Vaccinatiebewijs op de werkvloer

Over de hele wereld is men begonnen met het vaccineren tegen het coronavirus, zo ook in Nederland. Inmiddels zijn er zo’n ruim 1.000.000 Nederlanders met een eerste prik gevaccineerd en hebben er ruim 330.000 Nederlanders al een tweede prik gehad.[1] Een vaccinatie is niet wettelijk verplicht. Op grond van het Europees Verdrag voor de Rechten van de Mens (EVRM) en de Grondwet (GW) heeft eenieder recht op lichamelijke integriteit.[2] Dit houdt in dat iedereen zelf mag beslissen over wat er met zijn of haar lichaam gebeurt. De keuzevrijheid voor een vaccinatie hoort daar ook bij. Een werkgever mag een werknemer dan ook niet verplichten om over te gaan tot vaccinatie. Werkgevers zullen als gevolg hiervan wel willen weten wie van hun werknemers zijn gevaccineerd, mede omdat zij een (wettelijke) plicht hebben tot het waarborgen van de veiligheid en de gezondheid van de werknemers.[3] Maar mag een werkgever dat weten of ernaar vragen bij de werknemer? En mag de werkgever deze informatie over de vaccinatiestatus van zijn werknemer registeren?

In deze Legal Update zal ik inzoomen op wat de AVG over het privacyaspect van (het registreren van) de vaccinatiestatus van de werknemer zegt.

Bijzonder persoonsgegeven
De vaccinatiestatus van een werknemer zegt iets over de gezondheid van die persoon. Op grond van de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG) is het verzamelen, vastleggen, opvragen, raadplegen, verwerken en gebruiken van gegevens over de gezondheid verboden, tenzij er een uitzondering uit de wet geldt.[4]

Uitzonderingen
Op basis van de AVG zijn er wel mogelijkheden om dit soort bijzondere persoonsgegevens te verwerken, maar hier worden strikte voorwaarden aan gesteld.[5] In het kader van deze Legal Update volstaan we met de bespreking van drie mogelijke uitzonderingen, namelijk het vereiste van de uitdrukkelijke toestemming van de werknemer, de noodzakelijke verwerking met het oog op de uitvoering van verplichtingen van de werkgever op het gebied van het arbeidsrecht en de noodzakelijke verwerking van de informatie over de vaccinatie voor een zwaarwegend algemeen belang of voor de volksgezondheid.[6]

Toestemming werknemers
De AVG verbiedt werkgevers om bijzondere persoonsgegevens van werknemers te verwerken, tenzij er uitdrukkelijke toestemming door de desbetreffende werknemer is gegeven.[7] Aan deze toestemming zitten volgens de AVG strikte voorwaarden vast.[8] Een rechtsgeldige toestemming moet in vrijheid zijn gegeven. Dit betekent dat de betrokkene zich niet onder druk gezet moet voelen om toestemming te geven. Gezien de gezagsverhouding tussen de werkgever en de werknemer zal de werknemer zelden echt vrijelijk toestemming kunnen weigeren. Volgens de Autoriteit Persoonsgegevens (AP) is de werknemer in een dergelijke gezagsverhouding per definitie niet in staat om zijn wil vrij te bepalen. De uitdrukkelijke toestemming wordt in een arbeidsrelatie daarom niet als een juridische grondslag voor de verwerking van de persoonsgegevens gezien, omdat er geen sprake is van gelijkwaardigheid tussen de partijen.[9]

Uitvoering verplichting werkgever
Bijzondere persoonsgegevens mogen door de verwerkingsverantwoordelijke worden verwerkt als dat nodig is om wettelijke plichten of rechten te dienen binnen onder andere het arbeidsrecht.[10] Deze plichten of rechten dienen in een wettelijke regeling of een cao te zijn vastgelegd. Uit artikel 3 van de Arbeidsomstandighedenwet (Arbowet) volgt een dergelijke algemene verplichting voor de werkgever met betrekking tot de veiligheid en gezondheid van zijn werknemers. De werkgever dient te zorgen voor de veiligheid en gezondheid van de werknemers inzake alle met arbeid verbonden aspecten en voert daartoe een beleid dat is gericht op zo optimaal mogelijke arbeidsomstandigheden.

