Sommige bedrijven overwegen in verband met het coronavirus om hun werknemers bij de ingang van hun gebouw te screenen op gezondheidsklachten, om te voorkomen dat zieke mensen het gebouw ingaan en anderen besmetten. Een begrijpelijke gedachte. Of een bedrijf zomaar werknemers aan de deur kan controleren en weigeren omdat ze bijvoorbeeld hoesten of koorts hebben, is echter een lastige vraag. In deze blog bespreken wij enkele relevante aspecten uit de privacywetgeving die van toepassing zijn op selectie aan de poort.
Autoriteit Persoonsgegevens (AP)
De AP, de toezichthouder op het gebied van privacy, had in eerste instantie op haar website staan dat de werkgever vrijwel nooit gezondheidsgegevens van haar werknemers mag registreren. Dat betekende echter niet zonder meer dat werkgevers haar werknemers niet op corona mocht screenen zonder gezondheidsgegevens te registreren.
De AP heeft haar standpunt inmiddels aangescherpt. Het controleren van werknemers op corona is volgens de AP in beginsel niet toegestaan, behalve in de zorg. Als een werknemer echter verkoudheids- of griepverschijnselen vertoont, dan mag de werkgever die werknemer naar huis sturen gelet op de bijzondere omstandigheden van de coronacrisis. Het opmeten van bijvoorbeeld koorts of het anderszins testen op symptomen van corona (al dan niet in samenhang met de bedrijfsarts) lijkt de AP echter niet toe te staan.
De vraag die veel wordt gesteld is of de AP hier de regelgeving niet te streng interpreteert. Hoe zit dat nou onder de AVG?
Algemene Verordening Gegevensbescherming (AVG)
De symptomen die iemand vertoont, zoals koorts, hoesten of niezen, zijn gezondheidsgegevens en worden door de AVG gekwalificeerd als bijzondere persoonsgegevens. Bijzondere persoonsgegevens mogen slechts verwerkt worden indien daarvoor een verwerkingsgrondslag bestaat.
De Europese privacy toezichthouder stelt dat het vragen van toestemming gelet op de epidemie niet nodig is voor het verwerken van gezondheidsgegevens, maar dat verwerkingen gebaseerd kunnen worden op het algemeen belang op het gebied van volksgezondheid of op grond van vitale belangen.
In Nederland biedt het algemeen belang op het gebied van volksgezondheid op grond van de Uitvoeringswet AVG echter geen verwerkingsgrondslag en kan het vitale belang slechts als verwerkingsgrondslag gebruikt worden als de betrokkene fysiek of juridisch niet in staat is om toestemming te geven. Bij een preventieve controle van werknemers is dat vanzelfsprekend niet het geval.
Dus zolang er geen sprake is van een overheidsinstructie om mensen bij de ingang van gebouwen te screenen, zullen bedrijven zich voor het preventief controleren van werknemers op symptomen van ziektes moeten baseren op toestemming. De werkgever kan volgens de AP in beginsel echter geen toestemming vragen aan haar werknemers, omdat er een gezagsverhouding bestaat en werknemers zich daarom (mogelijk) niet vrij voelen om toestemming te weigeren. Dit is een zeer strike interpretatie door de AP, met grote gevolgen.
Wanneer verwerkt men gegevens?
Uit het voorgaande kan geconcludeerd worden dat het verwerken van gezondheidsgegevens door de werkgever in beginsel dus niet is toegestaan. Dan is de vraag of preventief controleren mogelijk is zonder gezondheidsgegevens te verwerken, zodat de AVG niet van toepassing is.
In artikel 2 van de AVG staat omschreven dat de AVG van toepassing is: ‘op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.’
Dus: indien voorkomen kan worden dat gegevens geautomatiseerd verwerkt worden of in een bestand worden opgenomen, dan is de AVG niet van toepassing. Een voorbeeld is het aan de deur plaatsen van een werknemer die kijkt of andere werknemers symptomen van verkoudheid vertonen en ze wegstuurt als dat het geval is. Zolang niets geregistreerd wordt, is de AVG niet van toepassing. De werknemer zal zich vervolgens conform de gebruikelijke procedure ziek moeten melden.
Een ander voorbeeld is het meten van koorts aan de deur zonder iets te noteren. Of de AVG van toepassing is, zal in dat geval afhangen van het soort thermometer dat gebruikt wordt. Indien gebruik wordt gemaakt van een zogenaamde ‘domme thermometer’ die slechts de temperatuur meet en deze verder niet kan onthouden of verwerken, dan is mijns inziens geen sprake van een verwerking waarop de AVG van toepassing is. Voorwaarde is dat het hebben van koorts of de temperatuur echt nergens geregistreerd wordt. Let er dus op dat de AVG alsnog van toepassing kan zijn als een slimme thermometer wordt gebruikt, die bijvoorbeeld gemeten temperaturen onthoudt of anderszins registreert.
