Een koortsig AP?

De Autoriteit Persoonsgegevens (AP) kwam onlangs met een persbericht over een onderzoek bij twee bedrijven, die de temperatuur van personeel meten vanwege corona. De AP constateert na onderzoek “dat beide bedrijven, waaronder een multinational, de Algemene verordening gegevensbescherming (AVG) overtreden.”

Kortom: het temperaturen van werknemers is volgens de AP niet toegestaan. Een pittige stelling en conclusie, die schreeuwt om een onderbouwing van de waakhond. Maar die ontbreekt helaas. Er is niets bekend over het onderzoek; we moeten het doen met het persbericht.

En de zaak VoetbalTV – waarvan het vonnis is gepubliceerd vóór dit persbericht van de AP – heeft geleerd dat de AP er een uitleg op na kan houden die bij lange na niet deugt. Je zou dus denken: een gewaarschuwde waakhond telt voor twee.

Goed, terug naar het bericht. Dat vermeldt als eerste inhoudelijke punt dit: “een lichaamstemperatuur is een persoonsgegeven als deze temperatuur te herleiden is tot een specifiek persoon. Bij beide organisaties is dit zo. De organisaties kunnen namelijk achterhalen wie een normale of een te hoge temperatuur heeft.”

Dit is een belangrijke passage. Want je kunt je bijvoorbeeld afvragen of het temperaturen in alle gevallen te herleiden is, of sterker nog, überhaupt een verwerking is.

Neem een bedrijf die de temperatuur van een werknemer meet bij binnenkomen, maar die meting enkel gebruikt om te bepalen of die werknemer wel of niet op kantoor mag komen. Dus alleen: het poortje gaat open, of het poortje blijft dicht. Geen registratie.

De privacywaakhond van onze Zuiderburen heeft op dit voorbeeld aangegeven dat de AVG niet van toepassing is. Want er is alsdan geen sprake van een verwerking. Wat mij betreft een terechte conclusie.

Maar de AP constateert volgens haar dat te achterhalen is om wie het gaat. Dan is mijn aanname: er moet dus iets van een herleidbare registratie plaatsvinden. Dan kan ik de AP hier misschien in volgen.

Waarom misschien? De AP zegt op haar voorlichtingspagina over mijn voorbeeld dit: “gaat het alleen om het aflezen van de temperatuur op een thermometer zonder opname in een bestand? En zonder een geautomatiseerde verwerking? Dan valt dat niet onder de bescherming van de AVG.”

Maar het voorbeeld van mijn poortje vindt de AP, volgens diezelfde voorlichtingspagina, sowieso wél een verwerking: “daarnaast kan er sprake zijn van een geautomatiseerde verwerking als er na een meting een geautomatiseerd gevolg plaatsvindt. Bijvoorbeeld als er automatisch poortjes opengaan of als er automatisch een groen licht verschijnt als de temperatuur niet te hoog is.”

Ik vind dit onderscheid dun, temeer nu het aflezen doorgaans zal geschieden door een persoon – en er dus direct herleidbaarheid om de hoek komt kijken. Terwijl die herleidbaarheid bij een groen of rood lichtje in een geautomatiseerde setting, er helemaal niet per se hoeft te zijn.

Weer terug naar het persbericht. We praten bij temperaturen over de verwerking van een bijzonder persoonsgegeven. Hierover zegt de AP in haar bericht het volgende: “het is meestal verboden om bijzondere persoonsgegevens te verwerken, tenzij er een uitzondering uit de wet geldt. Een mogelijke uitzondering is als iemand uitdrukkelijke toestemming geeft.”

Hier mist de AP een uitgelezen kans om een eventuele andere uitzondering te benoemen. We praten per slot van rekening over een wereldwijde pandemie. Dan denk ik: geef dan duidelijkheid over andere mogelijkheden. Zeker omdat je van een werkgever mag verwachten dat hij ook over de veiligheid van andere werknemers moet waken in deze tijden.

De AP zoomt alleen verder in op de grondslag toestemming. Eén van de twee bedrijven, zo blijkt, vraagt direct voorafgaand aan de meting toestemming aan de werknemers om hun temperatuur op te meten.

De AP is hier duidelijk over: die toestemming geldt volgens haar niet. De AP licht dit als volgt toe in haar persbericht: “mensen moeten in vrijheid toestemming kunnen geven. Maar werknemers zullen zich vaak onder druk gezet voelen om toestemming te geven aan hun werkgever. Bovendien mag toestemming weigeren geen nadelige gevolgen hebben. Bij dit bedrijf mochten medewerkers die weigerden niet naar binnen. Daardoor is de temperatuurmeting op deze manier dus niet toegestaan.”

Ik heb hier eerlijk gezegd grote moeite mee. Ik heb me al vaker kritisch geuit over het standpunt van de AP dat een werknemer meestal ‘niet vrij’ is om toestemming te kunnen geven. Maar in een wereldwijde pandemie met een levensgevaarlijk virus, vindt de AP dat je als werkgever kennelijk maar het risico moet accepteren dat die weigerende werknemer, de rest van het personeel mogelijk besmet. Vandaar mijn titel: de AP oogt op dit onderwerp zelf wat koortsig als je het mij vraagt.

Maar ik voel me gesteund door de eerder genoemde VoetbalTV-uitspraak. Daarin heeft de AP immers een pittig privacylesje gekregen van de rechtbank, in verband met haar hardnekkige standpunt omtrent gerechtvaardigd belang.

De aanhouder wint. Dus is het wachten op een werkgever die doorzet. Maar ik zal nog even geduld moeten hebben. Zowel werkgever als werknemer doen er mijns inziens in tijden van een volledige lockdown verstandig aan het kantoor sowieso maximaal te mijden.

Rest mij u desalniettemin wel alvast heel fijne Kerstdagen te wensen en een gezond 2021.

Ik eindig met een persoonlijk bedankje, aan Frits de Jong: Frits, dank je wel voor al je redactionele steun bij mijn blogjes voor iBestuur. Ik heb de samenwerking zeer gewaardeerd. Geniet van je break!

Menno Weij is partner bij BDO Legal