Verwerking van gevoelige gezondheidsgegevens in de arbeidsrelatie in het licht van de AVG
Het verzamelen en gebruiken van gezondheidsgegevens in de werkomgeving behoort tot de meest gevoelige verwerkingen op het gebied van gegevensbescherming. Werkgever en werknemer worden geconfronteerd met steeds complexere vraagstukken, vooral sinds de Algemene Verordening Gegevensbescherming (AVG) in Europa uniforme regels heeft ingevoerd. De actuele rechtspraak, in het bijzonder de uitspraak van het Bundesarbeitsgericht (BAG, beslissing van 31.01.2023 – 8 ARZ 25/20), verduidelijkt de vereisten voor de gegevensbeschermingsconforme verwerking van medische informatie in arbeidsrelaties.
Hieronder worden de procedurele en materiële vereisten belicht die bij de verwerking van gezondheidsgegevens door de werkgever in acht moeten worden genomen. Daarbij wordt speciale aandacht besteed aan de huidige stand van de jurisprudentie en de praktische implicaties voor ondernemingen.
Gezondheidsgegevens als bijzondere categorie van persoonsgegevens
Definitie en juridische beschermingsomvang
Gezondheidsgegevens zijn volgens art. 9 lid 1 AVG bijzonder beschermd, omdat zij informatie geven over de lichamelijke of psychische gesteldheid en een hoge mate van gevoeligheid bezitten. Ongeoorloofd gebruik kan aanzienlijke risico’s voor de betrokkene opleveren, waardoor wetgever en rechtspraak strenge beschermingsmechanismen voorzien.
Toegestane verwerking in de arbeidsrelatie
Voor de verwerking van deze informatie is een specifieke rechtvaardigingsgrond vereist. Dit is alleen toegestaan als er een bijzondere wettelijke basis voorhanden is – bijvoorbeeld de toestemming van de betrokkene, een wettelijke verplichting of een noodzaak in verband met de uitoefening van arbeidsrechtelijke rechten en plichten, zie art. 9 lid 2 AVG juncto § 26 lid 3 BDSG.
BAG-uitspraak: Maatstaven voor gegevensverwerking in arbeidsrechtelijke procedures
Aanleiding voor de uitspraak
Aan het besluit van het Bundesarbeitsgericht lag de vraag ten grondslag of en onder welke voorwaarden de rechter de openbaarmaking of overdracht van gezondheidsgegevens van de partijen mag gelasten. Hiermee moest onder meer de afweging tussen de plicht tot opheldering door de rechtbank en de behoefte aan vertrouwelijkheid verder worden gepreciseerd.
Vereisten voor het doorgeven van gezondheidsgegevens
Het BAG maakt duidelijk dat een rechterlijk bevel tot openbaarmaking van persoonsgegevens met betrekking tot gezondheid alleen in aanmerking komt als dit absoluut noodzakelijk is voor de juridische beoordeling. Tevens moet worden gewaarborgd dat de openbaarmaking voldoet aan het beginsel van gegevensminimalisatie en niet meer informatie wordt vrijgegeven dan voor de besluitvorming nodig is. Essentieel is ook de veilige opslag en beperking van de verwerking tot alleen de bij de procedure direct betrokken personen.
Verhouding tussen gegevensbescherming en waarheidsvinding in procedures
Een belangrijk inzicht uit de uitspraak is dat de gegevensbeschermingsbelangen van de partij in beginsel voorrang hebben, tenzij dwingende procedurele redenen een openbaarmaking rechtvaardigen. De betrokkenen moeten bovendien in de regel de gelegenheid krijgen zich over de omvang en het doel van de geplande gegevensverwerking uit te laten, zodat zij hun recht op informatieplichten doeltreffend kunnen uitoefenen.
Praktische gevolgen voor bedrijven en werknemers
Documentatie- en informatieverplichtingen van de werkgever
Bedrijven zijn verplicht de verzameling, opslag en het gebruik van gevoelige personeelsgegevens gedetailleerd te documenteren en transparant te maken. Dit omvat de plicht om werknemers duidelijk en begrijpelijk te informeren over de omgang met gezondheidsgegevens en, waar wettelijk vereist, hun toestemming te verkrijgen.
Grenzen van toestemming en proportionaliteit
Bijzondere aandacht verdient de vraag in hoeverre de toestemming van werknemers daadwerkelijk vrijwillig kan worden gegeven. Het machtsverschil binnen de arbeidsrelatie kan de geldigheid van een toestemming beïnvloeden. Ondernemingen dienen daarom altijd na te gaan of andere, geschikte rechtsgronden voor de gegevensverwerking aanwezig zijn.
Verwijdering en beschermingsmaatregelen
Een andere consequentie van de actuele rechtspraak is de verplichting de verzamelde gegevens te beschermen door passende technische en organisatorische maatregelen. De plicht tot onmiddellijke verwijdering vervalt alleen als er dwingende wettelijke bewaarplichten bestaan. Ook moet de toegang tot een beperkte kring van personen worden gegarandeerd.
Juridische duiding en toekomstperspectief
De uitspraak van het Bundesarbeitsgericht maakt duidelijk dat rechters de bijzondere vereisten van de AVG ook in het kader van arbeidsrechtelijke procedures strikt in acht nemen en eventuele bevelen tot openbaarmaking van gevoelige gegevens alleen onder strenge voorwaarden uitvaardigen. Bedrijven en werknemers dienen de daarmee samenhangende procedurele rechten en plichten te kennen.
Voor zover arbeidsrechtelijke of rechterlijke situaties vragen op het gebied van gegevensbescherming oproepen, met name rond gezondheidsgegevens, is het raadzaam de huidige juridische ontwikkelingen nauwlettend te volgen. De zorgvuldige afweging tussen gegevensbescherming en gerechtvaardigde belangen speelt juist binnen het spanningsveld tussen werkgevers- en werknemersbelangen een centrale rol.
Indien er verdiepende vraagstukken ontstaan in verband met de verwerking van gevoelige gegevens binnen het dienstverband, staan de Rechtsanwälte van MTR Legal Rechtsanwälte landelijk en internationaal als aanspreekpunt ter beschikking.
