Werkgever mag vingerafdruk niet zomaar verplichten

Een schoenwinkel in Tilburg mag werknemers niet verplichten hun vingerafdruk af te staan voor het bedienen van de kassa. Volgens de rechter kan de winkelketen niet duidelijk genoeg uitleggen waarom die maatregel noodzakelijk is. Dat is in strijd met de AVG.

Dat is de uitspraak in een zaak tussen schoenwinkelketen Manfield en een werknemer. De schoenwinkel eiste van werknemers dat zij hun vingerafdruk afstonden om een nieuw kassasysteem te bedienen. Een werknemer was het daar niet mee eens. Ze stapte samen met Manfield naar de rechter om duidelijkheid te krijgen of die manier van werken is toegestaan.

Volgens de werknemer maakt het afnemen van een vingerafdruk te veel inbreuk op haar privacy. Die methode zou bovendien volgens de AVG buitenproportioneel groot zijn. De winkel had volgens de werknemer andere opties kunnen inzetten om het kassasysteem te beveiligen. Daar was de rechter het mee eens, vooral omdat een vingerafdruk een bijzonder persoonsgegeven is. Onder de AVG mag een dergelijk persoonsgegeven alleen onder zeer strenge voorwaarden worden verzameld, bijvoorbeeld als dat noodzakelijk is voor de bedrijfsvoering.

De winkel zelf vond het wel degelijk nodig de vingerafdrukken te verzamelen. Dat gebeurde sinds de invoering van een nieuw kassasysteem. In het oudere systeem gebruikten werknemers nog een pincode, maar de winkel had eerder te maken gekregen met gevallen van diefstal waarbij werknemers de pincodes van andere medewerkers gebruikten. Een vingerafdruk zou dat moeten tegengaan, redeneerden de eigenaren. Bovendien, zeggen zij, is het gebruik van vingerafdrukken als autorisatie de laatste jaren steeds normaler geworden, bijvoorbeeld om smartphones te beveiligen.

De rechter zegt dat het gebruik van vingerafdrukken in dit geval niet proportioneel is, omdat andere authenticatiemethodes wellicht beter werken. Het probleem daarbij is voornamelijk dat de winkel vooraf niet goed genoeg in kaart bracht of een vingerafdruk echt de enige manier was. Bij een dergelijke privacyschendende maatregel moet een werkgever een privacy impact assessment doen om uit te zoeken of een maatregel proportioneel is. Dat gebeurde in dit geval niet. "Nu Manfield het door haar beoogde doel ook op een andere manier kan bereiken, is er geen sprake van noodzaak en weegt het belang van Manfield niet zwaarder dan dat van haar werknemers, zodat deze verwerking niet alleen niet noodzakelijk, maar ook disproportioneel is", schrijft de rechter.

De uitspraak is de eerste in zijn soort onder de Algemene Verordening Gegevensbescherming. Een van de belangrijkste onderdelen daarvan is dat er een gedegen belang moet zijn voor het verzamelen van data. Dat onderdeel is in ieder geval bij bijzondere persoonsgegevens nog maar weinig getoetst en er is nog niet veel jurisprudentie voor.

Reacties (224)

[GLaDTheresCake]

Goede jurisprudentie, zie graag dat er voor de rechten van werknemers opgekomen wordt. Geeft ook aan dat je ook als werkgever niet iedereen onder je maar kan behandelen als rechtloze personen, ik heb wel vaker dingen gehoord over vingerafdrukken bij werkplekken, en ik vond het altijd al een slecht idee. Is ook lekker moeilijk te vervangen als het uitlekt.

[Dancing_Animal]

Hoe lek jij je vingerafdruk (zonder CSI-achtige methoden)?

[Equites]

nieuws: Onderzoekers vinden openbare database met miljoenen vingerafdrukken o...

Zo, dus

[TheekAzzaBreek]

Met dank aan onze overheid? Leg eens uit?

Dat stuk gaat over een bedrijf dat 'beveiligings' oplossingen aanbiedt voor bedrijven.

[Sergelwd]

Klopt, maar onze gegevens die totaal onnodig zijn verzameld liggen ondertussen klaar voor wie ze maar in wil zien..
Ik heb niet de illusie dat het echt goed beveiligd word en we elk lek te horen krijgen.. zeker niet als het om grote fuck-ups van de overheid gaat.

[Reactie gewijzigd door Sergelwd op 23 juli 2024 18:06]

[rbr320]

Ik wil je vragen om je toch iets beter te verdiepen in de materie, maar dat is lastig als je niet direct bij de IT projecten van de overheid betrokken bent. Ik ben een van de eersten die zal toegeven dat het met de IT kennis en kunde binnen de overheid soms bedroevend gesteld is, maar beveiliging en vooral het voorkomen van lekken van persoonsgegevens wordt heel erg serieus genomen. Soms zo serieus dat dat nu juist de reden is dat sommige IT projecten worden gestopt, ook als er al miljoenen zijn uitgegeven.

Verder ben ik het er in principe wel mee eens dat iedere plek waar gegevens worden opgeslagen een potentieel datalek is en dat de kans toe neemt met de hoeveelheid en gevoeligheid van de data die wordt opgeslagen.

[Sergelwd]

Mijn zorg komt puur vanuit de nutteloosheid van het verzamelen van die gegevens icm het feit dat geen beveiliging 100% veilig is.
Puur onnodige risicos waarbij burgers machteloos zijn.

Als je beveiliging echt zo serieus neemt dan ga je om te beginnen al geen totaal onnodige vingerafdrukken verzamelen en opslaan.

[Reactie gewijzigd door Sergelwd op 23 juli 2024 18:06]

[BuZZem]

IK snap niet waarom dit door sommigen als offtopic bestempeld word. Je kunt wat vinden van toonzetting of kortheid van uitleg (maar daar was het moderatie systeem niet helemaal voor), maar het punt is in de basis niet off-topic of onrelevant.

Een onderdeel van beveiliging is zorgen dat aantrekkelijke doelen niet in het zicht / voor de grijp liggen.
Data is geen goed, dus enigszins krom, maar:
- je laat je laptop niet in de vensterbank liggen als je een week van huis bent. Doe je dat systematisch wel heb je betere beveiliging nodig.
- Als je zorgt dat je als zeg tankstation geen 20.000 euro cash voor de grijp hebt liggen, maar een paar keer per dag afstort in een grondkluis die het personeel niet open kan maken is de noodzaak tot hekken en kogelwerend glas kleiner.

Als je geen gevoelige data verzameld waar dat niet nodig is behoeft dat stuk van je infra mogelijk wat minder beveiliging.

Ik vind zon schoenentent precies zon plek waarvan we dan over 2 jaar horen dat die vingerafdrukken 'helaas zijn ontvreemd, maar dat we aan de geldende normen voor beveiliging voldeden'. Maar daar heb je dus niks an en je kunt idd je vingerafdruk niet veranderen. Het argument dat vingerafdrukken op stgeeds meer plaatsen als beveiliging worden gebruikt kun je dan ook omdraaien naar reden om het bij zon ntoko niet te doen.

Dat bedrijven vrijwel altijd kiezen voor de voor hun makkelijkste en goedkoopste oplossing: DAT is dus iets waar de overheid aan zou moeten doen in verdediging van onze rechten.

edit: bij het verder lezen naar beneden kom ik tot de conclusie dat ik er meer in gelezen had dan de poster had bedoeld en lijkende moderaties me nu een stukje terechter.

[Reactie gewijzigd door BuZZem op 23 juli 2024 18:06]

[Grrrrrene]

Klopt, maar onze gegevens die totaal onnodig zijn verzameld liggen ondertussen klaar voor wie ze maar in wil zien..

Dat is niet de definitie van "op straat liggen". Je zou je woorden wat zorgvuldiger moeten kiezen. Jouw pincode ligt volgens die redenatie dan ook op straat, net als jouw BSN of je adresgegevens. Het is nog niet publiek inzichtelijk, maar het ligt klaar om gehackt / gejat / afgekeken te worden en dan is het wel publiek beschikbaar.

Ik heb niet de illusie dat het echt goed beveiligd word en we elk lek te horen krijgen.. zeker niet als het om grote fuck-ups van de overheid gaat.

Vooralsnog komen de meeste f*ckups van bedrijven en gemeenten, niet zozeer van de nationale overheid. Een lek van vingerafdrukken door de overheid komt echt wel aan het licht. Een hackersgroep die dat buit maakt, hangt dat maar wat graag aan de grote klok. Bovendien: die vingerafdrukken moeten verhandeld worden en als er dan ineens miljoenen uit Nederland op de markt komen, weet je genoeg.

[Sergelwd]

"Dat is niet de definitie van "op straat liggen". Je zou je woorden wat zorgvuldiger moeten kiezen. Jouw pincode ligt volgens die redenatie dan ook op straat, net als jouw BSN of je adresgegevens. Het is nog niet publiek inzichtelijk, maar het ligt klaar om gehackt / gejat / afgekeken te worden en dan is het wel publiek beschikbaar."

Die voorbeelden die je aanhaald hebben allemaal nog enig nut, ik heb het puur over de vingerafdrukken die zijn verzameld en gewoon liggen weg te stoffen bij de overheid en waar ze ondertussen allemaal al zijn gekomen.

"Een lek van vingerafdrukken door de overheid komt echt wel aan het licht."

Hoe kom je hierbij?

[Grrrrrene]

"Een lek van vingerafdrukken door de overheid komt echt wel aan het licht."

Hoe kom je hierbij?

Nou, als je even mijn bericht had uitgelezen, had je gezien hoe ik daarbij kom

[Grrrrrene]

Hahaha, pot... verwijt... de ketel...

[lhuizing]

Overal, voortdurend. Ik raak dingen aan - en hup weer is mijn vingerafdruk gelekt. En lees dit artikel eens: een hacker maakte een foto van een Duitse minister en reproduceerde daarmee de vingerafdruk. Maar geen probleem: de minister heeft gewoon nieuwe vingers genomen...

https://www.theguardian.c...using-photos-of-her-hands

[The Zep Man]

Hoe lek jij je vingerafdruk (zonder CSI-achtige methoden)?

Zo, bijvoorbeeld.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 18:06]

[Unsocial Pixel]

Op een koffiekopje bij de starbucks,, beetje bakpoeder ertegen aan en een plakbandje... /s (het werkt trouwens wel, ooit eens gekeken of ik de vingerprint van een vriend kon foppen,, papiertje onder een scanner, contrast op 100,,printer op zwart wit en tadaa,, sidenote dit is echt flink wat jaren geleden en denk ook niet dat dit tegenwoordig nog werkt)

[Squishie]

Vingerafdrukken en werkplekken is niet per definitie slecht. Natuurlijk is een schoenenzaak iets anders dan bijv. een bank, ziekenhuis of een kerncentrale. Het is daarom niet zo dat een vingerafdruk niet goed is, echter dient men rekening te houden met de proportionaliteit van de gegevensverwerking.
Het gaat noujuist om de afweging 'welke' mate van beveiliging en (behoud van) privacy noodzakelijk is en daarmee toegepast dient te worden in de omgeving.

EDIT: door alle technologie heb je diverse mogelijkheden. Het is maar de vraag of het alleen te verwijten is aan de schoenenwinkel. Er mag ook gekeken worden naar de leverancier van het (kassa)systeem in dit geval.
Verder is, zoals hierboven wordt beschreven. opvoeding van medewerkers ook een belangrijk aspect.

EDIT2: ik ben blij om te zien dat er uitspraken komen m.b.t. de AVG. Er zijn naar mijns inziens teveel interpretatieverschillen bij organisaties.

[Reactie gewijzigd door Squishie op 23 juli 2024 18:06]

[Sharkoon]

Hoezo is een schoenenzaak anders dan een kerncentrale?

Beide bedrijven moeten beveiligd worden.
Je wilt niet dat iemand een kerncentrale binnen kan komen.
Maar een schoenenwinkel wil ook niet ongeautoriseerde mensen in hun systeem hebben.

Nou is een kerncentrale meteen bedreiging voor de samenleving als daar wat gebeurt, en bij een schoenenzaak niet. Maar als een schoenenzaak al niet eens een vingerafdruk mag gebruiken ivm privacy, dan ook een kerncentrale niet (al denk ik dat men geen vingerafdruk gebruikt in een kerncentrale.. maar dat even achterwege laten)

[adje123]

"Hoezo is een schoenenzaak anders dan een kerncentrale?"

