Corona & AVG: hoe zit het met privacy in geval van een pandemie?

Volgens de Autoriteit Persoonsgegevens (AVG) mag je als werkgever medische informatie niet vragen of vastleggen. Volgens de AVG heb je een grondslag nodig om persoonsgegevens te verwerken (Artikel 6) en moet er bij de verwerking van medische gegevens sprake zijn van een uitzonderingssituatie benoemd in Artikel 9.

Een instantie mag persoonsgegevens verwerken

• Met toestemming van de betrokkene
• Als dit nodig is voor het uitvoeren van een overeenkomst
• Wanneer dit moet van de wet
• Als dit noodzakelijk is voor een vitaal belang voor de betrokkene of een derde
• In het kader van het uitvoeren van een taak van algemeen belang of handhaving van de openbare orde
• Als dit noodzakelijk is voor een gerechtvaardigd belang van die instantie, mits het privacybelang van de betrokkene niet prevaleert

Uitzonderingssituatie

Artikel 9 verbiedt het verwerken van medische gegevens, tenzij er sprake is van een uitzondering. Zo mag je medische gegevens verwerken met toestemming (a), als dit noodzakelijk is voor preventieve arbeidsgeneeskunde (h) of om redenen van algemeen belang op het gebied van de volksgezondheid (i).

Arts moet gevallen melden en mag mensen isoleren

Volgens de AVG mag de arts dus gegevens van een besmette werknemer verwerken, omdat de wet dit hem verplicht en omdat dit noodzakelijk is voor de volksgezondheid. In januari van dit jaar is namelijk een ministeriele regeling van de Wet publieke gezondheid (Wpg) aangenomen die een meldplicht introduceert voor het corona-virus (Covid 19). Indien een in Nederland werkzame (bedrijfs)arts corana-virus vermoedt of vaststelt, moet hij dit onmiddellijk melden aan een gemeentelijke gezondheidsdienst. Ook mag hij geïnfecteerde personen isoleren. Op basis van de Wpg mag een besmette persoon door de voorzitter van de veiligheidsregio worden verboden te werken en kan men voorschriften geven met betrekking tot terreinen en gebouwen.

Toestemming alleen in uitzonderlijke situaties

Ook toestemming biedt onvoldoende houvast. De AP zegt:

Er zijn enkele uitzonderlijke situaties denkbaar waarin de bedrijfsarts op grond van toestemming van de zieke werknemer gegevens over zijn gezondheid aan de werkgever kan verstrekken. Bijvoorbeeld als de werknemer zelf expliciet vraagt om de werkgever te laten weten dat hij epilepsie heeft en wat de werkgever moet doen in noodsituaties.

Dit zou op kunnen gaan voor Corona. De werknemer zou toestemming kunnen geven om directe collega’s te informeren. Dat wil echter niet zeggen dat de werkgever de informatie mag bewaren.

Standpunt Europese toezichthouders

Op 16 maart 2020 hebben de Europese toezichthouders, verenigd in de European Data Protection Board (EDPB), een verklaring gepubliceerd over de verwerking van gezondheidsgegevens in het kader van het coronavirus. De EDPB benadrukt dat de AVG geen belemmering vormt voor maatregelen in de strijd tegen het coronavirus. De AVG voorziet namelijk in wettelijke grondslagen om werkgevers in staat te stellen persoonsgegevens te verwerken in het kader van epidemieën, zonder dat daarvoor de toestemming van de betrokkene nodig is. Dit geldt bijvoorbeeld wanneer de verwerking van persoonsgegevens noodzakelijk is voor werkgevers om redenen van algemeen belang op het gebied van de volksgezondheid of om vitale belangen te beschermen (artikel 6 en 9 van de AVG) of om te voldoen aan een andere wettelijke verplichting. De EDPB lijkt dus meer ruimte te zien voor werkgevers.

Het probleem is dat sommige van door de EDPB genoemde uitzonderingen pas van toepassing zijn als deze in nationale wetgeving (de Uitvoeringswet AVG – UAVG) zijn opgenomen. Dit is voor Nederland niet altijd het geval, althans niet voor deze situatie. Ook bepaalt de AVG bijvoorbeeld wel dat gezondheidsgegevens mogen worden verwerkt om vitale belangen te beschermen, maar pas indien de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven. Dat zal in deze situatie niet snel het geval zijn.

Toch kan je een aantal zaken nog wel doen

• Je mag je medewerker over zijn besmetting praten – je mag het alleen niet administreren voor eigen doeleinden. De privacywet gaat pas gelden als je medische informatie als organisatie gaat vastleggen in je eigen administratie.
• Je mag medewerkers ook vragen of ze op reis zijn geweest en waar en op basis daarvan voorzorgsmaatregelen nemen, zoals de medewerker verplichten thuis te werken.
• Je kan medewerkers instrueren over de symptomen en voorzorgsmaatregelen zoals handen wassen.
• Indien je een bedrijfsarts hebt kun je in samenspraak ook extra spreekuren en controles mogelijk maken.

Blijf op de hoogte van de belangrijkste ontwikkelingen over het arbobeleid rondom het Coronavirus. Schrijf je nu in voor onze nieuwsbrief

Bronnen:
Rijksoverheid
FNV
Frankwatching

Lees ook:

• Kan ik de werknemer verplichten om verlof op te nemen door Corona?

• Hoe kan mijn personeel tijdens Corona veilig werken?

• Welke verplichtingen heeft de werkgever bij Corona?

• Wat mag ik als werkgever vragen aan de werknemer bij ziekmelding?

• Thuiswerken door Corona: Moet de werkgever een laptop verzorgen?

Filed Under: Arbobeleid, Coronavirus, Nieuws Tagged With: arbobeleid, coronavirus