Zoals eerder aangegeven is de verwerking van bijzondere persoonsgegevens verboden, tenzij sprake is van een uitzonderingsgrond. De AVG formuleert voor de verwerking van bijzondere persoonsgegevens aparte uitzonderingsgronden, die dus anders zijn dan de grondslagen zoals genoemd in paragraaf 1.2 van het algemene deel.

De belangrijkste uitzonderingen voor het mogen verwerken van bijzondere persoonsgegevens zijn de volgende:

1) De uitdrukkelijke toestemming van de betrokkene voor de verwerking van die persoonsgegevens voor duidelijk omschreven doeleinden. Er moet sprake zijn van een expliciete wilsuiting gericht op het geven van toestemming. Uit een enkele handeling kan in beginsel geen toestemming worden afgeleid, tenzij die handeling ‘ondubbelzinnig en actief is’. Zie in dit verband ook paragraaf 3.2 hierboven inzake het probleem met de toestemmingsgrond in de relatie werkgever-werknemer.

2) De verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht. Dit moet in een wettelijke regeling of in een CAO zijn vastgelegd.

 Voorbeeld: het lidmaatschap van uw werknemers van een vakbond mag u niet registreren in de (personeels)administratie. Wél mag u de benodigde gegevens gebruiken voor de uitvoering van een recht van de werknemer op grond van de CAO. Het gegeven dat een werknemer lid is van een vakbond kan hierdoor terugkomen in bijvoorbeeld de loonadministratie. Die verwerking was immers noodzakelijk voor de uitvoering van het specifieke recht van uw werknemer.

3) De verwerking heeft betrekking op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt. Er mag daarbij geen twijfel zijn dat de persoon zelf gehandeld heeft om het persoonsgegeven openbaar te maken.

4) De verwerking is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering in het kader van gerechtelijke procedures. Een voorbeeld hiervan is het overleggen van een bewijsstuk aan de rechtbank.

5) De verwerking is noodzakelijk voor doeleinden van preventieve geneeskunde of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg, sociale diensten of behandelingen, etc.

Het verbod op verwerking geldt volgens de laatstgenoemde uitzondering dus niet indien dit noodzakelijk is voor medische redenen, met name in verband met de arbeid. Een voorbeeld hiervan is het beoordelen van de arbeids(on)geschiktheid van de werknemer. De medische handelingen moeten wel zijn vastgelegd in een wettelijke regeling of voorvloeien uit een medische behandelovereenkomst. Bovendien mogen deze gegevens, als dat noodzakelijk is voor de genoemde medische doeleinden, alleen worden verwerkt door een beroepsbeoefenaar die aan een wettelijk beroepsgeheim is gebonden. Dit zijn bijvoorbeeld artsen en advocaten. Andere personen of instellingen mogen dit dus niet, tenzij natuurlijk sprake is van een andere geldige uitzondering op het verbod.

De werkgever mag alleen gegevens inzien die noodzakelijk zijn voor het begeleiden van het verzuim, zoals een telefoonnummer/verpleegadres waarop de werknemer bereikbaar is, de verzuimduur en lopende afspraken.

De AVG biedt op een aantal punten ruimte voor landen om zelf de regels nader te bepalen. Dat geldt bijvoorbeeld voor een aantal uitzonderingen op het verwerkingsverbod van bijzondere persoonsgegevens, zoals hierboven genoemd. Nederland legt de invulling van deze uitzonderingen voornamelijk vast in de zogeheten ‘Uitvoeringswet AVG’. Hoewel deze wet op dit moment nog niet definitief is vastgesteld, zijn de nadere regels nodig voor de uitvoering van de AVG en daarom zal de wet ook op 25 mei 2018 (gelijktijdig met de AVG) in werking treden.

De technische mogelijkheden om met behulp van biometrische kenmerken van een persoon iemand te identificeren zijn sterk in ontwikkeling. Veel bedrijven werken daarnaast al met biometrische toegangscontrole voor locaties. Daarom heeft Nederland in de Uitvoeringswet AVG voorzien in een extra uitzonderingsmogelijkheid ten aanzien van het verwerken van biometrische gegevens:

“Het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken is niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.”

Het blijft hierbij noodzakelijk om een juiste belangenafweging te maken, maar binnen deze kaders komt er in Nederland dus wél ruimte voor het gebruik van biometrie. De werkgever zal telkens moeten afwegen of de gebouwen of systemen zodanig beveiligd moeten zijn dat dit met biometrie moet gebeuren. Het verwerken van biometrische gegevens moet daarnaast ook proportioneel zijn. Als het om de toegang tot een garage van een reparatiebedrijf gaat, zal de noodzaak van de beveiliging niet zodanig zijn dat werknemers alleen met biometrie toegang kunnen krijgen. Zonder deze specifieke uitzondering in de Uitvoeringswet is er in de relatie tussen werkgever en werknemer eigenlijk geen andere bruikbare uitzondering voor het rechtmatig gebruikmaken van biometrie door de werkgever. Zo kan de uitzondering van uitdrukkelijke toestemming juist in de relatie werkgever-werknemer vrijwel niet worden gebruikt.

Verder voorziet de Uitvoeringswet in een artikel dat een uitzondering maakt op het verbod om persoonsgegevens te verwerken waaruit ras of etnische afkomst blijkt:

“Het verbod om persoonsgegevens te verwerken waaruit ras of etnische afkomst blijkt, is niet van toepassing, indien de verwerking geschiedt met het oog op de identificatie van de betrokkene, en slechts voor zover de verwerking voor dat doel onvermijdelijk is”.

De Uitvoeringswet voert ook een artikel in voor verwerkingen van gezondheidsgegevens. In het artikel zijn de uitzonderingen op het verbod om medische gegevens te verwerken opgenomen, die in sommige gevallen ook voor werkgevers gelden.

Kort gezegd is bepaald dat het verbod om gegevens over gezondheid te verwerken niet van toepassing is als de verwerking geschiedt door werkgevers voor zover dat noodzakelijk is voor een goede uitvoering van de wet of de CAO. De wet of de CAO moet daarbij wel voorzien in bepaalde rechten van de werknemer die afhankelijk zijn van zijn gezondheidstoestand. Zo bent u als werkgever op grond van de wet en de CAO voor het Metaalbewerkingsbedrijf verplicht om zieke werknemers twee jaar lang loon door te betalen. U mag dan gegevens over de gezondheid van zieke werknemers verwerken voor zover die noodzakelijk zijn om het recht op loondoorbetaling vast te stellen. Indien een werknemer zich ziek meldt, hoeft hij u dus niet ook de aard en de oorzaak van de ziekte mede te delen, want dat is niet noodzakelijk voor de vaststelling van het recht op loondoorbetaling.

Het verbod om gegevens over gezondheid te verwerken is ook niet van toepassing als de verwerking geschiedt door werkgevers en noodzakelijk is voor de re-integratie of begeleiding van werknemers. Gegevens over de medische achtergronden van de arbeidsongeschiktheid mogen niet door u worden verwerkt. U mag alleen gegevens verwerken omtrent het feit dat en de mate waarin de werknemer arbeidsongeschikt is, alsmede de periode van arbeidsongeschiktheid.