Coronavirus

De coronacrisis beïnvloedt de manier waarop we met persoonsgegevens omgaan. Hoe gaan we op nationaal en internationaal niveau met het virus en de privacy van coronapatiënten om?

Toegangsbeleid met temperatuurmetingen onder de AVG: alleen ‘klassieke’ thermometer?

Langzaamaan versoepelen de regels omtrent het tegengaan van de verspreiding van het COVID-19 virus steeds verder. Inmiddels openen steeds meer kantoren hun deuren en worden werknemers uitgenodigd weer naar kantoor te komen. Uiteraard op verantwoorde wijze, zonder een nieuwe golf van het coronavirus teweeg te brengen. In dat kader komt opnieuw de vraag naar voren: hoe zit het nu ook alweer met temperaturen? Wat mag wel, en wat mag niet?

Vonne Laan

Eliëtte Vaal

19 juni 2020

Artikel

Initieel stelde de Autoriteit Persoonsgegevens (AP) zich op het standpunt dat het in de zorg toegestaan was om tijdens de coronacrisis de temperatuur van werknemers te controleren maar “op andere plekken niet”. Later verdween dat standpunt en had de AP een bericht op haar website geplaatst waarin expliciet werd aangegeven dat werkgevers hun werknemers niet mogen temperaturen en dat de AP hoge boetes kan opleggen als dat toch gebeurt. Dit standpunt was verrassend gezien de ietwat andere insteek van de privacytoezichthouder in ons buurland België. De Gegevensbeschermingsautoriteit (GBA) in België had op haar website gepubliceerd: “De GBA beschouwt de loutere opname van de lichaamstemperatuur niet als een verwerking van persoonsgegevens.” Daarmee valt dit buiten het bereik van de Algemene verordening gegevensbescherming (AVG). Voor de beoordeling van de toepasselijkheid van de AVG achtte de GBA het van doorslaggevend belang of de temperatuur al dan niet werd geregistreerd: “Indien na het opnemen van de temperatuur verdere stappen evenwel gepaard gaan met een bijkomende registratie (bv. om een weigering van toegang te rechtvaardigen t.o.v. betrokkene, of om deze te documenteren voor andere doelstellingen), zal er daarentegen wel sprake zijn van een verwerking van persoonsgegevens.” De GBA noemde het voorbeeld van een school die een aantekening maakt in het leerlingendossier na een temperatuurmeting dat iemand afwezig of ziek is, waarop de AVG wel van toepassing is en waarvoor dan geen grondslag bestaat.De paradoxale insteek van beide toezichthouders is niet onopgemerkt gebleven. Ook wijzelf stelden dit punt aan de kaak in ons interview voor Privacyweb van 6 mei jl. Gelukkig paste de AP enkele dagen later opnieuw haar standpunt hierover bij. De AP gaf nu aan dat het aflezen van de temperatuur van natuurlijke personen op een thermometer niet onder de werkingssfeer van de AVG valt. De AVG is wel van toepassing als de verwerkingsverantwoordelijke de bedoeling heeft om de meetgegevens te bewaren (door te geven, te registreren) of de gegevens geautomatiseerd verwerkt (poortjes die openen, groen licht). De AP benadrukte daarbij dat ook wanneer de AVG niet van toepassing is, het temperaturen wel strijdig kan zijn met privacy-grondrechten (AP, Nieuwbericht, Temperatuur meten mag niet zomaar, 24 april 2020). Vooralsnog lijkt dit het finale standpunt van de AP over temperatuurmetingen. Inmiddels heeft echter de GBA haar visie op dit onderwerp nader bijgesteld (zie GBA, Koorts meten in het kader van de strijd tegen COVID-19, 5 juni 2020). De GBA verduidelijkt nu dat het louter opnemen van iemands temperatuur (toch) onder de reikwijdte van de AVG kan vallen. Dit speelt als de temperatuurmeting “op een geavanceerde digitale wijze plaatsvindt, wat het geval is als men automatisch (of vanop afstand) de huidtemperatuur van een persoon meet.” Dat gaat volgens de GBA verder dan het louter aflezen van iemands temperatuur en kwalificeert als geautomatiseerde verwerking. De GBA stelt expliciet dat het gebruik van digitale geavanceerde koortsscanners, hittecamera’s of andere geautomatiseerde systemen die de waarde van lichaamswarmte meten op zich een verwerking van persoonsgegevens over gezondheid inhoudt en dus niet toegelaten is. Op het eerste oog lijkt deze redenering logisch navolgbaar. Het geautomatiseerd verwerken is immers een breed begrip en betreft ook het verwerken van persoonsgegevens met behulp van apparatuur zonder dat informatie wordt opgeslagen. Bij het toepassen van deze redenering wordt het echter lastiger. Wanneer is sprake van een “digitale geavanceerde koortsscanners”? Vallen ‘normale’ digitale thermometers voor huis- tuin- en keukengebruik onder dit begrip? Is dan ook sprake van een geautomatiseerde verwerking? De GBA lijkt dat uit te sluiten door te focussen op geavanceerde (geautomatiseerde) digitale verwerkingen en te stellen dat het louter aflezen van de temperatuur op een klassieke thermometer is toegestaan. Waar haalt de GBA echter het extra criterium van “geavanceerd” vandaan? Blijkens de AVG is het criterium of al dan niet sprake is van een geautomatiseerde verwerking; of de verwerking geavanceerd is of niet is irrelevant. De vraag is of het gebruik van digitale koortsscanners volgens de AP ook onder het bereik van de AVG valt. Mogelijk stelt de AP haar normuitleg op dit punt opnieuw bij in navolging van de Belgen. Tot die tijd kan wellicht zekerheidshalve het best worden voorgesorteerd op het standpunt van de GBA. Thermometers met camera’s waarbij diverse temperaturen die na elkaar worden opgemeten worden opgeslagen, kunnen in elk geval het best worden vermeden. Hoe simpeler de thermometer, hoe beter, zo lijkt. Overigens is hier een nuance op zijn plaats. Klassieke thermometers die voor een betrouwbaar gebruik rectaal dienen te worden gebruikt zullen een significant grotere privacy-inbreuk met zich meebrengen dan bijvoorbeeld een oorthermometer met wegwerpkapje. Van belang is daarbij ook hoe het temperaturen verder wordt ingekleed: bij voorkeur worden personen bijvoorbeeld in de gelegenheid gesteld om zichzelf temperaturen. Met de zomervakantie voor de deur kunnen organisaties in relatieve rust nadere invulling geven aan hun beleid op dit punt.