Serieus?

[stefanass]

precies dat verschil gaat dus over de vraag of een bepaalde maatregel wel of niet proportioneel is

[RGAT]

Je beantwoord je eigen vraag dus al

Nou is een kerncentrale meteen bedreiging voor de samenleving als daar wat gebeurt

En zoals de rechter hier zei:

De rechter zegt dat het gebruik van vingerafdrukken in dit geval niet proportioneel is, omdat andere authenticatiemethodes wellicht beter werken.

Laat dat dus ruimte om bijvoorbeeld een kerncentrale wel vingerafdrukken te laten gebruiken omdat de kassalade van een schoenenwinkel minder meltdowns geeft (hooguit de manager) dan een kernreactor.

[Brousant]

de kassalade van een schoenenwinkel

Zou dat lekker zijn, zo'n salade

[Reactie gewijzigd door Brousant op 23 juli 2024 18:06]

[skunkopaat]

Kas salade = contant geld

[R4gnax]

Hey: hij's in elk geval groen genoeg.

[Reactie gewijzigd door R4gnax op 23 juli 2024 18:06]

[Anoniem: 457607]

"Hoezo is een schoenenzaak anders dan een kerncentrale?"

Weet je nog dat event in 1986 toen bij de schoenenboer die plank omviel, meerdere schoenen pleurden zo op de grond. Boeken over vol geschreven, inmiddels ook op Netflix te zien.

[unclero]

Toen hadden ze schap AZ-5 niet goed vast gemaakt toch?

En de winkelmanager maar volhouden dat er maar 3,4 schoenendozen waren omgevallen.. Later bleek dat er veel meer schoenen waren gevallen, maar dat er maar 3,4 daadwerkelijke schoenendozen in de winkel lagen.

Is nu toch zo'n serie van met een hogere IMDB score dan Game of Thrones, maar met de helft van de cast van Game of Thrones.

[Anoniem: 457607]

Ja, en ik weet nog goed hoe op de rand van het dorp de mensen 's nachts keken naar de schoenenwinkel.

"Ik zie niks" zeiden ze.
"Lijkt mee te vallen", zei een ander

Onwetend over wat daar allemaal binnen gebeurde. De filiaalmanager ging ondanks alle waarschuwingen gewoon door met het testen van zijn nieuwe adidas paar. Tot hij over die bananenschil uitgleed waar een medewerker hem al op gewezen had. De plank was om.

Een oude man kwam binnen. Er was nooit een bananenschil aanwezig geweest. Er volgde geklap.

[WillySis]

Er zit wel een groot verschil in mogelijke de gevolgen van het binnendringen in het systeem. Voor een kerncentrale kunnen de gevolgen nauwelijks te overzien zijn voor een heel groot gebied. Bij een schoenenwinkel zijn de gevolgen hooguit financieel. Dat laatste is ook nog eens te verzekeren, waardoor de schade beperkt blijft.

Ik ben blij met deze uitspraak (een eerdere rechter oordeelde overigens hetzelfde voor toegang tot een kluis bij een uitzendorganisatie). Met biometrische gegevens moet men heel voorzichtig zijn om die toe te laten. Wanneer die zijn nagemaakt kan je je pincode, pasje of druppel nog vervangen door een nieuw exemplaar. Bij een vingerafdruk of gezichts-scan gaat dat moeilijk. Aan de opslag zal ook veel aandacht moeten worden besteed. Gewoon een foto is te gevoelig, een gehashte interpretatie van de kenmerken is al veel beter, mits de hash methode sterk genoeg is en niet wordt verward met encryptie.

[noway]

Jij bent grappig

[P_Tingen]

Hoezo is een schoenenzaak anders dan een kerncentrale?

Nou, dat zit zo:

Nou is een kerncentrale meteen bedreiging voor de samenleving als daar wat gebeurt, en bij een schoenenzaak niet.

Dus.

[Koen1997]

Ik vind dat het ook gaat om te kijken naar het doel van de systemen waar je toegang voor krijgt die afwegen tegen maatschappelijk of organisatiebelang.

Wanneer een stoute jongen in wilt breken op een kassasysteem, om prijzen van schoenen aan te passen of nutteloze transacties te plaatsen en de kassa is niet beveiligd, dan heeft hij alleen het bedrijf (en misschien een enkele klant) er mee, maar als diezelfde jongen toegang heeft tot een kerncentrale die niet beveiligd is, kan hij daar een hoop meer rottigheid uitvreten dan bij een schoenenzaak.

Het is een beetje de belangen van elk bedrijf afwegen tegenover de noodzaak van het vastleggen van gegevens. Zodoende ga ik ook graag mee met de beslissing van de rechter.

[kozue]

Verder is, zoals hierboven wordt beschreven. opvoeding van medewerkers ook een belangrijk aspect.

Dit dus. Medewerkers horen hun code gewoon niet te delen met anderen. Doen ze dit wel, hou ze verantwoordelijk voor de inbraak. Laatst hoorde ik in een supermarkt gewoon de een naar de ander een viercijferige code roepen voor het unlocken van de kassa. Als ik iemand was met kwade bedoelingen dan wist ik het wel...

[feuniks]

[...]


Dit dus. Medewerkers horen hun code gewoon niet te delen met anderen. Doen ze dit wel, hou ze verantwoordelijk voor de inbraak. Laatst hoorde ik in een supermarkt gewoon de een naar de ander een viercijferige code roepen voor het unlocken van de kassa. Als ik iemand was met kwade bedoelingen dan wist ik het wel...

Ja, dat klopt. Echter: een kassa is geen pinautomaat! De kans dat iemand die naast je staat de pincode van de gemiddelde kassa (die tegenwoordig heel vaak een groot touchscreen is) kan meekijken is 100% te noemen. Kassa's zijn wat dat betreft gewoonweg niet gebouwd op privacy. Zeker als dat ding ook regelmatig uit zichzelf terug afsluit, dan is het zeker niet te doen.

[kozue]

Kassa's zijn wat dat betreft gewoonweg niet gebouwd op privacy.

Precies. En dan verwachten ze dat medewerkers hun vingerafdruk gaan geven voor een systeem met 0 privacy? Dat is toch te stompzinnig voor woorden? Ik zou nooit voor zo’n bedrijf willen werken.

[divvid]

Vroegah.... hadden we gewoon een sleutel voor de kassa lade. Jouw sleutel, jouw probleem....ook had iedereen zijn eigen lade ( 18 kassiers) hoeveel medewerkers staan er in jouw Manfield ? ( hier slechts 3 per dag)
Moeilijk hè?

[Sergelwd]

En wat wilde je nu precies bereiken dat niet zou kunnen zonder vingerafdrukscanner??

[feuniks]

En wat wilde je nu precies bereiken dat niet zou kunnen zonder vingerafdrukscanner??

Dit is op de volgende manier gegaan (denk ik):
We hebben een nieuw kassasysteem nodig en we kunnen onze medewerkers niet vertrouwen, want er zitten er bij die jatten. Nu zit er een pin op het systeem, maar inmiddels weet iedereen elkaars pin. Als we met een pasje of een sleutel gaan werken, dan krijgen we weer het gezeik dat mensen die vergeten of op de kassa laten liggen, dus dat wordt het niet. Laten we een vingerafdruk gebruiken. Die kan niemand vergeten, laten liggen of aan anderen door geven.

[Sergelwd]

Klinkt een beetje als.. Laten we iedereen zijn handen afhakken dan word er niets meer gestolen.

[Vernes]

Klinkt een beetje als.. reductio ad absurdum

[wizzlewaxx]

Je haalt dit lekker uit zijn verband. Werknemers behandelen als rechteloze personen? Omdat er een procedure wordt gestart omdat een werknemer zijn vingerafdruk niet wil afstaan. Dat zijn 2 totaal verschillende dingen. Je weet hoeveel rechten werknemers hebben neem ik aan?

Verder ga ik er van uit dat bijvoorbeeld een filiaalmanager wel een "master code" oid heeft zodat er altijd in het systeem gekeken kan worden. Deze filaalmanager heeft hier dus zijn verantwoordelijkheid voor.

[slowdive]

Betekent dus nu automatische dat vingerafdrukken voor toegangscontrole of tijdregistratie i.h.a. ook verboden zijn als daar een ander alternatief - zoals pincodes - voor bestaat?

[GLaDTheresCake]

Als het alternatief voldoet aan alle eisen die redelijkerwijs aan dat systeem worden gesteld, ja.
De crux zit hem in dit stuk

De rechter zegt dat het gebruik van vingerafdrukken in dit geval niet proportioneel is, omdat andere authenticatiemethodes wellicht beter werken. Het probleem daarbij is voornamelijk dat de winkel vooraf niet goed genoeg in kaart bracht of een vingerafdruk echt de enige manier was. Bij een dergelijke privacyschendende maatregel moet een werkgever een privacy impact assessment doen om uit te zoeken of een maatregel proportioneel is.

Dus sowieso altijd een privacy assesment nodig. En hier moet uitkomen dat de privacy schending rechtvaardig is vanwege een ander belangrijker nood.

[Reactie gewijzigd door GLaDTheresCake op 23 juli 2024 18:06]

[uip]

niet noodzakelijk. Vingerafdrukken en handpalmscans worden in bepaalde industriële installaties met strikte toegangscontroles ook gebruikt ... al neem ik aan dat men daar wél "duidelijk genoeg uitleggen waarom die maatregel noodzakelijk is".

[11supplier]

Dit is sowieso pas van toepassing als iemand er melding van maakt. Dan speelt nog mee of iemand op een alternatieve manier toegang kan krijgen als die het persoonlijk niet prettig vind.

Deze uitspraak lijkt me niet onverwachts. Het is nogal lastig uit te leggen dat een vingerafdruksysteem in een kassa noodzakelijk is, terwijl je ontelbare winkels hebt zonder vingerafdruksysteem die vrij goed werken. Dat er af-en-toe een incident is lijkt me niet zo enorm zwaarwegend hierin.

Wat hierin zwaar mee zal hebben gespeeld, is dat het voor een werknemer verplicht is. Nederlandse recht gaat er vanuit dat de werknemer afhankelijk is van de werkgever (je kan niet zonder geld en niet iedereen vindt zomaar een baan). Zeker niet chic van Manfield om het zo hoog op te laten lopen. Ze hadden beter mee kunnen denken om een alternatief te zoeken. Waarschijnlijk zijn er maar een enkele medewerker die geen vingerafdruk wil gebruiken en als je deze op het hart drukt dat een account persoonlijk is, zal je geen grote problemen hebben.

[hoeksmarp]

Dit is sowieso pas van toepassing als iemand er melding van maakt.

In principe niet. Er is een wet die zegt dat het niet mag. Het is niet zo dat je door rood mag rijden zolang er niemand kijkt

[11supplier]

Eens, ik doelde op het vorige

Vingerafdrukken en handpalmscans worden in bepaalde industriële installaties met strikte toegangscontroles ook gebruikt

Het kan zijn dat dit nooit goed getoetst is en mogelijk helemaal niet mag. De meeste mensen zullen er geen conflict over aan gaan.

[sjaool]

Ik denk dat er wel meer werknemers bezwaar hebben gehad maar niet iedereen is zo mondig of bereid om voor zoiets de strijd aan te gaan met de werkgever. Wat dat betreft hebben werkgevers erg veel macht aangezien ze je kunnen ontslaan en dan zit je zonder werk.

[AlexKnight1978]

Precies, daar zat ik ook al aan te denken, bij deze werknemer zal wel hetzelfde gaan gebeuren, verlengen ze haar contract gewoon niet, klaar. En een paar weken erna, voila, een vingerafdruk systeem.

Heeft dit bedrijf nog nooit gehoord van kassa passen op naam met kaartlezers die de kassa ontgrendelen, of zoiets...

[faim]

Ik ken heel veel horeca zaken die 3-4 jaar geleden nog allemaal vingerafdruk tijdsregistraties gebruikte, vooral om fraude te voorkomen dat andere medewerkers elkaar later gingen uitklokken etc. Die zijn nu allemaal weer heel snel terug gegaan naar 'ouderwetse' pasjes systemen.

[Joepla]

Naar mijn mening is dit een logische uitspraak. Dit heeft dan waarschijnlijk ook gevolgen voor bv. de datacenters die momenteel in NL worden gebouwd. Op die bouwterreinen kom je alleen binnen met vingerafdruktechnologie. Wil je dat niet, dan nemen we een ander.

