Corona, werknemers en privacy

Het corona virus is here to stay, althans voorlopig wel. Ook werkgevers worden geconfronteerd met het corona-virus. Het RIVM en de Rijksoverheid geven informatie over wat je allemaal wel en niet mag doen. Maar hoe ver mogen werkgevers nu eigenlijk gaan onder de AVG gaan met het verwerken van (medische) gegevens van hun werknemers?
Privacy

Verwerking (bijzondere)persoonsgegevens; algemeen

Volgens de AVG is een wettelijke grondslag vereist om persoonsgegevens te mogen verwerken (welke limitatief zijn opgesomd in artikel 6 AVG). De verwerking van bijzondere persoonsgegevens (waaronder mede gegevens over iemands gezondheid worden verstaan) is verboden, tenzij naast een wettelijke grondslag (als genoemd in artikel 6 AVG) op de verwerking van persoonsgegevens één of meer van de uitzonderingsgronden als genoemd in artikel 9 AVG van toepassing is.

De AVG en de zieke werknemer

De vraag is of deze wettelijke eisen voor een werkgever ook gelden in het geval een werknemer weet dat hij besmet is met het coronavirus. Het antwoord daarop is ja. De uitslag van de test op een virus is een gegeven over gezondheid en mag door een werkgever niet zonder meer worden verwerkt. Zoals gezegd verbiedt artikel 9 AVG in eerste instantie het verwerken van ‘gegevens over gezondheid’, tenzij er sprake is van één van de genoemde uitzonderingen.

De begrippen ´gegevens over gezondheid´ en ´verwerken´ zijn in de AVG zeer ruim gedefinieerd. Alleen al het feit dát iemand zich ziek heeft gemeld (zonder dat vaststaat wat de oorzaak is van de gemelde ziekte) is bijvoorbeeld een gezondheidsgegeven. Verder is het ´verwerken´ van gegevens veel meer dan alleen het noteren en opslaan van informatie. Ook het opvragen van gegevens bij bijvoorbeeld de werknemer kan een vorm van verwerken zijn. Zo valt het stellen van de vraag ´bent u ziek?´ al snel onder de werking van de AVG, ongeacht het antwoord van de werknemer op deze vraag.

Artikel 9 gaat in op de uitzonderingsgronden. Zo mag een werkgever bijvoorbeeld wel gezondheidsgegevens verwerken voor zover dit noodzakelijk is voor het uitvoeren van wettelijke verplichtingen – of het uitoefenen van rechten – op grond van het arbeidsrecht of socialezekerheidsrecht. Een belangrijk voorbeeld van zo´n wettelijke verplichting is de plicht om loon door te betalen tijdens ziekte. Daarvoor moet een werkgever weten of een werknemer arbeidsongeschikt is wegens ziekte. Een ander belangrijk voorbeeld is de wettelijke verplichting tot het re-integreren van een zieke werknemer.

Noodzakelijkheidsvereiste

Let op. De verwerkte gezondheidsgegevens moeten in dat kader altijd ‘noodzakelijk’ zijn in het kader van deze wettelijke verplichtingen. Gegevens over de aard van de ziekte, zelfs als het om corona gaat, zijn bijvoorbeeld niet noodzakelijk om vast te stellen of de werknemer recht heeft op loondoorbetaling tijdens ziekte, en mogen dus niet worden verwerkt door een werkgever.

Dat dit niet noodzakelijk is hangt samen met het feit dat een werkgever wettelijk verplicht is zich bij ziekteverzuim en re-integratie te laten bijstaan door een bedrijfsarts /arbodienst. De bedrijfsarts/arbodienst verricht bij ziekmeldingen een onderzoek naar onder meer de aard en oorzaak van de ziekte en geeft naar aanleiding daarvan een advies af aan de werkgever.

Meldplicht met betrekking tot bestemming corona-virus

Begin dit jaar is een ministeriële regeling van de Wet publieke gezondheid (Wpg) aangenomen die een meldplicht introduceert voor het corona-virus (Covid 19). Indien een in Nederland werkzame (bedrijfs)arts corana-virus vermoedt of vaststelt, moet hij dit onmiddellijk melden aan een gemeentelijke gezondheidsdienst. Ook mag hij geïnfecteerde personen isoleren. Op basis van de Wpg mag een besmette persoon door de voorzitter van de veiligheidsregio worden verboden te werken en kan men voorschriften geven met betrekking tot terreinen en gebouwen.

Uitzonderingsgrond algemeen belang op gebied volksgezondheid

Een van de andere uitzonderingsgronden op grond van artikel 9 AVG is dat de overheid besluit dat de uitbraak van het coronavirus noodzaakt tot verdere juridische maatregelen, mede op het gebied van privacy. In een dergelijke geval is niet ondenkbaar dat toch een uitzondering op het verbod om bijzondere persoonsgegevens te verwerken van toepassing wordt. Denk bijvoorbeeld aan de situatie dat de verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid (artikel 9 lid 2 sub i AVG), zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg. Daaraan moet dan wel een (nationaalrechtelijke of Unierechtelijke) wettelijke bepaling ten grondslag liggen, waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van betrokkenen (en waarin dus bijvoorbeeld is voorzien in een beroepsgeheim voor degenen die de bijzondere persoonsgegevens zullen verwerken).

Tot slot

Als werkgever mag je corona-besmettingen van je werknemers niet registeren. Je mag noteren dat iemand ziek is, maar niet wat hij heeft.

Je mag ook niet informeren naar het verloop van de ziekte, en alleen vragen wanneer iemand weer denkt aan het werk te kunnen. Als werkgever mag je al helemaal niet gaan controleren of een werknemer koorts heeft, door zelf temperatuur te nemen bij de ingang bijvoorbeeld.

Alleen de bedrijfsarts mag dieper op de oorzaak en de klachten ingaan en zal vervolgens werkgever adviseren hoe te handelen bij de re-integratie.

Voor algemeen beleid ten aanzien van privacy en de zieke werknemer, kijk uiteraard op de site van de AP.

Wat mag c.q. moet je als werkgever wel?

  • Instrueren over de symptomen en te nemen voorzorgsmaatregelen, en het opvolgen van de namens de overheid uitgevaardigde instructies, én daarop toezien;
       
  • Eventueel in samenspraak met arbodienst nadere instructies opstellen / spreekuur bezoek mogelijk maken.

Voor meer informatie kunt u een e-mailbericht sturen naar arbeidsrecht@kienhuishoving.nl of contact opnemen met Yvonne Nijhuis of Christian Mutlu.