Wanneer mag een werkgever je temperatuur meten?

1. Is de AVG van toepassing op het meten van lichaamstemperatuur?

De Algemene Verordening Gegevensbescherming (“AVG”) is van toepassing op de verwerking van persoonsgegevens. In het nieuwsbericht van de AP dat eind april verscheen, stelt de AP dat temperatuurgegevens persoonsgegevens zijn en dat de AVG dus van toepassing is. Het gevolg van de toepassing van de AVG is dat temperatuurgegevens niet verwerkt mogen worden. Temperatuurgegevens worden namelijk aangemerkt als gezondheidsgegevens en op de verwerking van gezondheidsgegevens rust (in beginsel) een verbod. In theorie kan een betrokkene toestemming geven, maar als de betrokkene geen echt vrije keuze heeft – en dat is meestal zo daar waar gemeten wordt – is die toestemming niet geldig.

Het is echter de vraag of het meten van de temperatuur een verwerking van persoonsgegevens is. Op het moment dat het meten van de temperatuur geen verwerking van persoonsgegevens is, is de AVG niet van toepassing en mag de temperatuur gewoon worden gemeten. Of de AVG van toepassing is, moet worden beoordeeld aan de hand van artikel 2 lid 1 van de AVG waarin het volgende is bepaald:

Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

1.1 Is lichaamstemperatuur een persoonsgegeven?

Voor de toepassing van de AVG moet ten eerste sprake zijn van ‘persoonsgegevens’. Er moet dan worden beoordeeld of een persoon direct dan wel indirect kan worden geïdentificeerd aan de hand van zijn of haar gemeten temperatuur. Indien bij een werknemer de temperatuur wordt gemeten en dit gegeven nergens aan wordt gekoppeld, is het geen persoonsgegeven. Het Hof van Justitie (“HvJ”) bevestigde dit in het Breyer-arrest  waarin het HvJ moest beoordelen of een IP-adres een persoonsgegeven is. Het HvJ benadrukte toen dat pas sprake is van een persoonsgegeven indien het gegeven tot een persoon herleidbaar is. Het gegeven ’37.3 °C graden’ zegt op zichzelf niets. Sterker nog, de temperatuur is geen uniek nummer. Gedurende de dag kan de lichaamstemperatuur van een persoon wisselen. De situatie verandert echter wanneer een werkgever naast de temperatuur andere gegevens van de werknemer gaat registeren. De combinatie van gegevens kunnen herleidbaar zijn tot de werknemer. In dit laatste geval is wel sprake van persoonsgegevens.

1.2 Is het meten van de temperatuur een verwerking?

Voor de toepassing van de AVG moet verder sprake zijn van een ‘verwerking’ van persoonsgegevens. Voorbeelden van verwerkingen zijn het verzamelen, opslaan, doorsturen, wijzigen en gebruiken van persoonsgegevens. De vraag die hier speelt is of het louter meten van een werknemer zijn temperatuur een verwerking is. In het meest simpele geval wordt de temperatuur gemeten, verschijnt de temperatuur enkele seconden in beeld en verdwijnt vervolgens weer. Is deze enkel weergave van cijfers een verwerking van persoonsgegevens? In mijn ogen niet. Bovendien is er geen controle over de gegevens. Het verwerken van gegevens impliceert dat er controle over de gegevens is en dat er enige invloed kan worden uitgeoefend over de gegevens. Denk aan het doorsturen van een e-mail. Bij het doorsturen van de e-mail vindt een actieve handeling plaats waardoor je invloed uitoefent over de gegevens en waardoor je controle hebt over de gegevens. Bij het verrichten van een temperatuurmeting heb je geen controle over de gegevens. De gegevens worden niet doorgestuurd naar een database of opgeslagen in een bestand. Worden de temperatuurgegevens wel bijgehouden, opgeslagen of samengevoegd met andere gegevens, dan is sneller sprake van een verwerking. Het hangt er dus vanaf of de gegevens enkel worden afgelezen of dat er meer met de gegevens gebeurt. 