Ik heb daar vanaf het begin mijn vraagtekens bij gezet, vooral omdat de eigenaar & gebruiker van het datacenter (die van de zoekmachine) nu niet bekend staat om zijn zorg voor jouw privacy...

[djkooij]

In het geval van datacenter toegang, zoals ik die heb met mijn pas en 24/7 toegang, is er wel degelijk een gerechtvaardigd belang om vingerafdrukken toe te passen.
Ik zie namelijk niet graag dat iemand met de pas van een ander toegang kan krijgen tot onze zaal, met welke intenties dan ook.
Het zonder biometrische (en ouderwetse) eerst aanmelden bij de bewaking geeft geen uitsluitsel dat ik de pas daarna niet aan een ander "geef" en deze persoon alsnog vrolijk naar binnen kan lopen, wij hebben namelijk een aparte ingang die niet bij de bewaking zit.

Kortom: Dit is één van de uitzonderlijke situaties dat ik wel mijn afdruk heb afgestaan, puur omdat ikzelf het belang ervan kon beargumenteren, begrijpen en de voordelen ervan inzag.

[edit: wat typo's en verduidelijking]

[Reactie gewijzigd door djkooij op 23 juli 2024 18:06]

[DonChaot]

Ik zie niet in waarom je vingerafdruk beter zou zijn dan je pas met een pincode. Ja, je kan je pas en pincode aan een ander geven, net zoals jij je vinger even op de lezer kan leggen om een ander binnen te laten. In beide gevallen werk je bewust mee.

Zelf ben ik natuurlijk geen rechter maar ik vraag me af wat nu wel de use-case zou zijn waarbij een vingerafdruk toegepast zou mogen worden. Behalve dan natuurlijk in films

[djkooij]

Klopt, je kunt een ander bij de eerste deur doorlaten met jouw vinger, bij de 2e zit hij/zij toch echt klem en komt de bewaking alsnog om die persoon 'op te halen voor uitleg'.
Voor mijn acceptatie waren alle voordelen inzake beveiliging dermate zwaarwegend dat ik erachter kan staan in ons geval.

Aan de andere kant heb ik jarenlang geen ID gehad, omdat er naar mijn mening ter onrechte om een vingerafdruk werd gevraagd.
Gelukkig is dat niet meer het geval (voor nu) en kon ik er weer een aanvragen gelukkig.

Ik blijf er dan ook heel erg terughoudend in en bekijk voor mezelf per geval hoe en wat.
Wellicht helpt het voor mij dat ik me dagelijks bezighou met ISO27001/ISAE3402 en AVG/privacy/security in deze context.
Ik ben echter ook geen rechter en binnen de AVG is er 'speelruimte' om een aantal zaken door te voeren, mits deze voldoende onderbouwd en aantoonbaar zijn.

In bovenstaand "kassa" artikel staat dan ook, quote: "Volgens de rechter kan de winkelketen niet duidelijk genoeg uitleggen waarom die maatregel noodzakelijk is".
Kun je dat wel; Dan mag het ineens wel.

Zo zie je maar dat zodra je e.e.a. voldoende onderbouwt het opeens wel mag.
Of het in bovenstaand geval voldoende onderbouwd had kunnen worden, daar twijfel ik erg aan omdat er voldoende prima werkende alternatieven voorhande zijn, maar dat terzijde.

[Joepla]

Ik kan jouw beslissing wel begrijpen, maar is een vingerafdruk nodig voor iemand die een cementmixer komt brengen? Je praat hier over het stadium waarin je alleen nog maar een modderig terrein ziet.
Ik snap dat het op een gegeven moment nodig is om een meer geavanceerde toegangscontrole in te zetten dan alleen een pasje, maar het gemak en vooral de vanzelfsprekendheid waarmee het hier is ingezet, vond ik wat merkwaardig.

[djkooij]

In jouw bovenstaande voorbeeld is er naar mijn mening geen enkel gerechtvaardig belang om een vingerafdruk toe te staan voor toegang.
Dat belang is er pas als er gerechtvaardigde zorgen zijn omtrend beveiliging in de brede zin van het woord.

De opdrachtgever kan en mag dus geen biometrische beveiliging vereisen tijdens de bouw, naar mijn mening.
Wel mag (en moet zelfs onder bepaalde normeringen) een leveranciers overeenkomst worden gesloten, waarin bepaalde zaken vanuit deze normeringen worden geborgd.

Oftewel: de cement leverancier moet zorgdragen dat zijn personeel voldoende is gekwalificeert, beschikt over een keurige VOG en zich wellicht houdt aan een geheimhoudingsverklaring etc. etc.

Ik ben er weliswaar in thuis op mijn vlak van expertise, ik kan echter voor bovenstaande niet mijn hand in het vuur steken, daar dit onderwerp zo enorm breed is dat (ik in elk geval) niet voor alles buiten mijn professie de waarheid in huis heb.
Zelfs binnen mijn professie hebben we binnen ons team gezonde discussies omdat er zoveel ruimte is voor interpretatie van elk onderwerp.

[Anoniem: 457607]

"In het geval van datacenter toegang, zoals ik die heb met mijn pas en 24/7 toegang, is er wel degelijk een gerechtvaardigd belang om vingerafdrukken toe te passen."

Ik neem aan dat je geen rechter bent, dus kunt je niet stellen dat het gerechtvaardigt is. Het is niets meer dan een mening, die je heel toevallig erg goed uitkomt.

Er bestaan al decennie data centra, ook toen deze techniek niet eens bestond. Dus het kan best zonder, weg rechtvaardig belang.

[djkooij]

Dat is natuurlijk een compleet non argument.
Bovendien heb ik reeds aangegeven geen rechter te zijn, echter wel dagelijks bezig met deze materie.

Dat data centra al decennia lang bestaan is geen argument. Sloten bestaan ook al honderden jaren, toch zijn ze steeds verbeterd met een achterliggende (ook preventieve) reden.

Oftewel: ik draai hem om voor je. Wij als organisatie worden geacht alles binnen onze mogelijkheden te doen om jouw privacy gevoelige data veilig te stellen.
Is het dan nog raar om fysieke toegang tot die data te beveiligen op deze wijze?

Toegang tot onze servers? Als je toegang hebt tot een willekeurige DC zaal en je hebt kwade bedoelingen dan is de rest echt kinderspel. Van camerabeeld manipulatie, kast toegang, etc.
Prima, alle schijven zijn encrypted, maar als ze alle hardware meenemen is ook dat weer zo verholpen, alles start immers netjes op en er is altijd wel een vm te vinden die een "open" deurtje heeft ondanks externe security audits.
En ja: Je zou om dit risiso nog meer maatregelen kunnen implementeren om ook dat risico volledig uit te dammen, met alle beheersmaatregelen en kosten die dat ten gevolge heeft, ook voor jou als klant.
En dat alles omdat de fysieke toegang niet (voor zover mogelijk) waterdicht en herleidbaar is?

Nee dank je.... ik heb liever dat de voordeur vooo zover mogelijk maximaal (binnen redelijke grenze dus) op slot staat voor iedereen die er niets te zoeken heeft om jouw (mediche en financiële data) te jatten.

[Anoniem: 457607]

"Dat is natuurlijk een compleet non argument."

Wat? Dat?

"Bovendien heb ik reeds aangegeven geen rechter te zijn"

Dan moet je ook niet zo stellig praten, met woorden als "er is WEL DEGELIJK een gerechtvaardigd belang" terwijl je eigenlijkt zegt "ik vind dat het wel moet kunnen, want dat komt mij goed uit en dit is het makkelijkste".

"Dat data centra al decennia lang bestaan is geen argument."

Het is een argument dat identificatie niet per definitie de allerlaatste high tech nodig heeft. Het feit dat data centra allang bestaan zonder extreme problemen is letterlijk precedent dat het belang niet zo wereldschokkend is.

Het gaat er hier niet om of het logisch is, het gaat er om of er een zwaarwegend belang is. Fingerprint zal vast de makkelijkste en technisch meest logische manier zijn, maar dat zegt niets over het belang.

"Oftewel: ik draai hem om voor je."

Nee, ik draai hem weer terug. Een werkgever dient het belang duidelijk te maken, niet andersom. Je pleit voor een oplossing met nul empathie richting werknemers, dus mag je aannemelijk maken dat dat echt nodig is, deze draconische methode. Er zijn immers vele manieren om iemand te identificeren.

Als IT-er ben ik het 100% eens met je oplossing. De superieure oplossing, technisch gezien. Je hebt echter met geen enkel woord over medewerkers en privacy gerept, en dat is veelzeggend. Niet voor mij, maar voor een rechter.

[djkooij]

Quote: "Als IT-er ben ik het 100% eens met je oplossing. De superieure oplossing, technisch gezien. Je hebt echter met geen enkel woord over medewerkers en privacy gerept, en dat is veelzeggend. Niet voor mij, maar voor een rechter."

Kijk, bovenstaande herkennen we elkaar in, dat is tof!

Over het Manfield medewerer privacy aspect: Dat is in het topic onderwerp van belang, meer dan het kassa/diefstal aspect. Oftewel, nee, men mag dat niet van medewerkers verlangen, dus eens!

Stellig praten, ik? In ieder geval spreek ik in een reactie op een andere reactie in dit draadje, om tegengas te geven aan een andere stellige mening.

Quote: "Het feit dat data centra allang bestaan zonder extreme problemen is letterlijk precedent dat het belang niet zo wereldschokkend is."

Dus je achterdeur open laten en vertrouwen dat er geen dief binnenkomt.
Dat is dan een precedent voor de rechter? Dat het wel wettelijk kan/mag/verantwoord is in Delfszijl, maar niet in Amsterdam?

Dit is nu net waarom ik zoveel werk heb ik mijn vakgebied

Quote: "Het gaat er hier niet om of het logisch is, het gaat er om of er een zwaarwegend belang is. Fingerprint zal vast de makkelijkste en technisch meest logische manier zijn, maar dat zegt niets over het belang."

Dat is absoluut een juist punt, geen enkele twijfel!
In het Manfield/kassa bericht, duidelijk en dus ook een gerechterlijke uitspraak die dat staaft.
Voor wat betreft onze datacenter discussie is het wellicht beter om een forum topic aan te maken?
Ik kan namelijk wel een shitload aan onderbouwing posten, met juridisch gestaafde inhoud, die aantonen dat mijn voorbeeld wel degelijk kan/mag en verantwoord is, maar of we dat moeten willen....

En ik heb persoonlijk wel degelijk empathie voor medewerkers, voor jouw, mijn medemens en iedereen om me heen.
Verder wil ik graag met je verder discussieren over dit onderwerp, lijkt me tof!

[Anoniem: 457607]

"Dus je achterdeur open laten en vertrouwen dat er geen dief binnenkomt."

Kijk dat is nou dingen in extremen trekken. Hier stel je dus dat blijkbaar er maar twee soorten beveiligingen zijn: via fingerprint, of geen enkele.

Nee, het is een relatief recente techniek. Voor de invoering ervan liep je ook geen data centrum zomaar binnen. Er zijn andere manieren om deze te beveiligen. Het is dus een waaier aan opties, een groot grijs gebied, en geen zwart-wit wereld.

Met alle respect, hoe leuk dan ook, voor mij is de discussie wel af. Mijn doel was opmerken dat er meer is dan de meest geavanceerde optie te kiezen, dit is niet altijd aantoonbaar nodig, en het privacy aspect moet meegenomen worden ipv compleet genegeerd worden.

[djkooij]

Prima, je mening stel ik op prijs.
Ik trek echter niets in extremen, geef alleen aan dat er iets is veranderd door de tijden heen.
Zowel in techniek, in belang als in verantwoordelijkheden.

Vele normeringen, standaarden en wettelijke regels bestonden “vroeger” niet, of in veel ruimere zin van de bepaling.
Het een werkt het ander in de hand, dat is alles wat ik er verder over kwijt wil zonder je in een verdere discussie te willen lokken.

[wjn]

Bedenk wel dat deze specifieke uitspraak is gedaan omdat de werkgever geen privacy-effectbeoordeling vooraf gedaan had.
Had de werkgever dat wel gedaan, had de uitspraak wel eens anders kunnen zijn.

Ik denk (hoop) dat een datacenter wel uitgebreide 'assesments' doet voor de beveiliging.

