Mogen gevoelige persoonsgegevens, zoals medische data, van werknemers die (potentieel) met Corona zijn besmet worden gebruikt? De Autoriteit Persoonsgegevens hanteert strenge normen ten aanzien van het gebruik van gezondheidsgegevens in een werkgever-werknemer relatie. Zo heeft zij op 24 april jl. verboden om de temperatuur van werknemers en bezoekers te meten.
Ook tijdens de Corona crisis toont zich de tweespalt van de Algemene Verordening Gegevensbescherming. Enerzijds is de AVG niet gemaakt om hindernissen op te werpen bij het bevechten van het virus. Anderzijds lijkt de AVG dat in de praktijk wel te doen. De AVG verbiedt in beginsel de verwerking van onder meer gegevens over de gezondheid. Compliceert dit de begeleiding van werknemers en belemmert het snel ingrijpen door werkgevers om verdere verspreiding van het virus op de werkvloer te voorkomen?
De European Data Protection Board (EDPB), de Europese privacytoezichthouder, heeft in een recente verklaring benadrukt dat de AVG grondslagen biedt voor werkgevers om gegevens over Coronabesmettingen toch te mogen verwerken in het kader van de bestrijding van een pandemie. Werkgevers kunnen zich volgens de EDPB baseren op de vervulling van een taak van algemeen belang op het gebied van de volksgezondheid of op de bescherming van vitale belangen.
De Autoriteit Persoonsgegevens hanteert echter een zeer strikte opvatting ten aanzien van het gebruik van gezondheidsgegevens in een werkgever-werknemer relatie. Werkgevers mogen de werknemer niet naar de reden van zijn ziekmelding vragen en ook bedrijfsartsen mogen in principe geen gezondheidsgegevens over de aard van de ziekte van werknemers delen met de werkgever.
Hoe valt de verklaring van de EDPB te rijmen met de strikte opvatting van de Autoriteit Persoonsgegevens? De EDPB lijkt weliswaar de deur van de restrictieve verwerking van
gezondheidsgegevens in verband met Corona op een kier te zetten, maar een concrete vertaalslag naar de (Nederlandse) praktijk ontbreekt.
Hieronder zetten wij daarom in het kort de belangrijkste op dit moment geldende uitgangspunten op een rij.
Mag je als werkgever controleren op Corona?
Ook in het kader van de Corona-crisis handhaaft de AP vooralsnog en in zijn algemeenheid het standpunt dat de werkgever de werknemer niet mag controleren op Corona, en hem (zelfs) niet mag vragen of hij Corona heeft. De AP verbiedt expliciet het gebruik van thermometers en thermische camera’s door werkgevers. Werkgevers mogen werknemers (en bezoekers) niet controleren op koorts.
Maar wat mag je als werkgever dan wel?
Hoewel de privacyregels dus nog steeds strikt zijn, staan de werkgever echter wel enkele andere (beperkte) middelen ter beschikking die kunnen worden ingezet om de gevolgen van Corona op de werkvloer niettemin zoveel mogelijk te beperken.
Zo is het de werkgever wel toegestaan om:
- Een werknemer met verkoudheidsklachten of griepverschijnselen, en ook al bij twijfel daarover, naar huis te sturen of aan te geven dat hij niet naar het werk moet komen;
- De werknemer te vragen zijn gezondheid in de gaten te houden en eventueel zelf (ook tijdens het werk) te temperaturen;
- Erop aan te dringen dat de werknemer bij gezondheidsklachten in een vroeg stadium contact opneemt met de bedrijfsarts;
- De bedrijfsarts te vragen om de werknemer (door de GGD) op Corona te laten controleren.
Uitzondering voor speciale categorieën werkgevers?
Voor zorgmedewerkers in ziekenhuizen en verpleeghuisinstellingen gelden inmiddels echter afwijkende maatregelen wanneer deze bijdragen aan het waarborgen van de zorg voor patiënten en oudere en kwetsbare personen. Voor deze sectoren zijn van overheidswege al ruimere controlemogelijkheden van werknemers op Corona toegestaan. Sinds 6 april is het testbeleid bovendien verruimd. Ook medewerkers in de gehandicaptenzorg, de thuiszorg, de jeugdzorg en de GGZ kunnen nu worden getest.
Deze maatregelen sluiten aan bij het eerdergenoemde statement van de EDPB en zijn in overeenstemming met de AVG, aangezien daarin is bepaald dat in het belang van de veiligheid en kwaliteit van zorg, de vitale belangen van kwetsbare anderen en het beheer van de betreffende instellingen de verwerking van gezondheidsgegevens door de werkgever is toegestaan.
Overigens laat de AP zich niet uit over uitzonderingssituaties.
Wat te doen als de werkgever weet dat een werknemer is besmet?
In het kader van zowel de zorgplicht als werkgever als in het algemeen belang mag je verder als werkgever aan de andere werknemers melden dat een werknemer is besmet, mits je maar niet vertelt wie dat is.
Wat betekent dit alles voor de praktijk?
Hoewel de mogelijkheden van de werkgever om gezondheidsgegevens te mogen verwerken behoudens uitzonderingssituaties dus nog steeds beperkt zijn, staan hem wel enige middelen ter beschikking om de risico’s van Corona op de werkvloer te beperken. Zo kan van de werknemer een actieve zelfcontrole worden verlangd en mag de werkgever alleen al bij een (mogelijke) verdenking op Corona de werknemer van de werkplek weren.
Daarnaast blijft echter een belangrijke rol weggelegd voor de bedrijfsarts. Aanbevolen is dan ook om werknemers erop te wijzen dat zij alleen al bij lichte gezondheidsklachten zelf de bedrijfsarts consulteren. Verder kan de werkgever de bedrijfsarts vragen de gezondheidstoestand van gezonde werknemers periodiek (telefonisch) te volgen, en hem verzoeken zieke werknemers gericht op Corona-symtomen te monitoren en zonodig te laten testen. Daarmee kan een vermoeden of bevestiging van een Corona-besmetting zo snel mogelijk worden onderkend en het risico op verdere verspreiding op de werkvloer worden beperkt.
Overigens zijn de van overheidswege getroffen Corona-maatregelen nog steeds in ontwikkeling. Wij zullen daarom de privacy-gerelateerde veranderingen voor de werkgever volgen en met u blijven delen.
