Naar aanleiding van gebeurtenissen omtrent de vaccinatiestrategie tegen Covid-19 heeft de Gegevensbeschermingsautoriteit (GBA) enkele antwoorden gegeven op regelmatig terugkomende vragen.
De informatie over de vaccinatiestatus van een persoon zijn persoonsgegevens onder de GDPR en meer bepaald gezondheidsgegevens. Deze categorie van persoonsgegevens genieten van een ruimer beschermingsregime dan de ‘gewone’ persoonsgegevens.
Het opvragen en registreren van de vaccinatiestatus is sowieso een verwerking van gezondheidsgegevens en is in beginsel verboden. Tenzij de werkgever zich kan beroepen op uitzonderingen die in de GDPR duidelijk omschreven zijn. Hieronder bespreken we de meest relevante uitzonderingen .
Uitdrukkelijke toestemming?
Artikel 9.2.a) van de GDPR stelt dat u gezondheidsgegevens kan verwerken met de uitdrukkelijke en vrije toestemming van de betrokkene.
Concreet wil dit zeggen dat de medewerker een echte, vrije keuze heeft tot zijn toestemming én dat er geen nadelige gevolgen verbonden kunnen worden aan het weigeren of intrekken van de toestemming.
Indien de toegang tot een bepaalde plaats, de werkplaats dus, afhankelijk wordt van een vaccinatiebewijs tegen Covid-19, is dit in strijd met het ‘vrije’ karakter van de toestemming. De toestemming voor het verwerken van de vaccinatiestatus van een betrokkene is dus niet vrij als de toegang tot de plaats geweigerd wordt aan de medewerkers die zich bewust niet hebben laten vaccineren of geen vaccinatiebewijs kunnen voorleggen.
Toestemming zal dus in de meeste omstandigheden geen geschikte rechtsgrond zijn voor het verwerken van de vaccinatiestatus van een persoon.
Op grond van het recht van de lidstaat, België?
Het verbod op het opvragen van de vaccinatiestatus van personen kan ook opgeheven worden op basis van het recht van een lidstaat.
In het geval van een arbeidsrelatie kan dit recht ook vastgelegd zijn in een CAO voor zover deze er voor zorgt dat er onder andere passende waarborgen opgenomen zijn dat de privacy rechten van de medewerkers gegarandeerd blijven en dat de inhoud voldoende specifiek is.
Het is ook mogelijk om de verwerking van vaccinatie status toe te staan op basis van het recht van een lidstaat om een zwaarwegend algemeen belang of de volksgezondheid te beschermen.
Op dit ogenblik is er nog geen kennis van een CAO of wetgeving die het mogelijk maakt om de vaccinatie status (in het kader van de Covid-19 pandemie) van de medewerkers op te vragen en dus te verwerken.
Het antwoord is eerder kort: neen.
De werkgever heeft weliswaar een wettelijke verplichting om als een goed huisvader te zorgen dat het werk in goede omstandigheden met betrekking tot de veiligheid en gezondheid van zijn werknemers verricht wordt. Maar op basis van deze wettelijke verplichting mag een werkgever aan zijn medewerkers niet vragen wie zich al dan niet heeft laten vaccineren.
Zoals hierboven reeds uit een gezet is er een principieel verbod om gezondheidsgegevens te verwerken. Dit zou wel kunnen wanneer een werkgever gezondheidsgegevens moet verwerken om te voldoen aan zijn wettelijke verplichtingen op het gebied van het arbeidsrecht en het sociale zekerheids- en sociale beschermingsrecht.
De GBA is echter van mening dat de verplichtingen van de Arbeidsovereenkomstenwet die op de werkgever rusten geen uitzondering vormen op het principiële verbod van de verwerking van gezondheidsgegevens omdat deze geen voldoende garanties bieden voor een rechtmatige verwerking van gezondheidsgegevens.
Ook hier is het antwoord kort namelijk neen, dit mag niet. Dit zou niet alleen de bescherming van de persoonsgegevens van de werknemers schenden, maar ook het beroepsgeheim van de arbeidsgeneesheer indien deze gegevens van medische dossiers zou meedelen aan de werkgever.
Tot op vandaag is er geen wettelijke basis die een uitzondering maakt op het verwerkingsverbod van gezondheidsgegevens of het beroepsgeheim van de arbeidsgeneesheer in de vaccinatiecontext.
De werkgever kan dit ook niet doen op basis van een toestemming door de werknemer, omdat dit enerzijds door de relatie tussen de werkgever en werknemer niet beschouwd zal worden als een ‘vrije toestemming’ en omdat anderzijds de toestemming geen uitzondering vormt op het beroepsgeheim van de arbeidsgeneesheer.
Deze antwoorden zijn onderhevig aan eventueel wettelijke ontwikkelingen over de vaccinatiestrategie en zullen dan ook aangepast worden indien nodig.
Rolf Vermeulen
Privacy-expert
+32 475 96 01 18
Bart Ocket
Privacy-expert
+32 491 08 37 84
Karel Mol
Privacy-expert
+32 476 30 91 47