Coronatesten vs. privacy

In de media wordt veel informatie verspreid die in mijn ogen leidt tot onduidelijkheid. Juist in deze Coronatijden bestaat grote behoefte aan duidelijkheid. 

Twee opmerkingen vooraf:

  1. of en in hoeverre een medisch controlemiddel kan worden ingezet, hangt allereerst af van de methode. Die methode moet effectief en proportioneel zijn. Als de werking van een gezondheidstest al ter discussie staat of minder belastende opties aanwezig zijn, dan geldt uit privacy oogpunt dat de methode niet toelaatbaar zal zijn;
  2. in het privacyrecht ligt het niet zwart-wit. Vooraf is een (strenge) afweging van belangen noodzakelijk tussen het gezondheidsbelang enerzijds en anderzijds het recht op privacy. Deze afweging kan – onder meer – plaatsvinden door een zogeheten Data Protection Impact Assessment (DPIA) als een (nieuw) middel wordt ingezet dat grote gevolgen heeft. Uit een DPIA blijkt in elk geval dat de privacybelangen serieus zijn afgewogen en voorkomt het risico van forse boetes.   

Kijken we wat dieper, dan spelen er twee vragen:

1) is op gebruik van het middel de AVG überhaupt van toepassing en, als dat zo is, 

2) wie wordt er getest: klanten/bezoekers of werknemers.  

ad 1) AVG of niet?

Allereerst is het de vraag of het testen wel valt onder de AVG. Dat is maar de vraag. Privacy heeft verschillende verschijningsvormen, waaronder: 1. De wijze van verwerken van persoonsgegevens in de zin van de AVG en 2. het recht op de persoonlijke / lichamelijke integriteit. Gedacht kan worden aan het afnemen van coronatests. Op deze tweede heeft de AVG niet direct betrekking als de gegevens niet worden verwerkt.

Waarom valt testen als toegangscontrole mogelijk onder de AVG?

Een temperatuur of uitslag is een persoonsgegeven. De AVG beschermt betrokkenen zodra hun gegevens worden verwerkt. Het is dus de vraag naar de werking van de methode en de verwerking van de resultaten. Wordt weliswaar de temperatuur gemeten, maar die gegevens direct verwijderd, dan is er geen sprake van gegevensverwerking in de zin van de AVG. Als de medische uitkomsten worden doorgegeven of geregistreerd om iemand toegang te geven tot een evenement dan is dat wel een verwerking en is de AVG van toepassing. Geautomatiseerde systemen (bijvoorbeeld infrarood) vallen om die reden onder de AVG. Wordt alleen de temperatuur afgelezen, dan is de AVG niet van toepassing.

Onder omstandigheden kan ook zonder toepassing van de AVG sprake zijn van een privacyschending. Dan kun je denken aan het stelselmatig afnemen van DNA van alle bezoekers (terwijl er minder belastende methodes zijn).  

Ad 2 wie wordt er getest?

Artikel 6 AVG bepaalt dat een Verwerkingsverantwoordelijke een juridische grond moet hebben om persoonsgegevens te verwerken. De medische resultaten zijn “bijzondere persoonsgegevens”. De verwerking van bijzondere persoonsgegevens is in beginsel verboden, tenzij er zich een uitzondering voordoet (9 lid 2 AVG).

De eerste uitzondering is ’uitdrukkelijke toestemming’ van de betrokkene. Een andere uitzondering is een verwerking noodzakelijk voor de arbeidsgeschiktheid. Artikel 9 bepaalt voor deze laatste dat die gegevens uitsluitend door een beroepsbeoefenaar met geheimhouding worden verwerkt (hier dus een arts).  

Toestemming is volgens de AVG een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting. De term ‘uitdrukkelijk’ brengt mee dat actief de toestemming moet worden gevraagd. De Autoriteit Persoonsgegevens hanteert als uitgangspunt dat toestemming door een werknemer geen vrije wilsuiting is omdat er een gezagsverhouding geldt tussen werkgever en werknemer. Om deze reden kan van een werknemer toestemming niet als grondslag dienen terwijl dat voor het verwerken van coronatesten wel een vereiste is.

Dat ligt anders voor bezoekers of klanten. Ook de Autoriteit Persoonsgegevens heeft hierover op haar website inmiddels vermeld staan dat bij uitdrukkelijke toestemming van klanten de temperatuur gemeten mag worden voordat ze toegang krijgen. Die toestemming moet dan wel vrij gegeven zijn. Zonder toestemming mag de temperatuur dus niet gemeten worden. Dat wil niet zeggen dat een klant die weigert mee te werken aan een corona onderzoek niet op grond van het huisrecht van een eigenaar of verhuurder de toegang tot6 een ruimte ontzegd kan worden.

Tips:

  1. Onderzoek welke methode je wilt gaan gebruiken en beoordeel waarom die effectief en proportioneel is;
  2. Bij werknemers kan met een zelftest worden gewerkt of door testen via een arbo-arts;
  3. Bij bezoekers moet uitdrukkelijk toestemming worden gevraagd om aan een dergelijke test mee te werken.
  4. Leg vast dat de weigering om aan een test mee te werken volkomen toelaatbaar is. Dat geeft de eigenaar/verantwoordelijke voor het terrein wel het recht de toegang te weigeren als hij vreest voor coronabesmetting.

Contactpersoon