Het lijkt erop dat de AP zich heeft aangesloten bij deze redenering. In het bericht dat zij vrijdag publiceerde, geeft de AP aan dat het aflezen van de temperatuur is toegestaan en niet onder het toepassingsbereik van de AVG valt. Dit wordt anders indien de temperatuur ergens wordt geregistreerd. In dat geval komt de AVG weer in beeld en is er sprake van een verwerking van persoonsgegevens. Opvallend is overigens dat de AP haar nieuwsbericht niet heeft aangepast naar aanleiding van haar gewijzigde standpunt. Deze wijziging is enkel te vinden op de informatiepagina over corona.

2. Voorbeelden van meten van temperatuur bij werknemers wel/niet toegestaan

Hieronder geef ik enkele voorbeelden van situaties waarin het meten van de temperatuur geen verwerking van persoonsgegevens is en de AVG dus niet van toepassing is en voorbeelden waarin het meten van de temperatuur wel een verwerking van persoonsgegevens is en de AVG van toepassing is.

• De temperatuur wordt bij een persoon gemeten. De temperatuurgegevens worden nergens genoteerd. Geen verwerking van persoonsgegevens

• Voordat personen een gebouw mogen betreden, wordt hun temperatuur gemeten. Op een lijst wordt bijgehouden welke personen na de meting naar binnen mogen. Wel verwerking van persoonsgegevens. Op basis van een verschillenanalyse kun je zien welke personen niet naar binnen mochten en mogelijk ziek zijn. 

• De temperatuur wordt bij een persoon gemeten. In een Excel bestand worden de naam, het tijdstip en de temperatuurgegevens genoteerd. Wel verwerking van persoonsgegevens

• De temperatuur wordt bij een persoon gemeten. De temperatuur blijkt te hoog te zijn en de werknemer gaat naar huis. Naar HR wordt een e-mail gestuurd dat werknemer X op basis van de temperatuurmeting naar huis is gegaan. Wel verwerking van persoonsgegevens

3. Temperatuur meten in omliggende landen

Niet alleen in Nederland vraagt men zich af of je de temperatuur van personen zoals werknemers, leveranciers en treinreizigers mag meten. Ook in andere Europese landen speelt deze vraag. De Europese toezichthouder schrijft in een verklaring dat, in het kader van de coronacrisis, persoonsgegevens door een werkgever verwerkt mogen worden wanneer dit noodzakelijk is voor het publiek belang en de publieke gezondheid. In België beschouwt de nationale toezichthouder de loutere opname van lichaamstemperatuur niet als een verwerking van persoonsgegevens. In lijn met mijn bevindingen maakt de Franse toezichthouder een onderscheid in de wijze waarop temperatuurgegevens worden gebruikt.  Zo is het niet toegestaan om automatische temperatuurdetectie-instrumenten te installeren en mogen temperatuurgegevens niet in een bestand worden verwerkt. Daarentegen is het wel toegestaan om handmatige temperatuurmetingen bij de ingang van gebouwen te verrichten. De manier waarop nationale toezichthouders met deze kwestie omgaan, laat zien dat er geen eenduidig antwoord is en dat landen de privacywetgeving op hun eigen manier invullen.

4. Conclusie: de werkgever mag je temperatuur meten, tenzij

In Nederland geldt nu dat het louter meten van de temperatuur geen verwerking van persoonsgegevens is. Met het meten van de temperatuur zit je niet per definitie in het vaarwater van de AVG. Dit wordt anders indien je met de temperatuurgegevens aan de slag gaat, deze gegevens combineert met andere gegevens en/of deze gegevens samenvoegt in een bestand. Wil je als werkgever de temperatuur bij je werknemers meten? Houd het dan zo simpel en eenvoudig mogelijk. Koppel de gegevens niet aan andere gegevens en sla de gegevens niet op.

Vraagt u zich af in welke concrete gevallen sprake is van een verwerking van persoonsgegevens? Neem dan gerust contact op. Wij helpen u graag verder.