Werkgever kijk nou uit met het verwerken van gezondheidsgegevens van werknemers!

Waarom mag je als werkgever ook alweer geen gezondheidsgegevens van werknemers verwerken? En wat zijn de gevolgen als je dat toch doet?

Artikel 4 onderdeel 15 van de AVG (Algemene Verordening Gegevensbescherming) definieert gegevens over gezondheid als persoonsgegevens die ‘verband houden met de fysieke of mentale gezondheid van een natuurlijk persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven’. Ingevolge artikel 9 lid 1 AVG is de verwerking van gegevens over gezondheid verboden. Dit verbod is niet absoluut. In het tweede lid zijn uitzonderingen op het verbod vermeld, zoals:

‘(…)
b) de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt;
(…)’

De Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) verduidelijkt in artikel 30 dat het verbod om gegevens over gezondheid te verwerken niet van toepassing is als de verwerking geschiedt door werkgevers of arbodiensten en voor zover de verwerking noodzakelijk is voor:

‘(…)
b. de re-integratie of begeleiding van werknemers of uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid.
(…)’

Oké, gezondheidsgegevens over de werknemer mogen dus worden verwerkt in het kader van de re-integratie en begeleiding van de zieke werknemer. Waarom mag de werkgever dan niet gegevens verwerken over bijvoorbeeld de verzuimreden c.q. de aard van de ziekte? Dat komt omdat de aard en omvang van de gegevens die mogen worden verwerkt begrensd worden door de eis van noodzakelijkheid.

In de beleidsregels ‘De zieke werknemer’ is geconcretiseerd welke medische persoonsgegevens de werkgever in het kader van de re-integratie en verzuimbegeleiding wél mag verwerken, en dus als noodzakelijk kunnen worden aangemerkt, en welke gegevens niet noodzakelijk zijn, en daarom níet verwerkt mogen worden.

Dat dit laatste nauw luistert, ondervond een werkgever die teveel gezondheidsgegevens bijhield. Waaronder de verzuimreden, fysieke en mentale ziektes, specifieke klachten en pijnaanduidingen. Wat daarbij overigens ook niet meehielp was dat deze werkgever de verzuimregistratie bijhield in een Google Drive-bestand en dat bij enkele werknemers in het opmerkingenveld nadere informatie was vastgelegd over de gezondheid.

De Autoriteit Persoonsgegevens (AP) stelde de overtreding vast en legde een boete op van € 15.000,-. Niet fijn natuurlijk. Wilt u nou voorkomen dat dit ook bij u gebeurt, dan kijken we graag mee welke gegevens er precies worden vastgelegd en op welke wijze de gegevens worden verwerkt.

Gaat het toch mis, dan bestaat er dus (onder andere) het risico op een boete. Bij het bepalen van de hoogte van de boete gebruikt de AP op dit moment nog de Boetebeleidsregels. De overtredingen van de AVG zijn hierin ingedeeld in 3 of 4 boetecategorieën, waaraan oplopende geldboetes zijn verbonden. En elke boetecategorie is vervolgens gekoppeld aan een bepaalde boete bandbreedte. Binnen de verschillende boete bandbreedtes is steeds een basisboete vastgelegd die per geval kan worden verhoogd of verlaagd aan de hand van een aantal factoren zoals bijvoorbeeld de aard, ernst en duur van de overtreding, het aantal betrokkenen en de omvang van de schade. Ook kan rekening worden gehouden met de financiële omstandigheden van de overtreder. Zoals in het geval van micro, kleine en middelgrote ondernemingen. Mocht u nog onverhoopt tegen een boete aanlopen, neem dan contact op om de mogelijkheden te bespreken.