Leestijd: 4 minuten

Tal van organisaties bereiden zich voor op het heropenen van kantoorpanden; bij Hot ITem Conclusion is dat niet anders. Om onze ervaringen te delen hebben we op 26 mei j.l. een webinar verzorgd over social distancing, met name over hoe je technologie en de daarmee gegenereerde data kunt inzetten om na te gaan of de getroffen maatregelen effectief zijn. Maar waar je met data werkt, werk je al snel met persoonsgegevens. En dus is het belangrijk om ook naar de privacy-impact van medewerkers en bezoekers te kijken.

Draagvlak medewerkers

In de kern draait het om de vraag hoe we ervoor kunnen zorgen dat het besmettingsrisico op kantoor geminimaliseerd wordt. Twee maatregelen springen daarbij in het oog:

  1. Ervoor zorgen dat iedereen de vereiste anderhalve meter afstand van elkaar houdt.
  2. (Al dan niet bij twijfel) de lichaamstemperatuur meten van mensen die naar binnen willen.

Alhoewel de AVG niet zonder meer van toepassing is op beide, bieden een paar AVG-concepten wel enkele handvatten bij het bepalen hoe je je maatregelen in de praktijk implementeert, om zo veel mogelijk draagvlak onder medewerkers te krijgen. Want er is hoe dan ook een privacy-impact.

AVG-concepten

In de eerste plaats moet je – volgens de AVG – voor iedere verwerking van persoonsgegevens een duidelijk, specifiek en vooraf gesteld doel hebben. Het scherp krijgen van het doel draagt er tevens aan bij dat de medewerkers inzien wat nut en noodzaak van de maatregelen zijn, zodat zij begrip opbrengen voor de genomen maatregelen. Vervolgens moeten medewerkers de maatregelen ook redelijk vinden in verhouding tot hun doel; in AVG-termen gaat het dan om de proportionaliteit van de verwerking. En tot slot moeten medewerkers erop kunnen vertrouwen dat hun gegevens alleen worden gebruikt voor het minimaliseren van het besmettingsrisico. Hiervoor is nodig dat je zegt wat je doet – het transparantievereiste uit de AVG – en dat je doet wat je zegt, en je je daarover kunt verantwoorden.

Toepassing van deze concepten op de eerder genoemde maatregelen zou er dan als volgt uit kunnen zien:

1. Maatregelen voor het houden van anderhalve meter afstand tot elkaar

Om ervoor te zorgen dat medewerkers en bezoekers 1,5 meter afstand van elkaar kunnen houden, hebben we bij Hot ITem Conclusion expliciet bepaald welke werkplekken en vergaderruimtes beschikbaar zijn voor gebruik. Bovendien is het reserveren van een werkplek/vergaderruimte verplicht, zodat je van tevoren weet of er plaats beschikbaar is en het zin heeft om naar kantoor te komen. Daarnaast hebben we looproutes en belijning aangebracht op plekken waar samenkomst van medewerkers en bezoekers te verwachten is.

Op zichzelf hebben deze maatregelen geen privacy-impact op medewerkers, of in ieder geval  geen beperkende impact. Maar om na te gaan of deze maatregelen ook effectief zijn, is het nodig om enige vorm van toezicht te houden op de naleving ervan. Als je dat doet door de Social Distance Officer af en toe een rondje door het pand te laten lopen, en waar nodig mensen aan te spreken, is er nog geen sprake van verwerking van persoonsgegevens. Maar gebruik je hiervoor een technologische oplossing, zoals gepresenteerd tijdens het webinar van 26 mei, dan moet je al snel rekening houden met de AVG. Ook hier geldt dat je de oplossing moet kiezen die de minste privacy-impact heeft op de aanwezigen, en dat de gekozen oplossing in verhouding staat tot de inbreuk op privacy (proportionaliteit). Mocht die oplossing een ‘waarschijnlijk hoog’ privacyrisico met zich meebrengen, dan is de uitvoering van een DPIA op zijn plaats.

