Mag een werkgever sollicitanten naar hun vaccinatiestatus vragen?

In een recente uitspraak van 22/12/2021 besliste de Geschillenkamer van de Gegevensbeschermingsautoriteit dat een ziekenhuis sollicitanten niet mag vragen naar hun vaccinatiestatus. Er was op dat ogenblik volgens de Gegevensbeschermingsautoriteit hiervoor immers geen wettelijke grondslag voorhanden. Inmiddels is deze wettelijke basis, gelet op de verplichte vaccinatie van het zorgpersoneel sinds 01/01/2022, wel voorhanden. In deze bijdragen bieden wij u een overzicht van de implicaties van deze beslissing van de Gegevensbeschermingsautoriteit voor sollicitaties in andere sectoren.

Het opvragen van vaccinatiestatus is een verwerking van persoonsgegevens

Het eerste aspect van de beslissing van de Gegevensbeschermingsautoriteit heeft betrekking op de vraag of het opvragen van de vaccinatiestatus tijdens een sollicitatiegesprek moet worden beschouwd als een verwerking van persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (GDPR). Over deze vraag kan weinig twijfel bestaan. Het begrip verwerking wordt immers gedefinieerd als zijnde een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procédés, waarbij het opvragen van gegevens uitdrukkelijk wordt vermeld. Dit betekent aldus dat het vragen naar informatie met betrekking tot persoonsgegevens een verwerking vormt in de zin van de GDPR. Wanneer er bovendien sprake is van een geheel of gedeeltelijk geautomatiseerde verwerking, dan wel van een verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen, zijn de bepalingen van de GDPR van toepassing.

De vaccinatiestatus als gezondheidsgegeven

Het tweede aspect van de beslissing van de Gegevensbeschermingsautoriteit behelst de vraag of de vaccinatiestatus van een persoon dient te worden beschouwd als een gezondheidsgegeven. Dergelijke gegevens worden immers beschouwd als ‘gevoelig’ en in dat geval gelden er strengere verplichtingen. Ook ditmaal is het antwoord van de Gegevensbeschermingsautoriteit duidelijk: De vaccinatiestatus van een persoon is wel degelijk een gezondheidsgegeven. De Gegevensbeschermingsautoriteit verwijst dienaangaande naar de wettelijk definitie van dit begrip, met name ‘persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven’. Daarnaast omvatten persoonsgegevens over gezondheid volgens de Gegevensbeschermingsautoriteit alle gegevens die betrekking hebben op de gezondheidstoestand van een betrokkene en die informatie geven over de lichamelijke of geestelijke gezondheidstoestand van de betrokkene in het verleden, het heden en de toekomst. Personen die niet gevaccineerd zijn lopen volgens de Gegevensbeschermingsautoriteit immers een beduidend risico om in de toekomst te worden besmet met mogelijks een ernstig ziekteverloop tot gevolg. De Gegevensbeschermingsautoriteit besluit dan ook dat de vaccinatiestatus van een persoon onmiskenbaar een gezondheidsgegeven vormt.

De verwerking van gevoelige persoonsgegevens

De verwerking van gevoelige persoonsgegevens kan enkel worden gebaseerd op de rechtsgronden zoals vervat in artikel 9.2 van de GDPR. De voornaamste rechtsgronden zijn de uitdrukkelijke toestemming van de betrokkene, dan wel een wettelijke basis in het nationale recht van de betrokken Lidstaat. Wat de uitdrukkelijke toestemming betreft, stelt de Gegevensbeschermingsautoriteit dat dit enkel kan voor zover de betrokkene een echte vrije keuze heeft en dat er geen nadelige gevolgen verbonden kunnen worden aan het weigeren of intrekken van de toestemming. Deze rechtsgrond zal in de meeste gevallen dan ook geen geschikte rechtsgrond zijn voor het verwerken van de vaccinatiestatus van een persoon. In de relatie tussen werknemer en werkgever zal de werknemer immers vaak een grote druk ervaren om toestemming te verlenen. Verder voorziet de nationale wetgeving, behoudens wat betreft de vaccinatie van het zorgpersoneel, op dit ogenblik niet in een wettelijke basis die het mogelijk maakt om naar de vaccinatiestatus van een sollicitant te vragen. De Gegevensbeschermingsautoriteit bevestigde in haar beslissing van 22/12/2021 overigens dat de wet van 04/088/1996 betreffende het welzijn van de werknemers bij de uitvoering van hun werk (Welzijnswet) hiervoor niet volstaat.

Besluit

Uit het voorgaande is gebleken dat de GDPR werkgevers, behoudens deze in de zorgsector, in principe verhindert om sollicitanten te vragen naar hun vaccinatiestatus. Aangezien dit als een verwerking van gevoelige persoonsgegevens dient te worden beschouwd, zal er hiervoor wat sollicitaties betreft in bijna geen enkel geval een beroep kunnen worden gedaan op één van de rechtsgronden uit de GDPR.

Jo DEWEZ en Tom DAEMS

Heeft u vragen over de GDPR of over verwerkingen van persoonsgegevens? contacteer ons