Mag je de temperatuur opnemen van je medewerkers? Mag je de besmettingen registreren en/of delen met je overige personeel? Mag je de uren van thuiswerkers bijhouden? Dit zijn enkele vragen waar je als werkgever tegen de beperkingen van het grondrecht van het recht op privacy en de Algemene Verordening Gegevensbescherming (AVG) aan kunt lopen.
Privacy en de AVG: algemeen
Bescherming van de persoonlijke levenssfeer (privacy) is een grondrecht. Dit recht is o.a. geregeld in artikel 10 lid 1 van de Grondwet. De Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet (UAVG) zien op de “geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.
Ingevolge art. 6 van de AVG is er een grondslag nodig om persoonsgegevens te mogen verwerken. Persoonsgegevens mogen verwerkt worden als:
- de betrokkene toestemming heeft gegeven;
- dit nodig is voor het uitvoeren van een overeenkomst;
- de wet dit voorschrijft;
- dit noodzakelijk is voor een vitaal belang voor de betrokkene of een derde;
- dit gebeurt in het kader van het uitvoeren van een taak van algemeen belang of handhaving van de openbare orde;
- dit noodzakelijk is voor een gerechtvaardigd belang van die instantie, mits het privacybelang van de betrokkene niet prevaleert.
De AVG verbiedt het verwerken van medische gegevens, tenzij er sprake is van een uitzondering genoemd in art. 9 AVG. Denk hierbij aan gegeven toestemming, de noodzaak voor preventieve arbeidsgeneeskunde of redenen van algemeen belang op het gebied van de volksgezondheid.
De AVG geeft dus duidelijk aan wat wel en niet mag. Het lijkt er echter op dat in verband met het coronavirus er meer ruimte ontstaat. Zo zouden controles door werkgevers, onder zeer strikte voorwaarden, mogelijk toch toegestaan zijn. Zo kan althans opgemaakt worden uit het persbericht d.d. 16 maart 2020 van de Europese privacy toezichthouders:
“Data protection rules (such as GDPR) do not hinder measures taken in the fight against the coronavirus pandemic. […] Indeed, the GDPR provides for the legal grounds to enable the employers and the competent public health authorities to process personal data in the context of epidemics, without the need to obtain the consent of the data subject. This applies for instance when the processing of personal data is necessary for the employers for reasons of public interest in the area of public health or to protect vital interests (Art. 6 and 9 of the GDPR) or to comply with another legal obligation.”
Hieruit kan blijken dat werkgevers gegevens over coronabesmettingen mogen verwerken als dat noodzakelijk is voor het publieke belang of het vitale belang van de werknemer. Per land wordt dit bericht echter verschillend uitgelegd. Ook onze AP is tijdelijk wat minder streng en geeft organisaties ruimer de tijd om antwoord te geven op privacygerelateerde vragen. Maar de AP heeft ook gewaarschuwd dat de coronacrisis geen excuus mag worden om de privacy helemaal overboord te gooien. “De crisis mag geen opmaat worden naar een Big Brother-maatschappij.”
Privacy, de AVG en corona
De werkgever mag een werknemer normaliter niet vragen naar zijn/haar gezondheid of een test afnemen ter controle. De reden van een ziekmelding bijhouden mag ook niet. Maar de AP vindt dat werkgevers vanwege de Coronacrisis van werknemers wel mag verlangen dat zij meewerken.
Mag de werkgever de zieke werknemer controleren?
De AP heeft geoordeeld dat werkgevers in de zorg werknemers mogen controleren op corona. Andere werkgevers mogen dat niet.
Temperatuurgegevens (en andere gezondheidsgegevens) mogen niet worden verwerkt. Werkgevers dienen de richtlijnen van het RIVM te volgen en moeten hun medewerkers hier nadrukkelijk op wijzen. Het RIVM heeft instructies gegeven hoe met contacten op het werk en met klanten om te gaan. Werknemers en werkgevers dienen deze instructies op te volgen.
De werkgever mag van de AP wel van de werknemer verlangen dat deze zelf zijn of haar gezondheid checkt, bijvoorbeeld door zelf de temperatuur te meten. Zeker als de werknemer niet thuiswerkt.
Mag de werkgever informeren naar een coronabesmetting?
Zoals gebruikelijk mag de werkgever ook nu niet informeren naar het verloop van de ziekte en/of klachten. Dat mag alleen een (bedrijfs)arts. De werkgever mag enkel vragen wanneer de werknemer weer denkt aan het werk te kunnen.
Lastig, want de werkgever is óók verantwoordelijk voor een gezonde werkomgeving. De werkgever kan wel met de werknemer over zijn besmetting praten en wat dat betekent voor het werk.
