Vingerscan op de deur: wat er op 1 september verandert

Artikel 29 van de Uitvoeringswet AVG regelt wanneer u biometrische gegevens mag gebruiken om iemand te herkennen. Een vingerafdruk, een irisscan, een gezichtsscan. Tot en met 31 augustus 2026 bestaat dat artikel uit één zin met een ruim slot: authenticatie of beveiligingsdoeleinden.

Op die twee woorden heeft menig leverancier zijn verhaal gebouwd. Beveiliging is toch een beveiligingsdoeleinde? Vanaf 1 september is die redenering niet meer te maken, want de wetgever heeft er zestien woorden achter gezet.

De wijziging zit in de Verzamelwet gegevensbescherming, artikel I onderdeel K. Die wet is aangenomen op 10 juni 2026. Het inwerkingtredingsbesluit van 9 juli 2026 zet hem op 1 september. In de wettenbank kunt u de nieuwe tekst nu al lezen bij de Uitvoeringswet AVG per 1 september 2026.

De toezichthouder schrijft dat deze noodzaak niet snel voorkomt, en noemt dan de beveiliging van een kerncentrale of van staatsgeheime informatie. Dat is de meetlat. Een magazijn met dure voorraad haalt hem niet. Een serverruimte haalt hem niet. Een kantoor waar vertrouwelijke dossiers liggen haalt hem ook niet, want daar bestaat een minder ingrijpend alternatief: een pas met rechten.

De toets die u moet doorlopen is de vraag of uw gebouw zó goed beveiligd moet zijn dat het niet anders kan dan met biometrie. Niet of biometrie handiger is, en ook niet of het veiliger voelt. Of het niet anders kán.

Als er in dit onderwerp één getal rondgaat, is het dit. De AP beboette in april 2020 een bedrijf dat vingerafdrukken van personeel scande voor aanwezigheids- en tijdregistratie. De boete bedroeg 725.000 euro en dat cijfer staat sindsdien in elke presentatie over biometrie.

Wat er zelden bij staat: in november 2020 heeft de AP die boete na bezwaar verlaagd naar 50.000 euro, vanwege de beperkte financiële draagkracht van de organisatie tijdens de coronacrisis. Het staat op de eigen documentpagina van de AP, in een regel met het kopje “Update november 2020”.

Wij noemen dat niet om het risico klein te praten. De conclusie van de AP is namelijk niet verzacht: het bedrijf had die vingerafdrukken niet mogen verwerken. Alleen het bedrag ging omlaag. Maar wie met een verkeerd getal argumenteert, verliest het gesprek zodra iemand het opzoekt.

De vraag achter een vingerscan is bijna altijd dezelfde: we willen af van sleutels die rondslingeren en van medewerkers die vertrekken met een sleutel in hun jaszak. Dat probleem lost u op met rechten, niet met lichaamskenmerken.

Een pas of tag is geen persoonsgegeven in de zin van artikel 9 AVG. U koppelt hem aan een persoon, u geeft hem een tijdvenster en een deurenlijst, en u zet hem uit als iemand weg is. Verliest iemand zijn pas, dan blokkeert u die pas en drukt u een nieuwe. Bij een verloren sleutel vervangt u een cilinder.

Een code op een codeklavier is de goedkoopste variant en tegelijk de zwakste, want codes worden gedeeld. In de praktijk werkt de combinatie het best: een pas voor het gebouw, een code of tweede pas voor de paar ruimtes die echt beperkt moeten blijven. Meer daarover staat op onze pagina over toegangscontrole en slimme sloten.

Nog een overweging die weinig genoemd wordt. Een vingerscan levert u ook een logboek op waaruit meer valt af te leiden dan alleen wie er binnen was: hoe laat iemand komt, hoe lang de pauze duurde, wanneer iemand vertrok. Dat is precies de reden dat het gesprek met uw ondernemingsraad hierover zelden kort is.

Wij hebben al een vingerscan. Moeten we die er nu uit?

Als u er nooit een geldige uitzondering voor had, was hij ook vóór 1 september al niet toegestaan. De wetswijziging verandert uw situatie dus niet, hij maakt hem alleen zichtbaarder. Begin met de vraag of u destijds een DPIA hebt gedaan en waar de uitkomst daarvan ligt. Is die er niet, dan is dat het eerste gat.

Geldt dit ook voor gezichtsherkenning?

Ja. De AP rekent vingerafdruk, iris- en netvliesscan, stemherkenning en gezichtsscan tot dezelfde categorie. Ook het bevestigen van een identiteit, authenticatie dus, valt eronder. Dat laatste is een veelgemaakte denkfout: mensen menen dat alleen herkennen verboden is en controleren niet.

En als mijn medewerkers het zelf willen?

Dat helpt juridisch niet. De AP schrijft dat toestemming in de verhouding werkgever en werknemer zelden uitkomst biedt, omdat een werknemer die afhankelijk is van zijn werkgever niet in een positie verkeert om te weigeren. Toestemming moet in vrijheid gegeven zijn, en die vrijheid ontbreekt hier.

Verandert er iets aan mijn VRKI-klasse?

Nee. De VRKI kent toegangscontrole als organisatorische en bouwkundige maatregel en stelt geen eisen aan de techniek waarmee u de deur opent. Een pas voldoet daar net zo goed als een scan. Zie de VRKI en uw risicoklasse.

Wij zijn een kritieke entiteit. Verandert dat de afweging?

Mogelijk wel, maar niet vanzelf. De Wet weerbaarheid kritieke entiteiten vraagt adequate fysieke bescherming van uw gebouwen en noemt toegangscontrole als voorbeeld, niet als voorschrift. Dat u onder die wet valt is dus een argument in de noodzakelijkheidstoets, geen vrijbrief. Laat het beoordelen voordat u iets bestelt.