Toegangsbeleid met temperatuurmetingen onder de AVG: alleen ‘klassieke’ thermometer?

19-06-2020

Eliëtte Vaal

Langzaamaan versoepelen de regels omtrent het tegengaan van de verspreiding van het COVID-19 virus steeds verder. Inmiddels openen steeds meer kantoren hun deuren en worden werknemers uitgenodigd weer naar kantoor te komen. Uiteraard op verantwoorde wijze, zonder een nieuwe golf van het coronavirus teweeg te brengen. In dat kader komt opnieuw de vraag naar voren: hoe zit het nu ook alweer met temperaturen? Wat mag wel, en wat mag niet?

coauteur: Vonne Laan

Initieel stelde de Autoriteit Persoonsgegevens (AP) zich op het standpunt dat het in de zorg toegestaan was om tijdens de coronacrisis de temperatuur van werknemers te controleren maar “op andere plekken niet”. Later verdween dat standpunt en had de AP een bericht op haar website geplaatst waarin expliciet werd aangegeven dat werkgevers hun werknemers niet mogen temperaturen en dat de AP hoge boetes kan opleggen als dat toch gebeurt. Dit standpunt was verrassend gezien de ietwat andere insteek van de privacytoezichthouder in ons buurland België. De Gegevensbeschermingsautoriteit (GBA) in België had op haar website gepubliceerd: De GBA beschouwt de loutere opname van de lichaamstemperatuur niet als een verwerking van persoonsgegevens.” Daarmee valt dit buiten het bereik van de Algemene verordening gegevensbescherming (AVG). Voor de beoordeling van de toepasselijkheid van de AVG achtte de GBA het van doorslaggevend belang of de temperatuur al dan niet werd geregistreerd: “Indien na het opnemen van de temperatuur verdere stappen evenwel gepaard gaan met een bijkomende registratie (bv. om een weigering van toegang te rechtvaardigen t.o.v. betrokkene, of om deze te documenteren voor andere doelstellingen), zal er daarentegen wel sprake zijn van een verwerking van persoonsgegevens.” De GBA noemde het voorbeeld van een school die een aantekening maakt in het leerlingendossier na een temperatuurmeting dat iemand afwezig of ziek is, waarop de AVG wel van toepassing is en waarvoor dan geen grondslag bestaat.

De paradoxale insteek van beide toezichthouders is niet onopgemerkt gebleven. Ook wijzelf stelden dit punt aan de kaak in ons interview voor Privacyweb van 6 mei jl. Gelukkig pastte de AP enkele dagen later opnieuw haar standpunt hierover bij. De AP gaf nu aan dat het aflezen van de temperatuur van natuurlijke personen op een thermometer niet onder de werkingssfeer van de AVG valt. De AVG is wel van toepassing als de verwerkingsverantwoordelijke de bedoeling heeft om de meetgegevens te bewaren (door te geven, te registreren) of de gegevens geautomatiseerd verwerkt (poortjes die openen, groen licht). De AP benadrukte daarbij dat ook wanneer de AVG niet van toepassing is, het temperaturen wel strijdig kan zijn met privacy-grondrechten (AP, Nieuwbericht, Temperatuur meten mag niet zomaar, 24 april 2020). Vooralsnog lijkt dit het finale standpunt van de AP over temperatuurmetingen.

Inmiddels heeft echter de GBA haar visie op dit onderwerp nader bijgesteld (zie GBA, Koorts meten in het kader van de strijd tegen COVID-19, 5 juni 2020). De GBA verduidelijkt nu dat het louter opnemen van iemands temperatuur (toch) onder de reikwijdte van de AVG kan vallen. Dit speelt als de temperatuurmeting “op een geavanceerde digitale wijze plaatsvindt, wat het geval is als men automatisch (of vanop afstand) de huidtemperatuur van een persoon meet.” Dat gaat volgens de GBA verder dan het louter aflezen van iemands temperatuur en kwalificeert als geautomatiseerde verwerking. De GBA stelt expliciet dat het gebruik van digitale geavanceerde koortsscanners, hittecamera’s of andere geautomatiseerde systemen die de waarde van lichaamswarmte meten op zich een verwerking van persoonsgegevens over gezondheid inhoudt en dus niet toegelaten is. Op het eerste oog lijkt deze redenering logisch navolgbaar. Het geautomatiseerd verwerken is immers een breed begrip en betreft ook het verwerken van persoonsgegevens met behulp van apparatuur zonder dat informatie wordt opgeslagen. Bij het toepassen van deze redenering wordt het echter lastiger. Wanneer is sprake van een “digitale geavanceerde koortsscanners”? Vallen ‘normale’ digitale thermometers voor huis- tuin- en keukengebruik onder dit begrip? Is dan ook sprake van een geautomatiseerde verwerking? De GBA lijkt dat uit te sluiten door te focussen op geavanceerde (geautomatiseerde) digitale verwerkingen en te stellen dat het louter aflezen van de temperatuur op een klassieke thermometer is toegestaan. Waar haalt de GBA echter het extra criterium van “geavanceerd” vandaan? Blijkens de AVG is het criterium of al dan niet sprake is van een geautomatiseerde verwerking; of de verwerking geavanceerd is of niet is irrelevant.

De vraag is of het gebruik van digitale koortsscanners volgens de AP ook onder het bereik van de AVG valt. Mogelijk stelt de AP haar normuitleg op dit punt opnieuw bij in navolging van de Belgen. Tot die tijd kan wellicht zekerheidshalve het best worden voorgesorteerd op het standpunt van de GBA. Thermometers met camera’s waarbij diverse temperaturen die na elkaar worden opgemeten worden opgeslagen, kunnen in elk geval het best worden vermeden. Hoe simpeler de thermometer, hoe beter, zo lijkt. Overigens is hier een nuance op zijn plaats. Klassieke thermometers die voor een betrouwbaar gebruik rectaal dienen te worden gebruikt zullen een significant grotere privacy-inbreuk met zich meebrengen dan bijvoorbeeld een oorthermometer met wegwerpkapje. Van belang is daarbij ook hoe het temperaturen verder wordt ingekleed: bij voorkeur worden personen bijvoorbeeld in de gelegenheid gesteld om zichzelf temperaturen. Met de zomervakantie voor de deur kunnen organisaties in relatieve rust nadere invulling geven aan hun beleid op dit punt.


Van onze partners

Incompanymogelijkheden

Privacyweb biedt ook de mogelijkheid om de verschillende onderwerpen als incompanyworkshop/cursus te organiseren, in samenwerking met de deskundige docenten van de Berghauser Pont Academy.
Hierbij staat de kennisbehoefte van uw medewerkers centraal. U krijgt een uniek programma toegespitst op uw wensen.
Lees meer

Wilt u snel antwoord op uw vraag?
Hanna Rab (junior uitgever) informeert u graag over de mogelijkheden. Zij is te bereiken via tel. 020 - 8200 908 en e-mail hanna@berghauserpont.nl.

Privacy voor finance professionals

→ Lees meer

Privacy op de werkvloer

→ Lees meer

Nieuwsbrief

Blijf op de hoogte van het laatste nieuws over privacy, cybersecurity en data. Abonneer op onze gratis nieuwsbrief.

Abonneer