De schadevergoedingen op grond van de biometrische wetgeving van Illinois lopen enorm op: hoe kunnen werkgevers aan de wet voldoen en blijven voldoen?

Een van de belangrijkste juridische ontwikkelingen in Illinois in de afgelopen maand waren twee uitspraken van het Hooggerechtshof van Illinois waarin de strenge Biometric Information Protection Act (BIPA) van de staat werd geïnterpreteerd. We hebben onlangs onderzochthoe deze uitspraken: (1) de toepasselijke verjaringstermijn hebben verlengd tot vijf jaar vanaf de eerste overtreding; en (2) BIPA-overtredingen hebben geïnterpreteerd als niet alleen "oplopend" in het eerste geval, maar ook in elk volgend geval waarin biometrische informatie wordt verzameld.

Nu de potentiële aansprakelijkheid inmiddels miljarden dollars bedraagt, hoe kunnen werkgevers dan hun risico minimaliseren en voldoen aan de strenge eisen van de BIPA?

Ondanks de ontmoedigende aansprakelijkheidscijfers hoeft naleving van de BIPA geen onoverkomelijke taak te zijn. De vereisten van de BIPA worden in secties 15(a)-(e) vrij gedetailleerd beschreven, maar kunnen in het algemeen worden onderverdeeld in de volgende verplichtingen:

• Werkgevers moeten een schriftelijk, openbaar beleid hebben waarin wordt beschreven hoe de organisatie biometrische gegevens gebruikt, inclusief specifieke details over het verzamelen, bewaren en vernietigen ervan.
• Werkgevers moeten schriftelijke toestemming verkrijgen voordat ze biometrische gegevens verzamelen, met een ondertekende verklaring van alle personen die hun biometrische gegevens verstrekken, inclusief het doel en de periode waarin de biometrische gegevens worden bewaard.
• Werkgevers mogen geen voordeel halen uit het gebruik van biometrische gegevens van personen.
• Zonder geïnformeerde toestemming mogen werkgevers geen biometrische gegevens van derden openbaar maken zonder schriftelijke toestemming; en
• Werkgevers moeten alle biometrische gegevens opslaan, verzenden en beschermen op een manier die past bij het gevoelige en vertrouwelijke karakter van biometrische informatie.

Door het in deze onderdelen op te splitsen, wordt het veel eenvoudiger om een beleid op te stellen dat bij uw organisatie past. Er moet specifiek worden ingegaan op bepaalde toepassingen, wat een grondig begrip van de werking van uw biometrische systeem vereist. Slaat het systeem bijvoorbeeld biometrische informatie lokaal op? Geeft het systeem biometrische gegevens door aan derden, zoals leveranciers die het systeem leveren of onderhouden? Verwijdert het systeem biometrische gegevens automatisch na een bepaalde periode? Deze en verschillende andere vragen zijn belangrijk om te overwegen bij het opstellen van BIPA-conform beleid.

Natuurlijk gebruiken niet alle werkgevers biometrische systemen in hun organisatie. Als een werkgever echter actief is in Illinois en er een kans bestaat dat de organisatie in de toekomst biometrische technologie gaat gebruiken, raden we toch aan om een algemeen biometrisch beleid te implementeren om deze mogelijkheid te dekken. Het komt maar al te vaak voor dat een deel van de organisatie niet wordt betrokken wanneer een andere afdeling besluit dat een biometrisch systeem nuttig zou zijn. Hoewel een algemeen beleid verder moet worden aangepast zodra een systeem is gekozen, biedt een algemeen beleid in ieder geval een vangnet voor het geval biometrisch gebruik ongemerkt wordt ingevoerd.

Als uw bedrijf of organisatie actief is in Illinois, maar momenteel geen beleid heeft voor het verzamelen en gebruiken van biometrische gegevens, overweeg dan om in overleg met een ervaren adviseur een dergelijk beleid op te stellen.