Privacy: enkele hoogtepunten van de afgelopen maand

Ook de afgelopen weken zijn er weer veel privacygerelateerde discussies gevoerd en ontwikkelingen geweest. Capra Advocaten informeert u graag over enkele onderwerpen.

Corona-app

De ontwikkeling van de Nederlandse corona-app staat niet stil. Begin april jl. laaide de discussie over zo’n zogenaamde ‘traceer-app’ op nadat Minister Hugo de Jonge zijn plan in dit kader voor het eerst presenteerde. De Autoriteit Persoonsgegevens (hierna: AP) heeft op 20 april jl. laten weten niet te kunnen oordelen over de door het ministerie van VWS geselecteerde corona-apps. De kaders zijn door VWS namelijk onvoldoende helder vastgesteld, aldus de AP. Naar aanleiding daarvan hebben de appbouwers de plannen onvoldoende kunnen uitwerken en zijn een aantal fundamentele privacyvragen onbeantwoord gebleven. De AP-voorzitter heeft al laten weten dat de AP natuurlijk eventuele nieuwe voorstellen voor apps opnieuw zal beoordelen. ‘Maar alleen als de effectiviteit, de kaders, de plannen en de apps beter uitgewerkt zijn.’

Minister De Jonge heeft inmiddels op 6 mei jl. in de Tweede Kamer gezegd dat de eerste testversie van de traceer-app er naar verwachting aan het einde van deze maand is. De bedoeling is nog steeds dat die app de GGD helpt om contacten van coronapatiënten op te kunnen sporen en burgers waarschuwt die in de buurt zijn geweest van besmette personen. De Jonge heeft beknopt inzicht gegeven in het proces en het tijdpad van de traceer-app. De testversie zal op beperkte schaal worden getest. De tussenresultaten worden volgens de planning eerdaags gepubliceerd.

Dataverzameling in geval van thuisonderwijs: let op de privacy

De AP heeft afgelopen maanden veel signalen ontvangen van ouders, docenten en leerlingen die zich zorgen maken over de persoonsgegevens die worden verzameld en opgeslagen bij het digitale thuisonderwijs. Dit is voor de AP aanleiding om bij onderwijsinstellingen na te gaan of de privacy geborgd is. De AP legt hierbij de focus op de verwerking van de persoonsgegevens in geval van beeldbellen, alsmede de digitale surveillance tijdens een toets of examen, oftewel proctoring. De AP heeft verhelderd dat de onderwijsinstellingen verantwoordelijk zijn voor de persoonsgegevens die worden verwerkt in deze situaties en gaat thans na of de privacy van de betrokkenen (voldoende) beschermd is en welke vervolgstappen eventueel nodig zijn. De AP heeft wel alvast op 23 april jl. 8 tips gepubliceerd voor onderwijsinstellingen die gebruik (willen gaan) maken van beeldbellen en/of proctoring.

Hot topic: Temperaturen van werknemers en klanten/bezoekers

De AVG verbiedt het verwerken van gezondheidsgegevens vanwege de grote gevolgen die dat kan hebben voor de privacy. Op dat verbod bestaan wel uitzonderingen, maar de vraag dient zich aan of die voldoende zijn toegesneden op de behoefte van de praktijk in tijden van corona.

Europees blijkt er geen eenduidigheid te bestaan tussen de toezichthouders over de vraag of en hoe het is toegestaan om de temperatuur van werknemers en/of klanten op te meten. Onze eigen AP bleek ingevolge de UAVG wat strikter in de leer dan bijvoorbeeld de Griekse, Zweedse of Belgische toezichthouders. Met andere woorden, temperaturen wordt in andere landen toelaatbaar geacht.

De AP stelde echter dat er geen uitzondering van toepassing is voor het verwerken van de gezondheidsgegevens en het temperaturen van werknemers daarom in strijd komt met de AVG.

