Corona en privacy op de werkvloer

Ook vóór de tijd van corona was het al lastig om een weg te vinden tussen enerzijds de verplichting van werkgevers om te zorgen voor een veilige werkplek en anderzijds de bescherming van de privacy van (zieke) werknemers. De privacywetgeving in Nederland en de privacywaakhond de Autoriteit Persoonsgegevens (AP) zijn erg streng als het gaat om het verwerken van gezondheidsgegevens van werknemers. Met de komst van corona en de te nemen maatregelen volgens de overheid en het RIVM, lopen werkgevers tegen nieuwe juridische dilemma’s aan. Wij krijgen vragen binnen als: mag ik mensen temperaturen bij binnenkomst? Mag ik de naam van een werknemer met het corona-virus doorgeven aan zijn collega’s, etc. Hieronder vind je de antwoorden op de meest voorkomende vragen.

Verwerking gezondheidsgegevens werknemer: hoe zat het ook alweer?

Het is voor werkgevers niet toegestaan om gegevens van de werknemer te verwerken (bijvoorbeeld op te slaan, te bewaren, over te dragen, etc.) die gaan over de gezondheid van de werknemer. Dit mag ook niet als de werknemer deze gegevens vrijwillig aan de werkgever verstrekt. Enkel de bedrijfsarts is in Nederland gerechtigd op grond van een wettelijke taak, gezondheidsgegevens van de werknemer te verwerken.

Er zijn wel uitzonderingen op het algemene verwerkingsverbod, bijvoorbeeld toestemming van de betrokkene of een wettelijke verplichting tot verwerking. Normaliter heeft een werkgever daar niets aan, omdat een werkgever geen wettelijke taak heeft t.a.v. het verwerken van gezondheidsgegevens en omdat we ervan uit gaan dat een toestemming van een werknemer in een arbeidsrelatie geen geldige grondslag is. Omdat een werknemer in een afhankelijke positie staat ten opzichte van zijn werkgever, kan de toestemming namelijk niet ‘vrijelijk’ worden gegeven en dat is wel een vereist. Kortom: het mag niet.

Maakt de corona-crisis de zaak anders?

De vraag die bij velen momenteel leeft, is of het voorkomen van de verdere verspreiding van het Coronavirus en daarmee het beschermen van werknemers, als uitzonderingssituatie kan worden aangemerkt en/of dat het belang van het bestrijden van het corona virus in sommige gevallen de privacywetgeving aan de kant kan schuiven. Er is toch immers ook zoiets als de verplichting van werkgevers om te zorgen voor een veilige en gezonde werkplek?

We lopen de relevante verwerkingsgronden even langs:

Is toestemming van de werknemer in tijden van corona nu wel een geldige grond?
Ook ten tijde van de corona situatie, is wat ons betreft toestemming van de werknemer voor verwerking van zijn gezondheidsgegevens (bijvoorbeeld het feit dat hij koorts heeft, positief op corona getest is, of tot een kwetsbare groep behoort) niet valide. Juist nu zal een werknemer zich sneller verplicht voelen om akkoord te gaan met de verwerking van deze informatie, omdat hij wil voorkomen dat bijvoorbeeld collega’s besmet en/of ziek worden en dus kan de toestemming niet ‘vrijelijk’ worden gegeven.

Levert de bestrijding van epidemieën een uitzondering op het verwerkingsverbod op?
De EDPB (het Europese adviesorgaan van de AVG) heeft op 16 maart jl. een verklaring gepubliceerd die specifiek gaat over het coronavirus. Zij benadrukt daarin dat de AVG geen belemmering vormt voor maatregelen in de strijd tegen corona, omdat de AVG voorziet in een wettelijke grondslag tot verwerken in het kader van epidemieën, zonder dat toestemming vereist is. Dit geldt bijvoorbeeld wanneer de verwerking van persoonsgegevens nodig is voor werkgevers voor redenen van algemeen belang op het gebied van volksgezondheid of ter bescherming van vitale belangen (artikel 6 en 9 AVG).

