Regelmatig doet zich de vraag voor welke informatie een werkgever nu wel en niet mag vragen en/of verzamelen in geval van ziekte van een werknemer. In de praktijk wordt daarbij vaak aangelopen tegen de spanning tussen het verzamelen van informatie en gegevens om (bijvoorbeeld) invulling te geven aan de re-integratieverplichting en de bescherming van de privacy van de werknemer. De Wet bescherming persoonsgegevens verbiedt de verwerking van gegevens die verder gaat dan noodzakelijk is voor het bijhouden van de voortgang van de ziekte van de werknemer. Onder verwerking van gegevens wordt in de Wbp verstaan: “elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens”. Kortom, er is al heel snel sprake van het verwerken van informatie in de zin van de Wbp. De werknemer is niet verplicht om informatie te geven over de aard of de oorzaak van de ziekte. In veel ziekteverzuimprotocollen is opgenomen dat deze informatie wel verstrekt dient te worden, maar dat is in strijd met de privacyregelingen. De werkgever mag de volgende informatie vragen en verwerken:
- het telefoonnummer en verpleegadres;
- de vermoedelijke duur van het verzuim;
- de lopende afspraken en werkzaamheden;
- of de werknemer onder een van de vangnetbepalingen van de Ziektewet valt (bijvoorbeeld de no-riskpolis);
- of de ziekte verband houdt met een arbeidsongeval;
- of sprake is van een verkeersongeval, waarbij een eventueel aansprakelijke derde is betrokken.
De arbeidsongeschikte werknemer zal de medische informatie verstrekken aan de bedrijfsarts, maar de bedrijfsarts mag op zijn beurt de werkgever uitsluitend informeren over de gegevens die nodig zijn om tot een re-integratieplan (Plan van Aanpak) te kunnen komen om de arbeidsongeschikte werknemer weer in het arbeidsproces te krijgen. Dit betekent dat de bedrijfsarts aan zal geven in de probleemanalyse en daarop volgende terugkoppelingen van de (spreekuur)contacten welke werkzaamheden de betreffende werknemer wel of niet meer kan uitvoeren. De bedrijfsarts mag aangeven welke aanpassingen of voorzieningen in de werkzaamheden of de werkplek nodig zijn om de re-integratie van de zieke werknemer vorm te kunnen gegeven. De bedrijfsarts mag evenwel geen informatie geven over de diagnose, klachten, pijnaanduidingen, therapieën, afspraken met artsen, etc. Het gaat zelfs zo ver dat de bedrijfsarts geen informatie mag verstrekken over eventuele situationele problemen thuis of problemen uit het verleden. Laat staan dat de werkgever deze informatie zou mogen verwerken. Het komt in de praktijk vaak voor dat werknemers uit eigen beweging meer medische informatie verstrekken aan de werkgever en/of ook toestemming verlenen voor het bewaren van deze informatie. Echter, het is de vraag of een dergelijke algemene of wellicht “terloopse” toestemming ook voldoet aan de eisen die de Wbp stelt aan de toestemming om dit soort informatie te verwerken. Het probleem zit er veelal in dat de vereiste vrije wil vanwege de (gezags)verhouding tussen werkgever en werknemer minder snel aanwezig wordt geacht. Een werknemer zal wellicht tot druk voelen om informatie te verstrekken en de werkgever zal daar een aantekening van maken in het dossier. Deze veel voorkomende praktijk staat op gespannen voet met de wettelijke regeling. De verkregen informatie wordt vaak bewaard in een personeelsdossier, waarvan een verzuimdossier onderdeel kan uitmaken. Het personeels- en/of verzuimdossier kan een fysiek dossier op kantoor zijn, maar ook een digitaal dossier. Ook hier is het oppassen geblazen, want de Wbp verplicht de werkgever de gegevens goed te beveiligen, zodat wordt voorkomen dat deze informatie ter kennis kan komen aan onbevoegden. Als sprake is van een technisch systeem, dan geldt dat deze informatie moet worden beveiligd met gebruikersnaam en wachtwoord. In het geval deze informatie wordt opgeslagen in de cloud, dan gaan de beveiligingscriteria nog veel verder. Het is van belang dat u als werkgever hiervan bewust bent en de nodige maatregelen treft om de beveiliging van deze informatie op peil te brengen. Als er informatie is verzameld en verwerkt, dan is het niet zo dat de werkgever deze informatie voor onbeperkte tijd mag bewaren. Een re-integratiedossier mag bijvoorbeeld niet langer bewaard worden dan tot twee jaar na het moment dat het traject is voltooid. Mochten er echter afspraken zijn gemaakt tijdens de re-integratie die ook na twee jaar nog actueel zijn, dan mag die informatie wel worden bewaard. Voor zogenaamde eigenrisicodragers (voor de Ziektewet en de WGA) gelden veel langere bewaartermijnen, omdat de financiële verplichtingen in die gevallen jegens de (voormalig) werknemer langer doorlopen. In totaal namelijk 12 jaar. Dat rechtvaardigt de langere bewaartermijn. De privacywetgeving is per 1 januari 2016 behoorlijk aangescherpt en dat betekent (onder meer) dat de technische systemen waarin persoonsinformatie wordt opgeslagen en bewaard voldoende moet zijn beveiligd. Als niet aan de wettelijke criteria wordt voldaan en er bijvoorbeeld sprake van een datalek, dan kan de Autoriteit Persoonsgegevens een boete opleggen aan de werkgever. Per 1 januari 2016 zijn de boeten verhoogd van maximaal € 4.500,-- per overtreding naar maximaal € 810.000,-- per overtreding of 10 procent van de jaaromzet. Deze verhoging brengt met zich dat het van belang is dat werkgevers ervoor zorg dragen dat hun verzuimadministratie op orde is, de juiste gegevens worden bewaard en niet langer dan nodig. Bovendien dient u zich ervan bewust te zijn welke persoonsgegeven u verwerkt en met welk doel. Kortom, voldoet uw personeelsadministratie op dit punt? Dit artikel is geschreven door mr. Ronald Muurlink. Mocht u nadere informatie willen over dit onderwerp of een afspraak willen maken dan kunt contact met hem opnemen of één van de andere leden van onze vakgroep Arbeidsrecht; Advocaten: Alkmaar : Ronald Muurlink, Roel van Velzen. Den Helder : Marieke Frank.
