In elk bedrijf komt het wel eens voor dat een werknemer ziek wordt. Bij langdurige arbeidsongeschiktheid, maar vaak ook bij een korte afwezigheid wegens bijvoorbeeld de griep, worden er dan medische gegevens van de werknemer geregistreerd. Gegevens over de gezondheid van werknemers zijn echter bijzondere persoonsgegevens en kunnen, als deze niet goed worden verwerkt, behoorlijke consequenties hebben voor zowel de betreffende werknemer (schending van zijn privacy) als de werkgever (aan wie een forse boete kan worden opgelegd).
De Wet bescherming persoonsgegevens bevat normen die onze persoonlijke levenssfeer beschermen, en daarmee ook die van (zieke) werknemers. De Autoriteit Persoonsgegevens houdt toezicht op de naleving daarvan.
De Autoriteit Persoonsgegevens hanteert in dat kader beleidsregels die betrekking hebben op de zieke werknemer. Deze beleidsregels zijn gebaseerd op de wet, rechtspraak en algemeen geldende normen. De beleidsregels bevatten informatie voor werknemers, werkgevers én andere partijen (zoals bijvoorbeeld de bedrijfsarts en het re-integratiebureau) die gegevens over de gezondheid van (zieke) werknemers verwerken. Deze beleidsregels kunnen dan ook voor hen als houvast dienen. De beleidsregels gaan in op de verschillende fases in de arbeidsrelatie: de sollicitatieprocedure, de ziekmelding en ook de begeleiding en re-integratie van zieke werknemers. In de beleidsregels wordt per onderwerp aangegeven welke gegevens over de gezondheid van de zieke werknemer mogen worden verwerkt. Dit luistert nauw.
Belangrijk om te weten is dat in principe géén andere gegevens (dan vermeld in de beleidsregels) mogen worden verwerkt. Dus ook niet als de werknemer hiervoor toestemming geeft. De – vaak gehoorde – redenering dat als de werknemer ermee instemt, de werkgever dus correct gehandeld heeft, gaat dus niet op. Vanwege de gezagsverhouding van de werkgever wordt namelijk niet snel aangenomen dat sprake is van een daadwerkelijk ‘vrije’ wilsuiting van de werknemer. De werknemer kan zich namelijk verplicht voelen om de toestemming te moeten verlenen. Bovendien kan de werknemer de verleende toestemming naderhand altijd weer intrekken.
Alleen als de werknemer een ziekte heeft waarbij het noodzakelijk kan zijn dat directe collega’s in geval van nood weten hoe te handelen (bijvoorbeeld in verband met epilepsie of suikerziekte) mag de werkgever de door de werknemer vrijwillig verstrekte gegevens over zijn ziekte registreren.
De beleidsregels zijn verder handig omdat zij ook aandacht besteden aan de bewaartermijnen die in acht moeten worden genomen. De Wet bescherming persoonsgegevens bepaalt namelijk dat gegevens niet langer bewaard mogen worden dan noodzakelijk is voor verwerkelijking van de doeleinden waarvoor zij worden verwerkt. De wet laat het echter in principe aan de verantwoordelijke zelf om te bepalen wat een passende bewaartermijn is. De beleidsregels bieden in dat kader houvast.
Wanneer de Autoriteit Persoonsgegevens onderzoekt of een organisatie in overeenstemming met de wet gezondheidsgegevens van werknemers verwerkt, dan hanteert zij deze beleidsregels als uitgangspunt. Op grond van de Wet bescherming persoonsgegevens kan de Autoriteit Persoonsgegevens hoge boetes opleggen als zij een overtreding van de wet constateert. In dat kader doen werkgevers er verstandig aan om het ziekteverzuimbeleid in het kader van privacy van werknemers binnen de wettelijke kaders te houden om zo geen boetes te riskeren.
Het is daarom verstandig om de beleidsregels een keer aandachtig door te nemen. U kunt de beleidsregels vinden op deze website.
Heeft u hier vragen over? Neem dan gerust contact op met een van onze arbeidsrechtadvocaten. Wij zijn u graag van dienst!