Privacy in coronatijd

Het vaker thuiszitten van leerlingen/studenten én medewerkers als gevolg van de coronacrisis maakt dat creatieve oplossingen gevonden moeten worden voor lessen, examens en diploma-uitreikingen. Daarbij wordt gebruik gemaakt van de inmiddels bekende applicaties waarbij de gesprekspartners in beeld verschijnen, met alle vragen op het gebied van de privacy van dien.

Een andere privacy-kwestie betreft het registeren door onderwijsinstellingen van welke leerlingen/studenten en medewerkers besmet zijn geraakt met het coronavirus en het informeren van collega’s en klasgenoten daarover. Ook dat raakt immers de persoonlijke levenssfeer van mensen. Het gaat immers om gegevens over hun gezondheid.

In Nederland (Europa) wordt de persoonlijke levenssfeer sinds mei 2018 onder meer beschermd door de Algemene verordening gegevensbescherming (AVG). De AVG geldt ook in crisistijd en veel van de bijzondere maatregelen die de afgelopen tijd zijn genomen vallen op een of andere manier onder de reikwijdte van de AVG.

Videobellen

Als personen bij videobellen herkenbaar in beeld komen of te horen zijn levert dit een verwerking van persoonsgegevens op als bedoeld in de AVG. Het gaat niet alleen om het bewaren van de videogesprekken. Ook de live-gesprekken zelf leiden tot tijdelijke opslag en dus tot een verwerking van persoonsgegevens.

Voor zover het videobellen wordt geïnitieerd/georganiseerd door de onderwijsinstelling, zoals bijvoorbeeld bij lessen, examens en werkoverleggen, is deze primair verantwoordelijk voor naleving van de AVG.

Dat betekent allereerst dat de onderwijsinstelling zal moeten vaststellen op basis van welke van de zes limitatief in de AVG opgesomde grondslagen het videobellen plaatsvindt. Toestemming kan alleen een grondslag zijn als die vrijwillig wordt gegeven. Vaak zal bij het bijwonen van lessen en interne overleggen van vrijwilligheid geen sprake zijn. In veel gevallen kan dan vermoedelijk wel worden verdedigd dat het videobellen noodzakelijk is voor het nakomen van een wettelijke verplichting (zorgplichten in het kader van het onderwijsrecht of het arbeidsrecht) een overeenkomst met de betrokkene (onderwijsovereenkomst, arbeidsovereenkomst), of de behartiging van een gerechtvaardigd belang.

Als het beoogde doel echter ook bereikt kan worden op andere minder in de persoonlijke levenssfeer ingrijpende manieren, dan zou indien mogelijk/werkbaar daarvoor gekozen moeten worden. Er moet dus steeds geprobeerd worden om de privacy-inbreuk zo klein mogelijk te houden. De Autoriteit Persoonsgegevens (AP) stelt bijvoorbeeld dat beelden waarop leerlingen/studenten te zien zijn alleen in uitzonderingssituaties bewaard mogen worden. Ook kan worden gedacht aan het – waar mogelijk – toestaan dat de camera wordt uitgezet als mensen daar behoefte aan hebben.

De onderwijsinstelling zal ook een verwerkersovereenkomst moeten sluiten met de partij die de dienst voor het videobellen levert. In die verwerkersovereenkomst moeten bijvoorbeeld afspraken gemaakt worden over adequate beveiliging van de videogesprekken. Daarnaast zal de onderwijsinstelling de personen die deelnemen aan het videobellen altijd moeten informeren over wat er met de beelden gebeurt, bijvoorbeeld over waar en hoe lang ze worden opgeslagen en wie er toegang heeft tot de beelden.

Het opslaan van persoonsgegevens op servers buiten de EU, bijvoorbeeld in de VS (of na de Brexit het VK, is niet zomaar toegestaan en verdient extra aandacht. Veel partijen uit de VS bieden de mogelijkheid om persoonsgegevens op servers in de EU op te slaan, maar het is aan de onderwijsinstelling om van die mogelijkheid gebruik te maken.

De Autoriteit Persoonsgegevens heeft op haar website een praktische handreiking geplaatst voor onderwijsinstellingen die gebruikmaken van videobellen.

Registratie van coronagevallen

Door coronabesmettingen te registreren kan erop worden toegezien dat de besmette persoon de juiste maatregelen neemt en kunnen contacten van de betreffende persoon worden gewaarschuwd. Vermoedelijk bestaat daarom bij onderwijsinstellingen de behoefte om coronabesmettingen van hun leerlingen/studenten en medewerkers te registreren en deze informatie met medewerkers en klasgenoten te delen.

