Spaans bedrijf krijgt 365.000 euro boete voor inlogsysteem met vingerafdruk
Een Spaans outsourcingsbedrijf heeft wegens meerdere AVG-overtredingen bij het gebruik van een inlogsysteem met vingerafdruk een boete van 365.000 euro gekregen (pdf). Het bedrijf liet medewerkers twee jaar lang inloggen via hun vingerafdruk. De Spaanse privacytoezichthouder AEPD ontving een klacht over het systeem en besloot onderzoek te doen.
Het bedrijf liet weten dat de vingerafdrukscanner geen identificatiesysteem was, maar een authenticatiesysteem. Er werden dan ook geen vingerafdrukken opgeslagen, maar hashes van vingerafdrukken. De vingerafdruk zou na de scan meteen verwijderd worden. Tevens stelde het bedrijf dat medewerkers via een werknemersportaal over de gegevensverwerking werden ingelicht.
Volgens de Spaanse privacytoezichthouder was de informatievoorziening over de gegevensverwerking onjuist, te algemeen en onvoldoende informatief. Er werd alleen gemeld dat er een vingerafdruk-inlogsysteem werd gebruikt. Informatie over het verzamelen, verwerken en opslaan van vingerafdrukgegevens werd niet gegeven. Medewerkers werden ook niet ingelicht dat ze over het systeem een klacht bij de AEPD konden indienen.
Verder stelde de toezichthouder vast dat er onvoldoende beveiligingsmaatregelen waren genomen om de vingerafdrukgegevens te beschermen. Zo had het bedrijf niet aangetoond hoe de vingerafdrukgegevens na elke scan werden gewist en liet het geen enkele technische maatregel zien om de verwerkte persoonsgegevens te beschermen. De hash van de vingerafdruk en identifier van de medewerker werden wel in aparte tabellen opgeslagen, maar het bedrijf toonde niet aan dat de opslaglocaties voldoende gescheiden waren.
De derde AVG-overtreding die de toezichthouder vaststelde betrof het niet uitvoeren van een data protection impact assessment (DPIA) voor het verwerken van de vingerafdrukgegevens. Het gaat hier om bijzondere persoonsgegevens. In het geval van biometrische gegevens heeft de AEPD het uitvoeren van een DPIA verplicht. Vanwege de duur van de overtredingen en gevoeligheid van biometrische data besloot de toezichthouder een boete van 365.000 euro op te leggen.
"Ja, we willen uw DNA, maar alleen voor authenticatie, niet voor identificatie, hoor!"
"Ja, we willen dat u elke dag een beetje ontlasting inlevert, maar alleen voor authenticatie hoor, en nadat we het hebben geanalyseerd, gooien we het meteen weg, dus niks aan de hand."
Waar is men in godsnaam mee bezig.
Daarnaast: leuk om medewerkers te informeren, maar ze geen alternatief te bieden.
Bij de datacenters waar ik permanente toegang heb kan ik met mijn vingerafdruk en de pas gewoon doorlopen. Alleen hoe weet ik dat dat voldoende veilig is opgeslagen?
Ik besef me dat ik dat kan weigeren, maar dan kom ik niet binnen en kan ik mijn werk niet uitvoeren.
"Ja, we willen uw DNA, maar alleen voor authenticatie, niet voor identificatie, hoor!"
"Ja, we willen dat u elke dag een beetje ontlasting inlevert, maar alleen voor authenticatie hoor, en nadat we het hebben geanalyseerd, gooien we het meteen weg, dus niks aan de hand."
Waar is men in godsnaam mee bezig.
We hebben zelf afbakening van zones met kleurenstrips op de grond en plattegrond
Groene zone klanten toegankelijk, Gele zone regulier personeel en onder begeleiding klanten, Rode zone bevoegd personeel. Groene zone geen eis tot identificatie, Gele zone op verzoek bewaking, Rode zone altijd vereist bij binnenkomst en vertrek.
Ondertussen staat die boete en die zegt dat je vingerverven lekker thuis moet doen. Maar niet met je personeel. Dus dan heeft het voorlopig voor jaren een aangename progressieve werking naar anderen die van die scankastjes overwegen.
Wel ook echt HULDE aan wie die hele formele pdf heeft zitten schrijven. Dat alleen al moet een flinke klus geweest zijn, dus noem ze nog maar eens lui in dat Spanje. Soms denk ik wel eens, als ze de 80 jarige oorlog gewonnen hadden, dan hadden daar ook veel voordelen aan gezeten.
Managers vinden dit normaal, een van de argumenten is inleenkrachten raken steeds pasjes kwijt.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
