Coronavirus: Processing of personal data in the workplace

Coronavirus: Processing of personal data in the workplace

For more information you can contact Sara Cockx, Dave Mertens or Sara Mannaerts.

Coronavirus: Verwerking van persoonsgegevens op de werkvloer

Raadpleeg onze "COVID-19 bijstand" of contacteer Sara CockxDave Mertens en Sara Mannaerts.

De komende weken zullen ondernemingen stapsgewijs hun gewone activiteiten kunnen hervatten. Hierbij worden zij verplicht om de nodige preventiemaatregelen te nemen om de verdere verspreiding van het coronavirus tegen te gaan. Maar hoe zit het met de privacy van werknemers in dit kader? Kunnen zij bijvoorbeeld worden verplicht om bepaalde medische vragenlijsten in te vullen? 

Het Europees Comité voor gegevensbescherming verklaarde reeds dat de regelgeving inzake gegevensbescherming de strijd tegen het coronavirus niet in de weg mag staan. Niettemin, zo benadrukt het Comité, is het van belang dat de bescherming van persoonsgegevens te allen tijde kan worden gewaarborgd.  

Wat betreft het coronavirus en de verwerking van persoonsgegevens op de werkvloer, heeft ook de Belgische Gegevensbeschermingsautoriteit (“GBA”) recent haar standpunt gepubliceerd:  

Verwerking van persoonsgegevens

De GBA verduidelijkt vooreerst dat de Algemene Verordening Gegevensbescherming (“AVG”) enkel van toepassing is wanneer de genomen preventiemaatregelen daadwerkelijk gepaard gaan met een verwerking van persoonsgegevens. Indien dit niet het geval is, moet de AVG vanzelfsprekend niet worden nageleefd.

Zo wordt de loutere controle van de lichaamstemperatuur bij werknemers, bijv. bij de ingang van de werkplek, door de GBA niet beschouwd als een verwerking van persoonsgegevens. Tenzij deze gegevens per werknemer zouden worden geregistreerd, is de AVG in deze situatie dus niet van toepassing. Hierbij dient wel steeds andere toepasselijke regelgeving te worden gerespecteerd, zoals de instructies van bevoegde overheden en het bestaande arbeidsrechtelijk kader. Zo dient de werkgever over de maatregel van temperatuurafname voorafgaandelijk het advies in te winnen van het Comité voor Preventie en Bescherming op het Werk binnen de onderneming. Ook kan men een werknemer vanuit arbeidsrechtelijk oogpunt niet verplichten om zich aan dergelijke controle te onderwerpen, aangezien hier geen wettelijke arbeidsrechtelijke basis voor bestaat. Dergelijke controles moeten dus veeleer vrijwillig worden gehouden.

Rechtmatigheid van de verwerking

Zoals steeds, geldt ook hier dat elke verwerking van persoonsgegevens gesteund moet zijn op één van de wettelijke rechtmatigheidsgronden van art. 6.1 AVG. De GBA wijst in dit verband op de rechtmatigheidsgrond “noodzakelijk voor de bescherming van vitale belangen van de betrokkene of andere natuurlijke personen”, maar benadrukt tevens dat deze grond door de werkgever niet op systematische of al te ruime wijze kan worden aangewend.

Wat betreft de verwerking van gezondheidsgegevens (i.e. een bijzondere categorie van persoonsgegevens in de zin van art. 9 AVG), is het standpunt van de GBA streng: Werkgevers kunnen dergelijke gegevens enkel verwerken indien zij handelen in uitvoering van uitdrukkelijke richtlijnen opgelegd door de bevoegde overheden (overeenkomstig art. 9.2, i) AVG).

Daarnaast is een belangrijke rol weggelegd voor de arbeidsgeneesheer in dit kader. Deze persoon is immers bevoegd voor de opsporing van besmettingen en voor informeren van de werkgever en betrokken personen. De GBA verwijst hier naar de rechtmatigheidsgrond “verwerking ter uitvoering van een arbeidsrechtelijke verplichting”.

Algemene principes inzake gegevensverwerking

Tot slot blijven steeds de algemene beginselen van verwerking van persoonsgegevens van toepassing, ook in het kader van preventiemaatregelen tegen het coronavirus:

  • De verwerking van persoonsgegevens moet steeds proportioneel blijven tot het beoogde doeleinde;
  • Enkel de minimale noodzakelijke hoeveelheid persoonsgegevens mogen worden verwerkt; 
  • Werkgevers moet steeds transparant blijven, en hun werknemers (en bezoekers) voldoende informeren over de doeleinden van de verwerking en de bewaartermijn van de persoonsgegevens;
  • Werkgevers moeten tot slot steeds de nodige beveiligingsmaatregelen nemen om de persoonsgegevens te beschermen.

Bijkomend geeft de GBA nog antwoord op enkele veelvoorkomende vragen. Zo verduidelijkt de GBA dat een werkgever zijn werknemers niet kan verplichten om bepaalde medische vragenlijsten, of vragenlijsten betreffende recente reizen, in te vullen. Wel kunnen werknemers worden aangemoedigd om spontaan over te gaan tot het melden van ziektesymptomen of risicovolle reizen. Sociale controle zal hier ongetwijfeld een belangrijke rol spelen.

Voor meer informatie in dit kader, en de antwoorden op enkele andere veelgestelde vragen, kan u de website van de Gegevensbeschermingsautoriteit raadplegen.