In Nederland hebben we – juridisch gezien – echter weinig aan deze uitzonderingen omdat deze niet in onze Uitvoeringswet AVG zijn opgenomen. Dat is in Nederland wel zo wat betreft de bescherming van vitale belangen, maar deze uitzondering geldt alleen indien de werknemer fysiek of juridisch niet in staat is om toestemming te geven. Daarbij moet je denken aan wilsonbekwaamheid of iemand die op sterven ligt. Kortom: aan deze uitzonderingen heeft een werkgever ten tijde van corona ook weinig.

Wat kan wel?

Wij kunnen ons voorstellen dat werkgevers ervoor kiezen om, in uitzonderlijke gevallen toch een beroep te doen op de algemene uitzonderingen uit de AVG (bescherming algemeen belang/ vitaal belang andere betrokkenen) ook al is dit in Nederland strikt genomen juridisch niet mogelijk. In uitzonderlijke gevallen zal een werkgever zich genoodzaakt zien de keuze te maken tussen aan de ene kant de bestrijding van corona en bescherming van gezondheid van zijn werknemers (dat is nota bene ook een wettelijke plicht!) en aan de andere kant bescherming van de privacy van bepaalde werknemers. Schending van beide verplichten brengen afzonderlijk arbeidsrechtelijke risico’s met zich mee (denk aan schadeclaims van werknemers, sancties van de Arbeidsinspectie en boetes van de AP). Toch zal het in sommige gevallen niet mogelijk zijn voor werkgevers om gedurende de corona situatie helemaal privacy ‘compliant’ te zijn. Indien je als werkgever besluit om toch persoonsgegevens omtrent de gezondheid van werknemers te verwerken in verband met corona, neem dan in ieder geval de volgende beginselen in acht:

• verwerk niet meer gegevens dan noodzakelijk voor het doel (bescherming gezondheid van werknemers);
• bewaar de gegevens enkel voor de noodzakelijke duur en verwijder deze dus in ieder geval na afloop van de corona epidemie;
• informeer werknemers over de verwerking van hun persoonsgegevens.

Als de AP al gaat handhaven wegens schending privacy in verband met corona (immers zijn er buitenlandse toezichthouders geweest die hebben aangegeven dat niet te zullen doen), dan kun je als werkgever in ieder geval laten zien dat je er alles aan hebt gedaan om schending van privacy zo veel mogelijk te beperken. En de AP lijkt op haar website wel een beetje ruimte te bieden om de regels iets minder streng toe te passen – helaas zonder dit verder uit te werken.

Hieronder volgt een antwoord op de 6 meest gestelde vragen:

(1) Er is een werknemer met corona, op welke wijze informeer je collega’s?

De verwerking van het gegeven dat een werknemer corona heeft, is dus in beginsel verboden. Zowel het registreren van dit gegeven als het verspreiden van deze informatie onder collega’s is een vorm van verwerking. Collega’s hebben er echter wel groot belang bij om te weten of ze mogelijk in aanraking zijn gekomen met iemand die besmet lijkt te zijn, bijvoorbeeld als die collega of zijn gezinsleden tot een risicogroep behoren.

Je kunt collega’s wel informeren over het feit dat er een werknemer corona heeft binnen het team of het bedrijf, zolang niet te herleiden is wie deze werknemer is. In dat geval schakelt de AVG zich niet in. Indien dit mogelijk is (bij grote bedrijven/afdelingen), raden wij aan om dus de informatie anoniem te delen. En als het door de (geringe) omvang van het bedrijf niet mogelijk is om de naam niet te noemen, houdt dan de hierboven genoemde drie beginselen strikt in acht. Overigens mag de werknemer wel zelf zijn collega’s informeren over het feit dat hij besmet is met corona of een risico vormt (bijvoorbeeld omdat zijn partner met coronapatiënten werkt).

(2) Mag ik als werkgever de temperatuur meten van werknemers?

De lichaamstemperatuur van een werknemer betreft een gezondheidsgegeven en de verwerking daarvan is in beginsel verboden. De AP heeft bevestigd dat ook ten tijde van corona het niet is toegestaan om de temperatuur van werknemers op te nemen.

Bij externe personen die een bedrijfspand betreden is dat anders: je kunt de betreffende persoon dan om toestemming vragen. Het is in dat geval zaak om de verkregen informatie na het aflezen direct te verwijderen en niet op te slaan.

