Corona en Privacy
Corona crisis: ook een crisis voor onze privacy?
Welke data mogen bedrijven en de overheid over ons verzamelen in deze corona-tijd en hierna? Dat hoor je in deze podcast. De geschreven samenvatting lees je hieronder.
Corona, Privacy, AVG en Biometrische Surveillance
Welke data mogen bedrijven en onze overheid over ons verzamelen? Wat zijn de gebruikelijke afspraken en mag er nu meer in het tijdperk van corona bestrijding? Hoe zit dat wanneer wij ons begeven in het publieke domein? Wat mag ik dan verzameld worden? Ook onze biometrische gegevens zoals onze lichaamstemperatuur bijvoorbeeld? Gelden daar niet strengere regels voor? En nu we steeds meer thuis werken: wat mogen werkgevers aan data verzamelen over ons? Onze toetsenbord aanslagen? Het aantal e-mails dat wij verzenden of mogen ze iedere 10 minuten een foto van ons maken om te zien of er nog wel achter onze computer zitten? Welke arbeidsrechtelijke beperkingen zijn er voor de werkgever? Mag de Amerikaanse overheid Apple dingen om alle gegevens over mijn gezondheid van de Apple Watch over te dragen aan de Amerikaanse overheid? Dat hoor je in deze podcast.
Henk Bethlehem
Henk Bethlehem is werkzaam bij Bout advocaten als advocaat op het gebied van Intellectuele eigendoms-, privacy- en ICT-recht. Hij helpt bedrijven en instellingen op het gebied van: auteurs-, model-, merken-, portret- en handelsnaamrechten, vergelijkende reclame, en vraagstukken op het gebied van ‘internetrecht’, ICT en privacy.
Geschreven samenvatting
Welke data mogen bedrijven en onze overheid over ons verzamelen? Wat zijn de gebruikelijke afspraken en mag er nu meer in het tijdperk van corona bestrijding?
De AVG brengt de plicht mee om een reden (grondslag) te hebben om iemand zijn gegevens te mogen verwerken. Daarnaast moet je mensen informeren en je hebt te maken met beginselen (zoals niet meer gegevens verwerken dan nodig is).
Hoe zit dat wanneer wij ons begeven in het publieke domein? Wat mag dan verzameld worden?
Dat hangt heel erg van de situatie af. Je hebt de AVG en afhankelijk van de situatie mogen er gegevens verzameld worden. Het is moeilijk daar in algemene zin een antwoord op te geven.
Mogen in het publieke domein ook onze biometrische gegevens zoals onze lichaamstemperatuur bijvoorbeeld worden verzameld?
De gegevensverwerking moet altijd in verhouding staan tot wat noodzakelijk is. Ik zie dat niet snel gebeuren. Harari heeft het in zijn artikel over ‘over the skin surveillance’ en ‘under the skin surveillance’. Dat laatste gebeurt meer in autoritaire staten. Wij hebben te maken met een historie in het privacy.
Wel is het zo dat de overheid gegevens mag verzamelen in het ‘algemeen belang’ en daaronder ook ‘volksgezondheid’ wordt verstaan.
Luister op Spotify Luister op Apple Podcast.
Gelden daar niet strengere regels voor?
Ja. Het zijn ‘bijzondere persoonsgegevens’. Die hebben aparte ‘grondslagen’ in de AVG. Maar er lijkt dus een mogelijkheid te zijn volgens de AVG in combinatie met de Wet publieke gezondheid. Die mogelijkheden ben ik nu aan het onderzoeken.
En nu we steeds meer thuis werken: wat mogen werkgevers aan data verzamelen over ons? Onze toetsenbord aanslagen? Het aantal e-mails dat wij verzenden of mogen ze iedere 10 minuten een foto van ons maken om te zien of er nog wel achter onze computer zitten?
De gegevenswerking van een werkgever kan nooit op toestemming gebaseerd zijn. Er is immers een soort afhankelijkheidsrelatie. Meestal zal de grondslag gebaseerd zijn op een gerechtvaardigd belang. Daarbij moet het gerechtvaardigd belang worden bekeken. Er moet worden gekeken of het noodzakelijk is en vervolgens moet het gerechtvaardigde belang van de werkgever worden afgewogen tegen het belang van de werknemer.
Bij Vopak wil men bijvoorbeeld op het terrein het personeel gaan volgen middels pasjes die ook kunnen zien of je staat, zit of ligt. Dat is een vergaande inbreuk, waarbij ik ben benieuwd wat de conclusie zal zijn van de ‘gegevensbeschermingseffectbeoordeling’.
Het gaat niet om ‘nice to know’, maar een werkgever moet een ‘need to know’ hebben. De voorbeelden die je noemt kunnen misschien in Amerika, maar zie ik niet snel in Nederland gebeuren (tenzij het stiekem gebeurt).
Mag de Amerikaanse overheid Apple dingen om alle gegevens over mijn gezondheid van de Apple Watch over te dragen aan de Amerikaanse overheid? Mag de Nederlandse overheid die gegevens vorderen van Apple Europa bijvoorbeeld?
In de overwegingen van de AVG staat dat er sprake kan zijn van gegevensdoorgifte naar diensten met bevoegdheid op het gebied van de volksgezondheid. Je kunt dan denken aan en uitwisseling tussen de RIVM en de Amerikaanse variant daarvan. Voor Apple zie ik geen grondslag. In Amerika is er wellicht meer mogelijk.
Welke verschillen zitten er tussen Amerikaanse overheid en bedrijven en Nederlandse qua privacybescherming voor burgers en medewerkers?
In Amerika kun je gegevens verwerken mits je men maar informeert. In Nederland ben je gebonden aan de AVG (en de daarin grondslagen). In Amerika en China zijn burgers minder goed beschermd.
Stel: we gaan in de coronacrisis naar 1000 doden per dag. Mag de overheid ons dan verplichten een armband te dragen die onze biometrische gegevens uitleest?
Het zou de meest vergaande inbreuk op onze privacy zijn. Ik zie dat niet snel gebeuren. De gegevensverwerking moet wel in verhouding staan tot wat wordt verzameld. Ik sluit het niet helemaal uit, omdat de AVG de ruimte biedt aan de overheid om gegevens te verwerken in het ‘algemeen belang’. En onder het ‘algemeen belang’ ook ‘volksgezondheid’ wordt verstaan. Dan heb je de Wet publieke gezondheid die (als er haast bij is) vergaande bevoegdheden geeft aan de Minister. Dat ben ik nu aan het bekijken. Ik zie het niet snel gebeuren in ieder geval, gezien onze historie met privacy.
