Op 2 november jl. kondigde Hugo de Jonge aan dat het mogelijk moet zijn om werknemers te verplichten een bewijs van vaccinatie of een negatieve test te tonen. Een aantal wetenschappers van de Universiteit Leiden hebben in een brief aan de Trouw van 9 november 2021 betoogd dat er ook zonder nieuwe wetgeving geen juridische bezwaren aan kleven om een coronabewijs op werk te verplichten. Die stellingname is opvallend, aangezien de wetgever en de Autoriteit Persoonsgegevens hier blijkbaar anders over denken. Wij houden de overwegingen uit de brief in deze blog tegen het licht.
Zorgplicht werkgever
De wetenschappers nemen als uitgangspunt dat het bijdraagt aan een veilige werkomgeving, indien er enkel gevaccineerd, negatief getest of van corona hersteld personeel aanwezig is op de werkvloer. Niet-gevaccineerde en niet-negatief geteste werknemers hebben immers een grotere kans om ziek te worden op het werk en zo klanten en collega’s te besmetten. Werkgevers dienen een veilige werkomgeving te verzorgen en moeten daartoe alle mogelijke maatregelen treffen. Het is denkbaar dat een QR-codeplicht onder de zorgplicht van de werkgever valt, aangezien het een veiligere werkomgeving creëert. Het is echter verstandiger om eerst andere maatregelen in te voeren die minder ingrijpend zijn voor werknemers.
Is het vragen van een coronabewijs AVG-proof?
In de brief komt onder andere de verwerking van de gezondheidsgegevens, zoals het scannen van het coronabewijs, (te) kort aan bod. De Algemene verordening gegevensbescherming (hierna: AVG) verbiedt het verwerken van gezondheidsgegevens. Er zijn echter uitzonderingen mogelijk op grond van ‘redenen van zwaarwegend algemeen belang’ of omdat verwerking van de gegevens noodzakelijk is ‘gelet op de verplichtingen van’ werkgevers.
Die verplichtingen zijn in Nederland nader uitgewerkt in de UAVG (Uitvoeringswet AVG). De UAVG kent een aantal uitzonderingen op het verwerkingsverbod voor gezondheidsgegevens. Zo mogen gezondheidsgegevens verwerkt worden door werkgevers ten behoeve van aanspraken die afhankelijk zijn van de gezondheidstoestand van de werknemer. Denk hierbij aan het recht op uitkeringen in verband met ziekte. Ook bestaat een uitzondering wanneer een werkgever gezondheidsgegevens van een werknemer verwerkt ten behoeve van de re-integratie van de werknemer. Zoals bijvoorbeeld het treffen van een (op een handicap afgestemde) werkvoorziening. Het is echter, naar mijn mening, lastig te beargumenteren dat het verwerken van gezondheidsgegevens door het verplicht tonen en scannen van het coronabewijs onder voornoemde uitzonderingen geschaard kan worden. Dit wordt namelijk niet ten behoeve van de re-integratie van de werknemer uitgevoerd, noch om de werknemer of werkgever aanspraak te laten maken op een uitkering of andere voorziening.
De AVG staat dus feitelijk in de weg aan het verplicht tonen van een coronabewijs door werknemers, totdat daar een specifieke wettelijke basis voor gecreëerd is als uitzondering op het verwerkingsverbod voor gezondheidsgegevens.
Het is van belang om te beseffen dat er ten aanzien van het meten van de temperatuur van werknemers door de Autoriteit Persoonsgegevens wat meer duidelijkheid is gegeven omtrent de toepassing van de AVG. De AVG geldt niet wanneer er aan enkele voorwaarden wordt voldaan. Een werkgever mag de temperatuur enkel aflezen, de temperatuur niet opnemen in een bestand, de meting mag niet geautomatiseerd plaatsvinden en de verwerking mag geen geautomatiseerd gevolg hebben. Immers, zolang geen persoonsgegevens worden verwerkt, is de AVG niet van toepassing. Voldoe je als werkgever niet aan een van deze drie voorwaarden, dan geldt de AVG dus wel, verwerk je gezondheidsgegevens, en daarmee ook het verwerkingsverbod. De temperatuur van werknemers mag je dan ook niet opmeten.
Het is nog niet bekend in welke mate deze eisen van toepassing zijn op coronabewijzen, maar het is goed denkbaar dat ze op eenzelfde wijze moeten worden toegepast. Deze toepassing leidt tot problemen wanneer werkgevers QR-codes gaan scannen, aangezien hierdoor gegevens worden verwerkt. Daarmee voldoet men niet aan de door de Autoriteit Persoonsgegevens gegeven voorwaarden. Dat betekent dat ook deze uitzonderingssituatie waarschijnlijk geen oplossing biedt voor de QR-code.
De wetenschappers schuiven de AVG dus - onterecht - enigszins eenvoudig opzij.
