Mag je je werknemers medisch laten checken? Enige tijd terug hebben we gelezen dat Amazon en Apple hun eigen gezondheidsklinieken voor hun werknemers openen. Dit leidt tot de vraag: is het toegestaan om werknemers medisch te laten checken?
Auteurs: I Chu Chao, Huub van Osch
Bij sommige Amerikaanse bedrijven, zoals Amazon, is het gebruikelijk om een medische check uit te voeren als onderdeel van de sollicitatieprocedure. Dit wordt beschouwd als een ‘pre-employment screening’. In Nederland komt dit slechts sporadisch voor. Dergelijke checks zijn geregeld in de Wet op de Medische Keuringen. Uitgangspunt is dat het niet is toegestaan, tenzij er sprake is van een zeer specifieke fysieke en/of psychische belasting van de werknemers. In de regel komen dergelijke testen voorafgaand aan het dienstverband daarom alleen voor bij beroepen als brandweerman, politieman of functies in het leger.
Sommige bedrijven voeren verder tijdens het dienstverband ook met enige regelmaat drugs- en alcoholtests uit. De reden daarvoor is voor werkgevers veelal gelegen in het kunnen garanderen van veiligheid voor de werknemers, de bezoekers/gebruikers van hun diensten of het kunnen voorkomen van reputatieschade. Denk bij veiligheid bijvoorbeeld aan situaties waarin gewerkt wordt met hoogspanning, chemicaliën of hoge druk. Denk bij reputatieschade bijvoorbeeld aan functies in een hotel of een casino, of andere functies met veel klantcontacten. In beide situaties kunnen werknemers onder invloed veel schade aanrichten.
Zo oordeelde de Hoge Raad in 2007 dat een ontslag op staande voet van een medewerker van het Hyatt standhield door een positief testresultaat voor cocaïne in combinatie met de weigering deel te nemen aan een afkickprogramma. Het Hyatt Aruba had veel werk gemaakt van een anti-drugsbeleid en organiseerde trainingen in het kader van een ‘Drug-Free Workplace Policy’. De betreffende werknemer was door middel van een steekproef geselecteerd voor een test op cocaïne en marihuana. Die test was positief. De Europese International Labour Organization (ILO) had indertijd richtlijnen geformuleerd. Zo diende het testen nodig te zijn om te kunnen vaststellen of de werknemer fit genoeg was voor zijn werk in het belang van zijn eigen veiligheid en die van anderen.
‘At random’ testen is volgens de ILO slechts toegestaan voor zeer veiligheidsgevoelige banen. Voor individuele testen bestaat meer ruimte, die zijn toegestaan ingeval van een redelijke verdenking in combinatie met een veiligheidsrisico. Ten slotte is testen toegestaan in combinatie met een vrijwillig programma om drugsmisbruik tegen te gaan.
Met de uitspraak van het Hyatt voelden veel Nederlandse werkgevers zich gesterkt in het idee dat de lat voor medische tests niet heel hoog lag en dat behalve het veiligheidsrisico ook rekening kon worden gehouden met reputatieschade in combinatie met voornoemd veiligheidsrisico.
In 2016 maakte de Autoriteit Persoonsgegevens daar echter een einde aan, door zich er expliciet over uit te laten dat het testen van werknemers van de elektriciteitsmaatschappij Uniper (voorheen EON) niet was toegestaan, ondanks een verondersteld veiligheidsrisico en het door Uniper aangeduide belang van een veilige werkomgeving. Uniper voerde tests uit onder al haar werknemers, zowel het productie- als kantoorpersoneel. Tevens registreerde Uniper het medicijngebruik van werknemers die deelnamen aan het verkeer of installaties bedienden. De Autoriteit Persoonsgegevens oordeelde dat een gebleken veiligheidsrisico onvoldoende was aangetoond. De uitspraak van de Hoge Raad in zake het Hyatt achtte zij niet van toepassing, omdat de Nederlandse privacyregels niet van toepassing zijn op Aruba en de toetsingskaders om die reden niet te vergelijken zijn. Verder oordeelde de Autoriteit Persoonsgegevens dat Uniper alleen ten aanzien van bepaalde medicijnen (met een gele sticker) van werknemers mocht verwachten dat zij hun medicijngebruik bij de bedrijfsarts (en dus niet Uniper zelf) dienden te melden.
