Vervolg: Registratie COVID-19: wat mag wel en niet volgens de AVG?

Download hier de handreiking Privacy en COVID-19

Veel scholen vragen zich af of zij mogen registreren wie van hun leerlingen besmet is met corona. Bijvoorbeeld in verband met maatregelen van het kabinet om groepen kinderen voor een aantal dagen naar huis te sturen als er een besmetting is. Of omdat de scholen zich zorgen maken over de veiligheid op school.

De Autoriteit Persoonsgegevens (AP) heeft er begrip voor dat u zich zorgen maakt. En dat het misschien makkelijk lijkt om voor de zekerheid bij te houden wie er besmet is. Maar u loopt dan grote kans de privacywetgeving te overtreden. Dat wordt hier verder toegelicht.

Taak van de GGD

Het is de taak van de GGD om een coronabesmetting op individueel niveau te registreren als iemand positief getest is. De GGD doet vervolgens bron- en contactonderzoek om contacten te identificeren en informeren. De GGD bepaalt hoe nauwe contacten van een leerling met een coronabesmetting worden geïnformeerd. Als school hoeft u hier (meestal) geen actieve rol in te spelen.

Het kan zijn dat de GGD, een ouder/leerling u vraagt om andere leerlingen of personeel over een besmetting op school te informeren. Dat mag, maar in dat geval is het niet nodig om de naam van de besmette leerling te delen.

Verplichte melding GGD

Als school in het (speciaal) basisonderwijs bent u wettelijk verplicht het te melden aan de GGD zodra u bekend bent met een corona-uitbraak. Dit staat in de Wet publieke gezondheid (Wpg). Maar daarbij hoeft u alleen het aantal besmettingen aan de GGD door te geven, niet om wie het gaat. De GGD is namelijk al op de hoogte van een besmetting. U hoeft dus ook niet te registreren wie precies corona heeft.

Vrijwillige melding

Meldt een ouder of leerling uit zichzelf bij u dat (het kind van) deze persoon corona heeft? Dat is geen probleem. U mag de naam van de leerling echter niet zomaar vastleggen of delen. Maar natuurlijk mag u wel een luisterend oor bieden. Voor het informeren van klasgenoten e.d. is het voldoende slechts te melden dat er een besmetting is. En dus niet wie er besmet is. Over het algemeen informeert de GGD, waar nodig, de contacten van een besmette persoon. Zodat zij passende maatregelen kunnen nemen.

Besmettingen registreren?

U hoeft dus voor de GGD niet te registeren wie besmet is met corona. Maar misschien wilt u dit voor uzelf toch graag bijhouden. Alleen is dit meestal niet toegestaan, omdat het gevoelige gegevens betreft.

Dat zit zo: of iemand besmet is met corona, is een gegeven over de gezondheid van die persoon. En gezondheidsgegevens zijn extra beschermd in de AVG, omdat het gevoelige gegevens zijn. Concreet houdt dit in dat u deze gegevens alleen bij hoge uitzondering mag verwerken.

Een van die uitzonderingen is uitdrukkelijke toestemming van degene om wie het gaat (of bij kinderen onder de 16 jaar: een van de ouders). Maar in de praktijk zitten hier veel haken en ogen aan. Dus het is niet aan te raden om op die manier toch te registreren wie corona heeft. Hieronder leggen wij uit waarom.

Registreren met toestemming

Wilt u coronabesmettingen vastleggen of delen op grond van toestemming? Dan moet u in ieder geval aan de volgende eisen voldoen:

Doel

Het doel moet specifiek genoeg zijn, zodat duidelijk is voor (ouders van) leerlingen waarvoor zij precies toestemming geven. Vraagt u zich dus eerst af: wat voegt het toe als u ook besmettingen zou registreren? Welk probleem verwacht u hiermee op te lossen? Kunt u niet volstaan met het vastleggen van aantallen besmettingen?

Let op: 

• Algemene doelen als ‘de verspreiding van het virus tegengaan’ zijn niet specifiek genoeg;
• Het is niet de taak van school maar van de GGD om coronabesmettingen op individueel niveau te monitoren;
• Wilt u besmettingen registreren voor meerdere doelen? Dan moet u voor elk doel apart toestemming vragen.

Toestemming

• In de AVG staat een aantal eisen waaraan toestemming moet voldoen. In ieder geval moet u als school kunnen aantonen dat toestemming vrij is gegeven. Dat betekent dat ouders en leerlingen niet onder druk mogen staan om toestemming te geven. En dat het geen nadelige gevolgen heeft als ze weigeren. 
  
  Leerlingen en hun ouders zijn in zekere mate afhankelijk van de school. Door deze afhankelijkheidsrelatie en de huidige omstandigheden (bijvoorbeeld door de thuissituatie) zullen zij doorgaans al snel druk voelen om toestemming te geven. Het is daarom sterk af te raden om actief vanuit de school ouders op te roepen om het bij u te melden als een kind corona heeft, omdat u dit wilt registreren. 

• Daarnaast moet u als school kunnen aantonen dat ouders/leerlingen een vrije keuze hebben om toestemming te weigeren zonder dat dit nadelige gevolgen heeft. Zo’n nadelig gevolg is bijvoorbeeld dat een leerling niet wordt toegelaten tot de school. Het is aan u als school om aan te tonen dat toestemming daadwerkelijk vrijelijk is gegeven. Blijkt dat (achteraf) niet het geval te zijn? Dan is de toestemming niet geldig en overtreedt u de AVG.

Daarnaast gelden er nog andere eisen waaraan u moet voldoen om rechtsgeldig toestemming te mogen vragen voor het registreren van een besmetting, waaronder:

• De toestemming moet via een uitdrukkelijke verklaring zijn gegeven.
• (De ouders van) leerlingen moeten hun toestemming op elk moment weer eenvoudig kunnen intrekken. Dat betekent dat u vanaf dat moment die gegevens niet meer mag verwerken.
• U moet vooraf melden aan ouders/leerlingen dat ze het recht hebben om hun toestemming weer in te trekken.

Andere AVG-verplichtingen

Ook moet u aan de andere verplichtingen uit de AVG voldoen. Zo moet u de geregistreerde gegevens goed beveiligen en weggooien zodra deze niet meer nodig zijn. U mag de gegevens ook niet zomaar gebruiken voor andere doelen dan waarvoor u deze heeft gekregen.

Samenvattend

• Het is niet uw taak om coronabesmettingen te registreren, maar de taak van de GGD.
• Bent u bekend met een corona-uitbraak, dan geeft u alleen het aantal besmettingen door aan de GGD. Niet om wie het gaat. Dat weet de GGD namelijk al.
• Het is sterk af te raden om coronabesmettingen te registreren op grond van toestemming. Zelfs als u een goede reden zou hebben, kan dit namelijk niet zomaar. En loopt u al snel het risico de privacywetgeving te overtreden.

Bron: Autoriteit Persoonsgegevens