De werkgever heeft eigen beleidsruimte bij het opstellen van het arbeidsomstandighedenbeleid. Ook aspecten die niet wettelijk zijn geregeld vallen binnen die beleidsruimte, zoals nieuwe risico’s waarvoor nog geen wettelijke normen zijn ontwikkeld.[11] Hierbij is een link te leggen met het (nieuwe) COVID-19 virus. Het is mede hierom voor te stellen dat het registreren van het vaccinatiebewijs van de werknemers door de werkgever onder een adequaat arbeidsomstandighedenbeleid van de werkgever kan vallen. De werkgever zorgt voor en waarborgt hiermee onder andere de veiligheid en gezondheid van de werknemers.[12] Deze collectieve beschermingsmaatregel kan dan volgens art. 3 lid 1 sub b Arbowet voorrang hebben boven de maatregelen gericht op individuele bescherming (het privacybelang?).[13] Of dit echter daadwerkelijk voor de werkgever als een rechtvaardiging voor het verwerken van de bijzondere persoonsgegevens van de werknemer kan doen gelden of dat dit desondanks te ver gaat, zal de AP moeten uitwijzen. Mogelijkerwijs kan de bedrijfsarts hier nog een goede rol bij spelen.

Algemeen belang of volksgezondheid
Voor deze uitzonderingen geldt dat deze specifieke verwerkingen in een wet geregeld moeten zijn met inachtneming van het medisch beroepsgeheim en het recht op privacy van de betrokkene.[14] Uitzonderingen op de privacywet moet elk land zelf vastleggen in de regelgeving. Deze wet of uitzondering is er in Nederland voor werkgevers nog niet. Alleen de Tijdelijke wet maatregelen Covid-19 komt hiervoor mogelijk in aanmerking. Echter, uit deze wet volgt geen algemene bevoegdheid voor de werkgever om de vaccinatiestatus van de werknemer te verwerken. Zolang er nog geen wet is waarin de specifieke bevoegdheid voor deze verwerking geregeld wordt, mogen werkgevers de vaccinatiestatus van hun werknemers aldus niet verwerken.

Privacy versus gezondheidsbelang
De kwestie die speelt bij het verwerken van de vaccinatiestatus van de werknemer is het belang van de privacy van de werknemer tegenover het gezondheidsbelang. Er wordt getwist over welk belang nu leidend dient te zijn. In sommige werkomgevingen kan het belangrijk zijn om te weten welke werknemer zich heeft laten vaccineren en welke niet. Er zijn functies denkbaar dat registratie en beleid omtrent vaccineren tegen het coronavirus wellicht gewenst is. Denk aan de ouderenzorg of werknemers in ziekenhuizen die in aanraking komen met longpatiënten.

De Tijdelijke wet maatregelen Covid-19 verplicht zorgaanbieders om een deugdelijk Covid-19 preventiebeleid te voeren.[15] Of hieronder ook de grondslag voor het rechtsgeldig verwerken van de vaccinatiestatus van de werknemers van de zorgaanbieders valt is niet expliciet vastgelegd in de wet. Dat echter het gezondheidsbelang prevaleert boven het recht op privacy van de werknemers in de zorginstellingen volgt uit een antwoord van de Minister op de gestelde Kamervragen in de Parlementaire stukken: “Zorgaanbieders beschikken uiteraard over de gegevens van hun bewoners en personeel en kunnen zij dat desgevraagd ter beschikking aan de GGD stellen. Er bestaat voor zorginstellingen geen spanning tussen privacybescherming en bestrijding van het virus.”[16] Impliciet is hieruit een grondslag voor het rechtsgeldig verwerken van de vaccinatiestatus van de werknemers van de zorgaanbieders op te maken. Hoewel dus niet expliciet is opgenomen in de wet, is wellicht te verdedigen dat dit als een wettelijke vastlegging dient te gelden.

