Corona en het verwerken van medische gegevens onder Avg
Een crisis zoals we die nu beleven met het Coronavirus is ook een test van de robuustheid van onze wetgeving en onze rechtsstaat. Nood breekt wet zegt men wel, maar moeten we de privacywet breken om de Coronacrisis te bezweren? Welke gegevens over de ziekte mogen bedrijven eigenlijk verwerken op grond van de Avg? En als het niet mag, levert dat dan problemen op? Onze jurist Sylvia Huydecoper geeft antwoord op deze vragen.
Wat zegt de wet?
Onder de Avg kennen we maar twee soorten persoonsgegevens: bijzondere persoonsgegevens en alle andere persoonsgegevens (die ik verder maar ‘gewone persoonsgegevens’ noem). Voor alle persoonsgegevens geldt het hele regime van de Avg, maar voor bijzondere gegevens gelden daarbovenop extra strenge regels. Medische gegevens zijn bijzondere gegevens. Die mogen volgens de Avg alleen verwerkt worden als ze vallen binnen een limitatief lijstje. Ik noem die voorwaarden uit de wet die voor dit artikel relevant zijn:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven;
b) de verwerking is noodzakelijk met het oog op specifieke wettelijke verplichtingen van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht;
c) de verwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokkene of van een andere natuurlijke persoon als de betrokkene fysiek of juridisch niet in staat is zijn toestemming te geven;
d) de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang;
e) de verwerking is noodzakelijk voor doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnoses, het verstrekken van gezondheidszorg of sociale diensten of behandelingen, dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van de wet;
f) de verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van de wet;
Mag de overheid gegevens over Coronapatiënten verwerken?
Uit dit lijstje met voorwaarden blijkt dat de overheid, artsen, medische diensten en GGD’s in deze lijst voldoende gronden kunnen vinden voor het verwerken van medische gegevens, zoals het feit dat iemand Corona heeft. Hier kunnen vitale belangen spelen, maar ook het algemeen belang op het gebied van de volksgezondheid. Natuurlijk moet dat delen van die gegevens met gepaste waarborgen omkleed zijn, conform de Avg. Het moet noodzakelijk zijn voor de volksgezondheid. Het nagaan van de recente contacten van een besmette betrokkene om die contacten in het kader van de volksgezondheid te kunnen isoleren, lijkt mij bijvoorbeeld wel vallen binnen dit algemene belang voor de volksgezondheid. Aan die verwerking zit ook een grens. Het moet wel noodzakelijk zijn en niet meer dan dat.
Mogen bedrijven gegevens over Coronapatiënten verwerken?
Bedrijven zullen zich wellicht zorgen maken over werknemers die ziek zijn. Maar bedrijven mogen alleen maar medische gegevens van werknemers verwerken als ze vallen binnen een van de bovengenoemde voorwaarden. Dat zijn voor werkgevers bijvoorbeeld de onder b en e genoemde situaties. In alle gevallen van ziekte geldt dat een werkgever bij een ziekmelding alleen mag noteren dat iemand ziek is en hoe lang de werknemer denkt dat het gaat duren voordat hij/zij weer aan het werk kan. De werkgever mag dus niet vragen of iemand Corona heeft, of dat diegene recent in Noord-Italië is geweest. De werknemer is wel verplicht om alle relevante informatie met de Arbo-arts te delen.
Zijn er dan geen andere voorwaarden waar de werkgever onder kan vallen? Toestemming vragen aan werknemers is lastig, want in een werknemer-werkgever relatie is altijd de vraag of deze toestemming wel ‘vrij’ gegeven wordt. De toezichthouder gaat er al snel vanuit dat dit bij werknemers niet het geval kan zijn, omdat er een gezagsverhouding is en toestemming daarom niet echt vrij gegeven kan worden. Een vitaal belang zal niet aan de orde zijn voor het bedrijf en de volksgezondheid is ook iets waar een bedrijf niet zo snel een rol in speelt. Dat is een taak van de overheid.
Is het nodig voor bedrijven om gegevens over Corona te verwerken?
Dat is maar de vraag. Waar zouden ze die gegevens voor gebruiken? Zouden ze andere maatregelen (moeten) nemen dan wat er nu al door de overheid is opgelegd en geadviseerd? Dat denk ik eigenlijk niet. Werkgevers hebben die gegevens dan ook niet echt nodig. De privacy van de werknemer weegt hier waarschijnlijk zwaarder dan het belang van de werkgever te weten wat voor ziekte de werknemer precies heeft, ook in het geval van Corona.
Er zijn ongetwijfeld uitzonderingen te bedenken. Maar daar kan de Arbo-arts ook een rol in spelen, die weet wel alle gegevens. De Arbo-arts hoeft die niet allemaal te delen met de werkgever, maar als de volksgezondheid in het geding is, en er is daarom wel een goede reden om iets te delen met de werkgever (of met de GGD), dan lijkt mij dat daar een taak ligt.
Zo bezien zit de Avg dus niet in de weg, maar beschermt hij het individu waar nodig en is er ruimte genoeg om medische gegevens te delen daar waar nodig.
Liveblog
Bekijk ook ons liveblog. Hierin posten we updates over de impact van het Coronavirus op de digitale sector en delen we initiatieven vanuit de sector die helpen met deze crisis om te gaan.
Het laatste nieuws
Handige ‘wie doet wat’ kabinet-Schoof
Reminder! Doe mee: onderzoek opleidingskosten bedrijven
NLdigital reageert op Nederlandse NIS2-implementatiewet
Gezamenlijk persbericht: Omgevingsdiensten en datacenters tekenen gezamenlijke aanpak voor energiebesparing servers
