De Autoriteit Persoonsgegevens heeft onlangs de ‘Beleidsregels voor de verwerking van persoonsgegevens over de gezondheid van zieke werknemers’ gepubliceerd. Deze beleidsregels zijn zeer belangrijk voor de privacy van de zieke werknemer.
De beleidsregels beginnen met een uiteenzetting van het juridische kader. Aansluitend worden een aantal categorieën van gegevens behandeld. Het betreft:
1. De sollicitatieprocedure (o.a. wordt ingegaan op de vraag wat een toekomstig werkgever mag vragen in een sollicitatiegesprek)
2. De ziekmelding (welke gegevens mag je vragen als werkgever?
3. Ziekteverzuimbegeleiding/re-integratie
4. Bewaartermijnen (over gegevens van de zieke werknemer)
Per onderwerp geven de beleidsregels aan welke gegevens over de gezondheid van werknemers door werkgevers verwerkt mogen worden.
Uit de beleidsregels volgt bijvoorbeeld dat de werkgever bij een ziekmelding enkel de navolgende gegevens mag noteren:
I. Telefoonnummer en verpleegadres;
II. Vermoedelijke duur van het verzuim;
III. Lopende afspraken en werkzaamheden;
IV. Of de werknemer onder één van de vangnetbepalingen van de Ziektewet valt (maar niet onder welke vangnetbepaling hij valt);
V. Of de ziekte verband houdt met een ongeval;
VI.Of er sprake is van een verkeersongeval waarbij een eventueel aansprakelijke derde betrokken is.
VII. Als sprake is van verzuimbegeleiding of re-integratie wordt deze lijst natuurlijk uitgebreider.
Verder staat in de beleidsregels aangegeven dat overige gegevens (zoals aard en oorzaak van de ziekte en medische behandelingen) door de werkgever niet mogen worden verwerkt of geregistreerd:
Dit betekent dat er geen (meerkeuze)mogelijkheden in het systeem mogen zitten die in strijd zijn met deze vereisten. Bij eventuele open invulvelden voor de werkgever moet duidelijk zijn aangegeven dat deze hier geen medische gegevens in mag registreren, zoals aard en oorzaak van de ziekte. Bij voorkeur staan er geen open velden in het systeem voor de werkgever.
a. Het moet voor de werkgever onmogelijk zijn om rapportages uit te draaien waarin medische
persoonsgegevens staan die hij niet mag verwerken.
b. Als een (zelfstandige) bedrijfsarts in opdracht van een werkgever de verzuimbegeleiding uitvoert,
mag de module waarin de arts de (medische) gegevens registreert op geen enkele manier
toegankelijk zijn voor de werkgever, dus ook niet voor de systeembeheerder die in dienst is bij de
werkgever.
c. De werkgever mag niet zelf inlogcodes uitgeven voor de toegang tot gegevens die hij niet mag
verwerken. De uitgifte van deze inlogcodes impliceert namelijk dat de werkgever toegang heeft tot
deze gegevens. De beheerder van het systeem of de arbodienst moet daarom deze inlogcodes
uitgeven.
Verder wil ik nog verwijzen naar de handreiking bij de bewaartermijnen. Artikel 10 lid 1 Wbp bepaalt dat gegevens niet langer bewaard mogen worden dan noodzakelijk voor verwerkelijking van de doeleinden waarvoor zij worden verwerkt. De wet laat het in beginsel – voor zover ze niet onder een andere wettelijke regeling vallen – aan de verantwoordelijke zelf in te vullen wat een passende bewaartermijn is.
