Rechtspraak: de vaccinatieregistratie op de werkvloer

Inmiddels is de wereld ruim anderhalf jaar in de ban van het coronavirus en het einde is nog niet in zicht. Het verdwijnen van de anderhalvemetersamenleving en het loslaten van het thuiswerkadvies brengt voor werkgevers extra uitdagingen met zich om een gezonde en veilige werkomgeving te kunnen blijven waarborgen. In dat verband kan het voor werkgevers interessant zijn om te weten welke werknemers wèl en welke werknemers niet zijn gevaccineerd. Maar, mag de werkgever de vaccinatiestatus van haar werknemers wel registeren? Of een werknemer vragen naar diens vaccinatiestatus? In deze bijdrage geeft Köster Advocaten vanuit privacyrechtelijk oogpunt antwoord op deze twee vragen.

De Algemene Verordening Gegevensbescherming

In de Europese Unie geldt de Algemene Verordening Gegevensbescherming (‘AVG’). De AVG regelt op Europeesrechtelijk niveau de bescherming van privacy. Voor deze bijdrage volstaat het om te stellen dat de AVG van toepassing is op de relatie tussen werkgever en werknemer. Dat betekent dat werknemers op grond van de AVG recht hebben op bescherming van hun privacy op de werkvloer.

De AVG maakt onderscheid tussen gewone persoonsgegevens (bijvoorbeeld: naam, adres en telefoonnummer) en bijzondere persoonsgegevens (bijvoorbeeld: gegevens over gezondheid, seksuele voorkeur en politieke opvatting). De vaccinatiestatus is een bijzonder persoonsgegeven, omdat het iets zegt over iemands gezondheid. Ook schrijft de AVG voor wanneer (bijzondere) persoonsgegevens wel en niet verwerkt mogen worden. ‘Verwerken’ is een ruim begrip en omvat alle handelingen met (betrekking tot) persoonsgegevens, bijvoorbeeld: het opslaan, kopiëren of raadplegen van persoonsgegevens. Voor bijzondere persoonsgegevens geldt een verwerkingsverbod. Dat betekent in dit geval dat de werkgever geen bijzondere persoonsgegevens van zijn werknemer mag verwerken, dus ook niet de vaccinatiestatus. Dit is alleen anders indien de AVG niet van toepassing is of wanneer de werkgever zich kan beroepen op een van de uitzonderingen uit de AVG.

Vragen naar vaccinatiestatus: AVG van toepassing?

Vanuit privacyrechtelijk oogpunt mag de werkgever (met een goede reden) wel vragen naar de vaccinatiestatus van een werknemer. Dat komt omdat de AVG op een mondelinge vraag en antwoord niet van toepassing is. De werkgever mag in dat geval het antwoord niet ergens noteren en geen nadelige acties verbinden aan (het uitblijven van) het antwoord. Zodra de werkgever dat wel doet, wordt de AVG overtreden omdat noteren van de vaccinatiestatus een AVG-relevante ‘verwerking’ is. Indien de werkgever (daarnaast ook) nadelige acties verbindt aan (het uitblijven van) het antwoord, schendt de werkgever diverse rechten en beginselen, waaronder het verbod op discriminatie.

Leidt vragen naar vaccinatiestatus tot (re)actie en registratie?

Voor werkgevers die nu denken dat zij op maandagochtend bij de koffieautomaat iedereen kunnen vragen naar de vaccinatiestatus, let op: in de praktijk leidt vragen (bijna) altijd tot een (re)actie van de werkgever en/of tot registratie van de vaccinatiestatus. Een werknemer diens vaccinatiestatus niet wil vermelden of bevestigen, zal al gauw een label ‘ongevaccineerd’ opgeplakt krijgen en mogelijk worden uitgesloten bij borrels of vergaderingen. Het is voor de werkgever bovendien verleidelijk om de gegeven antwoorden wel (stiekem) ergens te registeren. En dat mag dus niet, tenzij de werkgever zich kan beroepen op een uitzondering uit de AVG.

Uitzonderingen van toepassing?

In de AVG zijn verschillende uitzonderingen opgenomen om tóch bijzondere persoonsgegevens te kunnen verwerken.

Een van die uitzonderingen is de uitdrukkelijke toestemming van, in dit geval, de werknemer. Het probleem is alleen dat op grond van de AVG iedere toestemming ‘vrij’ gegeven moet zijn. Vanwege de afhankelijke relatie tussen werkgever en werknemer, kan een werknemer nagenoeg nooit vrij toestemming geven zoals bedoeld in de AVG. Deze uitzondering gaat op de werkvloer dus niet op en biedt geen mogelijkheid om de vaccinatiestatus te registeren.

Een andere uitzondering is dat de verwerking van bijzondere persoonsgegevens noodzakelijk is op grond van het algemeen belang op het gebied van volksgezondheid. Dit kan alleen als er een concrete en duidelijke wettelijke basis is. Die concrete en wettelijke basis voor de werkgever ontbreekt in Nederland. Ook deze uitzondering gaat dus niet op en biedt opnieuw geen mogelijkheid voor de werkgever om de vaccinatiestatus te kunnen registeren.

Aanpassing wet?

De vraag is of dit laatste nog zou kunnen veranderen in de toekomst. Het antwoord op die vraag luidt (voorzichtig) bevestigend. In september 2021 kondigde demissionair minister De Jonge aan dat er hoogstwaarschijnlijk een wetsvoorstel komt waardoor het mogelijk zal worden om de vaccinatiestatus van zorgpersoneel te kunnen registreren. In dat geval zou er dus een concrete en duidelijke wettelijke basis worden gecreëerd, waardoor werkgevers in de zorg zich kunnen beroepen op de uitzondering in de AVG. Daarnaast heeft De Jonge aangekondigd dat hij wil verkennen of, en zo ja hoe, het coronatoegangsbewijs gebruikt zou kunnen worden in de zorg, maar ook in andere branches en sectoren. Critici zijn bang voor een glijdende schaal waarbij de AVG onder de noemer van ‘de coronacrisis’ te ver zal worden uitgehold en de privacyrechten van werknemers in het gedrang komen.

Geschreven door Nine Bennink, advocaat binnen de praktijkgroep ICT en Privacyrecht, en Fréderique Hubbelmeijer, stagiaire bij Köster Advocaten in Haarlem. Regelmatig behandelt Köster Advocaten hier actuele juridische kwesties.

Beeld: Via Pexels