2. Meten van lichaamstemperatuur

Het doel hiervan moge duidelijk zijn: voorkomen dat medewerkers en bezoekers met koorts het pand betreden en zo een besmettingsrisico vormen voor de overige aanwezigen. Het meten kun je op verschillende manieren doen: door middel van een thermometer/temperatuurscanner of warmtecamera. Het gebruik van een thermometer maakt minder inbreuk op de privacy dan een warmtecamera. In de eerste plaats omdat het voor de betrokkene duidelijk is wat er gebeurt op het moment dat je met een thermometer op hem/haar afstapt, terwijl meting door middel van een warmtecamera volledig buiten zijn/haar medeweten om kan plaatsvinden. In de tweede plaats kan meting met een thermometer alleen gebeuren op individuele basis, terwijl een camera iedereen binnen zijn blikveld registreert, waardoor er potentieel veel meer metingen plaatsvinden dan wellicht nodig zijn. En tot slot stelt een handmatige meting de betrokkene in de gelegenheid om daar op dat moment bezwaar tegen aan te tekenen, terwijl dat bij meting door een camera in veel gevallen een stuk lastiger is, omdat de meting dan waarschijnlijk al heeft plaatsgevonden.

Een handmatige meting valt niet onder de AVG zolang het resultaat ervan niet geautomatiseerd wordt verwerkt of in een bestand terechtkomt. Of meting met behulp van een warmtecamera ook is uitgezonderd van de AVG (zoals je kunt opmaken uit de recente draai van de Autoriteit Persoonsgegevens) zelfs als het resultaat verder niet wordt vastgelegd, is wat mij betreft nog maar de vraag.

Zodra een warmtecamera constateert dat een voorbijganger verhoging heeft en vervolgens een signaal afgeeft, is er mijns inziens sprake van geautomatiseerde verwerking, en is dus de AVG daarop van toepassing. Niet onterecht ook, omdat de privacy-impact van deze manier van meten zoals gezegd aanzienlijk groter is dan de impact van een handmatige meting. Als de AVG inderdaad van toepassing is, dan is meting met behulp van warmtecamera’s al snel disproportioneel, omdat er een minder impactvol alternatief is. Bovendien biedt de AVG – in ieder geval in een arbeidsrelatie – geen uitzondering op het verbod om gezondheidsgegevens te verwerken, zo geeft ook de Autoriteit Persoonsgegevens aan.

Effectiviteit van maatregelen om besmettingsrisico te minimaliseren

Voor zowel het meten van temperatuur als het toezicht op de naleving van 1,5-metermaatregelen geldt dat het zaak is om ze te beoordelen op effectiviteit. Als namelijk blijkt dat de genomen maatregelen niet of nauwelijks bijdragen aan het doel (het minimaliseren van besmettingsrisico), dan kunnen ze nooit proportioneel zijn. En zelfs als de AVG niet van toepassing is op bepaalde maatregelen, doe je er – voor het draagvlak onder medewerkers – goed aan om de effectiviteit te evalueren en de uitkomsten daarvan bekend te maken (transparantie). Die effectiviteit kun je natuurlijk beoordelen door het aantal overtredingen te turven, maar je kunt de aanwezigheid van maatregelen ook afzetten tegen het verloop van het ziekteverzuim. Let er dan wel op dat je hiervoor het verzuimverloop in geaggregeerde vorm gebruikt. Ziekteverzuim op individueel niveau is immers een gezondheidsgegeven, en dat mag je bij gebrek aan wettelijke basis niet gebruiken voor het evalueren van de effectiviteit van je maatregelen.

Aandachtspunten privacy-impact bij social distancing

Tot slot nog enkele aandachtspunten als je aan de slag gaat met social distancing op kantoor:

  • Zoals gezegd: probeer bij iedere maatregel de privacy-impact zo veel mogelijk te beperken, en vertrouw zo veel mogelijk op eigen verantwoordelijkheid van medewerkers. Dit komt het draagvlak ten goede.
  • Zorg voor een goede onderbouwing van privacybeperkende maatregelen, en leg die vast op papier. Daar waar de AVG van toepassing is, is dat overigens ook verplicht.
  • Mede om draagvlak te creëren, is het goed om tijdig de OR te betrekken. Voor maatregelen waarbij sprake is van de verwerking van persoonsgegevens van medewerkers, is bovendien instemming van de OR vereist.