Werknemers en privacy: kijk uit met gegevens over de gezondheid!

maandag, 15 december 2014

Bij het verwerken van gegevens van werknemers, dient de werkgever zich aan de Wet Bescherming Persoonsgegevens (“Wbp”) te houden. De Wbp bepaalt welke gegevens de werkgever mag verwerken en op welke wijze hij dat mag doen. Extra strenge regels gelden voor bijzondere persoonsgegevens, zoals informatie over de gezondheid van de werknemer.

Gegevens over de gezondheid

Gegevens over iemands gezondheid zijn in de Wbp gekwalificeerd als zogeheten “bijzondere persoonsgegevens”. Zelfs een feitelijke constatering dat iemand in een rolstoel zit of een ziekmelding vallen al onder dit begrip. Deze gegevens mag een werkgever niet verwerken, tenzij de wet een uitzondering toestaat. Voor werkgevers zijn met name twee uitzonderingen van belang. Zij mogen de gezondheidsgegevens verwerken die noodzakelijk zijn voor de vaststelling van de loondoorbetalingsverplichting (of verplichtingen op basis van de pensioenregeling of cao die afhankelijk zijn van de gezondheid) en de gegevens die noodzakelijk zijn voor de re-integratie of begeleiding van de zieke werknemer.

Het noodzakelijkheidscriterium beperkt het aantal gegevens dat mag worden verwerkt. De werkgever mag niet vragen naar de aard en oorzaak van de ziekte. Zelfs als een werknemer de werkgever vrijwillig informeert over wat hem precies mankeert, mag de werkgever die informatie niet registreren. Hierop bestaan maar heel weinig uitzonderingen. In de praktijk gaat dit vaak mis. Werkgevers verwerken vaak meer medische gegevens dan noodzakelijk voor het vaststellen van de loondoorbetalingsplicht of de begeleiding en re-integratie.

College Bescherming Persoonsgegevens

Het College Bescherming Persoonsgegevens (“CBP”) heeft de controle van werknemers in 2014 als één van haar onderzoeksprioriteiten aangemerkt. Dat heeft ertoe geleid dat in 2014 tot nu toe (in ieder geval) drie rapportages zijn verschenen waarin het CBP werkgevers op de vingers tikt wegens overtreding van de Wbp. Het betrof  Randstad (rapport 20 november 2014), Adecco (rapport 20 november 2014) en Noot Holding (rapport 8 december 2014). Het CBP constateerde dat deze bedrijven (onder meer) meer gezondheidsgegevens verwerkten dan toegestaan.

Uit de rapporten over Randstad en Adecco volgt dat zij bij ziekmelding onder meer vroegen naar de aard en oorzaak van de ziekte. Deze informatie werd ook verwerkt in een systeem. Het ging dan bijvoorbeeld om informatie als “de uitzendkracht voelt zich vandaag niet lekker/heeft een ‘griepje’, maar denkt morgen weer aan de slag te kunnen” of “de uitzendkracht heeft een been gebroken, niet mobiel maar kan wel werken als hij met iemand mee kan rijden”. Het CBP oordeelt dat het registreren van de aard en oorzaak van de ziekte niet noodzakelijk is voor de vaststelling van de loonbetalingsverplichting en de begeleiding of re-integratie van de werknemer. Datzelfde geldt voor vragen naar acties van de werknemer om zo spoedig mogelijk te herstellen. Het CBP concludeert dat Randstad en Adecco hierdoor in strijd met de Wbp hebben gehandeld. Hetgeen overigens ook gold ten aanzien van (o.a.) het registreren van het dragen van hoofddoeken en de wijze van verwerking van strafrechtelijke antecedenten.

Op 8 december 2014 publiceerde het CBP wederom een rapport over ziekteverzuimbeleid. Aanleiding voor dat rapport was een “signaal” vanuit de betreffende onderneming (hoogstwaarschijnlijk afkomstig van een werknemer). Uit het rapport volgt dat de werknemers bij ziekmelding een formulier moesten invullen met vragen over de gezondheid. Zo moest de werknemer onder meer aangeven welke klachten hij had, wat de oorzaak daarvan was, of er een verband bestond met het werk en bij wie de werknemer onder behandeling stond. Tijdens het onderzoek van het CBP werd dit beleid aangepast en moesten werknemers in dertien ‘stappen’ zelf hun beperkingen aangeven, waaronder hun functionele belemmeringen, zoals de mogelijkheid om te zitten, buigen of staan.

Het CBP concludeert dat op onrechtmatige wijze gezondheidsgegevens zijn verwerkt, omdat er méér gegevens werden verwerkt dan noodzakelijk is voor de vaststelling van de loondoorbetalingsverplichting en de begeleiding of re-integratie. Onder meer het vragen naar en verwerken van diagnoses, gegevens over therapieën, het doorvragen naar beperkingen en mogelijkheden en afspraken met behandelaars zijn niet noodzakelijk en daarmee onrechtmatig, aldus het CBP. Bovendien oordeelt het CBP dat de bedrijfsarts of arbodienst als medisch deskundige een oordeel moet geven over de werknemer, op grond waarvan de werkgever het recht op loondoorbetaling kan vaststellen en de werknemer kan begeleiden en re-integreren. Dat is niet aan de leidinggevende en/of werkgever zelf.

Toestemming werknemer

In dit laatste rapport gaat het CBP ook in op de mogelijkheid om van een werknemer toestemming te vragen om gezondheidgegevens te verwerken. Een dergelijke toestemming dient vrij, specifiek en op informatie gebaseerd te zijn. Het CBP merkt daarover op dat toestemming problematisch is vanwege de hiërarchische verhouding tussen werkgever en werknemer en de financiële afhankelijkheid van werknemer. Bovendien zijn werknemers wettelijk verplicht om mee te werken aan hun re-integratie of begeleiding, waardoor het voor hen vaak niet duidelijk is aan wie zij wel of geen medische informatie dienen te verstrekken. Het CBP acht de toestemming niet ‘vrij’ gegeven. Daardoor kan toestemming van een werknemer niet worden gebruikt door de werkgever om gezondheidsgegevens te verwerken.

Wat mag dan wel?

In de rapporten van CBP wordt een opsomming gegeven van de informatie die de werkgever wel mag verwerken bij ziekmelding van de werknemer. Het gaat onder meer om de vermoedelijke duur van het verzuim, het telefoonnummer, (verpleeg)adres en de lopende afspraken en werkzaamheden van werknemer. Ook mag worden gevraagd of de ziekte verband houdt met een arbeidsongeval of verkeersongeval. De opsomming is onder meer te vinden op pagina 11 van het rapport over Adecco.

Controleer uw ziekteverzuimbeleid!

Het is verstandig om te controleren of het ziekteverzuimbeleid van uw onderneming in lijn is met de Wbp. Het CBP is meer en meer actief in de controle van bedrijven op dit punt en de ervaring leert dat veel ondernemingen (onbedoeld) in strijd met de wet gezondheidgegevens verwerken. Zeker in het licht van het wetsvoorstel tot verruiming van de boetebevoegdheid van het CBP tot een maximum van € 810.000,- (zie daarvoor het artikel van Monique Hennekens), behoeft een controle op dit vlak eens te meer de aandacht van uw onderneming.