Conclusie A-G HvJ EU: verwerking medische persoonsgegevens niet onrechtmatig

Conclusie A-G HvJ EU 25 mei 2023, IT 4282, LS&R 2183; ECLI:EU:C:2023:433 (ZQ tegen Medizinischer Dienst) Advocaat-Generaal (A-G) Sánchez-Bordona geeft in zijn conclusie antwoord op vijf vragen die zijn gesteld aan het Hof van Justitie. De vragen zijn gesteld naar aanleiding van een rechtszaak over de verwerking van persoonsgegevens. De partijen in deze zaak zijn ZQ en de Medizinischer Dienst der Krankenversicherung (MDK).

ZQ is lange tijd werkzaam geweest als systeembeheerder op de IT-afdeling van MDK, een organisatie belast met het verstrekken van adviezen over arbeidsongeschiktheid. Een aantal van deze adviezen heeft betrekking op de gezondheid van de eigen werknemers. ZQ is sinds 2017 arbeidsongeschikt geraakt wegens ziekte. Naar aanleiding van deze arbeidsongeschiktheid is door de zorgverzekeraar van ZQ advies gevraagd aan MDK om twijfels omtrent zijn arbeidsongeschiktheid weg te nemen. MDK aanvaardt deze opdracht en speelt medische persoonsgegevens van ZQ door.

De vragen die uiteindelijk aan het Hof worden gesteld naar aanleiding van deze zaak, gaan over de vraag of ZQ recht heeft op schadevergoeding van MDK. Het recht op schadevergoeding zou zijn ontstaan doordat zijn medische persoonsgegevens onrechtmatig zijn verwerkt. Volgens artikel 9 van de AVG is het namelijk verboden bepaalde persoonsgegevens te verwerken, waaronder gegevens over de gezondheid. De centrale vraag luidt: mag een medische dienst van een zorgverzekeraar gezondheidsgegevens van een werknemer verwerken als deze gegevens nodig zijn voor de beoordeling van de arbeidsgeschiktheid van die werknemer volgens artikel 9, lid 2, onder h) van de AVG?

A-G Sánchez-Bordona beantwoordt deze vraag als volgt: de relevante artikelen uit de AVG verbieden niet dat een medische dienst van een zorgverzekeraar gezondheidsgegevens van een werknemer verwerkt, als die gegevens nodig zijn om de arbeidsgeschiktheid van de werknemer te beoordelen en voldoen aan de beginselen en voorwaarden van de AVG. Volgens de relevante bepalingen is een uitzondering op het verbod om persoonsgegevens over de gezondheid te verwerken mogelijk, indien die verwerking noodzakelijk is voor de beoordeling van de arbeidsgeschiktheid.

119. Gelet op het voorgaande geef ik het Hof in overweging om de vragen van het Bundesarbeitsgericht te beantwoorden als volgt:

„Artikel 9, lid 2, onder h), en lid 3, en artikel 82, leden 1 en 3, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moeten aldus worden uitgelegd dat zij niet verbieden dat een medische dienst van een zorgverzekeraar gezondheidsgegevens van een van zijn werknemers, die een voorwaarde voor de beoordeling van diens arbeidsgeschiktheid zijn, verwerkt.

Volgens deze bepalingen is een uitzondering op het verbod om persoonsgegevens over gezondheid te verwerken mogelijk wanneer die verwerking noodzakelijk is voor de beoordeling van de arbeidsgeschiktheid van de werknemer en voldoet aan de beginselen van artikel 5 en aan een van de rechtmatigheidsvoorwaarden van artikel 6 van verordening 2016/679.

De mate van schuld van de verwerkingsverantwoordelijke of de verwerker is niet bepalend voor hun aansprakelijkheid of voor de berekening van de hoogte van de immateriële schade die op grond van artikel 82, lid 1, van verordening 2016/679 moet worden vergoed.

Het aandeel van de betrokkene in het feit waaruit de verplichting tot schadevergoeding voortvloeit kan, naargelang het geval, bepalend zijn voor de in artikel 82, lid 3, van verordening 2016/679 opgenomen vrijstelling van aansprakelijkheid van de verwerkingsverantwoordelijke of de verwerker.”