Må du bruge fingeraftryk til tidsregistrering?

Databeskyttelsesreglerne
Ifølge databeskyttelsesforordningens artikel 9 udgør en behandling af biometriske data med det formål entydigt at identificere en fysisk person, fx fingeraftryk, en følsom oplysning, og det er som udgangspunkt forbudt at behandle denne type oplysninger. Der er flere undtagelser til forbuddet, fx hvis det er muligt at få den registreredes udtrykkelige samtykke til behandlingen, eller at behandlingen er nødvendig for at fastlægge et retskrav.

I den danske databeskyttelseslovs § 12 er der ligeledes en særskilt bestemmelse om, at behandling af personoplysninger kan ske på baggrund af medarbejderens samtykke.

Fingeraftryk til brug for tidsregistrering
I den konkrete sag havde en virksomhed bedt Datatilsynet bekræfte, at det efter de nye databeskyttelsesregler var muligt at anvende fingeraftryk som en metode til at registrere medarbejderes arbejdstid. Hjemlen til behandlingen var, ifølge virksomheden, databeskyttelsesforordningens artikel 9, stk. 2, litra f, som giver mulighed for at behandle følsomme persondata, hvis det er nødvendigt for at fastlægge et retskrav. Det var virksomhedens synspunkt, at udbetaling af korrekt løn til medarbejdere kunne betragtes som et retskrav.

Datatilsynet var enig i, at udbetaling af korrekt løn til medarbejdere var et retskrav. Datatilsynet mente derimod ikke, at registreringen af fingeraftryk var ”nødvendig” for at sikre udbetaling af korrekt løn. Efter Datatilsynets opfattelse indebærer kravet om nødvendighed, at behandlingen skal være mere end blot en praktisk måde at opfylde formålet på, ligesom formålet objektivt set ikke med rimelighed må kunne opnås ved mindre indgribende midler, fx ved hjælp af adgangskort.

Ifølge Datatilsynet var det heller ikke muligt at anvende medarbejderens samtykke som grundlag for behandlingen af fingeraftrykket. Et samtykke skal bl.a. være afgivet frivilligt, hvilket indebærer, at medarbejderen har et reelt og frit valg samt kontrol med behandlingen af sine personoplysninger. Datatilsynet udtalte, at der eksisterer et afhængighedsforhold mellem arbejdsgiver og medarbejder, og det er ifølge tilsynet derfor tvivlsomt, om en medarbejder kan afvise at give et samtykke til behandling af oplysninger om vedkommendes fingeraftryk med henblik på at kontrollere møde- og gå-tider uden frygt eller en reel risiko for, at afvisningen vil komme medarbejderen til skade, eller uden at føle et vist pres.

Datatilsynet udtalte dog samtidig, at tilsynet ikke vil afvise, at der kan foreligge særlige omstændigheder, hvor et samtykke til behandling af oplysninger om fingeraftryk kan anses for afgivet frivilligt.

Dansk Erhverv vurderer
Datatilsynets udtalelse er konkret i forhold til brug af fingeraftryk til kontrol af arbejdstid. Afgørelsen betyder efter Dansk Erhvervs vurdering ikke i sig selv, at der aldrig kan ske behandling af personoplysninger i ansættelsesforhold, der baserer sig på samtykke. Spørgsmålet om brug af samtykke i ansættelsesforhold er i sidste ende et forhold, som domstolene må tage stilling til.

Afgørelsen viser desuden, at virksomheder, som ønsker at behandle deres medarbejderes følsomme personoplysninger med henvisning til fastlæggelse et retskrav, bør overveje, om behovet kan løses med mindre indgribende midler. Kontakt Dansk Erhverv hvis du er i tvivl, om du må behandle personoplysninger om dine medarbejdere.