Zelfs in uitzonderlijke tijden moet de bescherming van persoonsgegevens worden gewaarborgd

19 maart 2020 | Blog

In het licht van de huidige uitbraak van het coronavirus COVID-19 hebben veel cliënten vragen over de verwerking van (gevoelige) persoonsgegevens. In dit document informeren wij u over de verklaring die hieromtrent is afgegeven door het Europees Comité voor gegevensbescherming (European Data Protection Board, 'EDPB').

De EDPB is van mening dat de wetgeving op het gebied van gegevensbescherming als zodanig het nemen van maatregelen teneinde de COVID-19 uitbraak af te zwakken, niet belet. Omdat het echter mogelijk is dat ten gevolge van de uitbraak en de in dat verband genomen maatregelen meer of verschillende (categorieën) persoonsgegevens worden verwerkt, is het volgens de EDPB van belang dat "zelfs in deze uitzonderlijke tijden de verwerkingsverantwoordelijke de bescherming van de persoonsgegevens van betrokkenen moet waarborgen. Er dient dan ook met een aantal overwegingen rekening te worden gehouden om de rechtmatige verwerking van persoonsgegevens te garanderen".

De EDPB bevestigt dat de AVG de rechtsgronden bevat op basis waarvan de werkgevers en de bevoegde instanties op het gebied van de volksgezondheid in het kader van een epidemie persoonsgegevens mogen verwerken, zonder dat de toestemming van de betrokkene noodzakelijk is. Volgens de verklaring is een dergelijke verwerking van persoonsgegevens voor werkgevers mogelijk:

  • om redenen van algemeen belang op het gebied van de volksgezondheid (artikel 9, lid 2, onder i), van de AVG);
  • om vitale belangen te beschermen (artikel 6, lid 1, onder d), van de AVG); of
  • om een andere wettelijke verplichting te vervullen.

Helaas vermeldt de EDPB alleen mogelijke opties die in de AVG staan, maar bevestigt hij niet duidelijk dat wij ons in een situatie bevinden waarin daadwerkelijk door werkgevers van deze opties gebruik kan worden gemaakt om het probleem te voorkomen dat in veel landen in een arbeidsmarktcontext toestemming geen geldige grond is.

Uitzondering van artikel 9, lid 2, onder i), van de AVG

Het is van belang om op te merken dat de genoemde uitzondering van artikel 9, lid 2, onder i), van de AVG alleen van toepassing is "op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen ter bescherming van de rechten en vrijheden van de betrokkene". Daarnaast is vermeldenswaard dat de uitzondering van het "vitale belang" alleen van toepassing is in zeer beperkte situaties van acuut risico. Uiteraard is de pandemie waarmee wij thans geconfronteerd worden uitzonderlijk, maar zolang de autoriteiten niet hebben geadviseerd om dergelijke maatregelen ter bescherming van de vitale belangen van betrokkenen te nemen, is het naar onze mening twijfelachtig of het een werkgever vrij staat om op grond van de AVG temperatuurmetingen op te leggen. Een alternatief zou kunnen zijn om van werknemers te verlangen dat zij hun temperatuur zelf regelmatig controleren en dat zij zich als zij koorts hebben bij de arbodienst melden.

Locatiegegevens

Het voorgaande geldt niet alleen voor de verwerking van gegevens over gezondheid, bijvoorbeeld bij het meten van koorts of het vastleggen van symptomen, zodat er een beroep kan worden gedaan op de uitzondering van "vitale belangen" of het "algemeen belang op het gebied van de volksgezondheid". Het geldt ook voor de verwerking van locatiegegevens, bijvoorbeeld met betrekking tot de reisgeschiedenis, door dienstenaanbieders en overheidsinstanties, waarop de e-privacyrichtlijn van toepassing is. De EDPB erkent dat de verwerking van dergelijke gegevens om redenen van de bescherming van de volksgezondheid onder de definitie van "nationale of openbare veiligheid", zoals genoemd in de e-privacyrichtlijn (en nationale uitvoeringswetten), zou kunnen vallen. De verwerking van electronischecommunicatiegegevens, zoals mobiele locatiegegevens, valt onder aanvullende regels. De EDPB benadrukt dat locatiegegevens op grond van de e-privacyrichtlijn alleen door de dienstenaanbieder kunnen worden gebruikt als deze anoniem zijn gemaakt, of met toestemming van de betreffende personen. Overheidsinstanties dienen zich dan ook te richten op de anonieme verwerking van locatiegegevens (d.w.z. de verwerking van gegevens die zodanig zijn geaggregeerd dat deze niet tot persoonsgegevens te herleiden zijn). Hierdoor zouden rapporten aangaande de concentratie van mobiele apparaten op een bepaalde locatie kunnen worden gegenereerd ('cartografie').

Als het niet mogelijk is om uitsluitend anonieme gegevens te verwerken, dan mogen de lidstaten op grond van artikel 15 van de e-privacyrichtlijn noodwetgeving invoeren.

Het belangrijkste punt blijft dat bij het verwerken van persoonsgegevens de rechten en belangen van betrokkenen zorgvuldig tegen andere (legitieme) belangen dienen te worden afgewogen, en dat zelfs bij 'gezondheidscrises' als de huidige COVID-19-uitbraak aan het Unierecht en de nationale wetgeving op het gebied van gegevensbescherming dient te worden voldaan.

Meld u aan voor onze nieuwsbrieven