Daarmee is de actuele status ten aanzien van drugstesten en andere medische checks dat de lat heel hoog ligt voor gezondheidsgegevens (wat bijzondere persoonsgegevens zijn) en dergelijke tests in Nederland alleen kunnen worden afgenomen als er sprake is van een redelijke verdenking in combinatie met een veiligheidsrisico. Op deze tweede grond zullen we in dit artikel verder niet ingaan, omdat dat veelal een zeer specifieke casuïstische situatie betreft. Op de derde door de ILO geformuleerde grond, het vrijwillige programma om drugsmisbruik tegen te gaan, gaan wij hierna verder in bij de vraag wat dan onder ‘vrijwillig’ dient te worden verstaan in de context van de werkgever-werknemer relatie.
In algemene zin lijkt het met bovenstaande voorbeelden uit onze dagelijkse praktijk erop dat bedrijven zich verantwoordelijk voelen voor de gezondheid van de werknemers. Echter, medische checks voor werknemers zijn in Europa een lastige kluif. Waarom is dat zo? En wat zegt de huidige Europese privacywet, de Algemene Verordening Gegevensbescherming (AVG), hierover?
Laten we beginnen met de definitie: wat wordt verstaan onder medische gegevens? Medische gegevens zijn ‘gegevens over gezondheid’, wat een bijzondere categorie van persoonsgegevens is (artikel 9 AVG). Het begrip ‘gegevens over gezondheid’ onder de AVG is erg breed. Het omvat alles met betrekking tot de fysieke en mentale gezondheid van een persoon. Dit houdt dus onder meer in: medische rapporten, genetische (DNA) samples, ziektes, beperkingen, medische geschiedenis en medicatie. Gezondheidsgegevens kunnen ook andere informatie betreffen, zoals het aantal stappen of trappen dat u loopt, uw hartslag, bloeddruk, de hoeveelheid slaap, etc. De lijst van mogelijke gezondheidsgegevens is lang. Als data iets direct of indirect zegt over de gezondheid, dan kunt u ervan uitgaan dat het gezondheidsgegevens zijn.
De basisregel van artikel 9 AVG is dat het gebruik van gezondheidsgegevens in beginsel is verboden. Er zijn slechts enkele uitzonderingen op deze regel (artikel 9 lid 2 AVG), waaronder:
De persoon geeft expliciete toestemming (wees ervan bewust dat toestemming meestal niet werkt in een werkrelatie, dit leggen wij hieronder uit);
De werkgever moet voldoen aan de wet (een medische check is voor sommige banen vereist);
Er is sprake van een leven-of-dood situatie en de persoon in kwestie is niet in staat om toestemming te geven;
U bent een dokter.
In Nederland zijn er nog enkele andere uitzonderingen op deze regel, bijvoorbeeld voor verzekeraars en pensioenfondsen en bedrijfsartsen (zie de Uniper-zaak). Daarnaast geldt de regel dat gezondheidsgegevens alleen mogen worden gebruikt door iemand die een verplichting heeft tot beroepsgeheim, zoals een (bedrijfs)arts. De werkgever mag dus zelf geen toegang hebben tot de gezondheidsgegevens van de werknemers.
