Privacy bij ziekteverzuim:
wat mag een werkgever vragen, vastleggen en delen?
Een medewerker meldt zich ziek. Voor een leidinggevende is de eerste reactie vaak heel menselijk: wat is er aan de hand, en hoe lang duurt het? Toch is juist die eerste vraag er een die een werkgever niet mag stellen. Gezondheidsgegevens zijn bijzondere persoonsgegevens en krijgen onder de AVG extra bescherming.
De Autoriteit Persoonsgegevens (AP) heeft uitgewerkt wat dat in de praktijk betekent voor werkgevers, arbodiensten en bedrijfsartsen. Dit artikel zet de belangrijkste regels op een rij, van de ziekmelding tot het bewaren van dossiers, met concrete aandachtspunten voor de eigen organisatie.
Privacy bij ziekteverzuim: de werkgever legt alleen vast wat noodzakelijk is
De AVG geeft een werkgever ruimte om de noodzakelijke informatie over zieke werknemers vast te leggen. De aard en oorzaak van een ziekte vallen daar volgens de AP niet onder. Een werkgever mag er dus niet naar vragen en mag het ook niet registreren.
De AP wijst daarbij op de afhankelijke positie van de werknemer. Wie onder het gezag van een werkgever staat, kan zich verplicht voelen om informatie over zijn ziekte te delen, ook als de werkgever zijn best doet om die druk weg te nemen.
Wil een werkgever weten of iemand kort of lang uitvalt, dan heeft hij daar geen gezondheidsgegevens voor nodig. De arbodienst of bedrijfsarts kan hem informeren over de verwachte duur en over wat de werknemer nog kan.
Vertelt de medewerker het uit zichzelf?
Dan mag de werkgever die informatie niet vastleggen, niet doorvertellen en niet gebruiken om een oordeel te vormen over de inzetbaarheid. Luisteren mag natuurlijk wel.
Is toestemming van de werknemer een uitweg om gezondheidsgegevens vast te leggen?
Een veelgehoorde gedachte is dat het wel mag als de werknemer toestemming geeft. Volgens de AP gaat dat niet op. De werknemer is (financieel) afhankelijk van de werkgever en kan zich verplicht voelen om ja te zeggen. Toestemming is daardoor nooit echt vrij, en dat vereist de wet wel.
Alleen in zeer uitzonderlijke gevallen mag een werkgever gegevens over aard en oorzaak vastleggen en delen met direct betrokkenen, op basis van uitdrukkelijke toestemming van de werknemer. De AP noemt als voorbeeld ernstige diabetes of epilepsie, waarbij naaste collega's moeten weten wat ze moeten doen als het niet goed gaat. De werknemer kan dit ook via de bedrijfsarts of arbodienst laten melden.
Wat mag een werkgever vragen bij een ziekmelding?
De werkgever mag vragen en vastleggen wat nodig is om het werk te regelen en te beoordelen of het loon doorbetaald moet worden. De AP noemt zes gegevens:
Nuance bij de vangnetregelingen van de Ziektewet
Onder welke vangnetregeling iemand valt, zegt iets over de aard van de ziekte. De werknemer hoeft dat daarom in principe alleen met de arbodienst of bedrijfsarts te delen.
Er zijn twee uitzonderingen: de no-riskpolis en de compensatieregeling voor oudere werknemers. Vraagt de werkgever daarnaar, dan moet de werknemer dat melden. Die plicht geldt pas als de werknemer twee maanden of langer in dienst is (artikel 38b Ziektewet).
Collega's informeren over een zieke werknemer: wat mag de werkgever delen?
Veel werknemers vertellen uit zichzelf waarom ze ziek zijn, en het is begrijpelijk dat een leidinggevende dat uit betrokkenheid met het team wil delen. Wat er over de situatie gedeeld wordt, bepaalt de zieke werknemer echter zelf. De werkgever mag directe collega's wel vertellen hoe lang de afwezigheid naar verwachting duurt.
Een praktische aanpak is de werknemer gewoon te vragen wat hij aan zijn naaste collega's wil laten weten. Belangrijk is dat de werknemer zich op geen enkele manier onder druk gezet voelt.
Mag een werkgever de zakelijke mailbox van een zieke werknemer inzien?
Als het nodig is, mag de werkgever de zakelijke e-mail van een zieke werknemer bekijken, bijvoorbeeld als die zijn lopende werk niet volledig kon overdragen. Privéberichten zijn daarbij taboe.
Blijkt uit het onderwerp dat een bericht persoonlijk is, dan mag de werkgever het niet lezen, ook niet als het in de zakelijke mailbox staat. Wordt per ongeluk toch een privébericht geopend, dan moet dat direct worden gesloten.
Advies van de AP
De AP raadt aan werknemers vooraf te informeren dat hun e-mail tijdens ziekte kan worden ingezien.
Mag een werkgever controleren of een werknemer echt ziek is?
Een werkgever mag niet zelf controleren of een werknemer daadwerkelijk ziek is. Hij kan de arbodienst of bedrijfsarts wel vragen dat te doen, zonder de privacy van de werknemer meer aan te tasten dan nodig.