[nobraininvolved]

Met een datacenter kan ik me voorstellen dat het wél mag.
De persoon met toegang heeft immers in principe toegang tot al die mogelijke privacygevoelige gegevens van duizenden andere medelanders. Ik kan me voorstellen dat het beschermen van die gegevens zwaarder wegen dan de privacy van een handjevol mensen die erin mogen.

[Anoniem: 457607]

Nou, nee. Een data center waar slechts fysieke toegang krijgen tot de ruimte je tevens ook toegang geeft tot alles wat er op de servers staat, lijkt me zeer hopelijk een waanidee.

[djkooij]

De gedachte dat iemand met toegang tot de fysieke ruimte niet in staat is om alles mee te nemen c.q. te bemachtigen, lijkt mij zeer hopelijk een waanidee.
Los van het feit dat kasten een slot hebben (ok, 5 a 10 seconden), schijven wellicht encrypted zijn voor datadiefstal, dan nog kan iemand dan een compleet bedrijf/bedrijven in het kwadraat voor lange tijd platleggen.

Als men daar al is gekomen heeft je beveiligingsbeleid gefaalt, en hoe!

[Anoniem: 457607]

Wel bij het onderwerp blijven.

"De persoon met toegang heeft immers in principe toegang tot al die mogelijke privacygevoelige gegevens van duizenden andere medelanders"

Nee, wanneer je als inbreker door een data centrum loopt heb je geen toegang tot privacygevoelige data. Als dat wel zo is, dan graag aanwijzen welk data centrum/bedrijf het betreft, makkelijker voor de politie en instanties.

[nobraininvolved]

euh...als je daar rond mag lopen, ben je wss een beheerder die echt wel kan inloggen op de servers daar (de servers van je eigen bedrijf dan).
Dus in principe kunnen die mensen echt wel bij die data...
Niet ieder bedrijf is groot. Ik ben ook wel 's in een datacenter geweest voor een klein bedrijf waar ik voor werkte en die systeembeheerder had gewoon toegang tot de server die daar voor het bedrijf stond.

[Anoniem: 457607]

Het woord "inbreker"...is het je opgevallen?

[nobraininvolved]

da's wel heel erg off topic dan...t ging erom (en daar reageerde ik op) dat het in sommige gevallen vlgns mij wél geoorloofd is om biogenetische gegevens van bepaalde personeelsleden vast te leggen om toegang tot een bepaald systeem of gebouw te geven.
Toen begon de discussie over een datacenter en ik kan me voorstellen dat juist die mensen potentieel toegang hebben tot zoveel datagevoelige gegevens van b.v. klanten, dat ik me kon voorstellen dat het voor die mensen juist wel toegestaan is om die op een dergelijke manier 'vast te leggen' om de privacy van al die anderen die op een server staan, te beschermen.

Dus inbreker? daar ging 't helemaal niet om...en zelfs dan zou ik echt niet kunnen/willen garanderen dat ieder klein gooi/smijtbedrijfje met een servertje in een datacenter de toegang tot die server heeft dichtgespijkerd of alles heeft encrypt of alle mogelijke manieren om b.v. gegevens af te tappen (man in the middle attack? gwn het lijntje aftappen??) heeft dicht weten te timmeren.

[Zynth]

Het hele punt is dat het bedrijf moet aantonen dat:
- Een bepaald niveau van beveiliging gerechtvaardigd is
- Er geen (praktisch) alternatief voor biometrisch is die dat niveau haalt.

Als een vingerafdruk niet noodzakelijkerwijs beter is in een situatie dan een pasje met een pincode, dan zal het niet toegestaan zijn. Bijvoorbeeld.

[Reactie gewijzigd door Zynth op 23 juli 2024 18:06]

[HallonRubus]

In de meeste AVGs is het expliciet niet toegestaan voor de werkgever om je persoonlijke gegevens voor andere doeleinden te gebruiken dan de bedrijfsvoering. Het lijkt me ook niet dat ze je kunnen verplichten om dat wel toe te staan. En ik zou eerder uitkijken met de wifi in de kantine, daar zijn de regels een stuk minder streng over.

[jqv]

Goed dat werkgever en werknemer samen naar de rechtbank zijn gegaan.
Dus niet in onmin, maar samen.

Nu is het duidelijk voor zowel werkgever als werknemer hoe het zit.

[ElGrandoNeuso]

De persoon in kwestie is inmiddels niet meer werkzaam voor dit bedrijf


De vrouw werkt niet meer in de schoenenwinkel, zegt Bergwerff. Volgens hem vertrok ze vanwege de verplichting om gebruik te maken van de vingerscankassa, maar ze wilde wel een uitspraak van de rechter horen. Om privacyredenen wil de advocaat niet zeggen waar de winkel is gevestigd. Volgens jurist Roy Odekerken die de winkelier bijstond, ligt het anders. Totdat de rechter een oordeel over de kwestie zou vellen, was ze niet verplicht de vingerscanautorisatie te gebruiken. De vrouw had volgens Odekerken al vóór de mondelinge behandeling haar baan opgezegd.

https://retailtrends.nl/n...a-niet-zomaar-verplichten

[klakkie.57th]

Gewoon een badge gebruiken. Ik kan me niet inbeelden dat een kassa alleen met vingerafdrukken zou werken.

[Webgnome]

Dat is het nou juist. In het artikel staat dat de eigenaren naar deze manier van authorizatie hebben gegrepen omdat er in het verleden met pincodes werden gewerkt. Die werden dus 'misbruikt'. Nu lijkt het mij eerder een zaak om de betrokken medewerkers op te voeden dan dat je dit soort authorizaties gaat toevoegen.

[OxWax]

Klakkie heeft het over 'badge' , u reageert met pincodes?
Wat opvoeden betreft : akkoord, dit moet worden ingepast in de regels op de werkvloer.

[Webgnome]

Ja een badge heeft toch hetzelfde probleem als de pincodes? Je geeft even je badge aan je collega en klaar?
I stand corrected. Een pincode kun je inderdaad afkijken. Een badge daarentegen is natuurlijk nog steeds fraudegevoelig. Immers die moet je afgeven en ik kan mij niet voorstellen dat dat nooit gebeurd.

[Reactie gewijzigd door Webgnome op 23 juli 2024 18:06]

[Gohan040]

Maar een badge moet je afgeven, een pincode kan je afkijken.
Een badge kan dan weer gestolen worden wat met een vingerafdruk iets lastiger is.


Off-topic / Irrelevant , Ongewenst? serieus?

[Reactie gewijzigd door Gohan040 op 23 juli 2024 18:06]

[Arokh]

Een badge plus pincode is prima, de badge geef je niet uit gemak af, dat is het probleem van alleen een code.

En als er ontslag op staande voet op het delen van de pincode en badge staat, dan laat je dat ook net iets eerder uit je hoofd.

[Luchtbakker]

Een badge plus pincode is prima, de badge geef je niet uit gemak af, dat is het probleem van alleen een code.

Niet dus. Ik was bij mijn vorige werkgever monteur voor o.a kassasystemen van een paar grote klanten zoals Blokker, Zeeman, Hema, Lidl etc. De reden waarom vingerafdruk toegepast wordt is omdat dat 100% waterdicht is bij fraude. Je kan er wel sancties op zetten als je je code en pas deelt, maar het gebeurd toch wel en handhaving is bijna oncontroleerbaar.

Winkels zijn eilandjes. Hun HK weet echt niet wat er allemaal gebeurd in de winkels. Pas zodra er fraude gepleegd is gaan ze na wie dat gedaan heeft. Staat jouw naam in de lijst dan ben je gewoon de sjaak ook als je het niet gedaan hebt. Ik heb hele winkels kapot zien gaan en complete crew zien vervangen omdat 1 iemand fraude heeft gepleegd maar niemand kon achterhalen wie het was. Dat soort situaties wil je echt niet in de winkel en HK zit hier echt niet op te wachten.

Pasjes laat je slingeren en pincodes worden afgekeken, zo simpel gaat dat in winkels. Ik heb het wekelijks zien gebeuren.

Pas als het je overkomen is weet je wat de risico's zijn. Je werkgever beschermt je dus alleen maar door vingerafdruk toe te staan. Dan is het namelijk uitgesloten dat iemand anders onder jouw naam heeft gewerkt zonder dat jij dat weet.

[Reactie gewijzigd door Luchtbakker op 23 juli 2024 18:06]

[Terracotta]

Kijk, er zijn hier twee conflicterende belangen:
1) wat jij aanhaalt, het HK wil (terecht) niet dat er gestolen wordt
2) de privacy en integriteit van de werknemers.

De optie met de fingerprint is nu alleen 'relatief' veilig en waterdicht omdat bedrijven het niet zomaar mogen gebruiken. De bedrijven die het gebruiken zijn tot nu toe meestal niet de minste en kunnen deze gegevens ook relatief goed beveiligen.

Vanaf dit soort beveiligingsmechanismes door jan en alleman gebruikt gaat worden kan je er donder op zeggen dat de profesionele crimineel hier wel brood in ziet en achter deze databases aan gaat gaan. De kracht van de huidige authenticatiemethodes is net dat je de kaart kan wisselen bij fraude, dat je de pincode of het sleuteltje kan vervangen. Dat gaat bij fingerprint niet. Als deze gegevens gehackt worden en als de fingerprint meer en meer als authenticatie ipv als identificatie gebruikt gaat worden bij verschillende diensten, kan dit dus perfect levenslange ongewenste consequenties hebben voor een persoon.

De twee conflicterende belangen lijken mijn inziens voor dit soort situaties meer naar de privacy van de werknemer te gaan dan naar het bedrijf dat verschillende manieren kan gebruiken. Als de kosten van diefstallen zo hoog zijn, dat ze dan cash geld droppen als betaalmiddel. De beveiliging van hun kassa's is hun probleem, ze moeten geen oplossing installeren waardoor het het privé-probleem van hun werknemers wordt.

[Anoniem: 428562]

Oplossing lijkt niet zo moeilijk.

Fingerprint niet opslaan in database maar in secure element op smartcard.
Medewerker logt in met smartcard op de kassa.
Fingerprint scan van de kassa wordt vergeleken met de fingerprint in secure element op smartcard.

Fingerprint wordt nergens opgeslagen maar checkt dat fingerprint en pasje bij elkaar horen.

Gemalto of een andere smartcard leverancier kan zoiets vast wel leveren.

[blorf]

"fingerprint scan van kassa wordt vergeleken met..."
"fingerprint wordt nergens opgeslagen..."

Je ziet hier geen probleem? Waar gaat die fingerprint in de kassa heen na een scan?

[Reactie gewijzigd door blorf op 23 juli 2024 18:06]

[R4gnax]

Dit zou inderdaad de oplossing moeten zijn.
Beetje zoals je bankpas gebruiken icm een random reader en pincode.

Alleen wordt het ipv iets wat je hebt en iets wat je weet; iets wat je hebt en iets wat je bent.
(Dat gezegd hebbende: ram er dan ook nog een pincode op tegen misbruik middels gekopieerde vingerafdrukken.)

[Reactie gewijzigd door R4gnax op 23 juli 2024 18:06]

[Arokh]

Ik snap niet dat werknemers ermee akkoord zouden gaan. Een werkgever die (ik vertrouw mijn werkgever nooit, uit principe kan dat ook niet, blijkbaar wederzijds), levenslang je biometrische data opslaat... Nee, dat ga ik niet doen.

Bij ons hebben ze het er ook over gehad, maar is er een pasjessysteem gekomen. Ik zou zelf weggegaan zijn als het toch biometrische was gegaan. De pasjes worden trouwens bij ons echt nooooit door collega's gedeeld. Daarnaast moet je in en uit checken, dus als je je pas vergeet heb je die dat officieel niet eens gewerkt. Mensen zorgen er dus gewoon voor dat je je pas bij je hebt.

Een vingerafdruk is nog best goed na te maken trouwens als je echt per se kwaad in de zin hebt.

Van mijn lichaam blijft een werkgever maar gewoon af, daar is een grens overschreden. En als ik ervoor kies mijn telefoon met een vingerafdruk te beschermen (wat ik op mijn werktelefoon ook niet doe overigens), dan is dat wel Mijn telefoon, en mijn keus. Hier krijgt een werknemer geen keus, en gaat het niet om zijn zelf aangeschafte kassasysteem.

