Verwerking van persoonsgegevens i.v.m. vaccinatie in het kader van de strijd tegen COVID-19
Naar aanleiding van actuele gebeurtenissen omtrent de vaccinatiestrategie tegen Covid-19 ontving de Gegevensbeschermingsautoriteit (“GBA”) een aantal terugkerende vragen over de gevolgen van deze strategie met betrekking tot de verwerking van persoonsgegevens. De huidige strategie bepaalt dat de vaccinatie tegen Covid-19 op vrijwillige basis gebeurt waardoor personen vrij zijn om te kiezen of ze zich laten vaccineren of niet. De GBA lijst op deze pagina de meest gestelde vragen op en wijst op het belang van de bescherming van persoonsgegevens in deze nieuwe fase van de pandemie. De onderstaande antwoorden zijn onderhevig aan eventueel wettelijke ontwikkelingen over de vaccinatiestrategie en zullen dan ook aangepast worden indien nodig.
De GBA vestigt de aandacht op de regels met betrekking tot de verwerking van gezondheidsgegevens. Informatie over de vaccinatiestatus van een persoon zijn persoonsgegevens onder de Algemene Verordening Gegevensbescherming (“AVG”) en meer bepaald gezondheidsgegevens die een ruimer regime van bescherming genieten onder de AVG. Het opvragen en registreren van deze vaccinatiestatus is dan ook een verwerking van gezondheidsgegevens waarop de AVG van toepassing is. Het opvragen van de vaccinatiestatus zal in beginsel verboden zijn, tenzij de verwerkingsverantwoordelijke zich op een uitzondering van artikel 9.2 AVG kan beroepen. Hieronder bespreken we de meest relevante uitzonderingen.
Artikel 9.2.a) AVG stelt dat u gezondheidsgegevens kan verwerken met de uitdrukkelijke en vrije toestemming van de betrokkene. Dit wil zeggen dat de betrokkene een echte, vrije keuze heeft tot zijn toestemming en dat er geen nadelige gevolgen verbonden kunnen worden aan het weigeren of intrekken van de toestemming. Indien de toegang tot een bepaalde plaats afhankelijk wordt gesteld van een vaccinatiebewijs tegen Covid-19, is dit in strijd met het ‘vrije’ karakter van de toestemming. Bijgevolg is de toestemming voor het verwerken van de vaccinatiestatus van een betrokkene niet vrij als de toegang tot de plaats geweigerd wordt aan personen die zich bewust niet hebben laten vaccineren, de kans nog niet hebben gekregen om zich te laten vaccineren tegen Covid-19 of geen vaccinatiebewijs kunnen voorleggen.
Toestemming zal dus in de meeste omstandigheden geen geschikte rechtsgrond zijn voor het verwerken van de vaccinatiestatus van een persoon.
Het verbod op het opvragen van de vaccinatiestatus van personen kan ook opgeheven worden op basis van het recht van een lidstaat. Belangrijk hierbij te vermelden is dat een dergelijke maatregel evenredig moet zijn met het beoogde doel en de wezenlijke inhoud van het recht op bescherming van persoonsgegevens moet eerbiedigen. Bovendien moeten er passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene.
In het geval van een arbeidsrechtelijke relatie kan dit recht van de lidstaat ook vastgelegd zijn in een collectieve arbeidsovereenkomst indien deze passende waarborgen biedt voor de grondrechten en de fundamentele belangen van de betrokkenen. Belangrijk om op te merken is dat in een arbeidsrelatie deze uitzondering vereist dat de bepaling voldoende specifiek moet zijn in de context die voorligt om te kunnen gelden als passende wettelijke uitzondering op het verwerkingsverbod van artikel 9.1 AVG.
Het is ook mogelijk om de verwerking van gezondheidsgegevens toe te staan op basis van het recht van een lidstaat om een zwaarwegend algemeen belang of de volksgezondheid te beschermen. Dergelijke wetgeving moet evenredig zijn met het nagestreefde doel, het recht op gegevensbescherming van de betrokkenen eerbiedigen en gepaard gaan met specifieke maatregelen om de grondrechten van de betrokkene te beschermen. Een vage of te algemene wetsbepaling is dus niet voldoende.
De GBA heeft op dit ogenblik nog geen kennis genomen van enige wetgeving of CAO die het mogelijk maakt om met het oog op de bescherming tegen de verdere verspreiding van het Covid-19 virus de vaccinatiestatus van een persoon op te vragen en bijgevolg deze gezondheidsgegevens te verwerken.
Vragen
Nee, de vaccinatiestatus van een persoon is een gezondheidsgegeven. De verwerking van gezondheidsgegevens is krachtens artikel 9 AVG verboden tenzij een wet hierop een uitzondering maakt of de betrokkene een vrije uitdrukkelijke toestemming verleent.
Maar, eén van de vereisten voor een geldige toestemming is dat die toestemming vrij wordt gegeven. Dit betekent dat de klant werkelijk moet kunnen kiezen of hij al dan niet zijn gezondheidsgegevens wil laten verwerken (en dus inzage geeft in zijn vaccinatiebewijs). Als de klant de toegang tot het restaurant, café, vliegtuig of winkel ontzegd wordt omdat hij geen bewijs van vaccinatie wil of kan tonen, dan is die toestemming niet vrij, en kan toestemming niet worden gebruikt als geldige rechtsgrond voor de verwerking.
Er bestaat momenteel geen wettelijke bepaling die dit type van verwerkingen van gezondheidsgegevens zou toestaan.