Volgens de AP kan de werkgever bijvoorbeeld afspreken dat zieke werknemers op bepaalde tijden thuis bereikbaar zijn, zodat de arbodienst of bedrijfsarts kan bellen of langskomen. Ook mag de werkgever verlangen dat de werknemer, als dat kan, naar het spreekuur van de arbodienst of bedrijfsarts komt.
Er zijn ook grenzen: een werkgever mag niet eisen dat de werknemer de hele dag thuisblijft, en mag de arbodienst of bedrijfsarts niet dagelijks laten langsgaan als dat niet nodig is.
Een recherchebureau inschakelen?
Een verdergaande controle, bijvoorbeeld door een recherchebureau, kan alleen in uitzonderlijke gevallen. Daar moet een zwaarwegende reden voor zijn. De AP noemt als voorbeeld aanwijzingen dat de werknemer elders werkt terwijl hij ziek gemeld is en de werkgever het loon doorbetaalt.
Welke gegevens geeft de bedrijfsarts door aan de werkgever?
De bedrijfsarts is de schakel tussen de medische kant en de werkgever. Hij mag de werkgever alleen noodzakelijke gegevens geven. Dat zijn standaard:
In uitzonderlijke situaties mag de bedrijfsarts ook medische gegevens met de werkgever delen. Dan moet de werknemer daar uitdrukkelijk toestemming voor hebben gegeven en moet het om noodzakelijke informatie gaan. De AP noemt ook hier epilepsie als voorbeeld, waarbij naaste collega's moeten weten wat ze in een noodsituatie moeten doen.
Wat de bedrijfsarts niet doorgeeft
De loonwaarde geeft de bedrijfsarts niet door; die bepaalt de werkgever zelf op basis van de belastbaarheid. Een probleemanalyse waarin aard en oorzaak van de klachten en de omstandigheden van de werknemer staan, mag de bedrijfsarts ook niet aan de werkgever sturen. Het (korte) formulier Probleemanalyse van UWV mag wel naar de werkgever.
Het gesprek over functionele mogelijkheden en beperkingen
Over functionele mogelijkheden en beperkingen mag de werkgever met de werknemer in gesprek, maar alleen zoals de bedrijfsarts ze heeft vastgesteld. Op basis daarvan bespreken werkgever en werknemer samen wat dat betekent voor het werk en hoe de re-integratie verder vorm krijgt. Juist dat gesprek over wat wél kan, is de kern van goede verzuimbegeleiding.
Wat mag de bedrijfsarts bespreken in het sociaal-medisch team (SMT) of sociaal-medisch overleg (SMO)?
Veel organisaties hebben een vast overleg met de bedrijfsarts, een sociaal-medisch team (SMT) of sociaal-medisch overleg (SMO). Daar mag de bedrijfsarts volgens de AP de mate van arbeidsongeschiktheid, de verwachte duur, de functionele beperkingen en eventuele aanpassingen voor re-integratie bespreken.
Medische gegevens mag de bedrijfsarts in dat overleg alleen delen als de werknemer daar uitdrukkelijk toestemming voor heeft gegeven. Het is verstandig dat iedereen aan tafel dat onderscheid kent, zodat het gesprek over inzetbaarheid gaat en niet over diagnoses.
Gegevensuitwisseling tijdens het re-integratietraject bij langdurig verzuim
Bij dreigend langdurig verzuim wisselen werkgever, werknemer, arbodienst of bedrijfsarts en UWV gegevens uit. De AP zet de stappen op een rij:
Hoe lang mogen verzuimgegevens, re-integratiedossiers en medische dossiers bewaard worden?
Voor het re-integratiedossier bij de werkgever bestaat geen wettelijke bewaartermijn. De AP vindt het in principe redelijk om het dossier niet langer te bewaren dan twee jaar na uitdiensttreding. Is de werkgever eigenrisicodrager voor de Ziektewet, dan moet hij de gegevens voor UWV vijf jaar bewaren (artikel 3, lid 2 van de Regeling eigenrisicodragen Ziektewet).
Voor het medisch dossier bij de arbodienst of bedrijfsarts geldt een termijn van 20 jaar na het einde van het dienstverband, of na het einde van het contract tussen werkgever en arbodienst. Bestaat er een risico op een beroepsziekte die zich over een (nog) langere periode kan openbaren, dan moet het dossier om die reden langer bewaard worden. Bij een re-integratiebureau geldt 20 jaar voor medische gegevens en twee jaar voor overige gegevens.
Het verzuimsysteem: welke verzuimgegevens mogen erin en hoe moeten ze beveiligd worden?
De AP maakt een helder onderscheid tussen verzuimgegevens en medische gegevens.
Verzuimgegevens en medische gegevens: het verschil
Verzuimgegevens, zoals de ziekmelding en de door de bedrijfsarts vastgestelde beperkingen en mogelijkheden, mag de werkgever verwerken.