Het coronabewijs op werk in het licht van de beperking van grondrechten
Wanneer je werknemers verplicht een QR-code te tonen, brengt dat in principe – naast de mogelijke toepasselijkheid van de AVG - een inbreuk op zowel het recht op lichamelijke integriteit als bescherming van de persoonlijke levenssfeer met zich mee. Deze grondrechten mogen alleen onder omstandigheden, en na een belangenafweging, beperkt worden. De wetenschappers menen - aan de hand van twee arresten van de Hoge Raad - dat een belangenafweging ten aanzien van het belang van de werkgever (tonen van het coronabewijs door werknemers) enerzijds en de inbreuk op de grondrechten van werknemers anderzijds in het voordeel van de werkgever kan uitpakken. De Hoge Raad heeft in beide arresten geoordeeld dat een verplichte test – in de ene zaak een drugstest in Aruba, in de andere een test naar gevaarlijke stoffen in het lichaam – voor werknemers was toegestaan. De keuze voor het arrest over de drugstest is overigens vreemd, aangezien de AVG geen werking heeft in Aruba en dus alleen kan worden getoetst aan de grondrechten. De problematiek met het verbod op de verwerking van gezondheidsgegevens zoals hiervoor benoemd, speelde in Aruba dus niet. Verder gaat het in beide arresten om een enkele test bij één werknemer, terwijl het verplichte coronabewijs tonen een dagelijkse verwerking van persoonsgegevens inhoudt en van sommige werknemers (niet gevaccineerde werknemers) daarnaast ook stelselmatig testen vereist.
De toetsingsmaatstaf uit deze arresten is door de wetenschappers gebruikt om de belangen van partijen af te wegen. Eerst dient te worden beoordeeld of er sprake is van een legitiem doel voor de inbreuk op de eerder genoemde grondrechten. De algehele gezondheid en veiligheid van de werknemers is in principe een legitiem doel. Vervolgens dient het middel, de verplichte QR-code, geschikt te zijn om dat doel te bereiken. Ook wat dit betreft voorzien de wetenschappers geen problemen. Er is nu eenmaal minder kans op zieke werknemers indien er enkel gevaccineerde, negatief geteste of recent herstelde werknemers op de werkvloer zijn. Voorts moet worden onderzocht of de inbreuk op de persoonlijke levenssfeer en het recht op privacy van je werknemers in verhouding staat tot het belang van de werkgever bij het te bereiken doel. Een belangrijk verschil tussen de uitspraken die de wetenschappers aanhalen en de verplichte QR-code, is dat een ongevaccineerde werknemer voor iedere werkdag een test zal moeten afnemen. Buiten eventuele praktische bezwaren leidt dit ook tot een dagelijkse inbreuk op de genoemde grondrechten. De wetenschappers stappen vrij snel over de intensiteit of frequentie van de inbreuken heen, die wellicht doorslaggevend kan zijn in de belangenafweging. Per sector of zelfs per bedrijf kan deze belangenafweging echter anders uitpakken. Tenslotte moet er worden beoordeeld of er een minder ingrijpende maatregel is om dit doel te bereiken. Werkgevers waarvan werknemers hun werk zonder problemen thuis kunnen uitvoeren hebben een minder ingrijpende maatregel voor handen; de werknemers kunnen immers thuis werken. Bij werkgevers waarbij dit (vrijwel) niet mogelijk is kan het zijn dat er inderdaad geen minder ingrijpende maatregel beschikbaar is. Echter moeten werkgevers ook denken aan andere maatregelen, zoals het houden van voldoende afstand tussen de werknemers, het dragen van mondkapjes en andere beschermende kleding en het reinigen van handen. In welke mate het scannen van QR-codes na invoering van deze maatregelen nog bijdraagt aan de veiligheid van werknemers is moeilijk te pijlen.
Gelukkig wordt er in de brief erkend dat er per werkgever andere risico’s afgewogen moeten worden en dat er niet eenduidig stelling kan worden genomen ten aanzien van het toestaan van de QR-codeplicht. Wetgeving zorgt (hoogstwaarschijnlijk) voor meer duidelijkheid en zekerheid voor werkgevers.
Conclusie
In principe is de AVG van toepassing op het scannen van een QR-code door de werkgever. In dat verband geldt een verwerkingsverbod waarop in Nederland nog geen wettelijke uitzonderingen bestaan.
Een inbreuk op grondrechten kan daarnaast alleen wanneer daar een zorgvuldige belangenafweging aan vooraf is gegaan en die belangenafweging terecht is doorgeslagen naar de kant van de werkgever. Dat zal afhangen van de situatie. Niet in alle gevallen zal de belangenafweging in het voordeel van de werkgever uitvallen. Van belang is daarbij met name of de werkgever alternatieven heeft om hetzelfde doel te bereiken; een veilige werkomgeving.
In hoeverre een QR-codeplicht daarop aansluit is uiteraard nog niet geheel duidelijk. De overwegingen in de brief zijn enigszins kort door de bocht, maar er lijkt een opening te zijn om de werknemers zonder voorafgaande wetgeving te vragen om een coronabewijs als je de AVG buiten beschouwing laat en er geen gezondheidsgegevens worden verwerkt. De inbreuk op grondrechten is echter niet snel gerechtvaardigd, waardoor een zekere terughoudendheid vereist is.
Omdat daarnaast de AVG en de UAVG nog concreet in de weg staat aan de QR-codeplicht, althans het verwerken daarvan door de werkgever, lijkt het wachten op wetgeving een verstandigere keuze. Uiteraard kunt u wel alvast andere maatregelen treffen (afstand houden tijdens het werk, handen reinigen, mondkapjes, thuis werken voor zover mogelijk etc.) om de werkplek veiliger te maken totdat het zover is.