[laptopleon]

Is natuurlijk je goed recht om er zo resoluut in te zijn, maar juist omdat vingerafdrukken ook maar gewoon na te maken zijn en dus ook geen 100% waterdicht systeem geven, vind ik het niet zo spannend allemaal.

Dan staat mijn vingerafdruk (het is feitelijk altijd een aantal kenmerken daarvan en dan nog versleuteld, maar goed) in een systeem. Op zich heeft niemand daar wat aan.

Als iemand echt wil, kan hij mijn afdrukken toch wel te pakken krijgen en ergens kunstmatig achterlaten of zo. Een blikje of plastic bekertje wat ik gebruikt heb uit de vuilnis vissen is waarschijnlijk al genoeg.

[MacGyverNL]

Is natuurlijk je goed recht om er zo resoluut in te zijn, maar juist omdat vingerafdrukken ook maar gewoon na te maken zijn en dus ook geen 100% waterdicht systeem geven, vind ik het niet zo spannend allemaal.

Het probleem met die redenering is dat jij ervan uitgaat dat degene die jouw vingerafdrukken gebruikt voor authenticatie danwel identificatie eenzelfde begrip heeft van de beperkingen van biometrische eigenschappen, en dat jullie belangen in overeenstemming zijn, wat absoluut niet gegarandeerd is.

Dan staat mijn vingerafdruk (het is feitelijk altijd een aantal kenmerken daarvan en dan nog versleuteld, maar goed) in een systeem. Op zich heeft niemand daar wat aan.

Dat is een begrijpelijke maar heel gevaarlijke aanname, getuige een datalek van een week geleden: https://www.vpnmentor.com/blog/report-biostar2-leak/ en https://www.theguardian.c...-police-and-defence-firms
Er is nog wat discussie over hoe valide het onderzoek is maar het lijkt wel degelijk zo te zijn dat hier biometrische *brondata* wordt opgeslagen, in plaats van de templates.

Daarnaast zijn er voorbeelden van hoe mensen met alleen maar uitvergrote foto's vingerafdrukken kunnen namaken, toegepast op o.a. een Duitse politicus, https://www.theguardian.c...using-photos-of-her-hands

Vingerafdrukken (en eigenlijk de meeste biometrie) zijn compleet ongeschikt als losstaand authenticatiemiddel. Identificatie kan maar je wil echt een extra factor zoals een wachtwoord of een pasje voordat je het als authenticatie beschouwt.

En dat staat allemaal dus los van of we dit persoonlijke informatie vinden (wat het natuurlijk gewoon is, want herleidbaar tot een persoon, dat is het hele punt), en of 't dan proportioneel is om dat maar aan je werkgever te moeten geven terwijl er alternatieven zijn.

[laptopleon]

We trekken grotendeels dezelfde conclusie.

Vingerafdrukken (en eigenlijk de meeste biometrie) zijn compleet ongeschikt als losstaand authenticatiemiddel. Identificatie kan maar je wil echt een extra factor zoals een wachtwoord of een pasje voordat je het als authenticatie beschouwt.

Het is persoonlijk, daar wil ik niets aan af doen en het ‘leuk voor erbij’ qua beveiliging, maar niet waterdicht.

Het heeft voor een werkgever (of wie dan ook) daardoor weinig waarde qua beveiliging en in de praktijk dus ook weinig nut. (Blijft over het privacy-verhaal.)

Het grootste probleem is dat rechters en dergelijke vaak nog lijken te denken / er van uit gaan dat vingerafdrukken waterdicht zijn. En dus verregaande conclusies verbinden aan het gebruik er van (ontslag want jouw vingerafdruk heeft de kassa opengemaakt etc).

De fout zit dus niet in het vingerafdrukken-systeem maar in de uitgangspunten van de werkgever, rechter etc.

[Reactie gewijzigd door laptopleon op 23 juli 2024 18:06]

[MacGyverNL]

We trekken grotendeels dezelfde conclusie.

[...]

De fout zit dus niet in het vingerafdrukken-systeem maar in de uitgangspunten van de werkgever, rechter etc.

Ja en gegeven dit trekken wij dus een compleet tegenovergestelde conclusie: omdat deze uitgangspunten vaak fout blijken is het wél spannend voor de zwakkere partij (i.e. het individu) en moet de privacy-bescherming hier juist onverbiddelijk zijn.

[laptopleon]

Het probleem van verkeerde uitgangspunten (aannames over de werkelijkheid die niet kloppen) ga je nooit adequaat oplossen met aanvullende uitgangspunten (in dit geval privacy-regels) verderop in de keten.

Als rechters er van uit zouden gaan dat iemands schoenafdruk uniek is (even een overdreven voorbeeld) – wat niet klopt – zou je dat ook nooit meer alsnog kloppend kunnen maken door de privacy van schoenafdrukken te verbeteren.

[T-men]

Is natuurlijk je goed recht om er zo resoluut in te zijn, maar juist omdat vingerafdrukken ook maar gewoon na te maken zijn en dus ook geen 100% waterdicht systeem geven, vind ik het niet zo spannend allemaal.

Juist omdát het niet waterdicht is, maar wél als zodanig gepresenteerd en beleefd wordt is controle met een vingerafdruk een waardeloos systeem.
Je vingerafdruk is kinderlijk eenvoudig na te maken. Iemand logt er mee in bij de kassa en jij bent 'de schuldige'.

Als het dan toch niet werkt, schaf dan het hele systeem niet aan. Dan hoef je ook geen bijzondere persoonskenmerken op te slaan.

[Reactie gewijzigd door T-men op 23 juli 2024 18:06]

[laptopleon]

Juist omdat het niet waterdicht is, is het ‘bijzondere’ aan een ‘bijzonder persoonskenmerk’ feitelijk niet zo bijzonder.

Het werkt prima. Het is niet 100% waterdicht, maar dat zijn pasjes en codes ook niet en vingerafdrukken zijn in de praktijk een stuk lastiger te lenen dan pasjes en codes.

[Arokh]

Ja, privacy is niet belangrijk, dat weet ik. Voor veruit de meeste mensen.

Dat wil voor mij niet zeggen dat de mensen die privacy wél belangrijk vinden, maar gewoon gedwongen moeten worden om mee te doen.

[T-men]

De reden waarom vingerafdruk toegepast wordt is omdat dat 100% waterdicht is bij fraude.

Een vingerafdruk stelen en namaken is een fluitje van een cent

[laptopleon]

Die titel is flink gechargeerd.

Tijdens de workshop wordt een beetje secondelijm op een stukje folie met twee soldeerbouten verhit waarboven een ander stukje folie met een afdruk wordt gehouden.

Dit zie ik een gemiddelde Aldi-werknemer nog niet zo snel doen. Een code afkijken en of badge ‘lenen’ is 100 keer zo simpel.

Andere wel erg simpele kijk op de realiteit is:

Maar er is ook een high tech manier om een vingerafdruk van iemand te bemachtigen, namelijk simpelweg door een hoge resolutie foto van de vinger te maken tijdens bijvoorbeeld een speech of openingsceremonie.

Probeer maar eens een foto van iemands vingerafdruk te maken, zonder dat die persoon het door heeft. Dat valt echt niet mee. Mensen houden hun vingers van nature juist niet omhoog, niet stil en de lichtval is dus slecht op een vingerafdruk die toch al nauwelijks contrast heeft.

Dan moet je er nog een heel goed zwart/wit patroon van maken in photoshop, ook niet iets wat elke vakkenvuller beheerst.

Dan nog een laserprinter met de juiste folie vinden.. daarna soort van micro-zeefdrukken met houtlijm… Nee, bij fluitje van een cent denkt niemand aan een klus die in het gunstigste geval uren duurt.

edit binnen 1 minuut van een typo

[Reactie gewijzigd door laptopleon op 23 juli 2024 18:06]

[svenslootweg]

Dit zie ik een gemiddelde Aldi-werknemer nog niet zo snel doen. Een code afkijken en of badge ‘lenen’ is 100 keer zo simpel.

Daar gaat de reactie echter niet over. @Luchtbakker beweert dat het "100% waterdicht is bij fraude", en dat is dus aantoonbaar onjuist.

Edit: Wat de security-mensen onder ons waarschijnlijk niet zal verbazen, want dat is eigenlijk altijd het geval wanneer er beweerd wordt dat iets "onhackbaar" is.

[Reactie gewijzigd door svenslootweg op 23 juli 2024 18:06]

[laptopleon]

Het is niet 100% waterdicht maar waar ik op reageer is ‘een fluitje van een cent’ – het andere uiterste – en dat is net zo goed niet waar.

Het lijkt wel of het per se altijd zwart of wit moet zijn voor sommigen. Media overdrijven altijd graag en dan is het al gauw alles of niets. De werkelijkheid is juist meestal grijs.

[IJzerlijm]

Voor een fluitje van een cent is er nog steeds een hoop nodig om een vingerafdruk na te maken. Bijvoorbeeld 50 minuten lang met twee soldeerbouten en secondenlijm in de weer zijn.

[Dark Angel 58]

[...]

Een vingerafdruk stelen en namaken is een fluitje van een cent

Dan laat ik ook een nieuwe technologie uitvinden... een scanner die op huid kan scannen, als het niet organisch of afwijkend organisch stof vindt, geeft het een alarm. Dan weet het systeem dat je een valse vingerafdruk hebt, dus verwijder die laag uit je vingers

[Reactie gewijzigd door Dark Angel 58 op 23 juli 2024 18:06]

[Groningerkoek]

Combinaties van pas met code is mijn inziens afdoende, als mensen hun pincode laten afkijken en hun pas laten slingeren zijn ze wat mij betreft dusdanig verwijtbaar bezig dat men rustig op de blaren mag zitten omdat men het misbruik zelf mogelijk heeft gemaakt. Biometrische persoonsgegevens voor een kassa in een winkel is zwaar overdreven en niet nodig.

[Fermion]

je kunt ook uitlenen, omdat met een drukke winkel dat net uitkomt. Zou alle medewerkers gewoon in hun arbeidsovereenkomst laten onderteken voor het instemmen van een vingerscan.

[PcDealer]

Of dat wel of niet overeengekomen is, het is niet zomaar toegestaan zoals in de uitspraak staat.

[RGAT]

Zet er ook gelijk in dat je ze mag slaan als ze niet luisteren en ze daar akkoord mee gaan, ook niet rechtsgeldig...
Dat iets in een overeenkomst staat maakt het nog niet geldig, laat staan dat je het kan dwingen...

[Arokh]

Dat is exact wat ik bedoel.

[ari]

In zo'n beetje elke winkel staat er een beveiligingscamera op de kassa gericht. Als er een probleem is dan kun je ook de beelden terugkijken. Dat lijkt me sowieso redelijk noodzakelijk in het geval dat de werknemer ontkent. Vingerafdrukken zijn niet 100 % waterdicht, voordat je iemand ontslaat lijkt me dat je als werkgever bevestiging wilt hebben (als is het maar omdat rechtszaken vanwege onterecht ontslag niet grappig zijn).

Pincodes worden inderdaad doorgegeven, dat was ook vrij standaard toen ik ruim een decennium geleden in een supermarkt werkte. De manager gaf haar inlogcode telefonisch door vanaf de infobalie want daar stond een lange rij. Die inlogcode was nodig voor 'moeilijke dingen' zoals een verkeerde scan ongedaan maken. Niet dat het veel verschil maakte als de manager de code zelf kwam intoetsen, op het touchscreen recht voor mijn gezicht... Doe mij maar een pasje. Kan zeker uitgeleend of gestolen worden, maar daar ben je je in ieder geval van bewust.

[AmigaWolf]

De reden waarom vingerafdruk toegepast wordt is omdat dat 100% waterdicht is bij fraude.

En dat is het hem nou, NIKS is 100% waterdicht, ook niet vingerafdruk, dat mensen nog steeds in die fabeltje gelooft dat er iets bestaat dat 100% waterdicht is sta ik nog steeds versteld van.

[vaagisdenaam]

Ik begrijp het sowieso niet, het is toch toegestaan om een camera te richten op de kassa? Waarom dan moeilijk doen...

[T-men]

Klopt !
Dat is precies een van de "alternatieve oplossingen" waar de rechter het over heeft.

[Fermion]

vindt een camera eerder een inbreuk op mijn werk privacy dan een vingerscan.

[T-men]

Ik niet ! (Ten minste niet in de setting van een kassa !)