Medische gegevens, zoals aard en oorzaak van de ziekte, mogen alleen de bedrijfsarts of arbodienst verwerken.
Gevolgen voor de inrichting van het verzuimsysteem
Beveiliging van verzuimgegevens volgens artikel 32 AVG
Voor de beveiliging is de wettelijke plicht passende beveiliging volgens artikel 32 AVG. Gegevens over iemands verzuim kunnen iets zeggen over zijn gezondheid, en daarom gelden er volgens de AP extra strenge eisen. Alleen bevoegde medewerkers mogen bij deze gegevens.
Als een verzuimsysteem via internet toegankelijk is, mag de toegang alleen via meerfactorauthenticatie verlopen: naast het gewone inloggen moeten gebruikers hun identiteit op een andere manier aantonen, bijvoorbeeld met een token. Alleen een gebruikersnaam en wachtwoord is dan niet genoeg.
Voor de arbodienst of bedrijfsarts die medische dossiers beheert, komt daar de zorgcontext bij. De AP noemt NEN 7510 en NEN 7512 als voorbeelden van normen voor informatiebeveiliging in de zorg waaraan de AP of een rechter kan toetsen of er voldoende beveiligingsmaatregelen zijn genomen.
Hoe het mis kan gaan: de AVG-boete van de Autoriteit Persoonsgegevens voor CP&A
15.000 euro boete in 2021
Dat dit geen theoretische kwestie is, laat de boete van 15.000 euro zien die de AP in 2021 oplegde aan onderhoudsbedrijf CP&A. Het bedrijf hield de oorzaak van het ziekteverzuim bij, met namen van ziektes, specifieke klachten en pijnaanduidingen. Bovendien was de verzuimregistratie online toegankelijk zonder enige vorm van authenticatie.
CP&A heeft de overtredingen inmiddels beëindigd. De zaak laat zien dat het om twee dingen tegelijk gaat: niet meer vastleggen dan mag, en goed beveiligen wat wel wordt vastgelegd.
Overstappen naar een andere arbodienst: wat mag er met het verzuimdossier mee?
Bij een overstap naar een andere arbodienst of bedrijfsarts mag de oude arbodienst alleen het deel van het dossier overdragen dat niet onder het medisch beroepsgeheim valt.
Medische gegevens mogen alleen mee als dat nodig is voor de verzuimbegeleiding: als de werknemer ziek is op het moment van de overstap, of binnen 4 weken na zijn hersteldmelding opnieuw uitvalt. Daarnaast gelden drie voorwaarden:
De rol van de ondernemingsraad bij verzuimbeleid en re-integratie
Heeft de organisatie een ondernemingsraad, dan moet de werkgever volgens de AP eerst om instemming vragen als hij een regeling over ziekteverzuim of re-integratie wil vaststellen, wijzigen of intrekken.
De AP noemt als voorbeelden de keuze van een arbodienst, het sluiten en wijzigen van het contract met de arbodienst en het verzuimbeleid, inclusief de manier waarop de werkgever verzuimcontroles uitvoert.
Aandachtspunten voor privacy bij ziekteverzuim in de eigen organisatie
Veelgestelde vragen over privacy bij ziekteverzuim
Mag een werkgever vragen wat een zieke werknemer mankeert?
Nee. De aard en oorzaak van een ziekte vallen volgens de AP niet onder de noodzakelijke informatie die een werkgever mag vastleggen. Een werkgever mag er niet naar vragen en mag het ook niet registreren. Toestemming van de werknemer is daarbij geen uitweg, op zeer uitzonderlijke gevallen na.
Wie controleert of een werknemer echt ziek is?
Niet de werkgever zelf. Hij kan de arbodienst of bedrijfsarts wel vragen dat te doen, zonder de privacy van de werknemer meer aan te tasten dan nodig.
Hoe lang mag een werkgever een re-integratiedossier bewaren?
Er bestaat geen wettelijke bewaartermijn. De AP vindt het in principe redelijk om het dossier niet langer te bewaren dan twee jaar na uitdiensttreding. Een eigenrisicodrager voor de Ziektewet moet de gegevens voor UWV vijf jaar bewaren.
Wat is het verschil tussen verzuimgegevens en medische gegevens?
Verzuimgegevens, zoals de ziekmelding en de door de bedrijfsarts vastgestelde beperkingen en mogelijkheden, mag de werkgever verwerken. Medische gegevens, zoals aard en oorzaak van de ziekte, mogen alleen de bedrijfsarts of arbodienst verwerken.
Tot slot: privacyregels ondersteunen een goede verzuimaanpak
Privacyregels bij ziekte lijken soms een hindernis, maar ze ondersteunen juist een goede verzuimaanpak. Wanneer de werkgever zich richt op wat iemand nog kan en de medische kant bij de bedrijfsarts laat, blijft het vertrouwen tussen werkgever en werknemer intact. Dat vertrouwen is de basis voor een snelle en duurzame terugkeer naar werk.
Een goed ingericht protocol, een veilig systeem en heldere afspraken met de arbodienst maken dat in de praktijk een stuk eenvoudiger.