Datum: 18 maart 2020
Geschreven door: Annemarie van Woudenberg
Leestijd: +/- 2 minuten
De laatste dagen krijg ik veel vragen van werkgevers over de gegevens die zij van werknemers mogen verwerken in verband met het coronavirus. Mag ik de verschijnselen van werknemers noteren? Mag ik de temperatuur van werknemers controleren? Mag ik noteren dat een werknemer in de risicogroep valt (en bijvoorbeeld obesitas heeft)?
Het antwoord op die vragen is in de meeste gevallen ‘nee’. Mooier kan ik het – helaas - niet maken. Ook is het de vraag of het echt noodzakelijk is om al die gezondheidsgegevens van jouw werknemers te verwerken. Vaak kun je als werkgever verwijzen naar de LCI-richtlijn - waarin de symptomen staan van het coronavirus – en werknemers verbieden om op het werk te verschijnen als zij ook maar één van die symptomen hebben. Ik vermoed ook dat je (bij het checken van de temperatuur) al te laat bent wanneer een werknemer koorts heeft en bovendien, sommigen krijgen niet eens koorts. Maar goed, ik ben geen arts maar jurist. Schoenmaker, blijf bij je leest. Daarom hierna wat meer uitleg over de privacyregels waar wij in de corona-situatie mee te maken hebben.
De toepasselijke privacyregels zijn vastgelegd in de Algemene verordening gegevensbescherming (hierna: ‘AVG’). De AVG bepaalt dat persoonsgegevens alleen in overeenstemming met vooraf gestelde doeleinden – en voor zover noodzakelijk – mogen worden verwerkt. Daarbij moet ook worden getoetst of er een wettelijke grondslag voor de verwerking aanwezig is. Ontbreekt die grondslag, dan moet in principe toestemming aan de betrokkene worden gevraagd.
Dat laatste is echter lastig in de relatie tussen een werkgever en een (toekomstige) werknemer. Het uitgangspunt is namelijk dat een werknemer, gezien de machtsverhouding met de werkgever, nooit een in vrijheid gegeven toestemming aan de werkgever kan geven. Daarbij komt dat bij het verwerken van gezondheidsgegevens strengere regels gelden. Gezondheidsgegevens worden daarom in de AVG aangeduid als bijzondere persoonsgegevens. In principe is het een werkgever niet toegestaan om bijzondere persoonsgegevens van werknemers te verwerken. Op het verwerken van bijzondere persoonsgegevens rust namelijk een algemeen verbod, vanwege de gevoelige aard daarvan. Op dit algemene verbod bestaat een aantal uitzonderingen, zoals geformuleerd in de AVG en in de UAVG Algemene verordening gegevensbescherming (hierna: ‘UAVG’).
De AVG bepaalt dat het recht van de Europese Unie of het recht van een lidstaat kan voorzien in een uitzondering op het verbod op de verwerking van bijzondere persoonsgegevens op het gebied van het arbeidsrecht en het socialezekerheidsrecht. Deze uitzonderingen kunnen gelegen zijn in sectorspecifieke wetgeving of in de UAVG.
De UAVG kent een aantal uitzonderingen op het verwerkingsverbod voor gezondheidsgegevens. Zo mogen gezondheidsgegevens verwerkt worden door werkgevers ten behoeve van aanspraken die afhankelijk zijn van de gezondheidstoestand van de werknemer. Denk hierbij aan het recht op uitkeringen in verband met ziekte. Ook bestaat een uitzondering wanneer een werkgever gezondheidsgegevens van een werknemer verwerkt ten behoeve van de re-integratie van de werknemer. Zoals het treffen van een (op een handicap afgestemde) werkvoorziening.
Het is echter, naar mijn mening, lastig te beargumenteren dat het verwerken van gezondheidsgegevens in het kader van het coronavirus onder voornoemde uitzonderingen geschaard kan worden. Dergelijke verwerkingen worden in principe niet ten behoeve van de re-integratie van de werknemer uitgevoerd, noch om de werknemer of werkgever aanspraak te laten maken op een uitkering of andere voorziening.
