Identiteitsgegevens

Vraag

Mogen wij het nummer van het identiteitsdocument noteren bij toegangsbeheer? Achtergrond van de vraag:

De laatste jaren komt het steeds meer voor dat er buitenlandse chauffeurs, vooral Oost-Europese, bij onze vestigingen komen en het voor de bewakingsmedewerkers redelijk moeilijk is te onderscheiden of deze ID’s echt of vervalst zijn.
Argument en doelstelling van het noteren van de nummers is om bij eventuele reconstructie en onderzoek naar incidenten extra informatie te hebben.

Antwoord

Als maatregel in het belang van de orde in de onderneming kan bepaald zijn dat een ieder zich bij het betreden van de onderneming dient te legitimeren en/of dat een ieder die zich bevindt op de locatie van de rechthebbende een geldig legitimatiebewijs bij zich dient te dragen en op verzoek van de door de rechthebbende aangewezen personen dient te tonen. Als het laten tonen van een identiteitsdocument volstaat, is het overnemen van gegevens van het identiteitsdocument of het het maken van een kopie daarvan niet toegestaan. Voor het maken van een kopie of het scannen van een identiteitsbewijs moet er een juridische basis bestaan.

Het bestaan van een juridische basis is veelal een wettelijke verplichting, bijvoorbeeld in arbeidsrelaties en voor financiele dienstverlening. Zo is een werkgever op grond van de Wet op de Loonbelasting verplicht om bij indienstreding van een nieuwe werknemer diens identiteit aan de hand van een geldig identiteitsdocument te controleren. Na controle dient een kopie van het gecontroleerde document – inclusief burgerservicenummer (BSN) en pasfoto – te worden bewaard in de loonadministratie.

Hoewel een bedrijf zelf dus zijn toegangsvoorwaarden bepaalt verzet zich de Algemene Verordening Gegevensbescherming (AVG) tegen het maken van een kopie. Op het identiteitsdocument staat namelijk een foto. Een foto geeft een indicatie over ras of etniciteit en de AVG verbiedt het verwerken van dit soort “bijzondere gegevens” (onder “verwerken” wordt ook verstaan het maken van een kopie en het opslaan daarvan).

Het vastleggen van het nummer van het identiteitsdocument (niet zijnde het burgerservicenummer bij Nederlandse identiteitsdocumenten zoals rijbewijs en paspoort) is derhalve toegestaan.

Subvraag:

Welke gegevens mogen wij nog meer vastleggen van bezoekers?

Met het oog op bedrijfsbeveiliging (waaronder valt het reconstrueren van incidenten en de daarbij mogelijk betrokkenen) mogen de volgende gegevens worden vastgelegd:

a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, waaronder gegevens met betrekking tot het zakelijk adres van de betrokkene;

b. een administratienummer;

c. feitelijke gegevens betreffende de functie van betrokkene;

d. feitelijke gegevens betreffende de door de betrokkene verrichte of te verrichten werkzaamheden;

e. gegevens betreffende de aanwezigheid van de betrokkene op de plaats van de rechthebbende;

f. gegevens betreffende de aan de betrokkene beschikbaar gestelde werk- en bedrijfsruimte, gereedschappen, machines, kantoorbehoeften en ander materiaal of kleding, alsmede andere voorzieningen die met het oog op de werkzaamheden zijn verstrekt.

Subvraag:

Kan iemand bezwaar maken tegen vastlegging van diens gegevens in het bezoekersregistratiesysteem?

Antwoord

Het vastleggen van gegevens betekent eveneens dat de AVG van toepassing is. Voor het verzamelen van gegevens (vastleggen) moet een doel zijn. Het vastleggen van gegevens van bezoekers voor bedrijfsbeveiliging is een toegestaan doel. De verdere verwerking van de gegevens (vastleggen en later raadplegen etc) moet noodzakelijk zijn en verenigbaar zijn met het doel waarvoor de gegevens zijn vastgelegd.

Op grond van de AVG (art. 21) kan iemand bezwaar maken tegen een dergelijke (voorgenomen) verwerking. Het maken van bezwaar betekent dat de verwerkingsverantwoordelijke (het bedrijf) een afweging van belangen moet maken en degene die verzet aantekent daarvan (schriftelijk en binnen 1 maand) in kennis moet stellen.

De uitkomst van de weging van belangen kan tot gevolg hebben dat de rechthebbende de toegang tot het terrein en de gebouwen ontzegt als de bezoeker weigert de noodzakelijke gegevens te verstrekken. De keuze is dan aan betrokkene.

Subvraag

Mogen wij een referentiedatabase met foto’s van chauffeurs aanleggen? Achtergrond van de vraag:

Ons bedrijf heeft het voornemen om bij de ingang t.b.v. het vrachtvervoer een camera op te hangen die van de afzonderlijke chauffeurs die zich melden bij de portier automatisch een foto maakt. Dit om bij een constatering van een ongewenste feit of handeling achteraf visueel te kunnen verifiëren / controleren welke chauffeur hierbij betrokken was / is. De vraag is: is dit toegestaan?

Antwoord

Doelstelling is duidelijk en lijkt gerechtvaardigd. Het mag alleen niet.

Een foto bevat gegevens omtrent iemands ras. De AVG en de Uitvoeringswet AVG verbiedt het “verwerken” (lees allerlei handelingen zoals maken van de afbeelding, het opslaan als referentiemateriaal, het vergelijken met camerabeelden waarop personen staan die bij een incident zijn betrokken etc) van etnische gegevens, tenzij dit geschiedt met het oog op de identificatie van betrokkene en uitsluitend voor zover het voor het doel identificeren noodzakelijk is (art. 25 Uitvoeringswet AVG).

Het uit voorzorg aanleggen van een referentiebestand met foto’s van chauffeurs mag dus niet.

Wat nu als het bedrijf het toch doet? De Autoriteit Persoonsgegevens kan een bestuurlijke boete opleggen wegens overtreding van de AVG.