Privacy en PSA: (on)mogelijk?

In Vakblad Arbo van maart 2019 heb ik aandacht besteed aan de spagaat tussen privacy en duurzame inzetbaarheid. In dit artikel ga ik in op de vraag in hoeverre privacyregels het (uit)voeren van een beleid op het gebied van PSA begrenzen (of belemmeren).

In het vorige artikel over privacy en duurzame inzetbaarheid heb ik al uitgelegd dat werkgevers op grond van artikel 30 AVG geen bijzondere persoonsgegevens over bijvoorbeeld de gezondheid van werknemers mogen ‘verwerken’. Uitzondering: als deze gegevens (kort gezegd) noodzakelijk zijn vanwege de goede uitvoering van een wettelijk voorschrift. Voor algemene persoonsgegevens, zoals naam, adres, et cetera, geldt een minder zware toets. Dan is het in principe voldoende als deze gegevens noodzakelijk zijn voor de uitvoering van de arbeidsovereenkomst ter uitvoering van een wettelijke plicht, zoals in het kader van de loonadministratie.

Bijzondere persoonsgegevens

Bij de uitvoering van een beleid dat gericht is op het beperken en voorkomen van PSA kan het voorkomen dat een werkgever persoonsgegevens verwerkt. Bijvoorbeeld als er sprake is van een incident waarbij PSA een rol speelt. Het verwerken van algemene persoonsgegevens in het kader van dit incident, zoals de naam van de betrokken medewerkers, zal wel toegestaan zijn. Maar als er daarnaast ook gezondheidsgegevens worden verwerkt (bijvoorbeeld de medewerker ervaart spanningsklachten als gevolg van pesten), dan ligt dat anders. Gezondheidsgegevens zijn immers bijzondere persoonsgegevens. En voor het verwerken van bijzondere persoonsgegevens geldt een verbod dat alleen doorbroken kan worden als het verwerken van die persoonsgegevens noodzakelijk is voor de uitvoering van een wettelijk voorschrift.

Veilige werkplek

Je zou verwachten dat het verwerken van (bijzondere) persoonsgegevens in het kader van de uitvoering van een beleid op het gebied van PSA daar ook onder valt. Een werkgever is immers op grond van artikel 3 lid 2 Arbeidsomstandighedenwet verplicht een beleid te voeren dat erop is gericht om psychosociale arbeidsbelasting te voorkomen en/of te beperken. Daarnaast is de werkgever op grond van artikel 7:658 BW verplicht om de arbeidsplaats zodanig in te richten en maatregelen te nemen dat de kans dat de werknemer schade lijdt zo veel mogelijk wordt beperkt. Je zou dus zeggen dat werkgevers een wettelijke grondslag hebben om (bijzondere) persoonsgegevens te verwerken bij het uitvoeren van een beleid dat gericht is op het voorkomen en beperken van PSA. Maar zo simpel ligt het helaas niet.

Alcoholcontrole

De Autoriteit Persoonsgegevens (AP) heeft zich nog niet concreet uitgelaten over de vraag of werkgevers ook (bijzondere) persoonsgegevens mogen verwerken in het kader van de uitvoering van PSA-beleid. Maar uit eerdere rapporten van de AP over de inzet van alcohol- en drugstesten door werkgevers valt wel af te leiden dat de AP van mening is dat er een concrete wettelijke mogelijkheid moet zijn voor werkgevers om bijzondere persoonsgegevens te verwerken bij de uitvoering van een PSA-beleid. In de zogenaamde Uniperzaak uit 2016 oordeelde de AP dat werkgevers slechts alcohol- en drugstesten moeten uitvoeren – en daarmee bijzondere persoonsgegevens over de gezondheid van de werknemers mogen verwerken – als dat concreet in de wet is vastgelegd. Denk bijvoorbeeld aan piloten, machinisten en schippers. Maar voor beroepen en functies waarvoor zo’n mogelijkheid niet in de wet is opgenomen (veruit de grootste groep) geldt deze uitzondering niet en mogen werkgevers dus geen alcoholtests toepassen. In maart 2019 heeft de AP deze beleidslijn gepubliceerd op haar website. Daaruit blijkt dat de AP deze lijn nog steeds vasthoudt. De AP kan zich overigens voorstellen dat er wel werkgevers zijn die belang hebben bij het uitvoeren van alcoholtests, bijvoorbeeld in het kader van de zorgplicht en verantwoordelijkheid voor een veilige werkplek. Maar zij meent dat er een nadrukkelijke wettelijke mogelijkheid moet bestaan, wil de werkgever een beroep kunnen doen op deze uitzondering. De AP verwijst werkgevers daarom naar de wetgever om de wettelijke mogelijkheid om op alcohol te testen, uit te breiden.

Beleid

De AP is dus streng als het gaat om het bestaan van een wettelijke verplichting voor het verwerken van bijzondere persoonsgegevens. Echter, het enkel hebben van een beleid dat in strijd is met de privacyregels – maar dat (nog) niet is toegepast – kan ook preventief werken. Dit betekent toch niet dat een werkgever persoonsgegevens verwerkt en dus de privacyregels overtreedt? Maar volgens de AP valt ook beleid onder de reikwijdte van haar toezichthoudende taak. Dus kan zij op basis daarvan ook maatregelen nemen. In de Uniper-zaak over het alcohol- en drugsbeleid overwoog de AP namelijk: “Echter, beleid wordt opgesteld met de bedoeling de erin beschreven situaties op uniforme wijze te beoordelen en/of te regelen. In die zin mag dan ook worden aangenomen dat de in het beleid omschreven situaties zich in de praktijk zullen gaan voordoen. Reeds vastgesteld beleid met voorgenomen verwerkingen van persoonsgegevens valt onder de toezichthoudende taak van de Autoriteit Persoonsgegevens.” Zelfs als een werkgever (PSA-) beleid voert dat strijdig is met privacyregels, maar waarbij (nog) geen bijzondere persoonsgegevens zijn verwerkt, moet de werkgever zich realiseren dat de AP maatregelen kan nemen.

PSA-beleid onmogelijk?

Betekent dit dat werkgevers beperkt worden in het (uit)voeren van een beleid dat gericht is op het voorkomen en beperken van PSA? Dat denk ik niet. Werkgevers kunnen binnen de grenzen die de AP heeft gegeven een beleid (uit) voeren om PSA te voorkomen of te beperken. Wel dienen werkgevers zich ervan bewust te zijn dat zij geen gezondheidsgegevens mogen verwerken. Indien werkgevers vermoeden of vaststellen dat er gevolgen of risico’s ten aanzien van de gezondheid van de medewerkers meespelen, dan doen zij er verstandig aan de bedrijfsarts of arbodienst in te schakelen en de medewerkers daarnaartoe te verwijzen. De bedrijfsarts en arbodienst hebben namelijk wel een wettelijke grondslag om hierover met de medewerker te praten en de gezondheidsgegevens vast te leggen.