De supermarktketen Carrefour verzamelde vingerafdrukken van klanten. Dat mag niet zomaar. De kans is groot dat de privacywaakhond een onderzoek opent.
De supermarktketen kondigde dinsdag aan dat ze dit jaar een test organiseert waarbij klanten met hun vingerafdruk kunnen betalen in een Brusselse winkel. Het aankoop- bedrag verdwijnt van de bankrekening van de klant nadat die zijn vinger aan de kassa gescand heeft.
Enkele weken geleden nam de Belgische Gegevensbeschermingsautoriteit (GBA) – de vroegere Privacycommissie – al informeel contact op met Carrefour. Dat gebeurde nadat de keten een gelijkaardige test had aangekondigd. Klanten kunnen spaarpunten toevoegen aan hun klantenkaart met hun vingerafdruk, dus zonder de kaart aan de kassa te moeten bovenhalen.
‘Toen hebben we Carrefour enkele vragen gesteld en ontdekten we dat er al een test had plaatsgevonden’, zegt GBA-directeur David Stevens. ‘Carrefour bleek al vingerafdrukken te hebben verzameld. Nu we het nieuws horen over het nieuwe experiment met betalingen via de vingerafdruk, is de kans groot dat we onze inspecteurs sturen. Ik kan nog niet formeel bevestigen dat we dat effectief doen, maar de kans lijkt groot.’
De Europese GDPR-privacyregels verbieden bedrijven biometrische gegevens zoals vingerafdrukken te verzamelen. ‘Er zijn uitzonderingen, maar dan moeten mensen expliciet hun toestemming geven’, zegt Stevens. ‘En dat is meer dan een handtekening op een blad. Klanten moeten echt begrijpen welke risico’s ze lopen.’
Biometrische gegevens zijn erg gevoelige informatie. ‘We nemen deze materie heel ernstig. Als je paswoord na een hacking in verkeerde handen valt, kan je je paswoord vervangen’, zegt Stevens. ‘Je vinger- afdruk, gezicht of de irissen van je oog kan je niet zomaar veranderen. Vandaar de strenge regels.’
In een reactie zegt Carrefour-woordvoerder Aurélie Gerth dat de vingerafdrukken goed beveiligd worden. Het bedrijf maakt zich ook sterk dat het zich aan de regels houdt.
‘We werken samen met beveiligingsbedrijven. We zijn niet het eerste bedrijf dat vingerafdrukken verzamelt. Bovendien zijn er bedrijven die nog andere erg gevoelige persoonlijk informatie van hun klanten verzamelen. Denk aan banken en de financiële gegevens van hun klanten.’
De supermarktketen benadrukt dat het om een tijdelijk experiment gaat in één winkel. Een nationale invoering staat niet op de planning. Ook het afgeronde experiment met de klantenkaart krijgt voorlopig geen gevolg. ‘We evalueren wel de resultaten.’
Als de GBA vermoedt dat een bedrijf de regels met de voeten treedt, kan ze drie stappen ondernemen. Informeel vragen stellen, een officieel onderzoek openen en boetes opleggen.
