ADM-controles: een overzicht, een update en een cliffhanger

Begrippen

AVG = een pakket privacyregels over het verwerken van persoonsgegevens

Verwerken = alles wat je met een persoonsgegeven kan doen

Persoonsgegevens = alle informatie die leidt of kan leiden tot identificatie

Bijzondere persoonsgegevens = gegevens over ras, religie, gezondheid, enz.

DPIA = data protection impact assessment (een privacyrisico-analyse)

ADM-controle = controle op grensoverschrijdend gebruik van alcohol, drugs of medicijnen

AP = Autoriteit Persoonsgegevens (de Privacy waakhond)

ISPS = internationale regelgeving ter beveiliging van schepen en havenfaciliteiten

Welke verwerkingen vinden plaats bij een ADM-controle?

Verzamelen en analyseren van monsters van lichaamsstoffen
Registreren van een positieve uitslag (grensoverschrijdend gebruik)
Vernietigen van de monsters
Gebruiken van geregistreerde positieve uitslag (intern hulp- en sanctiebeleid of neutrale afwezigheidsmelding aan extern bedrijf)
Verwijderen van positieve registratie na bewaartermijn

Worden er bij een ADM-controle bijzondere persoonsgegevens verwerkt?

Ja. Een uitslag van een ADM-controle zegt iets over iemands gezondheid (ook al gaat het om een momentopname).

Wat zegt de AVG over het verwerken van bijzondere persoonsgegevens?

De AVG stelt dat bijzondere persoonsgegevens niet mogen worden verwerkt tenzij er sprake is van een uitzonderingsgrond. Eén van de uitzonderingsgronden betreft ‘een zwaarwegend algemeen belang op grond van Unierecht of lidstatelijk recht’.

Is er een uitzonderingsgrond voor ADM-controles in de haven?

Port Privacy vindt van wel (zie DPIA met Bijlage 2 en Bijlage 3). De AP vindt van niet (zie Advies AP). Port Privacy is van mening dat uit diverse wet- en regelgeving volgt dat vanwege de veiligheid (een zwaarwegend algemeen belang) ADM-controles zijn toegestaan (o.a. ISPS en Arbeidsomstandighedenwet). De AP wijst er op dat dit nergens expliciet in de wet staat (zoals dat wel het geval is voor bijvoorbeeld piloten). De AP gaat dus niet mee in het idee om de wet- en regelgeving ruim te interpreteren. Overigens heeft de AP het in haar advies over ‘de wet’, terwijl de AVG het heeft over 'het recht' (een ruimer begrip dan alleen de wet).

Zijn drugshonden eigenlijk wel toegestaan?

Het verzamelen van bewijsmateriaal van drugsbezit met behulp van een drugshond waarbij de auto, kleedkamer of kleedkastjes met drugshonden worden doorzocht, geldt als een verwerking van persoonsgegevens. Het gaat mijnsinziens dan om gevoelige, maar geen bijzondere persoonsgegevens. In de Uniper-uitspraak uit 2016 heeft de AP geoordeeld dat daar (ten aanzien van werknemers) geen grondslag voor is (privacybelang weegt zwaarder dan bedrijfsbelang). Te verwachten is dat de AP deze mening nog steeds heeft en dat dit ook geldt ten aanzien van niet-werknemers. Ook hier kan worden bedacht dat het toch is toegestaan als geen registratie (en ook geen vervolgactie) volgt op de ontdekking van drugsbezit. De vraag is of dit praktisch haalbaar cq. geloofwaardig is.

Maar er wordt toch toestemming gegeven?

Helaas. Toestemming geldt niet als grondslag om toch een ADM-controle te mogen uitvoeren omdat de toestemming niet vrijelijk kan worden gegeven. Er is immers sprake van een zekere afhankelijkheid.

Maar kantonrechters vinden het toch prima?

Klopt. Regelmatig is in de rechtspraak terug te vinden dat rechters het via een ADM-controle verkregen bewijs gewoon gebruiken en ADM-controles ook redelijk vinden; juist vanwege de veiligheid (voorbeelden: ECLI:NL:RBROT2018:9304, KRVE en ECLI:NL:RBROT:2016:2737, Shin-Etsu). Er is nog geen rechtspraak waarin een rechter expliciet ingaat op het gebrek aan expliciete wetgeving hetgeen door de AP zo bezwaarlijk wordt gevonden.

Maar wat nu als positieve uitslagen niet worden geregistreerd? Cliffhanger!

Die vraag ligt nog bij de AP. Port Privacy is van mening dat de AVG in dat geval niet van toepassing is. De AVG is namelijk alleen van toepassing als er sprake is van geautomatiseerde verwerking of wanneer de persoonsgegevens worden opgeslagen in een bestand of bedoeld zijn om in een bestand te worden opgeslagen. Dat lijkt ons niet het geval te zijn als er na een ADM-controle niets anders gebeurt dan het wel of niet verlenen van toegang. Een onwenselijk effect is overigens wel dat er dan ook geen start kan worden gemaakt met het interne hulpbeleid. Zodra de AP laat weten of en zo ja welke bezwaren zij heeft ten aanzien van deze vorm van ‘anonieme ADM-controles’, berichten wij jullie uiteraard weer.

En nu?

We wachten de cliffhanger af en oriënteren ons intussen op het voeren van een procedure. Wachten op wetgeving duurt immers te lang. Om een procedure tegen de AP te kunnen voeren, is eerst een besluit van de AP nodig. Het advies naar aanleiding van de DPIA geldt niet als zo'n besluit. Te denken valt aan een boete-besluit of aan het besluit om een privacy gedragscode af te keuren. Een besluit kan worden uitgelokt maar wellicht staat de AP open voor een procedure in samenspraak. - Stay tuned. Wordt vervolgd.