie risico’s springen eruit. Ten eerste datalekken: een centrale biometrische database is een waardevol doelwit. Ten tweede functiecreep: data die verzameld wordt voor toegangscontrole, wordt later soms ook gebruikt voor aanwezigheidsbeheer, productiviteitsmonitoring of zelfs disciplinaire procedures. Ten derde het probleem van onwillige toestemming. Een werknemer die weigert zijn vingerafdruk te geven aan zijn werkgever, staat in een ongelijke machtspositie. “Vrijwillige” toestemming is in die context een juridisch wankele basis.
Wat organisaties moeten regelen voor invoering
Wie als organisatie biometrische toegangscontrole wil invoeren, heeft een verplicht huiswerk-lijstje.
- Een DPIA (Data Protection Impact Assessment) is wettelijk verplicht voor biometrische verwerking. Geen uitzondering.
- Een geldige grondslag onder artikel 9 AVG, met juridisch advies over welke uitzondering van toepassing is.
- Duidelijke bewaartermijnen: hoe lang worden templates en logbestanden bijgehouden, en wat gebeurt er met de data van een ex-medewerker?
- Een alternatief: werknemers of bezoekers die niet willen of kunnen deelnemen, moeten een gelijkwaardige optie krijgen, zoals een badge of sleutelcode. Dit alternatief mag niet onpraktischer of stigmatiserend zijn.
Kritische vragen bij een leverancier
Koop je als inkoper of OR-lid mee? Stel dan deze vragen voordat je een handtekening zet. Slaat het systeem ruwe biometrische afbeeldingen op of alleen templates? Zijn templates lokaal of centraal opgeslagen? Is de template-opslag versleuteld, en zo ja, met welk algoritme? Wie heeft toegang tot de logs en op basis van welke autorisatie? Wat gebeurt er met de data na beëindiging van het contract? Heeft de leverancier een verwerkersovereenkomst die AVG-conform is? En: heeft het systeem een externe privacyaudit doorstaan?
Een leverancier die op deze vragen vaag blijft of doorverwijst naar een FAQ op zijn website, is een rode vlag.
Biometrische toegangscontrole werkt goed in de praktijk, maar de technische eenvoud aan de voorkant staat in schril contrast met de juridische en ethische complexiteit erachter. Lichaamskenmerken zijn niet te vervangen als ze eenmaal uitlekken, en de privacywetgeving stelt daarom bewust hoge eisen. Organisaties doen er verstandig aan niet te beginnen bij de keuze van een scanner, maar bij de vraag of biometrische data in hun situatie echt noodzakelijk is en hoe ze kunnen aantonen dat de risico’s voor medewerkers en bezoekers afdoende zijn afgedekt.
