Eén van de mogelijkheden om veilig terugkeren naar de werkplek is het meten van de temperatuur van werknemers of toeleveranciers, al dan niet met gebruik making van thermische camera’s. Staat de privacy regelgeving het gebruik van thermische camera’s en andere vormen van preventieve screening toe?
Veel ondernemingen bereiden zich al voor op het hervatten van de werkzaamheden ‘post’ Corona. Eén ding staat vast: business as usual zal het niet zijn. Dus wordt er concreet nagedacht over maatregelen die ondernemingen kunnen nemen om een veilige werkomgeving te creëren.
Temperatuur meten alleen toegestaan met toestemming
De Autoriteit Persoonsgegevens (‘AP’) heeft op 24 april 2020 haar standpunt ter zake naar buiten gebracht: het meten van de temperatuur van werknemers (en andere natuurlijke personen) is een verwerking van gezondheidsgegevens en is enkel toegestaan als daarvoor een grondslag is.
Toestemming werknemer vrijwel nooit rechtsgeldig
Eén grondslag zou kunnen zijn ‘het geven van toestemming’, maar dit is een grondslag die in de arbeidsrelatie vrijwel nooit rechtsgeldig kan worden ingezet. De AP heeft daarnaast aangegeven handhavend te zullen optreden richting bedrijven die het gebruik van thermische camera’s inzetten of anderszins de temperatuur van werknemers opmeten. De vraag, is deze strikte houding van de AP in alle gevallen terecht?
Juridisch kader temperatuurmeting
Voor een antwoord op deze vraag is allereerst een schets van het juridisch kader van belang, met name ten aanzien van (de spanningen tussen) het arbeidsrecht en de privacywetgeving.
Allereerst de Arbowet. Deze verplicht werkgevers om te zorgen voor een veilige en gezonde werkomgeving. Dit vloeit voort uit artikel 3 lid 1, met name onder b, Arbowet. Dit zou een rechtsbasis kunnen zijn voor het scannen op Corona symptomen aan de poort. Naast de Arbowet is ook de Algemene Verordening Gegevensbescherming (‘AVG’) van belang. Die stelt dat het verwerken van gezondheidsgegevens verboden is, tenzij aan een groot aantal voorwaarden is voldaan.
De European Data Protection Board (‘EDPB’) heeft op 16 maart jl. een verklaring uitgebracht waarin staat dat in de context van Corona ‘sommige typen persoonsgegevensverwerking’ zijn toegestaan, onder andere als dit van vitaal belang is voor betrokkene(n). In de verklaring van de AP van 24 april 2020 komt niet naar voren in hoeverre de AP heeft gekeken naar deze uitleg van de EDPB. En dat is in onze optiek een gemiste kans, want hoewel ook privacy in tijden van crisis een groot goed is, blijkt er in de praktijk meer mogelijk dan de AP laat blijken. Wat het ook niet eenvoudiger maakt is dat de nationale privacy toezichthouders ook niet op één lijn zitten. Zo zijn Nederland en België wat strikter in de leer, terwijl de Ierse privacy toezichthouder meer mogelijkheden ziet.
(On)mogelijkheden Corona screening aan de poort
Ondanks de strikte benadering van de AP zien wij in de praktijk zeker wel mogelijkheden voor ondernemingen om aan een dergelijke preventieve screening te doen. De Arbowetgeving biedt daar een basis voor. Om ook de AVG te waarborgen doen ondernemingen er goed aan enkele waarborgen in te bouwen. En dat begint met het uitvoeren van een zogeheten Data Protection Impact Assessment (DPIA). Een DPIA dwingt om na te denken over de privacy risico’s voordat daar inbreuk op wordt gemaakt. In een aantal gevallen is het uitvoeren van een DPIA ook verplicht, onder meer bij het verwerken van gezondheidsgegevens.
Neem privacyrisico’s vrijwel weg met een DPIA
Als een DPIA goed wordt uitgevoerd en opgevolgd dan kunnen de privacyrisico’s zoveel mogelijk worden weggenomen en beslissingen ten aanzien van de verwerking van de persoonsgegevens gecalculeerd worden genomen.
Tot de regering duidelijkheid schept en een (eenduidige) wettelijke grondslag creëert om aan preventieve screening te doen, zullen ondernemingen zelf een afweging moeten maken. Zoals blijkt uit de recente berichten van de AP is dat niet geheel zonder risico, maar uiteindelijk is het aan de rechter om te oordelen of er door preventief te screenen daadwerkelijk inbreuk wordt gemaakt op de privacyregels.
Rechter bekijkt situatie mogelijk genuanceerder
Naar onze mening zijn hiervoor verschillende aanknopingspunten te vinden en wij sluiten niet uit dat de rechter een meer genuanceerde benadering erop na zal houden als de onderneming goed kan motiveren waarom zij tot deze maatregelen is over gegaan en op welke wijze de privacy is geborgd. Een DPIA mag in dat verband zeker niet ontbreken.
Bent u voornemens om de gezondheid van uw werknemer preventief te screenen, door middel van bijvoorbeeld thermische camera’s of andere vormen van preventieve screening en wilt u hierover vrijblijvend van gedachten wisselen? Neem contact op met Frédérique Kuiper van VDB Advocaten of stel uw vraag aan de Coronadesk via coronadesk@wvdb.nl