Een andere mogelijkheid is een beroep op sectorspecifieke wetgeving en in het bijzonder de Arbeidsomstandighedenwet (hier: ‘Arbowet’). Op grond van de Arbowet is de werkgever namelijk verplicht om te zorgen voor een veilige werkomgeving en daartoe (preventieve) passende maatregelen te treffen. Dit in samenhang met de artikelen 7:658 en 7:611 van het Burgerlijk Wetboek (hierna: ‘BW’) die zien op de (civiele) zorgplicht van de werkgever in algemene zin. Volgens de Autoriteit Persoonsgegevens (hierna: ‘AP’) zijn deze bepalingen in andere gevallen echter niet specifiek genoeg. In het geval van het uitvoeren van alcohol- en drugstesten moet er volgens de AP namelijk sprake zijn van een specifieke wet die omschrijft onder welke voorwaarden alcohol- en drugstesten mogen worden uitgevoerd. Wellicht kan dezelfde parallel worden getrokken met het huidige coronavirus: de Arbowet voorziet niet specifiek in een dergelijke situatie.[1]
Omdat toestemming in de verhouding tussen de werkgever en de werknemer eigenlijk niet gaat en artikel 30 UAVG geen ruimte biedt om gezondheidsgegevens te verwerken van werknemers vanwege het coronavirus, zie ik de Arbowet, in samenhang met het BW, als enige mogelijke grondslag. Uiteraard met inachtneming van de kanttekeningen die ik daarbij heb geplaatst. Eigenlijk mag het dus niet en raad ik niet aan om gezondheidsgegevens van werknemers te verwerken. Met name omdat in de meeste gevallen minder vergaande opties voor handen zijn. Zoals het goed instrueren van werknemers, het treffen van extra hygiënemaatregelen en het weigeren van werknemers als zij de bekende symptomen hebben.
Als je als werkgever desondanks van de Arbowet/BW grondslag gebruik maakt, dan loop je dus wel het risico dat de AP (gezien haar strikte uitleg van de AVG/UAVG) oordeelt dat er in strijd met de AVG wordt gehandeld. Het gevolg hiervan is dat de AP (hoge) boetes kan opleggen.
Als je als werkgever deze afweging maakt, dan is het in ieder geval verstandig een deugdelijk beleid omtrent het verwerken van de (corona)gezondheidsgegevens te hanteren en daarbij een duidelijk onderscheid te maken tussen de verschillende functies binnen de organisatie en bij welke functies er noodzakelijkerwijs (vanwege de veiligheid op de werkvloer) gezondheidsgegevens moeten worden verwerkt. Daarbij kunnen passende waarborgen worden getroffen door de temperatuur-checks bijvoorbeeld door een bedrijfsarts uit te laten voeren. Een bedrijfsarts heeft immers geheimhouding en zal de informatie die hij middels de testen verkrijgt zorgvuldig verwerken. Bovendien deelt een bedrijfsarts alleen de noodzakelijke gegevens met een werkgever, zoals in hoeverre er sprake is van een verhoging of koorts. Daardoor verwerk je als werkgever niet zelf de gezondheidsgegevens van de werknemers. Vorenstaande uiteraard in samenhang met de vereiste instemming van de OR met het beleid omtrent de verwerking van de (corona)gezondheidsgegevens en het vooraf inventariseren en minimaliseren van de privacyrisico’s (DPIA).
[1] Een tweede struikelblok voor het verwerken van gezondheidsgegevens op grond van de Arbowet en het BW is de onduidelijkheid over de rechtstreekse werking van artikel 9 lid 2 onder b AVG – welke bepaling dus de mogelijkheid biedt om onder het verbod op het verwerken van bijzondere persoonsgegevens uit te komen. Als deze bepaling inderdaad geen rechtstreekse werking heeft, dan kan er vooralsnog geen beroep worden gedaan op de Arbowet en het BW voor het kunnen verwerken van gezondheidsgegevens door werkgevers buiten de uitzonderingen genoemd in artikel 30 UAVG.
Als advocaten voor ondernemers begrijpen wij het belang van voorop blijven. Samen met ons heeft u alle kansen en risico’s in het vizier. Neem gerust contact met ons op en laat u persoonlijk informeren over onze diensten.