Veel werkgevers nemen maatregelen om besmetting met het coronavirus binnen het bedrijf te voorkomen. Zolang die maatregelen niet specifiek gericht zijn op het gedrag of de eigenschappen van een bepaald individu, staat de privacywetgeving daaraan niet in de weg. Zo is er bijvoorbeeld niets op tegen om te faciliteren dat werknemers hun handen wassen of hun temperatuur meten.
Het wordt echter anders indien die maatregelen zich vervolgens ook toespitsen op het individu. Zodra wordt geregistreerd of een werknemer zijn handen wast, of een werknemer zijn temperatuur meet of wat de temperatuur van de werknemer was, is volgens de Algemene verordening gegevensbescherming (AVG) sprake van de verwerking van persoonsgegevens, tast het mogelijk de privacy van de werknemer aan en daarvoor bestaat in die situaties vermoedelijk geen grondslag.
Daarnaast mag een werkgever niet vragen naar de gezondheid van zijn werknemers of naar de reden van een ziekmelding. Als de werknemer hierover uit zichzelf informatie geeft, mag de werkgever deze informatie vervolgens niet vastleggen. Ook mag een werkgever geen corona test afnemen ter controle. Het betreft hier de verwerking van gezondheidsgegevens, een bijzondere categorie persoonsgegevens. Het verwerken van gezondheidsgegevens is niet toegestaan, tenzij een wettelijke uitzondering geldt.
De Autoriteit Persoonsgegevens (AP) is echter sinds enige tijd gedeeltelijk “omgegaan”. Een werkgever mag een vermoedelijk zieke werknemer namelijk naar huis sturen. Dat is bijzonder, want normaal gesproken is de bedrijfsarts bij uitsluiting bevoegd een oordeel te vellen over de gezondheidssituatie van een werknemer. Verder vindt de AP dat van een werknemer verlangd mag worden dat deze periodiek zijn eigen gezondheid in de gaten houdt. De AP wijst er ten slotte op dat het niet aan de werkgever is om maatregelen te treffen indien een werknemer corona heeft, nu in dat geval de GGD conform protocol actie zal ondernemen. Het is in dat kader opmerkelijk dat voor artsen een meldplicht van corona bestaat, terwijl voor bedrijven het in feite verboden is een melding van een vermoeden van een coronabesmetting te doen, nu het doen van die melding een verboden registratie impliceert. Mogelijk dat op de langere termijn de lacune in de wetgeving op dat punt zal worden aangepakt.
Veel bedrijven schakelden vorig jaar tijdens de eerste lockdown zo veel mogelijk over op thuiswerken. Bij thuiswerken worden allerlei verschillende soorten faciliteiten gebruikt, uiteenlopend van technieken voor op afstand inloggen tot faciliteiten voor videobellen of online bestanden delen. Bij thuiswerken zijn vanuit privacy-optiek diverse aandachtspunten in acht te nemen. Deze aandachtspunten gelden in principe altijd. Het is bij thuiswerkfaciliteiten van groot belang dat kritisch wordt getoetst of de inzet daarvan veilig is. Indien een onveilige techniek of inrichting wordt gebruikt, kwalificeert dat vermoedelijk op zichzelf al als een (melding plichtig) datalek. De beveiliging is immers niet langer geborgd en het begrip ‘inbreuk’ is nu eenmaal ruim gedefinieerd.
Naast dat de voorziening zelf veilig moet zijn, is het ook zaak te borgen dat deze op veilige wijze gebruikt wordt. Zo is het van belang de werknemers goed voor te lichten over de risico’s en hen van duidelijke voorschriften te voorzien. Is bijvoorbeeld werken op de laptop in het park via onbeveiligde WIFI in uw organisatie toegestaan of niet? Het monitoren op veilig gebruik van de IT-voorzieningen - door bijvoorbeeld actieve analyse van de onderliggende logboeken - is vanuit privacy rechtelijke optiek gerechtvaardigd, mits het maar proportioneel gebeurt en de ondernemingsraad daarvoor toestemming heeft gegeven.
Een ander aandachtspunt bij thuiswerken, is dat voorzieningen die geschikt zijn voor monitoring van gedrag van werknemers aan de ondernemingsraad ter goedkeuring moeten zijn voorgelegd. Veel thuiswerkvoorzieningen - zoals op afstand inloggen in het bedrijfsnetwerk, software om samen aan bestanden te werken, etc. - zijn (in ieder geval potentieel) geschikt om gedrag van werknemers te monitoren. Bij een systematische en grootschalige controle en monitoring van werknemers moet een voorafgaande beoordeling (DPIA) worden uitgevoerd. Hoge risico’s die tijdens de DPIA zijn geïdentificeerd en die niet kunnen worden verholpen, moeten aan de AP worden voorgelegd. Zowel op het niet verrichten van een dergelijke DPIA, als op het niet voorleggen van resterende hoge risico’s, staat een maximale boete van € 10.000.000,-- of 2% van de wereldwijde omzet.
Op 6 januari 2021 is begonnen met het vaccineren tegen het coronavirus. Omdat de vaccinatie niet wettelijk verplicht is, zullen werkgevers (in de zorg) waarschijnlijk willen weten wie van hun werknemers zijn gevaccineerd. Mag de werkgever op grond van de AVG hierover inzicht krijgen?
Op grond van de AVG mag een werkgever niet vragen naar gezondheidsgegevens van werknemers, dus ook niet of een werknemer gevaccineerd is tegen het coronavirus. Ook wanneer een werknemer uit zichzelf aangeeft of hij wel of niet is gevaccineerd en toestemming voor de registratie daarvan geeft, mag de werkgever deze gegevens niet registreren. De werkgever loopt daarmee het risico op een sanctie van de AP. Volgens de AP is de werknemer in de gezagsverhouding binnen de arbeidsrelatie namelijk per definitie niet in staat om zijn wil vrij te bepalen. De werkgever mag het feit of de werknemer al dan niet gevaccineerd is ook niet gebruiken om een oordeel te vormen over de inzetbaarheid van de werknemer. Dat mag alleen de bedrijfsarts.
De enige uitzondering die de AVG noemt, is dat gezondheidsgegevens wel mogen worden gedeeld, als de verwerking ervan noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid, als bijvoorbeeld de veiligheid in het gedrang komt. Daarvoor is wel noodzakelijk dat de wet op dit punt eerst wordt aangevuld.