Mijn vingerafdruk is een belangrijk 'password' dat ook voor andere toepassingen gebruikt wordt (om een land binnen te komen b.v.) Als die in verkeerde handen terecht komt zijn de gevolgen onvoorspelbaar, maar ID-fraude is een serieus risico.

Bewijs dat een medewerker (niet) in de kassa loopt te graaien voorkomt veel ellende en wantrouwen in een winkel. Met eventuele uitgelekte beelden kan ook vrij moeilijk ID-fraude gepleegd worden.

De camera-optie heeft in dit geval dan duidelijk mijn voorkeur.

[Reactie gewijzigd door T-men op 23 juli 2024 18:06]

[Anoniem: 298195]

Ik vind het best raar dat mensen zo beschermend zijn over hen vingerafdruk terwijl ze die overal achterlaten op alles wat ze aanraken. Het gaat dan ook meer hoe data over jou gebruikt wordt en niet zozeer dat de data gebruikt wordt. IMHO zolang de data verstandig en redelijkerwijs gebruikt wordt zoals in het bijhouden van werkuren of toegangverlening tot iets en het niet online opgeslagen wordt heb ik er geen problemen mee.

[Reactie gewijzigd door Anoniem: 298195 op 23 juli 2024 18:06]

[T-men]

Die afdruk an-sich is ook niet het probleem:

Het probleem is dat we hem als een "100% waterdicht systeem" zijn gaan gebruiken, terwijl het dat niet is. En áls het dan fout gaat, dan kan ik mijn vingerafdruk niet zomaar even wijzigen.

We moeten dus spaarzaam zijn met dat kenmerk.

Door het maar in van allerlei systemen op te slaan vermenigvuldigd het risico zich tot op een punt dat de kans dat het een keer écht mis gaat reëel geworden is.
Door standaard zuinig en kritisch met dat kenmerk om te springen beperk je de risico's aanzienlijk.

[hoeksmarp]

Ik denk dat het met name gaat over het creëren van een (gestructureerde) database van die vingerafdrukken gekoppeld aan personen. Dat is niet zomaar toegestaan. Net zoals het niet zomaar toegestaan is een database met naam en pasfoto van mensen te hebben.

[R4gnax]

Net zoals het niet zomaar toegestaan is een database met naam en pasfoto van mensen te hebben.

Moet je eens aan hoteliers en de toerisme-industrie vertellen.
Hier in west-europa is het tegenwoordig redelijk op orde, maar als je ooit daarbuiten trekt: wedden dat het eerste het beste hotel een kopie paspoort van je wil? Bij uitzondering zijn er die er zelfs op staan om je paspoort in te nemen. (Ja echt...)

[Reactie gewijzigd door R4gnax op 23 juli 2024 18:06]

[hoeksmarp]

Dat weet ik. Het verandert er ook niets aan dat het niet toegestaan is in Nederland.

[Anoniem: 433865]

Dat is toch juist niet raar dan ? Je laat je vingerafdruk overal achter waar je geweest ben, niet handig om dat dan te gaan gebruiken ter identificatie en dergelijke.

[laptopleon]

Mijn vingerafdruk is een belangrijk 'password' dat ook voor andere toepassingen gebruikt wordt (om een land binnen te komen b.v.)

Jouw vingerafdrukken zijn nooit gebruikt om een land binnen te komen.

https://nos.nl/l/2203672

Zelfs als ze al gebruikt zouden worden, is dat als aanvulling op je pasfoto en andere info zoals kleur ogen, leeftijd en lengte.

[hoeksmarp]

[...]

Jouw vingerafdrukken zijn nooit gebruikt om een land binnen te komen.

Dat is misschien waar voor de Nederlandse / Europese douane, maar er zijn zeker landen waar vingerafdrukken veelvuldig gebruikt worden voor identificatie. In Chili bijvoorbeeld o.a. bij de bank.

[laptopleon]

Tja, hier om de hoek zit ook gewoon een camping die het gebruikt voor de slagboom.

Ik krijg de indruk dat veel mensen het als iets heel bijzonders beschouwen, maar je kan al jaren voor bij wijze van spreken een paar honderd euro je deur open (laten) doen met een vingerafdrukscanner. Zo heel science fiction is het toch allemaal niet?

[hoeksmarp]

Ik bedoel daadwerkelijk het gebruik van de vingerafdruk in je id-kaart (in dit geval een Chileense id-kaart). Dus dat je vingerafdrukken nog nooit gebruikt zijn om een land binnen te komen kun je niet zeggen. Als ik een id-kaart / paspoort van een ander land heb, kan het goed zijn dat die vingerafdrukken wel gebruikt worden (is volgens mij in Chili ook het geval, maar ik heb geen Chileens paspoort om het te proberen ).

[laptopleon]

Aha, op zo’n manier

Leuk weetje.

[R4gnax]

je kan al jaren voor bij wijze van spreken een paar honderd euro je deur open (laten) doen met een vingerafdrukscanner.

En het is ook al jaren zo lek als een mandje. Mythbusters hebben al eens laten zien dat wat toenmalig state-of-the-art was, voor de gek te houden was met een nat vloeipapiertje.

[laptopleon]

Ik heb er zelf geen ervaring maar maar volgens de campinghouder was de betaalbare versie sowieso niet heel betrouwbaar. Een ander model wel maar die vond hij te duur.

[OxWax]

Aan de kassa hebt u geen recht op privacy , wél in de refter, omkleedruimte, toilet , ...

[T-men]

En als er ontslag op staande voet op het delen van de pincode en badge staat, dan laat je dat ook net iets eerder uit je hoofd.

Dat is nou net het probleem...

Pasjes kun je vergeten
Pincodes kun je vergeten

En dan... gaan collega's hun pasjes uitlenen onder het mom van ''nood breekt wet". Lief, maar een potentieel groot beveiligingsrisico.

Een vingerafdruk kún je niet vergeten en ook kun je hem niet even afgeven (ja hij kan op andere manieren onbruikbaar worden, maar dat is een ander verhaal)
Hij kan overigens wél (vrij makkelijk !) gestolen worden. Dat vergeten mensen nog wel eens.

[Reactie gewijzigd door T-men op 23 juli 2024 18:06]

[R4gnax]

En dan... gaan collega's hun pasjes uitlenen onder het mom van ''nood breekt wet". Lief, maar een potentieel groot beveiligingsrisico.

Kwestie van het ID token op de pas loskoppelen van de login van de persoon.

De pas wordt op dat moment gebruikt om de rechten v/d medewerker in kwestie te verwerven en het medewerkers-nummer (username) en de pincode (password) blijven van de medewerker zelf.

Als een medewerker met de eigen pas inlogt: geen probleem.
Als een medewerker met iemands anders pas inlogt worden alle acties gelogd en worden bijv. camera beeden automatisch apart gezet om e.e.a. later na te lopen, om te controleren het allemaal wel OK was en er geen schimmige zaakjes plaats hebben gevonden.

Is niet veel anders dan wanneer gebruikers in complexere systemen de mogelijkheid hebben om andere gebruikers te impersoneren.

[jdh009]

Een vingerafdruk laat je in de praktijk overal achter. Hoe goed zijn deze systemen in het herkennen van deze fake vingerafdrukken?

[Gohan040]

Hier heb je zeker een punt, maar ik kan je geen antwoord geven op hoe goed en betrouwbaar de systemen zijn.
Waar een echte wil is om te frauderen is natuurlijk altijd een weg. Echter de kans dat iemand je vingerafdruk ergens vanaf gaat halen om die vervolgens te kopiëren naar martiaal wat door de scanner als "vinger"word gezien is natuurlijk een stuk kleiner dan een pasje jatten of code afkijken.

Als ik aan een oplossing denk zou ik zeggen een persoonlijk pasje die je in moet steken als je het systeem wilt gaan gebruiken. Je meldt je er als ware mee aan om er vervolgens in te komen met de vingerafdruk. Verwijderd men de pas dan logt men uit.

Gebruikersnaam = pasje
Wachtwoord = vingerafdruk

[HuisRocker]

Je kunt een pincode afkijken en gebruiken zonder medeweten van de ander, met een badge/pasje kan dat niet, dat lijkt mij een heel groot verschil!

[nobraininvolved]

tsja...maarruh...de meeste winkels worden gerund door meer dan 1 persoon. Ik neem aan dat je je personeel ook gewoon kunt laten 'intekenen' bij een leidinggevende voordat ze een kassalade meekrijgen. Dit zodat geregistreerd staat dat jantje achter kassa 1 zit met lade 4 ofzo.
Lijkt me toch niet zo heel moeilijk om dit een beetje sluitend te krijgen? kwestie van een procedure opstellen, iemand verantwoordelijk maken en die ook verantwoordelijk houden.
Daarnaast idd aanvullende maatregelen zoals 'pincode afgeven is ontslag' of een persoonsgebonden token meegeven (kan een badge zijn, maar ook een ander device). mogelijkheden genoeg lijkt me om dit zonder vingerafdruk te regelen.

[don_jorg]

Jij denkt teveel aan een supermarkt. In dit geval gaat het om Manfield: ze hebben echt niet 4 kassa's voor 4 medewerkers (en in grotere winkels zullen ze er nog veel meer hebben). Die zullen allemaal van de kassa gebruik maken en het aantal kassa's is daar lager dan het aantal medewerkers.

[nobraininvolved]

ja snap ik. Dat ligt idd iets moeilijker, maar goed...wat ik bedoelde: alles wat je kunt met een vingerafdruk kun je ook met een andere authenticatiemethode. En of dat nou een NFC chip is in een door de werkgever geleverde telefoon of badge, of het is een andere methode, maakt dan niet zo heel veel uit.
Bij dit soort kassa's gebruikt personeel 'm door elkaar heen, dus je wilt een snelle manier van inloggen, je financiele transactie afhandelen en dan weer uitloggen zodat de volgende kan.

[HuisRocker]

...aanvullende maatregelen zoals 'pincode afgeven is ontslag' of een persoonsgebonden token meegeven (kan een badge zijn, maar ook een ander device). mogelijkheden genoeg lijkt me om dit zonder vingerafdruk te regelen.

Wat snap je precies niet van:

Je kunt een pincode afkijken en gebruiken zonder medeweten van de ander,...

De oplossing zit in dit soort gevallen inderdaad in een persoonlijke badge/pas/token/enz. (van alles mogelijke zonder AVG gevolgen), precies zoals ik (en vele anderen hier) al aangaf.

[nobraininvolved]

Wat zou er mis mee zijn dat je een pincode kunt afkijken?
Als het goed is, wordt iedere dag de kassa opgemaakt toch? Dus 'tekorten' zou je er op dagbasis uit kunnen halen. Lijkt me niet heel veel moeite om even de camerabeelden van die dag te bekijken om na te gaan of jantje degene was die om 13.15 heeft ingelogd op kassa 2 op het moment dat jantje bij hoog en laag beweert dat hij er niets mee te maken heeft.

Dus ja, ik begrijp het prima, maar het gaat erom dat eea gecontroleerd kan worden en dat kan gewoon, kost alleen ietsje meer werk.

[Capa]

Lijkt mij niet hetzelfde, een pincode kan je afkijken en onthouden, een badge niet.

[Theo]

it takes two to tango

Het doel van het invoeren van de regel is tegengaan van diefstal door medewerkers. Een onbetrouwbare medewerker kan de pincode afkijken van een collega en deze misbruiken zonder dat dat de eerlijke medewerker dit doorheeft. Hiermee is het logisch dat pincodes dus onbetrouwbaar zijn bij de kassa.

Wil je het misbruik tegengaan dan zijn pasjes wel degelijk een goed alternatief; de kwaadwillende medewerker kan niet zomaar 'een pasje afkijken' zoals dat met een code wél kan. Wil hij misbruik maken dan moet hij dat pasje stelen; of moet hij met een andere collega samenwerken..

[SpoekGTi]

Maar een badge of een druppel icm camera beelden is dekkend voldoende of de medewerker in kwestie wel de medewerker is die hij/zij zegt die het is.

Er is geen kassasysteem meer ter wereld waar geen camera hangt volgens mij.

[OxWax]

Wat betekent de term "druppel" in deze context? (buiten Bokma )

[SpoekGTi]

Een tag, je kent het wel zon kutding aan je sleutelbos die die je altijd vergeet als en een vergaderruimte uitloopt ipv een pasje

[Aaargh!]