Handvest van de Grondrechten van de Europese Unie (Handvest) en het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM)
Het enkele feit dat de AVG niet van toepassing is, wil echter niet zeggen dat een bedrijf altijd vrij is om andere inbreuken te maken op de privacy van werknemers. Naast de AVG zijn namelijk ook nog het Handvest en het EVRM van toepassing. In het Handvest en EVRM is bepaald dat eenieder recht heeft op eerbiediging van de persoonlijke levenssfeer en hem betreffende persoonsgegevens, zodat ook vanwege dat grondrecht anderen zich dus niet zomaar altijd persoonlijke informatie over iemand mogen verschaffen.
Vanwege het grondrecht op eerbiediging van de persoonlijke levenssfeer moet een afweging worden gemaakt tussen het recht op bescherming van de persoonlijke gezondheidsgegevens van de werknemer enerzijds en het voorkomen van de verdere verspreiding van ziektes zoals het coronavirus en het veilig houden van anderen in het gebouw anderzijds.
De AP heeft deze afweging reeds gemaakt en komt tot de conclusie dat werknemers niet gecontroleerd mogen worden op gezondheidsklachten zolang zij niet werkzaam zijn in de zorg. Het is gelet op de coronacrisis enkel toegestaan om zichtbare verkoudheids- of griepklachten bij een werknemer te constateren en die werknemer naar huis te sturen als hij klachten vertoont. Andere vormen van controle, zoals het controleren van de temperatuur, lijken verboden.
De vraag is echter waarom het wel toegestaan is om te kijken of iemand verkoudheids- of griepklachten vertoont, maar het niet toegestaan is om te kijken – niet registreren – of iemand koorts heeft. Dit terwijl de overheid en het RIVM koorts als belangrijk symptoom van corona zien. Inmiddels is zelfs beslist dat het hele gezin moet thuisblijven als één gezinslid koorts heeft. Het antwoord op deze vraag is daarom naar onze mening dat de AP hier wederom erg strikt interpreteert.
Deze strikte interpretatie geldt niet in de hele EU. De privacy toezichthouders van de Europese lidstaten zitten niet op een lijn. Sommige toezichthouders hanteren een strikte interpretatie, zoals Nederland, en sommige toezichthouders stellen zich soepeler op. De Europese privacy toezichthouder stelt zich ook soepeler op dan de AP. Voor Nederlandse bedrijven is het echter raadzaam om de instructies van de Nederlandse toezichthouder te volgen.
Conclusie
Uit bovenstaande blijkt dat het mogelijk is om het preventief controleren van werknemers op risicovolle gezondheidsklachten zodanig in te richten, dat de AVG daar niet op van toepassing is. Gelet op het Handvest en het EVRM, kunnen bedrijven echter niet zomaar overgaan tot preventieve controles. Het is van belang een zorgvuldige afweging te maken. De AP heeft deze afweging echter al gemaakt en lijkt het belang van privacy voorop te stellen. Volgens de AP is het ten tijde van de coronacrisis enkel toegestaan om werknemers te controleren op zichtbare verkoudheids- en griepklachten. Het controleren van bijvoorbeeld de temperatuur lijkt vooralsnog niet toegestaan. Mogelijk dat daarin nog veranderingen komen indien de situatie verder verslechtert.
Bedrijven moeten erop alert zijn dat de AP haar inzichten en afwegingen regelmatig aanpast gelet op de omstandigheden. Het is daarom raadzaam om eerst een specialist op het gebied van privacy te raadplegen voordat preventieve controles worden uitgevoerd. Daarmee kan voorkomen worden dat de controle onbedoeld toch te ver gaat of dat er toch te veel geregistreerd wordt, met een inbreuk op de AVG of de grondrechten van werknemers als gevolg.
Indien u meer wilt weten over dit onderwerp kunt u contact opnemen met Dewi Harkink of met één van onze andere advocaten uit de sectie Intellectueel Eigendom & IT.
Deze blog bevat algemene informatie en is met veel aandacht en zorgvuldigheid geschreven. Juridisch advies is echter altijd maatwerk. Wint u dus in een voorkomend geval altijd deskundig juridisch advies in. (Lees onze disclaimer).