Inmiddels berichten verschillende media de afgelopen week dat de AP een ‘draai’ gemaakt heeft naar aanleiding van de hevige kritiek op het strikte standpunt van de AP. De AP heeft al laten weten dat van een ‘draai’ geen sprake is. Na lezing van de toevoeging c.q. de nuancering op de website van de AP, is ook onze conclusie dat er van een ‘draai’ geen sprake is. De AP heeft op haar website namelijk de nuance toegevoegd dat zij niet bevoegd is te handhaven zolang het blijft bij het slechts aflezen van de temperatuur, zonder verdere verwerking. De reikwijdte van de AVG is namelijk beperkt tot het verwerken van persoonsgegevens en daar is dan volgens de AP in het geval van het slechts aflezen van de temperatuur (nog) geen sprake van. De AP merkt echter op dat dit slechts betekent dat de AP niet kan handhaven. Dit neemt volgens de AP niet weg dat ook in geval van slechts het aflezen van de temperatuur wel sprake zijn van een privacy-inbreuk. Dit is niet nieuw. De eerste vragen die op grond van artikel 1 en 2 AVG gesteld moeten worden zijn immers altijd:

1. of de AVG territoriaal van toepassing is,
2. of er persoonsgegevens worden verwerkt,
3. of de gegevensverwerking geheel/gedeeltelijk is geautomatiseerd,
4. of de niet geautomatiseerd verwerkte persoonsgegevens zijn opgenomen in een bestand of zijn bedoeld om te worden opgenomen in een bestand.

De AP heeft nu slechts in algemene zin geëxpliciteerd welke ruimte er is om te temperaturen aan de poort. Maar de AP blijft erbij te zullen handhaven als de temperatuur wel verwerkt wordt. Denk aan een systeem van poortjes die groen licht geven en openen, of het bewaren, doorgeven of registreren van de gegevens. Op de vraag of een werkgever de temperatuur van een werknemer mag opnemen tijdens de coronacrisis, is het antwoord van de AP nog steeds ‘nee’. De AP nuanceert dit antwoord niet en vermeldt dat dit opmeten ook niet mag na toestemming, omdat een werknemer vanwege de arbeidsrelatie niet snel vrijelijk toestemming kan geven. Ook mag de temperatuur van de AP niet worden opgemeten als een werknemer een zakelijk bezoek brengt aan een andere organisatie. Ook in dat geval kan er niet vrijelijk toestemming worden gegeven, aldus de AP. De temperatuur van klanten en overige bezoekers mag volgens de AP wel worden opgemeten in geval van nadrukkelijke toestemming.

Kortom, de AP zit nog niet helemaal op dezelfde lijn als enkele andere Europese toezichthouders. Maar in deze bijzondere tijden is al gebleken dat er zowel Europees als bij de AP regelmatig sprake is van voortschrijdend inzicht. Daarnaast heeft de AP in algemene zin enkele vragen beantwoord op haar website over ‘temperaturen tijdens corona’. Daarmee staat dus niet vast dat deze antwoorden altijd moeten opgaan, ongeacht de omstandigheden van het geval. De AP doet namelijk geen uitspraken over individuele gevallen. De AP zegt hierover: ‘Verantwoordelijken die ons als externe toezichthouder vragen of een bepaalde verwerking wel of niet mag, sturen wij steevast terug naar hun eigen FG. Immers, wij doen geen uitspraken over individuele gevallen. Daarvoor zouden we eerst de hele situatie moeten kennen.’ Er is voorts nog geen rechterlijke uitspraak bekend. Bij de antwoorden van de AP is bovendien ook niet kenbaar rekening gehouden met bijvoorbeeld de zorgplichten van een werkgever die volgen uit het Burgerlijk Wetboek en de Arbeidsomstandighedenwet.

Indien u nadenkt over het temperaturen van uw werknemers en/of bezoekers, houd dan in ieder geval rekening met de volgende aandachtspunten:

• denk na over de noodzaak van het temperaturen;
• betrek de OR er juist en tijdig bij;
• denk na over hoe de fundamentele vrijheden en (grond)rechten van betrokkenen in algemene zin kunnen worden geborgd;
• denk na over hoe verwerking in de zin van de AVG kan worden voorkomen (alleen aflezen, anoniem);
  biedt betrokkenen een alternatieve optie.

Als u vragen heeft over één van de genoemde onderwerpen, de expertgroep AVG voorziet u graag van advies met betrekking tot vormgeving en uitvoering van beleid op dit punt.