Mag u werknemers informeren over een (met het coronavirus) besmette collega?

Coronavirus en AVG
door Daniel
Coronavirus en AVG

Nu het coronavirus zich ook in Nederland verspreidt, melden steeds meer werknemers zich ziek. In verband met de besmettelijkheid van het virus zullen veel werkgevers willen weten of de zieke werknemer het coronavirus heeft. Hiermee kunnen ze bijvoorbeeld maatregelen treffen om de werknemers die met de besmette collega in contact zijn geweest, uit voorzorg vanaf thuis te laten werken. Mag u, als werkgever, vragen naar de aard van de ziekte? En indien een werknemer aangeeft besmet te zijn met het coronavirus, mag u dan uw werknemers informeren over de met het coronavirus besmette collega? In dit nieuwsartikel vindt u het antwoord.

AVG

Regels over het verwerken van persoonsgegevens door organisaties staan beschreven in de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG). De AVG is de Nederlandse vertaling van de General Data Protection Regulation (GDPR), een privacywet die geldt voor bijna alle Europese landen. De UAVG is de Nederlandse aanvulling op de AVG. De Autoriteit Persoonsgegevens (AP) is verantwoordelijk voor de handhaving van de AVG en UAVG.

Wanneer mag u (bijzondere) persoonsgegevens verwerken?

Om als organisatie persoonsgegevens te mogen verwerken is er een rechtsgrond en een doelstelling vereist. Voor het verwerken van bijzondere persoonsgegevens gelden er strengere eisen. Onder bijzondere persoonsgegevens vallen onder andere gegevens over de gezondheid, etniciteit, seksuele voorkeur of religie van een persoon. Medische persoonsgegevens zoals een coronabesmetting vallen dus onder bijzondere persoonsgegevens. Het verwerken van bijzondere persoonsgegevens is verboden tenzij er een beroep kan worden gedaan op een van de uitzonderingen, die zijn beschreven in de AVG. Daarnaast is er, net als bij andere persoonsgegevens, een rechtsgrond vereist.

Toestemming

Toestemming is een voorbeeld van een uitzondering en is tevens een rechtsgrond. Echter is het vragen van toestemming voor bijvoorbeeld het op de hoogte brengen van medewerkers over dat een collega het coronavirus heeft opgelopen, geen mogelijkheid. Toestemming dient namelijk vrijelijk te worden gegeven. Door de hiërarchische wanverhouding tussen een werkgever en een werknemer is het namelijk onzeker of de toestemming écht vrijelijk is gegeven.

Wettelijke verplichting

Een andere uitzondering voor het verwerken van bijzondere persoonsgegevens en tevens een rechtsgrond is een wettelijke verplichting; de verwerking moet dan noodzakelijk zijn om verplichtingen uit te voeren of specifieke rechten uit te oefenen van u of de betrokken persoon. Het betreft dan een verplichting op het gebied van het arbeidsrecht, het socialezekerheidsrecht of het sociale beschermingsrecht. Goedwerkgeverschap is vastgelegd in het arbeidsrecht. Het is een breed begrip met inmiddels veel jurisprudentie. Zo moeten werkgevers een veilige werkomgeving bieden aan werknemers en werknemers tegen ernstige schade of risico op schade beschermen. Maar valt het op de hoogte brengen van medewerkers over een met het coronavirus besmette collega?

Wat zegt de Autoriteit Persoonsgegevens over het coronavirus?

De Autoriteit Persoonsgegevens (AP) handhaaft de privacywetgeving in Nederland. De AP heeft (nog) geen uitspraken gedaan over de toepasselijkheid van deze wettelijke verplichting in verband met het coronavirus, en daarom kan het verwerken van gezondheidsgegevens leiden tot een mogelijke schending van de AVG. De AP heeft eerder wel verklaard dat werkgevers, in bijna alle gevallen, geen gezondheidsgegevens van werknemers mogen verwerken. Het is aan de bedrijfsarts of de arbodienst om gezondheidsgegevens te verwerken. De AP heeft ook benadrukt dat, specifiek in het kader van het coronavirus, het opnemen van de temperatuur van werknemers niet is toegestaan. Het is ook niet toegestaan om werknemers te verzoeken een doktersverklaring te overleggen.

Conclusie

U mag uw werknemers niet informeren over een (met het coronavirus) besmette collega. Het betreft een verwerking van bijzondere persoonsgegevens en er is geen duidelijke uitzondering om deze bijzondere persoonsgegevens als werkgever te mogen verwerken. Het is aan de AP om uitspraak te doen over de toepasselijkheid van een wettelijke verplichting in verband met het coronavirus. Werkgevers zijn namelijk verplicht tot goedwerkgeverschap.

Discussie

Vindt u dat wanneer er gepaste maatregelen worden getroffen ter bescherming van de gegevens, het AP een uitzondering moet maken voor werkgevers om gegevens intern (tijdelijk) te mogen verwerken t.b.v. het voorkomen van meer besmettingen binnen de organisatie? Wij zijn erg benieuwd naar uw kijk hier op. Op korte termijn zullen wij een survey uitvoeren om te meten of er vraag naar een dergelijke uitzondering is en met welke concrete doelen werkgevers deze gegevens willen verwerken.

Daniel Hendriks

Meer nieuws

 

Convy wil bijdragen aan een wereld waarin organisaties voldoen aan de hoogste normen op het gebied van duurzaamheid, kwaliteit, veiligheid en privacy.

Wij willen hieraan bijdragen door organisaties te begeleiden naar een ISO en/of AVG certificering. Door middel van een ISO certificering maken organisaties aantoonbaar dat de producten en diensten veilig, betrouwbaar en van goede kwaliteit zijn. Door middel van een AVG gerelateerd certificaat (zoals de Data Pro Code) maken organisaties aantoonbaar dat ze voldoen aan de privacywetgeving.