Een organisator van een evenement mag in principe niet vragen om een vaccinatiebewijs voor te leggen. Het vragen of een persoon al dan niet gevaccineerd is om toegang te verlenen tot het evenement, is een verwerking van gezondheidsgegevens. Volgens artikel 9 AVG is de verwerking van gezondheidsgegevens in principe verboden, tenzij er een expliciete wettelijke bepaling bestaat die dit toestaat of tenzij de betrokkene een vrije uitdrukkelijke toestemming heeft gegeven. Behalve voor evenementen die gebruik maken van het zogenaamde “Covid Safe Ticket” (zie hieronder), bestaan er geen wettelijke bepalingen die dit toelaten. Indien een organisator de toegang tot een evenement weigert voor personen die zich niet hebben laten vaccineren, is er ook geen sprake van een ‘vrije’ toestemming omdat er negatieve gevolgen (met name de weigering van de toegang) verbonden worden aan de weigering van een toestemming.
De regeling betreffende het zogenaamde ““Covid Safe Ticket” vormt vandaag de enige uitzondering op bovenstaand verbod om een vaccinatiebewijs te laten voorleggen om toegang te geven tot evenementen. De organisatoren van zogenaamde “massa-evenementen” of “proef -en pilootprojecten” kunnen immers eisen dat via het digitaal EU-COVID-certificaat wordt aangetoond dat een bezoeker over een vaccinatiecertificaat (of over een test -of herstelcertificaat) beschikt.”
Nee, de vaccinatiestatus van een persoon is een gezondheidsgegeven. Gezondheidsgegevens zijn een bijzondere categorie van persoonsgegevens. Artikel 9.1 AVG verbiedt de verwerking van gezondheidsgegevens, tenzij een uitdrukkelijke uitzondering voorzien in artikel 9.2 AVG van toepassing is. Zo een uitzondering kan een wettelijke bepaling zijn of de vrije uitdrukkelijke toestemming van de betrokkene. Dit betekent dat de werknemer werkelijk moet kunnen kiezen of hij al dan niet zijn gezondheidsgegevens wil laten verwerken. In de relatie tussen werknemer en werkgever is de toestemming van de werknemer zelden vrij omdat een werknemer grote druk kan ondervinden om toe te stemmen. Meer informatie over Covid-19 op de werkvloer vindt u op deze link.
De GBA heeft verder ook nog geen kennis genomen van enige wettelijke bepaling of CAO die het mogelijk maakt om dit type van verwerkingen van gezondheidsgegevens toe te staan.
Neen. De werkgever heeft in de Arbeidsovereenkomstenwet een wettelijke verplichting om als een goed huisvader te zorgen dat de arbeid wordt verricht in behoorlijke omstandigheden met betrekking tot de veiligheid en gezondheid van zijn werknemers. Een werkgever mag op basis van deze wettelijke verplichting echter niet aan zijn werknemers vragen wie zich heeft laten vaccineren en wie niet.
Het louter opvragen van deze informatie is al een verwerking van persoonsgegevens, in dit geval zelfs gezondheidsgegevens, onder de AVG. Op de verwerking van gezondheidsgegevens geldt een principieel verbod neergelegd in artikel 9.1 AVG. Op dit verbod bestaan enkele uitzonderingen waardoor de verwerking van deze gezondheidsgegevens rechtmatig is. Zo mogen gezondheidsgegevens verwerkt worden indien dit noodzakelijk is met het oog op de uitvoering van verplichtingen van de verwerkingsverantwoordelijke (in dit geval de werkgever) op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht. De GBA is echter van mening dat de verplichtingen van de Arbeidsovereenkomstenwet die op de werkgever rusten geen uitzondering vormen op het principiële verbod van de verwerking van gezondheidsgegevens omdat deze geen voldoende garanties bieden voor een rechtmatige verwerking van gezondheidsgegevens.
Neen, dit mag niet. Dit zou niet alleen de bescherming van de persoonsgegevens van de werknemers schenden, maar ook het beroepsgeheim van de arbeidsgeneesheer indien deze gegevens van medische dossiers zou meedelen aan de werkgever.
Er is tot op heden geen wettelijke basis die een uitzondering maakt op het verwerkingsverbod van gezondheidsgegevens of het beroepsgeheim van de arbeidsgeneesheer in de vaccinatiecontext. De werkgever kan dit ook niet doen op basis van een toestemming door de werknemer, omdat dit enerzijds door de precaire relatie tussen de werkgever en werknemer niet beschouwd zal worden als een ‘vrije toestemming’ en omdat anderzijds de toestemming geen uitzondering vormt op het beroepsgeheim van de arbeidsgeneesheer.
Neen, dit kan niet. Scholen en universiteiten willen zoveel mogelijk de gezondheid van de leerlingen, studenten en lesgevers garanderen door les te geven in zo veilig mogelijke omstandigheden. Dit verantwoordt echter niet dat ze de toegang tot de leslokalen mogen weigeren voor niet-gevaccineerde leerlingen of studenten. De huidige vaccinatiestrategie bepaalt dat personen niet verplicht zijn om zich te laten vaccineren, maar dit vrij kiezen. Leerlingen of studenten laten bewijzen dat ze zich hebben gevaccineerd voordat ze een leslokaal mogen betreden zou een onrechtmatige verwerking van gezondheidsgegevens inhouden.
Ook indien de toestemming van de betrokken leerlingen of studenten verkregen wordt, zal dit nog steeds verboden zijn. Deze toestemming zal namelijk niet vrij gegeven worden omdat er nadelige gevolgen verbonden worden aan de weigering tot toestemming, namelijk het niet kunnen betreden van de leslokalen.
Tot op heden heeft de GBA ook nog geen kennis genomen van enige wettelijke of decretale bepaling die het mogelijk maakt voor scholen of universiteiten om vaccinatiebewijzen op te vragen met het oog op het creëren van een veilige leeromgeving voor leerlingen en studenten.