Het is denkbaar dat ook werknemers wordt verzocht om hun temperatuur te meten, bijvoorbeeld als dit gebeurt door een derde partij die hiertoe medisch bevoegd is en die zich beperkt tot het aflezen van de temperatuur, zonder informatie op te slaan of door middel van een temperatuur scanner, waarbij geen lichamelijk contact plaatsvindt. Je zou je op het standpunt kunnen stellen dat er dan immers geen persoonsgegevens worden verwerkt. Zie verder bij de volgende vraag.

(3) Mag ik een werknemer vragen om zijn/haar gezondheid te checken?

Op 20 maart jl. heeft de AP bevestigd dat werkgever van een werknemer mag vragen om zijn of haar gezondheid ten tijde van corona scherp in de gaten te houden, zeker indien de werknemer niet thuis kan werken maar op de werkvloer is. De werknemer kan vervolgens zelf zijn temperatuur opnemen. Je kunt de werknemer ook vragen contact op te nemen met de bedrijfsarts, arbodienst of huisarts voor controle.

Wanneer de arts vermoedt dat je werknemer het coronavirus heeft, zal deze met spoed contact opnemen met de regionale GGD. De GGD kan dan in overleg met u maatregelen treffen voor op de werkvloer.

(4) Kunnen wij een zieke werknemer naar huis sturen?

Normaliter is het verboden voor een werkgever om te vragen naar de gezondheid van een werknemer (om deze vervolgens naar huis te sturen). Gegeven de bijzondere omstandigheden van dit moment is het mogelijk om een werknemer naar huis te sturen, als (het vermoeden bestaat dat) de werknemer verkoudheids- of griepverschijnselen vertoont.
Dit is in lijn met het advies dat de AP hierover heeft gegeven.

(5) Mag je aan een werknemer vragen waar hij/zij op vakantie is geweest?
Gezien het feit dat de AP zich coulant opstelt ten opzichte van het vragen naar de gezondheid van een werknemer, verwachten wij dat ook mogelijk is om te vragen waar een werknemer naar toe is geweest op vakantie. De werkgever moet zorgen voor een veilige en gezonde werkomgeving. Als een werknemer in een zwaar getroffen ‘coronagebied’ is geweest, wil en moet de werkgever voorkomen dat deze werknemer eventueel collega’s aansteekt. Daarom zou de zorgplicht van de werkgever moeten prevaleren. Wij adviseren hierin ook de richtlijnen van het RIVM te volgen, waarbij geldt dat als iemand binnen twee weken na thuiskomst klachten krijgt, contact op moet nemen met de huisarts.

(6) Welke gegevens registreer/verwerk je als de werknemer zich ziekmeldt?

In beginsel is het verboden om medische gegevens van de werknemer te verwerken. De enige gegevens die normaliter mogen worden geregistreerd, in geval van een zieke werknemer zijn:

• Het telefoonnummer waarop de werknemer bereikt kan worden en zijn/haar (verpleeg)adres
• Hoe lang de ziekte vermoedelijk gaat duren.
• De lopende werkzaamheden en afspraken van de werknemer
• Of de ziekte verband houdt met een arbeidsongeval. De werkgever mag echter niet vragen of het verzuim werk gerelateerd is.

In tijden van corona speelt naast het privacybelang van de zieke werknemer de zorgplicht van de werkgever een grote rol. De werkgever heeft immers een groot belang bij het voorkomen van verspreiding van het coronavirus onder werknemers. Deze situatie is dermate nijpend en uitzonderlijk dat de verplichting van de werkgever om te zorgen voor een veilige en gezonde werkomgeving zou moeten prevaleren. Mocht het dus zo zijn dat gezondheidsgegevens worden verwerkt, zorg dan te allen tijde voor een verwerking in lijn met de doelbeginselen zoals genoemd aan het begin van het artikel. Doe er alles aan wat redelijkerwijs mogelijk is om de naam van de met corona besmette werknemer niet te delen, ga zo zorgvuldig mogelijk om met de gegevens en verwijder ze direct na afloop van de besmetting.