Mag u die zomaar verwerken?

Welke gezondheidsgegevens mag u als werkgever verwerken over zieke werknemers? Mag een arbodienst bepaalde gezondheidsinformatie delen met de werkgever? En wat te doen als een werknemer uit zichzelf gegevens deelt met de werkgever over zijn ziekte?

Wat zegt de AVG hierover?

In beginsel is het niet toegestaan om gezondheidsgegevens van medewerkers te verwerken, dat volgt uit de Algemene Verordening Gegevensbescherming (AVG), in het bijzonder art. 9 lid 1 AVG.

Wat zijn goedbeschouwd gezondheidsgegevens?

Het simpele feit dat je iemand ziek meldt is al een gezondheidsgegeven op zich. Het ´verwerken´ van gezondheidsgegevens bevat veel meer dan alleen het noteren en opslaan van informatie. Ook het opvragen van gegevens bij bijvoorbeeld de werknemer is een vorm van verwerken. Zo valt het stellen van de vraag ´bent u ziek?´ in principe al onder de werking van de AVG, ongeacht het antwoord van de werknemer op deze vraag.

Uitzondering op het verwerkingsverbod

Op het (algemene) verbod is een aantal uitzonderingen gemaakt. Zo mag een werkgever bijvoorbeeld wel gezondheidsgegevens verwerken voor zover dit noodzakelijk is voor het uitvoeren van wettelijke verplichtingen – of het uitoefenen van rechten – op grond van het arbeidsrecht of sociale zekerheidsrecht.

Voorbeelden: Een belangrijk voorbeeld van zo´n wettelijke verplichting is de plicht om loon door te betalen tijdens ziekte. Daarvoor dient de werkgever te kunnen achterhalen of een werknemer arbeidsongeschikt is wegens ziekte. Een ander belangrijk voorbeeld is de wettelijke verplichting tot het doen re-integreren van een zieke werknemer.

Noodzakelijk is het kernwoord

Houd er daarom altijd rekening mee dat de verwerkte gezondheidsgegevens noodzakelijk moeten zijn in het kader van deze wettelijke verplichtingen. Gegevens omtrent de aard van de ziekte (bijv. een burn-out) of de oorzaak daarvan (bijv. privéomstandigheden) zijn bijvoorbeeld niet noodzakelijk om vast te stellen of de werknemer recht heeft op loondoorbetaling tijdens ziekte, en mogen dus niet worden verwerkt door u en dus ook nergens worden vastgelegd.

Gezondheidsgegevens die u als werkgever wel mag verwerken

In de ´Beleidsregels voor de verwerking van persoonsgegevens over de gezondheid van zieke werknemers´ uit 2016 heeft de Autoriteit Persoonsgegevens (AP) een opsomming gegeven van de gezondheidsgegevens die werkgevers mogen verwerken voor het nakomen van wettelijke verplichtingen, zoals het recht op loondoorbetaling tijdens ziekte, en het uitoefenen van rechten. Dat zijn:

• Bij de ziekmelding: Het telefoonnummer en (verpleeg)adres, de vermoedelijke duur van het verzuim, de lopende afspraken en werkzaamheden, of de werknemer onder één van de vangnetbepalingen van de Ziektewet valt (bijv. een no-riskpolis), maar niet onder welke vangnetbepaling hij valt, of de ziekte verband houdt met een arbeidsongeval en of er sprake is van een verkeersongeval waarbij een eventueel aansprakelijke derde betrokken is (regresmogelijkheid).
• Na de ziekmelding c.q. tijdens de ziekteverzuimbegeleiding/re-integratie: De werkzaamheden waartoe de werknemer niet meer of nog wel in staat is (functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen), de verwachte duur van het verzuim, de mate waarin de werknemer arbeidsongeschikt is (gebaseerd op functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen) en eventuele adviezen over aanpassingen, werkvoorzieningen of interventies die de werkgever voor de re-integratie moet treffen.

Deze laatste gegevens worden door de bedrijfsarts verstrekt naar aanleiding van een consult. De bedrijfsarts verwoordt zijn bevindingen in een probleemanalyse/gespreksverslag. Verder zou hieraan toegevoegd kunnen worden: alle gezondheidsgegevens die de werkgever opslaat in het re-integratiedossier, zoals het plan van aanpak en de eventuele bijstellingen daarvan.

Regels zijn van toepassing voor alle betrokkenen

Om de werkgever goed te kunnen adviseren, is het voor bedrijfsartsen/arbodiensten eveneens noodzakelijk gezondheidsgegevens te verwerken over het personeel. Ook voor bedrijfsartsen geldt dat niet méér gegevens mogen worden verwerkt dan noodzakelijk. Voor bedrijfsartsen geldt bovendien een medisch beroepsgeheim. In de advisering aan de werkgever zal een bedrijfsarts nooit méér informatie mogen geven dan die hierboven staan vermeld.

Leg de controlevoorschriften vast en gebruik ze

Op grond van de wet mag een werkgever controlevoorschriften vaststellen met betrekking tot het verstrekken van inlichtingen die de werkgever nodig heeft om vast te stellen of de (zieke) werknemer recht heeft op doorbetaling van loon. Bij controlevoorschriften kan worden gedacht aan:

• een verplichting om bij ziekte zich zo spoedig mogelijk ziek te melden;
• het verstrekken van inlichtingen aan een bedrijfsarts of arbodienst;
• het vragen van een second opinion als de werknemer het niet eens is met het advies van de bedrijfsarts/arbodienst.

Controlevoorschriften moeten altijd schriftelijk zijn vastgelegd, redelijk zijn, en kunnen een werknemer niet verplichten méér informatie te verstrekken dan noodzakelijk.

Wat te doen als een werknemer niet meewerkt?

Leeft een werknemer controlevoorschriften niet na dan mag de werkgever de loondoorbetaling opschorten. Hij of zij komt bijvoorbeeld herhaaldelijk niet opdagen op het spreekuur van de bedrijfsarts of is telefonisch nooit bereikbaar. Dit is in principe de enige sanctie die u als werkgever mag treffen. Voor het opleggen van zwaardere sancties, zoals een ontslag (al dan niet op staande voet), zullen altijd bijkomende omstandigheden vereist zijn, bijvoorbeeld wanneer een werknemer zich gedurende een langere periode in het geheel onbereikbaar houdt voor de werkgever.

Conclusie

Werkgevers mogen tot op zekere hoogte gezondheidsgegevens over het personeel verwerken. Hoofdregel is dat deze gegevens altijd noodzakelijk moeten zijn voor het door de werkgever kunnen nakomen van zijn wettelijke (re-integratie)verplichtingen. Een werkgever mag er in principe niet op vertrouwen dat een werknemer toestemming heeft gegeven voor het verwerken van zijn gezondheidsgegevens, ook niet als de werknemer op eigen initiatief medische gegevens prijsgeeft.

Advies

Werkgevers doen er goed aan hun interne beleid zo in te richten dat alleen de gezondheidsgegevens, zoals genoemd in de beleidsregels van de AP, worden verwerkt. Het is aan te raden ook controlevoorschriften vast te leggen en bekend te maken bij uw personeel. Hierbij kunnen wij u uiteraard van dienst zijn.

Waar kunnen wij u mee helpen?

Wanneer u dit structureel goed wilt organiseren dan kunnen wij dit voor u regelen. Zo weet u zeker dat u alleen de toegestane gezondheidsgegevens vastlegt en deelt met de betrokken professionals. Neem gerust contact op als u nog vragen heeft. Mail naar pien@felixxgroep.nl, bel 085-083 10 00 of maak een afspraak.