Openingen voor de werkgever

De bedrijfsarts
In tegenstelling tot de werkgever mag de bedrijfsarts wel noodzakelijke bijzondere persoonsgegevens van de werknemers verwerken. Een bedrijfsarts mag wel vragen naar een vaccinatie, maar mag het antwoord van de werknemer niet delen met de werkgever. Hij kan bijvoorbeeld wel antwoord geven op de vraag of de werknemer geschikt is voor het uitoefenen van een bepaalde functie. Denk aan het werken met zwakke patiënten in de zorg of met longpatiënten.

Wellicht zou de bedrijfsarts in bepaalde situaties, zoals bij de uitvoering van het arbeidsomstandighedenbeleid van de werkgever, in de arbeidsverhouding aldus een tussenschakel kunnen zijn, maar dit is vooralsnog geen uitgemaakte zaak. De bedrijfsarts gaat immers over de arbeidsongeschiktheid van de werknemer en de vraag of een werknemer al dan niet gevaccineerd is tegen het coronavirus houdt niet automatisch verband met arbeidsongeschiktheid.

Wetgever / AP is aan zet
De AP is aan zet met betrekking tot de rechtvaardiging van de verwerking van de vaccinatiestatus als gevolg van de wettelijke verplichting van de werkgever met betrekking tot het waarborgen van de veiligheid en gezondheid van de werknemers voortvloeiende uit de Arbowet. Mijns inziens is er een goede kans dat dit, al dan niet met de tussenkomst van een bedrijfsarts, een rechtvaardige verwerkingsgrondslag kan opleveren.

De AVG biedt ruimte voor verwerking van bijzondere persoonsgegevens om noodzakelijke redenen van algemeen belang op het gebied van volksgezondheid, waarbij rekening wordt gehouden met de rechten en vrijheden van de werknemer. Op dit moment is er op dit vlak echter (nog) geen wet in Nederland die registratie door werkgevers mogelijk maakt. Dus eerst zal er een uitzonderingsregel voor de verwerking van de vaccinatiestatus door de werkgever geformuleerd moeten worden die vervolgens voorgelegd wordt aan de Eerste en Tweede Kamer. Zolang die wet er niet is, mogen werkgevers de vaccinatiestatus niet verwerken.

Conclusie
Op grond van de AVG mag een werkgever niet vragen naar gezondheidsgegevens van zijn werknemer(s), dus ook niet of een werknemer gevaccineerd is tegen het coronavirus. Er zijn in de AVG (nog) geen juridische grondslagen te vinden die de verwerking van deze gegevens door de werkgever rechtvaardigen. Mogelijk dat de bedrijfsarts in de positie gebracht kan worden de bescherming van de privacy van de werknemer en de belangen van werkgever, te overbruggen. Op dit moment is dit echter nog onduidelijk of dit een passende oplossing is.

 

Van Poppel Croonen Advocaten B.V.

Ramstraat 31-33, 3581 HD Utrecht

T: +31 88 – 111 55 31 E: vanschaik@vpca.nl

[1] RIVM, Cijfers COVID-19 vaccinatieprogramma.

[2] Art. 8 EVRM en art. 10-11 GW.

[3] Art. 3 lid 1 Arbowet.

[4] Art. 9 AVG.

[5] Zie o.a. art. 6 en 9 AVG.

[6] Art. 9 lid 2 sub a, b, g en i AVG.

[7] Art. 9 lid 2 sub a AVG.

[8] Art. 7 AVG.

[9] Artikel 29-Werkgroep, Advies 8/2001 over de verwerking van persoonsgegevens in het kader van de arbeidsverhouding, 13 september 2001, WP 48.

[10] Art. 9 lid 2 sub b j. art. 6 lid 1 sub c AVG.

[11] Lexplicatie, Bronnen en citaten bij: Arbeidsomstandighedenwet, Artikel 3 Arbobeleid.

[12] Zoals de wettelijke verplichting uit artikel 3 van de Arbeidsomstandighedenwet de werkgever oplegt.

[13] Art. 3 lid 1 sub b Arbowet.

[14] Art. 9 lid 2 sub g en i AVG.

[15] Dit is een verbijzondering van de algemene plicht voor de zorgaanbieder om goede zorg zoals bedoeld in de Wet kwaliteit, klachten en geschillen zorg (Wkkgz) te leveren.

[16] Kamerstukken I, 35526, G, pagina 69.

Top