Wearables: kan je daar als werkgever iets mee?

Het aantal gadgets waarmee informatie over de gezondheid van de drager ervan kan worden vergaard, zoals een smartwatch of een hartslagmeter in de vorm van een armband, heeft een grote vlucht genomen. Deze trend is werkgevers niet ontgaan. Diverse werkgevers hebben hun personeel een dergelijke wearable inmiddels cadeau gedaan. Het mes snijdt dan aan twee kanten: de werknemer beschikt over een nieuwe gadget en de werkgever zou hiermee informatie kunnen verzamelen en bijhouden over de gezondheid van zijn werknemers. Is dat laatste ook toegestaan?

Autoriteit Persoonsgegevens

Recentelijk heeft de Autoriteit Persoonsgegevens via een artikel op de website laten weten dat verwerking van persoonsgegevens verkregen via wearables door een werkgever niet is toegestaan. De Autoriteit Persoonsgegevens had onderzoek gedaan bij twee bedrijven. Beide bedrijven hadden hun werknemers een armband gegeven waarmee de werkgever inzicht kreeg in de hoeveelheid beweging van de werknemers. Een van de werkgevers had ook inzicht in het slaappatroon. Dit is in strijd met de Wet bescherming persoonsgegevens (Wbp), aldus de Autoriteit Persoonsgegevens, ook als een werknemer hiervoor toestemming heeft gegeven. Gegevens over de hoeveelheid beweging en gegevens over slaappatronen zijn gevoelige persoonsgegevens die iets zeggen over de gezondheid. Voor de verwerking van dergelijke bijzondere persoonsgegevens gelden strenge wettelijk eisen. De hoofdregel is dat werkgevers deze gegevens niet mogen verwerken. Voor het rechtmatig verwerken van persoonsgegevens is een wettelijke grondslag vereist. De verwerking van persoonsgegevens afkomstig van wearables is gebaseerd op de ondubbelzinnige toestemming van de werknemer. Volgens de Autoriteit Persoonsgegevens is in een arbeidsverhouding, waarin de werknemer financieel afhankelijk is van de werkgever, over het algemeen geen sprake van ‘vrije’ toestemming, waardoor het verwerken van gezondheidsgegevens met toestemming van de werknemer niet mogelijk is. Hierdoor kan een werknemer nooit rechtsgeldig toestemming verlenen voor de verwerking van zijn persoonsgegevens door zijn werkgever.

Wat mag wel?

Een werkgever mag een wearable wel cadeau doen aan werknemers, maar hierbij geen voorwaarden stellen voor het gebruik. De werknemer kan er zelf voor kiezen om zijn gegevens met de leverancier van de armband te delen. Hij maakt dan zelf een account aan bij de leverancier. Een medewerker kan er natuurlijk voor kiezen de gegevens via de portal van de leverancier te delen met vrienden of collega’s, maar níet met de leidinggevende. De werkgever mag werknemers hier echter niet toe aanzetten.

Uitsluiting ondubbelzinnige toestemming in arbeidsrelatie

Alhoewel er in een arbeidsrelatie tot op zekere hoogte sprake is van machtsongelijkheid waartegen een werknemer beschermd moet worden, is het de vraag of de volledige uitsluiting van ondubbelzinnige toestemming als grondslag voor de verwerking van persoonsgegevens niet wat te ver doorschiet. Er zijn immers situaties denkbaar waarin een werknemer vrijelijk kan instemmen, namelijk wanneer het niet geven of intrekken van toestemming voor de verwerking niet leidt of kan leiden tot nadelige consequenties voor de werknemer. In een dergelijke situatie zou onzes inziens toch sprake moeten kunnen zijn van vrije toestemming van de werknemer. Voorlopig is Autoriteit Persoonsgegevens een andere mening toegedaan.