Eerder schreven wij al over de inzet van coronasnelsten op de werkvloer. Vanwege een gebrek aan testcapaciteit moeten mensen soms dagenlang thuisblijven. Organisaties kampen hierdoor met een gebrek aan werknemers op de werkvloer. Dit heeft met name grote gevolgen voor branches waarin het niet goed mogelijk is om werkzaamheden vanuit huis te verrichten. Veel organisaties zijn dan ook op zoek naar oplossingen om hun werknemers zo snel mogelijk weer te kunnen inzetten op de werkvloer. Het inzetten van coronasneltesten zou zo’n oplossing kunnen zijn. Maar is het wel toegestaan om coronasneltesten in te zetten op de werkvloer? Welke maatregelen kunnen organisaties treffen om dit mogelijk te maken? En wat zijn de risico’s? Op deze en andere vragen zal in deze blogserie worden ingegaan. 

Is de AVG van toepassing? 

In het eerste deel bespraken wij dat de afname van coronasneltesten op zodanige wijze zou kunnen worden ingericht dat daarmee geen sprake is van de verwerking van persoonsgegevens. Dat zou tot gevolg hebben dat de inzet van coronasneltesten buiten het toepassingsgebied van de AVG valt. Dat heeft weer tot gevolg dat de Autoriteit Persoonsgegevens niet handhavend kan optreden tegen de inzet van die testen. In veel situaties zullen organisaties er echter toch niet aan ontkomen om de uitslagen van coronasneltesten op enige wijze te verwerken, althans valt niet uit te sluiten dat dit gebeurt (bijvoorbeeld achteraf bij ziekmelding). En wanneer er sprake is van de verwerking van persoonsgegevens, zal er aan de AVG moeten worden voldaan.

Wat als de AVG wel van toepassing is?

Als de AVG van toepassing is, dan betekent dat in de eerste plaats dat er een grondslag is vereist voor de verwerking van de betreffende persoonsgegevens. In het geval van de inzet van coronasneltesten zullen die gegevens veelal bestaan uit de testuitslagen. Omdat uit die testuitslag volgt of iemand besmet is met het coronavirus, is er sprake van een medisch persoonsgegeven. En medische persoonsgegevens zijn bijzondere persoonsgegevens. Dit betekent dat de verwerking daarvan in beginsel verboden is, tenzij een werkgever zich kan beroepen op een van de uitzonderingen zoals opgenomen in het tweede lid van artikel 9 AVG.

Expliciete toestemming

De meest bekende uitzonderingsgrond is die van expliciete toestemming (artikel 9 lid 2 sub a AVG).

Op de vraag of op basis van toestemming mag worden vastgelegd wat een werknemer mankeert, antwoordt de AP dat toestemming bijna nooit een geldige grondslag kan zijn om dit soort gevoelige informatie over werknemers te registreren. Tegenover hun werkgever kunnen werknemers zich namelijk verplicht voelen om in te stemmen en dat heeft tot gevolg dat de toestemming niet in ‘vrijheid’ gegeven kan worden. Alleen in zeer uitzonderlijke gevallen mogen er op basis van toestemming gegevens over de aard en oorzaak van een ziekte van een werknemer worden vastgelegd. Bijvoorbeeld wanneer een werknemer een ernstige mate van suikerziekte of epilepsie heeft. In dergelijke gevallen kan het noodzakelijk zijn dat de naaste collega’s hiervan op de hoogte zijn, zodat zij weten hoe zij moeten handelen als hun collega zich niet goed voelt.

Deze visie van de AP is in lijn met de jurisprudentie en zienswijze van andere Europese toezichthouders. Expliciete toestemming lijkt daarom inderdaad geen geschikte grondslag te zijn om de verwerking van de (uitslagen van) coronasneltesten op te kunnen baseren.

Vitaal belang

Een andere uitzondering die in dit kader interessant zou kunnen zijn is het vitaal belang (artikel 9 lid 2 sub c AVG). Deze grondslag kan worden gebruikt wanneer de verwerking noodzakelijk is voor de bescherming van vitale belangen van de betrokkene of een ander natuurlijk persoon als de betrokkene fysiek of juridisch niet staat is om zijn toestemming te geven.

Uit overweging 46 van de AVG volgt dat deze grondslag gebruikt kan worden voor “het monitoren van een epidemie en de verspreiding daarvan.” Hiermee lijkt deze grondslag op het eerste gezicht geschikt te zijn, maar dit neemt niet weg dat monitoren van een epidemie waarschijnlijk niet tot het takenpakket van een werkgever behoort. Dit lijkt eerder een taak voor een instantie als de GGD te zijn.

Daarbij kan deze grondslag alleen worden gebruikt als de betrokkene fysiek of juridisch niet in staat is om toestemming te geven. Het is nog maar de vraag of hieronder ook de situatie valt waarin de betrokkene zich in een afhankelijke positie bevindt en daarom niet in staat kan worden geacht om op rechtsgeldige wijze toestemming te verlenen, zoals hiervoor aan de orde is gekomen.

De EDPB, een orgaan waarin alle nationale privacytoezichthouders uit de Europese Unie samenwerken bij hun toezicht op de AVG, heeft hier helaas niets over gezegd in haar recente verklaring over de COVID-19 uitbraak. Dat is jammer, aangezien daarin wel is aangegeven dat het vitaal belang als grondslag in de werkomgeving gebruikt zou kunnen worden.

Arbeidsrecht

Ten derde zou de verwerking van de testuitslagen mogelijk gebaseerd kunnen worden op artikel 9 lid 2 sub b AVG. Uit deze bepaling volgt dat er gezondheidsgegevens verwerkt mogen worden wanneer die verwerking noodzakelijk is met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke (lees: de werkgever) of de betrokkene (lees: de werknemer) op het gebied van het arbeidsrecht, wanneer dat is toegestaan op grond van Europese of nationale wetgeving waarin passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene zijn opgenomen.

De vraag is of de Nederlandse wet een dergelijke bepaling kent. De wettelijke zorgplicht van werkgevers om een veilige werkomgeving aan hun werknemers te bieden biedt hier mogelijk uitkomst. De AP is echter van mening dat deze algemene zorgplicht niet zover strekt dat werkgevers in geval van een virusuitbraak gezondheidsgegevens van werknemers mogen gaan verwerken. Daarvoor is in haar ogen dan ook een aanvullende specifieke wet vereist. En die wet ontbreekt momenteel (nog). Hoewel het standpunt van de AP niet zaligmakend is, maakt dat het gebruik van deze grondslag risicovol voor werkgevers.

Algemeen belang op het gebied van volksgezondheid

Tot slot zou het algemeen belang op het gebied van volksgezondheid mogelijk als grondslag voor de verwerking van de testuitslagen gebruikt kunnen worden (artikel 9 lid 2 sub i AVG).  Deze grondslag is in het leven geroepen ter bescherming van ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg. Maar ook deze specifieke uitzondering kan alleen worden gebruikt als de verwerking in kwestie wordt gereguleerd door middel van Europese of nationale wetgeving, waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene en dan met name het beroepsgeheim.

Met name het beroepsgeheim maakt deze grondslag waarschijnlijk onbruikbaar voor werkgevers. Bedrijfsartsen zijn uiteraard wel gebonden aan een beroepsgeheim.

Vooralsnog lijkt het inzetten van een bedrijfsarts en/of een arbodienst dan ook onvermijdelijk voor werkgevers om de afname van coronasneltesten op grond van de AVG te kunnen inrichten.