Alleen een pincode is misschien niet voldoende, die kan je makkelijk aan iemand anders vertellen, maar een pasje met een PIN zou toch voldoende moeten zijn ?

[Christoxz]

Ja maar dat kan je nog steeds doorgeven.
uitlenen aan iemand die het vergetennis etc.
Dat is niet mogelijk bij een vinger afdruk en denk dat dat het hele doel was van de werkgever.

Zorgen dat alles op je eigen account gebeurt

[Budha]

Maak de salarisstrookjes inzichtelijk met de persoonlijke pas/pincode en niemand leent z'n authenticatiemiddelen meer uit.

[Christoxz]

Slim, maar zal niet overal werken.

In dit geval een schoenenwinkel maar ook een goed voorbeeld is horeca.
Wat @Amadeus1966 al aangaf is dat vaak de lonen het zelfde zijn of heel dicht bij elkaar zitten
Weinig functie verschillen, vaak alleen een filiaal manager en de verkopers, en de verkopers zitten dan op de zelfde schaal.

Ook word er steeds meer gepraat over salarissen (verbaasde mij). Maar bij enkele familie leden en vrienden word er intern op het werk open gesproken over salarissen.

Salarisstrookjes zijn dan niet meer zo persoonlijk.

[Amadeus1966]

Klopt, hier thuis net zo als op het werk.
Daarnaast is dat van ons gewoon terug te vinden op het www en in het cao boekje.
Weinig geheimzinnigs aan.

[Amadeus1966]

Allemaal het zelfde uurloon ( twee keer modaal gedeeld door vijf ). geen haan die er om kraait.

[Cergorach]

Veel kassa's hebben touchscreens tegenwoordig, staan verticaal en hebben korte pincodes, das dus heel makkelijk op te vangen. Natuurlijk laat iedereen overal zijn vingerafdrukken achter in zo een winkel, dus zou iemand met een beetje kennis en ervaring deze ook kunnen gebruiken om de kassa te openen. Wat je ook zou kunnen doen is een pas/token + pincode, dan moet eerst de pas/token worden gestolen en dan heb je er nog niets aan zonder pincode.

Ik vind het echter vreemd dat de rechter zegt dat de schoenwinkel niet voldoende beargumenteert waarom het nodig is en dat er betere opties zijn om de id vast te stellen. Terwijl de betaalde google advertentie van de staat zegt "Opname van vingerafdrukken zorgt voor een betere beveiliging van het paspoort." als je zoekt op "vingerafdrukken paspoort" via Google... Verder is trouwens dat statement nergens meer te vinden.

[CAPSLOCK2000]

Ik vind het echter vreemd dat de rechter zegt dat de schoenwinkel niet voldoende beargumenteert waarom het nodig is en dat er betere opties zijn om de id vast te stellen.

Dat ligt aan je definitie van "beter". Het gaat dus niet alleen om de betrouwbaarheid van het middel maar ook over gevolgen voor de werknemer. Vanuit het oogpunt van de privacy van de medewerker zijn vingerafdrukken niet optimaal.

Terwijl de betaalde google advertentie van de staat zegt "Opname van vingerafdrukken zorgt voor een betere beveiliging van het paspoort." als je zoekt op "vingerafdrukken paspoort" via Google... Verder is trouwens dat statement nergens meer te vinden.

Je paspoort wordt inderdaad beter beveiligd, als je alleen naar dat aspect kijkt. Op andere gebieden kan het ook nadelig zijn. Simpel voorbeeld: het is duurder om zo'n paspoort te maken.

[EJlol]

Pincodes en badges zijn daadwerkelijk anders. Een pincode hoef je maar 1x af te kijken, en je kan de kassa plunderen op een moment dat het jou uitkomt. Een badge moet je bemachtigen en gebruiken zonder dat het andere personeelslid doorheeft dat hij/zij haar badge mist.

[m3gA]

Als iemand een pincode afgeeft doen ze ook wel een vinger afdruk "hey ik kom er niet in, log even voor me in", dat gebeurt zo vaak. En als je mensen de consequenties uitlegt "als er gestolen wordt onder jouw pincode is het jouw verantwoordelijkheid", letten ze wel beter op.

[Waterbeesje]

Daarom een badge. De badge is persoonsgebonden en kan daarmee hetzelfde doen als wat een vingerafdruk doet.

Verschil is dat de badge (buiten een naam en registratienummer, welke tóch al in het bestand moeten staan) geen vingerafdruk is en dus geen extra persoonsgegeven.

De badge is dus persoonsgebonden en de medewerker is verantwoordelijk voor het gebruik hiervan. Leen je 'm uit? Dan ben je zelf verantwoordelijk voor de kassa-acties hiermee.
Een badge uitlenen is door het bedrijf als fraude te bestempelen en als danig met de betreffende medewerkers op te nemen.

[SuperDre]

Jij hebt duidelijk geen kijk op de realiteit mbt werknemers. 'Werknemers opvoeden' werkt niet, het feit dat er werknemers zijn die dus stelen ga je niet kunnen opvoeden.
Een badge gaat op dat gebied ook niet echt werken, is niet veel veiliger dan een pincode.

[OxWax]

Jij hebt duidelijk geen kijk op de realiteit mbt werknemers. 'Werknemers opvoeden' werkt niet, het feit dat er werknemers zijn die dus stelen ga je niet kunnen opvoeden.
Een badge gaat op dat gebied ook niet echt werken, is niet veel veiliger dan een pincode.

U doet niet wat u wordt opgedragen?
Hoe lang denk je in dienst te kunnen blijven?

[R4gnax]

U doet niet wat u wordt opgedragen?
Hoe lang denk je in dienst te kunnen blijven?

Directe werkweigering is wat anders dan een aantal regels negeren of niet altijd even strikt volgen.
En je kunt niet zo makkelijk voor alles ontslagen worden.

Daarnaast zijn er meer dan voldoende zaken die je zonder gevolgen kan en soms zelfs moet weigeren. Denk bijv. aan wettelijk maximale aantal werkuren in de week.

[Reactie gewijzigd door R4gnax op 23 juli 2024 18:06]

[MIB75]

Geweldig altijd dat wanneer er een probleem wordt aangekaart waar verschillende personen, bedrijven en instanties zich over hebben gebogen, dat dan een van de eerste reacties begint met "Gewoon...". Alsof het allemaal zo eenvoudig is, alsof nog niemand op deze oplossing is gekomen, alsof iedereen stront in de ogen heeft...

[klakkie.57th]

Blijkbaar wel , biometrie is altijd de laatste optie en dat had dat bedrijf moeten weten. Systemen met badges bestaan al een eeuwigheid en kennen niet het probleem van het “afkijken” van de pincode.

Dit is dus inderdaad een gevalletje van “de baas dacht dat het wel kon”

[SuperDre]

Ik denk dat jij dan heel erg naief bent als jij denkt dat badges niet hetzelfde probleem kent als 'afkijken' van de pincode.. Een badge clonen bv is erg simpel..

[klakkie.57th]

Sorry dat is een heel ander niveau, dan effe een pincode afkijken. Ik denk echt niet dat “de gemiddelde” cassiere badges kan clonen.

[GekkePrutser]

Een badge clonen kan simpel zijn afhankelijk van de gebruikte techniek, zoals die goedkope Chinese tijdregistratiebadges of de goedkopere Mifare versies. Het kan ook ontzettend moeilijk zijn, veel moeilijker dan het namaken van een vingerafdruk. Veel smart cards met asymmetrische encryptie hebben een interne private key die er niet uitgehaald kan worden en intern 'bedacht' wordt, die zijn niet te clonen.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 18:06]

[OxWax]

Ik denk dat jij dan heel erg naief bent als jij denkt dat badges niet hetzelfde probleem kent als 'afkijken' van de pincode.. Een badge clonen bv is erg simpel..

...voor een schoenwinkel medewerker ?

[MIB75]

Nee, met een badge kan je niet "afkijken", maar die hebben weer het probleem dat ze even "geleend" kunnen worden. En aangezien het bedrijf een probleem had met stelende werknemers, kan dit dus met een badge weer redelijk eenvoudig gebeuren. Dus zo "gewoon" is "gewoon" niet...

[klakkie.57th]

Dat moet je dan meteen aangeven dat je badge gestolen is. Ik zie echt niet in hoe iemand mijn badge kan “lenen” die rond mijn nek hangt.

[MIB75]

Kom op, beetje out-of-the-box denken. Mensen leggen even de badge op de kantinetafel, mensen laten hun badge in hun werkjas zitten, mensen vergeten hun badge thuis en lenen die van een collega. Denk nou niet zo eenvoudig: er zijn tientallen manieren waarop je aan een badge kan komen.
In theorie kan je alles afvangen, maar je hebt te maken met mensen. Zeker wanneer mensen niet zo "security-minded" zijn (laten we eerlijk zijn: da's 90% van de bevolking), is een badge niet altijd de oplossing. Dus ik blijf er bij: zo "gewoon" is "gewoon" niet.

[klakkie.57th]

De doorgewinterde dief , zal altijd aan de nodige info komen, maar hier hebben we het over een schoenenwinkel en winkelpersoneel.

En daarom moet je maar je vingerafdruk afstaan ?!

Totaal Disproportioneel

[MIB75]

Daar gaat het niet om. Je komt met een oplossing die ze "gewoon" maar moeten toepassen. Maar de oplossing is niet zo "gewoon". De oplossing die jij als "gewoon" bestempelt, zou voor hen ook geen oplossing bieden. De pincode kon afgelezen worden, een badge kan ontvreemd worden. Dus zo "gewoon" is hij niet. Nogmaals: wanneer meerdere personen, bedrijven en instanties hier naar gekeken hebben en je komt dan met de oplossing "ze moeten gewoon...", is dat erg kortzichtig. Wat jij in 1 minuut hebt bedacht, zullen de mensen die daar de verantwoordelijkheid hebben over de IT ook vast bedacht hebben...

[klakkie.57th]

Blijkbaar niet want dan hadden ze geweten dat biometrie een probleem zou zijn.
En als je badge gestolen wordt is er geen probleem want dan doe je aangifte en blokkeer je die badge. Voor je weet dat iemand je pincode misbruikt kunnen er al vele uren / dagen verstreken zijn.

[Reactie gewijzigd door klakkie.57th op 23 juli 2024 18:06]

[MIB75]

"Blijkbaar niet want dan hadden ze geweten dat biometrie een probleem zou zijn." Ik doelde op jouw oplossing, niet op de oplossing die ze zelf bedacht hadden.
En wat betreft je tweede punt: denk toch eens wat verder! Als je even tijdelijk de beschikking hebt over een badge (nogmaals: iemand laat hem ergens liggen, laat hem in z'n werkkloffie zitten o.i.d.), dan heb je met een badge hetzelfde als met een pincode. Er is weinig verschil tussen een pincode en een badge. In het ene geval moet je iets weten, in het andere geval moet je iets hebben. Beiden hebben hun problemen. Dat ze vervolgens niet de juiste keuze hebben gemaakt is duidelijk, maar - en ik blijf het herhalen - jouw oplossing van "gewoon" een badge nemen, is niet zo "gewoon".

[OxWax]

Als ik de badge leen van een collega werk ik op die zijn account en buiten dat hij niet kan werken , doe ik dan zijn taken en blijven de mijn open staan
Just saying ...8)7

[Reactie gewijzigd door OxWax op 23 juli 2024 18:06]

[MIB75]

Dit ging over geld stelen uit een kassa, dus wat jij nu zegt, raakt kant noch wal.

Edit: typo

[Reactie gewijzigd door MIB75 op 23 juli 2024 18:06]

[Anoniem: 457607]

Sowieso zijn het denkbeeldige problemen:

Ongelofelijk maar waar, wij hebben in het dorp een winkel waar men geen kassa heeft. Ik bedoel niet een ouderwetste aanslag kassa, nee.....helemaal geen kassa. Medewerkers schrijven met pen en papier een bonnetje en rekenen het totaal uit.

Is dat achterlijk in deze tijd? Best wel. Maar de winkel staat er gewoon nog. Klanten komen er, en er wordt betaald. Dus nee, je hebt geen biometrische gegevens nodig van medewerkers om fucking schoenen te verkopen.

[AibohphobiA BoB]

Ik weet niet hoe de situatie is bij Manfield, maar soms is het inderdaad beter om 'gewoon' een simpele methode te kiezen.
Het probleem is echter dat in veel gevallen de oplossing gestuurd wordt door de beschikbare techniek, of het graag willen gebruiken van een bepaalde techniek. Als je tenslotte een mooie hamer hebt, dan lijken de meeste problemen ineens op spijkers.

