De positie van het privacyrecht en corona

‘’Nood breekt wet!’’ Een spreekwoord dat nu meer dan ooit van toepassing is. Maar als het aan de Autoriteit Persoonsgegevens (AP) ligt gaat deze vlieger niet op. Onlangs heeft de AP aangegeven strikt vast te houden aan de bepalingen van de Algemene Verordening Gegevensbescherming (AVG). Voor werkgevers kan dit lastige situaties opleveren; kunt u een zieke werknemer vragen of hij besmet is met corona? En mag u dat eventueel registreren?

Update: 31 maart

De Autoriteit Persoonsgegevens heeft op haar website een pagina toegevoegd met alle informatie omtrent het coronavirus op één plek. Op deze pagina geeft de AP onder andere een extra toelichting over corona en de privacyregels op de werkvloer en is te lezen dat de AP strikt vasthoudt aan de ‘normale’ regels op het gebied van privacy. Er wordt expliciet gemeld dat u ook in deze crisistijd geen vragen mag stellen over de gezondheid van uw werknemer en indien zij dit zelf vertellen, mag u deze gegevens niet registeren. De AP acht het wel toelaatbaar dat u, wanneer een werknemer symptomen van het virus vertoont, werknemers naar huis stuurt.

Gezondheidsgegevens en het strikte regime van bijzondere persoonsgegevens

De AVG is duidelijk: gezondheidsgegevens van werknemers zijn bijzondere gegevens en worden extra beschermd. De werkgever mag alleen in uitzonderlijke gevallen medische gegevens van werknemers registreren. Hij mag in relatie tot de gezondheid van werknemers alleen registreren wat strikt noodzakelijk is: bijvoorbeeld informatie om te beoordelen of het loon moet worden doorbetaald, hoe lang de werknemer verwacht thuis te blijven en of hij in staat is vanuit huis te werken. De vraag of iemand besmet is met corona wordt door de AP niet als strikt noodzakelijke informatie gekwalificeerd. De verwerking en vastlegging van deze informatie is exclusief voorbehouden aan de bedrijfsarts. Maar de werkgever staat niet compleet met lege handen.

Mogelijkheden werkgever

De AVG is alleen van toepassing op verwerking van persoonsgegevens (gegevens die direct of indirect herleidbaar te zijn tot een persoon). De werkgever mag niet vragen naar de gezondheidstoestand van een werknemer. Vertelt een werknemer dit uit zichzelf dan mag de werkgever dit niet registeren. Normaal gesproken moet de bedrijfsarts worden ingeschakeld om dieper op een ziekte in te kunnen gaan.

Maar nu ligt alles echt even anders. Voor een werkgever is het nu goed verdedigbaar om bij ziekte aan de werknemer te vragen naar eventuele symptomen van corona en als er sprake is van symptomen of een diagnose om dit te registreren. Ook vragen om vast te stellen of de werknemer mogelijk blootgesteld is aan het virus (gezondheid van gezinsleden, verblijf in het buitenland of Zuid-Nederland e.d.) mogen worden gesteld. De werkgever heeft namelijk ook naar zijn andere werknemers toe de verplichting maatregelen te treffen om de gezondheid van alle werknemers te beschermen. Daar horen in deze uitzonderlijke tijden ook maatregelen bij om de kans op infectie weg te nemen of te verkleinen. Alleen als de werkgever weet dat een werknemer mogelijk geïnfecteerd is of op andere wijze een risico vormt, kunnen tijdig maatregelen worden getroffen.

Indien u hiertoe besluit zult u in gedachten moeten houden wat het doel, de proportionaliteit (niet meer gegevens dan nodig) en de duur is van de verwerking. Gebruik deze gegevens alleen om de kans op infectie van uw werknemers te verkleinen en bewaar deze gegevens niet langer dan noodzakelijk. Ook mogen deze gegevens niet voor andere doeleinden worden gebruikt. Leg deze werkwijze ook intern vast en communiceer dit met uw werknemers.

Dus wat mag tijdelijk wel?

• Als een werknemer (mogelijk) besmet is met corona, kunt u daar vragen over stellen en dit registreren.
• U kunt werknemers vragen stellen over een mogelijke blootstelling aan het virus. Op basis daarvan kunt u voorzorgsmaatregelen treffen zoals de verplichting tot thuiswerken.
• In samenspraak met de bedrijfsarts kunt u extra spreekuren of controles instellen.
• Tot slot kunt u medewerkers voorlichten over de symptomen en de voorzorgsmaatregelen.

Tot slot

Ook ten tijde van corona-perikelen heeft de Nederlandse toezichthouder privacy hoog in het vaandel staan. Het blijft het de vraag of de AP tot handhaving overgaat als een werkgever niet volledig normconform te werk gaat tijdens de pandemie. De Engelse toezichthouder heeft zich hier in elk geval reeds expliciet over uitgelaten:

“We understand that resources, whether they are finances or people, might be diverted away from usual compliance or information governance work. We won’t penalise organisations that we know need to prioritise other areas or adapt their usual approach during this extraordinary period.’’

Als u zich aan de tips opgenomen in dit artikel houdt verwachten wij dat deze tijdelijke handelwijze de toets ter kritiek zal doorstaan. Onze ICT-recht specialisten staan klaar om u nu en straks bij te staan.