Reacties

MEER REACTIES

Laat een reactie achter Reactie annuleren

U moet ingelogd zijn om een reactie te plaatsen.

ARTIKELEN

Lisa van Ginneken (D66): "Betrek Autoriteit Persoonsgegevens eerder bij wetgeving”

Achtergrond artikelen

De megaboete voor Meta, what’s in it for us?

Achtergrond artikelenEXPERT

Interview over vijf jaar AVG: blaffende privacywaakhonden bijten niet

Achtergrond artikelenEXPERT

Is een app-bouwer verwerkingsverantwoordelijke en is opzet vereist voor een AVG-boete?

Juridische artikelenEXPERT

Gedurende de coronacrisis schoten de corona-apps als paddenstoelen uit de grond. Deze corona-apps maakten het mogelijk om gebruikers te informeren wanneer zij (mogelijk) in contact...

5 jaar AVG – Functionaris Gegevensbescherming & Privacy Officer onmisbaar

Achtergrond artikelenEXPERT

Micha Groeneveld

Boete AP voor de Sociale Verzekeringsbank: belang van een ‘risk-based’ beveiligingsniveau

Juridische artikelen

Commissie Europees Parlement niet enthousiast over nieuw trans-Atlantisch privacyschild

Juridische artikelenEXPERT

Avg en internationale doorgifte: wat betekent dat voor jouw organisatie?

Juridische artikelenEXPERT

Langs de AVG-meetlat: ziekenhuis moet schadevergoeding betalen omdat patiëntengegevens onvoldoende beschermd zijn

Achtergrond artikelenEXPERT

Dennis van Tilborg

Expert lidmaatschap

Profiteer nu

Datalekken: voorbereiden, herkennen en reageren

De huidige stand van zaken ten aanzien van de meldplicht datalekken wordt behandeld. Wat precies kwalificeert een datalek en welke wettelijke verplichtingen gelden? De aanvullende verplichtingen die volgen uit de beleidsregels en de praktijk rondom het melden van een datalek bij de AP wordt besproken.

Bekijk programma

E-college Gegevensuitwisseling in de zorg en privacy

Wilt u bijgepraat worden over de verwerking van gegevensuitwisseling in de zorg en privacy? Bekijk het actualiteitencollege.

Bekijk het programma

Privacywetgeving in de opsporing

U wordt op de hoogte gebracht van wetgeving die op de gegevensverwerkingen door BOA’s van toepassing is. U leert wanneer uw BOA’s zich aan de Wpg moet houden, wanneer aan de AVG en wat de belangrijkste verschillen zijn. Ook leert u welke stappen er gezet moeten worden om aan de Wpg te voldoen.

Bekijk programma

Checklist Privacy AVG: privacybeleid in 57 checklists

Bekijk boek

Menu

FILTER OP CONTENT