[nobraininvolved]

en helaas is dat al te vaak maar waar (kokervisie).
Veel bedrijven hebben een probleem, zien een oplossing, denken niet aan de eventuele consequenties en implementeren de oplossing gewoon zonder verder te kijken naar andere oplossingen.
Eigenlijk zou je voor ieder probleem minimaal 3 oplossingen moeten onderzoeken en uitwerken (utopie, ik weet het) voor je de meest geschikte gaat kiezen.

[DigitalExorcist]

2FA desnoods via een token of byod-telefoon...

[dakka]

En badge kan je makkelijk even van een teamlijder jatten als die aan de koffie zit

[klakkie.57th]

Maar moeilijker dan een code afkijken en iedere dag 5 euro jatten. Valt het niet zo op

[adje123]

Waarom proberen werkgevers steeds meer en meer hun personeel onderdeel te maken van hun beveiliging?

[Cergorach]

Waarom proberen werkgevers steeds meer en meer hun personeel onderdeel te maken van hun beveiliging?

Omdat steeds meer werknemers erger dan kleine kinderen zijn. Slechte wachtwoorden bedenken, wachtwoorden opschrijven op stick-ons/agenda's/excelsheets, wachtwoorden hergebruiken, etc. Slecht omgaan met hun security tokens, etc. In een kantooromgeving kan je na veel werk/kosten wel wat zaken voor elkaar boxen, maar bij bv. winkels zit je vast aan kassasystemen van leveranciers en is zijn de kosten voor dure MFA oplossingen buitenproportioneel hoog voor de omzet die zo een bedrijfje maakt.

Als ik kijk naar de goedkopere kassa oplossingen dan is vaak zeker de backend een enorm drama (houtje touwtje/onstabiel), wil je meer dan kan dat echt grof geld kosten.

[Amadeus1966]

[...]

Omdat steeds meer werknemers erger dan kleine kinderen zijn.

De meeste kassamedewerkers zijn kinderen.
Vaak in of bij een winkel die geen perspectief bied.
Wetende dat ze met achtien jaar al te oud ( lees te duur zijn ) en vervangen worden.
Datzelfde merk je ook vaak bij uitzendkrachten en of tijdelijke werknemers die de wetenschap hebben dat hun werk of opdrachtgever ze toch geen vast dienstverband gaat aanbieden.

[OxWax]

Omdat werknemers het grootste risico vormen?

[adje123]

Hoe en waarom?

[wizzlewaxx]

Volgend het artikel heeft de winkelketen veel te maken gehad met diefstal in het verleden. Pincodes werden doorgespeeld naar andere. Hierin zijn werknemers het grootste risico van derving. Met een vingerafdruk is het haast onmogelijk hiermee te frauderen. Dus ik snap de winkelketen volkomen. Werknemers hebben ook hun verantwoordelijkheid. Wanneer er een aantal dit verzieken is zo'n keten dus genoodzaakt dit soort middelen in te zetten.

[OxWax]

Volgend het artikel heeft de winkelketen veel te maken gehad met diefstal in het verleden. Pincodes werden doorgespeeld naar andere. Hierin zijn werknemers het grootste risico van derving. Met een vingerafdruk is het haast onmogelijk hiermee te frauderen. Dus ik snap de winkelketen volkomen. Werknemers hebben ook hun verantwoordelijkheid. Wanneer er een aantal dit verzieken is zo'n keten dus genoodzaakt dit soort middelen in te zetten.

1ste keer => waarschuwing.
2de keer => ontslag.
Je geeft je bc-code toch ook niet aan collega's?

[Abom]

Volgens mij is diefstal (zeker uit een kassasysteem) samen met identiteitsfraude reden voor ontslag op staande voet.

[OxWax]

Uiteraard maar daar doelde ik niet op.
Wel op het 'even' laten gebruiken van jouw code door collega "log jij even in, lukt me niet".

[wizzlewaxx]

Blijkbaar werd dit wel gedaan... Zeker wanneer wellicht je code gebruikt wordt wanneer je hier niet van op de hoogte was?

"Pietje zijn code is 1234 heb ik net gezien bij het afrekenen" die kan Klaasje aan Marietje doorgeven om zo ongemerkt diefstallen te plegen...

[SuperDre]

Zo simpel is het niet, immers kan een pincode gewoon afgekeken worden zonder dat men die bewust doorspeelt naar een ander.
Wat is een 'bc-code'?

[OxWax]

Bankcard
Zo simpel is dat niet, je kan snel elimineren : wanneer werd er mee ingelogd? Aan welke terminal.
Als de eigenaar die code toen niet werkte ...Beetje speurwerk lost veel op

[RuudAnders]

Omdat tegenwoordig de voornaamste zwakheid van beveiliging zit in "social engineering", waarbij medewerkers overgehaald worden om derden toe te laten in systemen (of gebouwen).

[adje123]

Is dat een tekortkoming van de werkgever of de werknemer?

[RuudAnders]

Dat kan beide zijn. In eerste instantie dient de werkgever goede procedures te hebben om niet kwetsbaar te zijn. Helaas vinden de werknemers dit vaak onnodig moeilijk, of zijn ze niet bewust van (alle) gevaren. Met als gevolg dat deze werknemer met alle goede bedoelingen ongewenste mensen toe laat.

In dit artikel wordt bijvoorbeeld al genoemd dat PIN codes werden gedeeld tussen de kassamedewerkers. Maar er zijn veel meer manieren om werknemers te beïnvloeden om je binnen te laten. Die informatie is gemakkelijk te vinden via je favoriete zoekengine, of wikipedia.

[Iblies]

Nee hoor.

Veel werkgevers hebben een groot verloop van werknemers. Er is daardoor altijd veel gerommel bij de opstart-fase van werknemers, en ook bij het afsluiten wanneer een contract ‘afloopt’ wordt er niet direct gehandeld. Ze beginnen met werken zonder gegevens, en als ze stoppen zijn de gegevens nog actief.

En het zijn kassiers met ‘ervaring’ die consequent van de ene winkel naar de ander gaan werken voor een minimum-loon. Er is dus weinig binding met een deel van het personeel en het bedrijf.


Het is een illusie dat er niet meer zal worden gestolen, het zal zich alleen verplaatsen.

Een artikel van vorig jaar, maar het voor NL zal het weinig verschillen,
https://m.hln.be/nieuws/b...-op-de-werkvloer~ae1c0758

Vier op de tien diefstallen in een handelszaak zijn immers het werk van eigen medewerkers, klinkt het. Winkeldiefstal door klanten bedraagt 50 procent. Toch is diefstal door eigen personeel veel schadelijker voor een bedrijf. De stelende medewerker kan in de handelszaken waar hij/zij werkt langer zijn gang gaan. "Bij een gemiddelde winkeldiefstal door klanten bedraagt de schade rond de 100 euro, terwijl diefstal door een medewerker gemiddeld goed is voor zo'n 1.300 euro", legt NSZ-voorzitter Christine Mattheeuws uit.

If you pay peanuts, you get monkeys.
Heel het verhaal van medewerkers en veiligheid gaat voor een groep niet op. Je zult een kern moeten hebben die de normen en waarden, waaronder veiligheid, hoog houd, en dat lukt niet als er een groot verloop is.

[HuisRocker]

Dat is inderdaad de juiste vraag naar mijn mening. En ik denk dat het antwoord daarop, zoals bijna altijd, is; "omdat het niks (extra) mag kosten".

[Luchtbakker]

Waarom proberen werkgevers steeds meer en meer hun personeel onderdeel te maken van hun beveiliging?

Ter bescherming van hunzelf. Wat ik hierboven al schreef:

De reden waarom vingerafdruk toegepast wordt is omdat dat 100% waterdicht is bij fraude. Je kan er wel sancties op zetten als je je code en pas deelt, maar het gebeurd toch wel en handhaving is bijna oncontroleerbaar.

Winkels zijn eilandjes. Hun HK weet echt niet wat er allemaal gebeurd in de winkels. Pas zodra er fraude gepleegd is gaan ze na wie dat gedaan heeft. Staat jouw naam in de lijst dan ben je gewoon de sjaak ook als je het niet gedaan hebt. Ik heb hele winkels kapot zien gaan en complete crew zien vervangen omdat 1 iemand fraude heeft gepleegd maar niemand kon achterhalen wie het was. Dat soort situaties wil je echt niet in de winkel en HK zit hier echt niet op te wachten.

Pasjes laat je slingeren en pincodes worden afgekeken, zo simpel gaat dat in winkels. Ik heb het wekelijks zien gebeuren.

Pas als het je overkomen is weet je wat de risico's zijn. Je werkgever beschermt je dus alleen maar door vingerafdruk toe te staan. Dan is het namelijk uitgesloten dat iemand anders onder jouw naam heeft gewerkt zonder dat jij dat weet.

[Bensimpel]

Hoe zit dit bijvoorbeeld met deuren? Sterk beveiligde ruimtes vergen vaak ook een pincode + vingerafdruk en soms zelfs een iris scan.

Voor een kassasysteem begrijp ik wel waarom een vingerafdruk buiten proportioneel is.

[Shin_Alu]

Ik denk dat je laatste zin het goed samenvat.
In dit geval was het buiten proporties om een vingerafdruk te eisen.

Voor wat betreft sterk beveiligde ruimtes, waarbij meer zekerheid nodig is, kan waarschijnlijk wel duidelijk gemaakt worden waarom vingerafdruk of iris-scan noodzakelijk is.

Om daar zekerheid over te krijgen zou dit dus ook aan een rechter voorgelegd kunnen worden.

[StefanDingenout]

je zegt het zelf al... sterk beveiligde ruimtes. Als je voor bijvoorbeeld de overheid werkt met classified gegevens, of zeer gevaarlijk materiaal, dan weet je dat hier hogere veiligheidsmaatregelen nodig zijn. De wetgeving zegt niet dat het nooit mag, ze zegt dat wat mag proportioneel is aan welke mogelijkheden er zijn en waarom je het doet.

[LaTiNo156]

Ik neem aan dat die vingerafdruk alleen maar lokaal op de kassa wordt opgeslagen?

[gimbal]

Dat zou de enige juiste oplossing zijn, maar dat past totaal niet in deze extreem kostenknijpende tijden. Dan moet het feest bij elke kassa en voor elke medewerker herhaald worden - het is niet alsof kassa personeel jaren blijft hangen, dat is een sterk wisselend volk. Daarnaast willen ze ook nog wel eens tussen filiaal wisselen.

Dus je kunt er al naar raden dat er een centrale opslag is die de informatie kan synchroniseren naar de kassas toe.

[batjes]

Met pasjes of druppels bereik je toch exact hetzelfde? Of camera's ophangen bij de kassa's zoals in elke supermarkt en winkel de norm is?

Goede uitspraak, laten er nog velen volgen. Want er zijn nog steeds te veel bedrijven die o.a. vingerafdrukken gebruiken voor authorisatie, waar dat echt niet nodig is. Maak hier melding van!

Bovendien, zeggen zij, is het gebruik van vingerafdrukken als autorisatie de laatste jaren steeds normaler geworden, bijvoorbeeld om smartphones te beveiligen.

Wat een absoluut kul argument ook. Mijn telefoon is ook met een vingerafdruk gelocked.. Maar dat is MIJN telefoon, van mij, niet van hun. Niet van iemand anders. Die vingerafdruk gaat mijn toestel niet af en ik weet wat er wel of niet mee gebeurd. Ik zit thuis ook met voeten op tafel en rook ik binnen, mag dat daar ook?

[Reactie gewijzigd door batjes op 23 juli 2024 18:06]

[Luinwethion]

Waarom inderdaad niet een systeem met pasje + code of wachtwoord?
Wat ik zie bij veel van die systemen met pincode, is dat je een pincode op een touchscreen moet typen op een toetsenboord die net zo groot is als de gehele 15" scherm.... dat is erg makkelijk om af te kijken.

Gewoon een pasje/druppel systeem en maak dan je medewerkers ook verantwoordelijk voor de badge. Daarnaast diefstal aan de kassa waar iemand de naam van andere misbruikt kun je voorkomen / onderzoeken door het gebruik van camera's... Daar heb je wel een AVG argument om beelden op te nemen en deze te bewaren voor X tijd.