Als een registratie van of aan derden verstrekte informatie over een coronabesmetting tot de persoon herleidbaar is, dan is sprake van een verwerking van persoonsgegevens die onder de AVG valt. Gezondheidsgegevens, zoals het gegeven dat iemand met het coronavirus is besmet, worden onder de AVG extra beschermd. Het registreren/delen daarvan is verboden tenzij de verwerking valt onder een aantal specifieke in de AVG/wet beschreven gevallen.

Van die gevallen komen, op dit moment, vermoedelijk alleen de toestemming van de betrokken persoon of diens wettelijke vertegenwoordiger en de bescherming van de vitale belangen van de betrokkene of van andere natuurlijke personen mogelijk in aanmerking als rechtvaardiging voor registratie van/het delen van tot de persoon herleidbare informatie over coronabesmettingen.

Voor een geldige toestemming is allereerst vereist dat de betrokkene vooraf duidelijk wordt geïnformeerd over wat er met de registratie van de coronabesmetting gaat gebeuren. Daarnaast is een toestemming alleen geldig als deze vrijelijk kan worden gegeven. Van vrijelijk gegeven toestemming kan, als gevolg van de hiërarchische verhoudingen tussen werkgever en werknemer, voor wat betreft de medewerkers vermoedelijk niet snel sprake zijn. Het is ook maar de vraag in hoeverre leerlingen/studenten (of hun wettelijke vertegenwoordigers) echt vrij zijn om toestemming te geven. Van vrijelijk gegeven toestemming kan echt sprake zijn als het niet geven van de toestemming geen enkele consequentie heeft voor de betrokkene. Dat brengt automatisch met zich mee dat er ook betrokkenen kunnen (zullen) zijn die geen toestemming willen geven. Bovendien kan toestemming worden ingetrokken.

Het is de vraag of in gevallen waarin geen geldige toestemming kan worden verkregen of de toestemming wordt ingetrokken de bescherming van vitale belangen van de betrokken persoon zelf of de personen die in contact zijn geweest of kunnen komen met deze persoon kunnen rechtvaardigen dat een coronabesmetting, toch tot de persoon herleidbaar, wordt geregistreerd en met anderen wordt gedeeld.

De bestrijding van epidemieën wordt in de AVG weliswaar als voorbeeld van een vitaal belang genoemd. Voor een geldig beroep op vitale belangen is echter vereist dat toestemming juridisch of feitelijk niet gegeven kán worden. Het is onduidelijk of daar in dit geval sprake van is. Met ‘niet gegeven kán worden’ lijkt in de AVG vooral te zijn gedoeld op de situatie dat iemand fysiek of mentaal niet in staat is om toestemming te geven. Hier gaat het echter om de situatie dat de persoon niet vrij is om toestemming te geven of geen toestemming wil geven.

Voor wat betreft medewerkers stelt de Autoriteit Persoonsgegevens in ieder geval dat het registreren van coronabesmettingen van medewerkers simpelweg niet mag. De Autoriteit Persoonsgegevens zal vermoedelijk vergelijkbaar aankijken tegen het registreren van coronabesmettingen van leerlingen/studenten.

Zolang de Nederlandse wetgever geen expliciete wettelijke basis creëert blijft het daarom twijfelachtig of onderwijsinstellingen tot de persoon herleidbare informatie over coronabesmettingen van leerlingen/studenten en medewerkers mogen registreren en met collega’s en klasgenoten mogen delen als daarvoor geen geldige, uitdrukkelijke en vrijelijke toestemming is verkregen van de betrokken persoon of diens wettelijk vertegenwoordiger.

Wel zijn scholen in het primair onderwijs op grond van de Wet Publieke Gezondheid gehouden en dus ook gerechtigd om een melding te doen bij de GGD als sprake is van één of meerdere bevestigde coronagevallen op hun school en zij daar nog niet door de GGD over zijn geïnformeerd. Voor de GGD bestaan wel wettelijke grondslagen waarop de registratie van en het delen van informatie over coronagevallen kan worden gebaseerd.
Voor meer informatie over dit onderwerp zie ook: https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/corona/corona-op-de-werkvloer

Dit blog is tevens gepubliceerd in Schoolmanagement Totaal, november 2020 | Privacy in coronatijd

Lees ook: De rol van de Raad van Bestuur in het onderwijs