Gegevens zieke medewerker verwerken

Werkgevers mogen volgens de Algemene verordening gegevensbescherming (AVG) slechts beperkt gegevens vragen en verwerken van een werknemer in het kader van een ziekmelding of re-integratieproces.

Laatst schreef ik over de manier waarop de AVG ook van toepassing is op het personeelsdossier. In dit artikel ga ik hierop wat verder in en dan in het bijzonder op de verwerking van persoonsgegevens van zieke werknemers.

Beleidsregels inzake verwerking gegevens zieke werknemens

Werkgevers mogen volgens de Algemene verordening gegevensbescherming (AVG) slechts beperkt gegevens vragen en verwerken van een werknemer in het kader van een ziekmelding of re-integratieproces. Al in 2016 heeft de Autoriteit Persoonsgegevens (AP) beleidsregels gepubliceerd over de verwerking van persoonsgegevens van zieke werknemers. Enige tijd terug heeft het ministerie van Sociale Zaken en Werkgelegenheid (SZW) deze beleidsregels opnieuw gepubliceerd. Deze publicatie heeft betrekking op de periode van de ziekmelding door de werknemer tot aan het eerste advies van de bedrijfsarts.

In deze publicatie benadrukt het ministerie SZW dat een werkgever bij ziekte van een werknemer, op grond van de AVG slechts mag registreren dat een werknemer niet in staat is zijn werkzaamheden te verrichten. De werkgever mag de werknemer niet vragen naar een diagnose of behandeling door een arts en ook niet naar de functionele mogelijkheden en beperkingen van de werknemer. De werkgever mag bij de ziekmelding vragen naar de vermoedelijke duur van het verzuim. Ook wanneer bijvoorbeeld diagnostische gegevens op initiatief van de werknemer worden gedeeld mogen deze niet door de werkgever worden vastgelegd. Als de werkgever dit soort informatie toch wil registeren moet hij de bedrijfsarts inschakelen. De werkgever mag de functionele mogelijkheden en beperkingen die door de bedrijfsarts zijn vastgesteld en zijn gedeeld met werknemer en werkgever wel registreren.

Deze gegevens van een zieke werknemer mag je als werkgever verwerken

Bij ziekmelding

De werkgever mag bij de ziekmelding van de werknemer alleen de volgende gegevens over de gezondheid van de zieke werknemer verwerken:

het telefoonnummer en (verpleeg)adres;
de vermoedelijke duur van het verzuim;
de lopende afspraken en werkzaamheden;
of de werknemer onder een van de vangnetbepalingen van de Ziektewet valt (maar niet onder welke vangnetbepaling hij valt);
of de ziekte verband houdt met een arbeidsongeval;
of er sprake is van een verkeersongeval waarbij een eventueel aansprakelijke derde betrokken is .

Gedurende de ziekte

De werkgever mag voorts op aangeven van de bedrijfsarts/arbodienst een aantal gegevens over de gezondheid van de werknemer verwerken:

de werkzaamheden waartoe de werknemer niet meer of nog wel in staat is (functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen);
de verwachte duur van het verzuim;
de mate waarin de werknemer arbeidsongeschikt is (gebaseerd op functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen);
eventuele adviezen over aanpassingen, werkvoorzieningen of interventies die de werkgeve voor de re-integratie moet treffen.

Binnen de AVG dien je als werkgever, in een arbeidsrelatie met een werknemer, terughoudend om te gaan met het gebruiken van “toestemming” als grondslag voor gegevensverwerking. De beleidsregel van de AP noemt dat er enkele uitzonderlijke situaties denkbaar zijn waarin de bedrijfsarts op grond van toestemming van de zieke werknemer gegevens over zijn gezondheid aan de werkgever kan verstrekken. Bijvoorbeeld wanneer een werknemer zelf expliciet vraagt om de werkgever te laten weten dat hij epilepsie heeft en wat de werkgever moet doen in noodsituaties.

Na terugkeer

Persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk is voor de doeleinden waarvoor ze zijn verzameld. Een werkgever mag administratieve verzuimgegevens tot maximaal twee jaar na afloop van de arbeidsrelatie bewaren tenzij je als werkgever eigenrisicodrager voor de Ziektewet bent. Dan dien je als werkgever de gegevens over de ziekmelding vijf jaar bewaren.

Bijzondere aandacht van de AP

De AP heeft bijzondere aandacht voor de verwerking van medische gegevens en het gebruik van persoonsgegevens binnen de arbeidsrelatie. Op de site van de Autoriteit zijn voorbeelden terug te vinden van organisaties die een last onder dwangsom opgelegd hebben gekregen doordat zij in strijd handelde met de privacyregels bij ziekmelding van haar werknemers.

In het dwangsombesluit geeft de privacytoezichthouder de Stichting 2 maanden de tijd om haar werkwijze aan te passen en de onrechtmatige verwerking van gezondheidsgegevens te stoppen. De AP eist dat de Stichting bij ziekmelding slechts registreert dat een werknemer ziek is en de mate van arbeidsongeschiktheid alleen registreert na tussenkomst van de bedrijfsarts.