De Autoriteit Persoonsgegevens heeft voor de verwerking van gezondheidsgegevens nog een extra drempel opgeworpen: het is namelijk verplicht om vóór de verwerking van gezondheidsgegevens een zogeheten ‘Data Protection Impact Assessment’ (DPIA) of ‘gegevensbeschermingseffectbeoordeling’ uit te voeren, waarin uitgebreid moet worden beoordeeld wat de mogelijke effecten en risico’s zijn voor de privacy van de betrokkenen en hoe de risico’s kunnen worden weggenomen of verminderd. Deze verplichting is gebaseerd op artikel 35 AVG.
Wij zien ook vaak dat werkgevers toestemming willen vragen aan hun werknemers, bijvoorbeeld als werkgevers een nieuwe privacybeleid introduceren. In werksituaties is het echter problematisch om toestemming te vragen vanwege de strikte voorwaarden. Voor toestemming zijn de volgende voorwaarden van toepassing:
Toestemming moet vrijelijk worden gegeven (vrijwillig);
Het moet expliciet zijn (bijvoorbeeld een handtekening of een vinkje zetten);
Het verzoek om toestemming moet duidelijk zijn en gemakkelijk toegankelijk;
De persoon moet zijn toestemming altijd kunnen intrekken.
Laten we nu deze voorwaarden toepassen op werknemers. Als een werkgever om toestemming vraagt, dan kan het zijn dat de werknemer druk voelt om ‘ja’ te zeggen. Als het niet geven van toestemming negatieve gevolgen kan hebben, is de toestemming niet vrijwillig. De negatieve consequenties kunnen bijvoorbeeld zijn: het niet aangenomen worden (bij sollicitanten), geen promotie krijgen, afgewezen worden, ontslag of andere vormen van druk. Wanneer niet aan één van de voorwaarden van toestemming wordt voldaan, dan kan er geen beroep worden gedaan op ‘toestemming’ als grondslag voor de verwerking van persoonsgegevens.
Een ander probleem met toestemming is dat de toestemming kan worden ingetrokken. Als u een nieuw beleid wilt toepassen voor alle werknemers, kan het problematisch zijn als sommige werknemers weigeren om toestemming te verlenen of hun toestemming op een later moment weer intrekken. Dit houdt in dat er veelal een andere juridische grondslag nodig is in plaats van toestemming, bijvoorbeeld de ‘noodzaak om te voldoen aan de wet’ of een ‘gerechtvaardigd belang’ (omdat het veiligheidsrisico dat vereist).
Op grond van het voorgaande kan worden geconcludeerd dat de wettelijke drempel voor het uitvoeren van medische checks, hoog is. Onder de AVG kan de vuistregel worden gehanteerd dat medische checks helemaal niet zijn toegestaan bij werknemers, behalve als er een wettelijke basis is voor medische onderzoek en wanneer dit wordt verricht door een bedrijfsarts. De grondslag onder de AVG is dan ‘de noodzaak om aan de wet te voldoen’. Daarnaast dient de noodzaak en proportionaliteit van de medische check vooraf te zijn beoordeeld in een Privacy Impact Assessment (PIA), voor zover de verplichting niet reeds voortvloeit uit de wet, zoals de regulering rondom de Wet Verbetering Poortwachter en de WIA. In beide wetten is er reeds in voorzien dat de informatie alleen toegankelijk is voor de arboarts.
In de praktijk zien we echter dat veel werkgevers denken dat zij kunnen volstaan met het vragen van toestemming aan hun werknemers. Echter, zoals hierboven uiteengezet, gelden er strenge eisen voor ‘toestemming’, waaronder volledige vrijwilligheid, waaraan meestal niet wordt voldaan in afhankelijkheidsrelaties zoals tussen een werkgever en werknemer. Toestemming van de werknemer is dan geen geschikte grondslag voor de verwerking van medische gegevens.
Het vragen om toestemming lijkt op eerste gezicht een simpele formaliteit, maar dit is in de praktijk vragen om moeilijkheden.
Dit artikel is ook te vinden in de dossiers Privacy in de zorg en Privacy op de werkvloer
