Spaans bedrijf krijgt 365.000 euro boete voor inlogsysteem met vingerafdruk
Een Spaans outsourcingsbedrijf heeft wegens meerdere AVG-overtredingen bij het gebruik van een inlogsysteem met vingerafdruk een boete van 365.000 euro gekregen (pdf). Het bedrijf liet medewerkers twee jaar lang inloggen via hun vingerafdruk. De Spaanse privacytoezichthouder AEPD ontving een klacht over het systeem en besloot onderzoek te doen.
Het bedrijf liet weten dat de vingerafdrukscanner geen identificatiesysteem was, maar een authenticatiesysteem. Er werden dan ook geen vingerafdrukken opgeslagen, maar hashes van vingerafdrukken. De vingerafdruk zou na de scan meteen verwijderd worden. Tevens stelde het bedrijf dat medewerkers via een werknemersportaal over de gegevensverwerking werden ingelicht.
Volgens de Spaanse privacytoezichthouder was de informatievoorziening over de gegevensverwerking onjuist, te algemeen en onvoldoende informatief. Er werd alleen gemeld dat er een vingerafdruk-inlogsysteem werd gebruikt. Informatie over het verzamelen, verwerken en opslaan van vingerafdrukgegevens werd niet gegeven. Medewerkers werden ook niet ingelicht dat ze over het systeem een klacht bij de AEPD konden indienen.
Verder stelde de toezichthouder vast dat er onvoldoende beveiligingsmaatregelen waren genomen om de vingerafdrukgegevens te beschermen. Zo had het bedrijf niet aangetoond hoe de vingerafdrukgegevens na elke scan werden gewist en liet het geen enkele technische maatregel zien om de verwerkte persoonsgegevens te beschermen. De hash van de vingerafdruk en identifier van de medewerker werden wel in aparte tabellen opgeslagen, maar het bedrijf toonde niet aan dat de opslaglocaties voldoende gescheiden waren.
De derde AVG-overtreding die de toezichthouder vaststelde betrof het niet uitvoeren van een data protection impact assessment (DPIA) voor het verwerken van de vingerafdrukgegevens. Het gaat hier om bijzondere persoonsgegevens. In het geval van biometrische gegevens heeft de AEPD het uitvoeren van een DPIA verplicht. Vanwege de duur van de overtredingen en gevoeligheid van biometrische data besloot de toezichthouder een boete van 365.000 euro op te leggen.
"Ja, we willen uw DNA, maar alleen voor authenticatie, niet voor identificatie, hoor!"
"Ja, we willen dat u elke dag een beetje ontlasting inlevert, maar alleen voor authenticatie hoor, en nadat we het hebben geanalyseerd, gooien we het meteen weg, dus niks aan de hand."
Waar is men in godsnaam mee bezig.
Daarnaast: leuk om medewerkers te informeren, maar ze geen alternatief te bieden.
Bij de datacenters waar ik permanente toegang heb kan ik met mijn vingerafdruk en de pas gewoon doorlopen. Alleen hoe weet ik dat dat voldoende veilig is opgeslagen?
Ik besef me dat ik dat kan weigeren, maar dan kom ik niet binnen en kan ik mijn werk niet uitvoeren.
"Ja, we willen uw DNA, maar alleen voor authenticatie, niet voor identificatie, hoor!"
"Ja, we willen dat u elke dag een beetje ontlasting inlevert, maar alleen voor authenticatie hoor, en nadat we het hebben geanalyseerd, gooien we het meteen weg, dus niks aan de hand."
Waar is men in godsnaam mee bezig.
We hebben zelf afbakening van zones met kleurenstrips op de grond en plattegrond
Groene zone klanten toegankelijk, Gele zone regulier personeel en onder begeleiding klanten, Rode zone bevoegd personeel. Groene zone geen eis tot identificatie, Gele zone op verzoek bewaking, Rode zone altijd vereist bij binnenkomst en vertrek.
Ondertussen staat die boete en die zegt dat je vingerverven lekker thuis moet doen. Maar niet met je personeel. Dus dan heeft het voorlopig voor jaren een aangename progressieve werking naar anderen die van die scankastjes overwegen.
Wel ook echt HULDE aan wie die hele formele pdf heeft zitten schrijven. Dat alleen al moet een flinke klus geweest zijn, dus noem ze nog maar eens lui in dat Spanje. Soms denk ik wel eens, als ze de 80 jarige oorlog gewonnen hadden, dan hadden daar ook veel voordelen aan gezeten.
Managers vinden dit normaal, een van de argumenten is inleenkrachten raken steeds pasjes kwijt.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.