In het kader van de AVG mag hierover echter niets geregistreerd worden.
De werkgever mag werknemers wel vragen of en waarheen ze op reis zijn geweest. Dat kan een reden geven om een werknemer te verplichten thuis te werken.
Ook kan de werkgever een werknemer instrueren over de symptomen en hygiënemaatregelen.
Mag de werkgever de coronabesmetting registreren?
Uiteraard mag de werkgever wel registreren dát de werknemer ziek is, maar niet wat hij/zij heeft.
De werkgever heeft geen grondslag om iets over de aard van de ziekte van een werknemer te registreren. Er is hiervoor geen wettelijke plicht, geen vervulling van een taak van algemeen belang en geen gerechtvaardigd belang. Dit geldt voor alle ziekten en dus ook voor het corona-virus.
Toestemming van de werknemer biedt geen soelaas. Toestemming kan slechts voor uitzonderlijke situaties gebruikt worden, bijvoorbeeld omdat de gegevens bekend moeten zijn voor de werkgever om te kunnen handelen in een noodsituatie (denk bijvoorbeeld aan een werknemer met epilepsie). Toestemming vragen en geven met een beroep op het zgn. vitaal belang om medische gegevens te mogen verwerken in de zin van de AVG geeft evenmin een oplossing. Dit belang ziet namelijk op het monitoren van een epidemie en de verspreiding daarvan of in humanitaire noodsituaties. Het monitoren van een epidemie behoort echter niet tot de taak van de werkgever, maar is voorbehouden aan de GGD. Verder kan er alleen een beroep worden gedaan op het vitaal belang indien de betrokkene fysiek of juridisch niet in staat is zijn/haar toestemming te geven.
Mag de werkgever de collega’s informeren over een besmette werknemer?
De werkgever mag niet aan collega’s vertellen wie er besmet is. Handelen in strijd hiermee is geen overtreding van de AVG maar in strijd met het recht op privacy (art. 10 grondwet / art. 8 EVRM). De werkgever kan de besmette medewerker wel vragen met wie hij/zij op het werk contact heeft gehad, zodat die personen gewaarschuwd kunnen worden. Indien de werknemer de werkgever en/of collega’s informeert, kunnen op basis daarvan wel stappen worden ondernomen. Dat is zeker het geval indien de werknemer daarvoor toestemming geeft. Collega’s staat het uiteraard vrij om te vragen hoe het iemand gaat en de werkgever kan daar ook antwoord op geven.
Mag de werkgever de zieke medewerker naar huis sturen?
De werkgever mag een werknemer naar huis sturen als hij/zij verkoudheids- of griepverschijnselen vertoont, zelfs als daarover twijfel bestaat. De werkgever mag de werknemer altijd vragen om contact op te nemen met de bedrijfsarts, arbodienst of huisarts voor controle op corona.
Op basis van een in januari 2020 genomen ministeriele regeling die is gebaseerd op de Wet publieke gezondheid (Wpg), moet de arts die een corana-virus vermoedt of vaststelt, dit onmiddellijk melden aan een gemeentelijke gezondheidsdienst GGD). De GGD kan dan in overleg met de werkgever maatregelen treffen voor op de werkvloer.
Mag de werkgever de productiviteit van thuiswerkende werknemers monitoren?
In beginsel mag de werkgever niet meer dan anders. Indien urenschrijven normaal is, mag dat nu ook. Maar het gebruik van bijvoorbeeld software die monitort of er al dan niet sprake is van activiteit is niet toegestaan.
Daarbij dient een controle altijd proportioneel te zijn. Als de productiviteit ook aan de hand van output kan worden beoordeeld, is verdergaande controle in beginsel niet toegestaan.
Tot slot
Het bovenstaande heeft vooral betrekking op de privacy in de arbeidsrechtelijke sfeer. Maar privacy speelt uiteraard breder dan dat. Wat te denken van bijvoorbeeld landen die technologische hulpmiddelen (Apps) inzetten om de bevolking in de gaten te houden. Wat doet dat met de privacy van burgers? Is dat toepasbaar in Nederland? Moeten we ‘tijdelijk minder privacy’ accepteren ten dienste van het algemeen belang? De AP is de hoeder van het grondrecht op privacy en heeft laten weten ook in deze tijden in te grijpen wanneer de privacy echt in gevaar is. Daar heeft de burger recht op. Zodat iedereen straks als vrij burger in een vrij land weer vrij kan leven.
Vooralsnog lijkt het er dus niet op dat de privacyregels aan de kant gaan, maar een en ander zal vermoedelijk ook afhangen van de verdere ontwikkeling van deze crisis.
Klik hier voor meer blogs die zijn geschreven over (de gevolgen van) het coronavirus.
