Gezondheidsgegevens verwerken onder de AVG

Met ingang van vandaag, 25 mei 2018, is de Algemene verordening gegevensbescherming van kracht en hebben werkgevers te maken met nieuwe privacyregels. Voor de verwerking van gezondheidsgegevens van werknemers gelden strenge regels. Dat was al zo en dat blijft zo.

Het uitgangspunt van de Algemene verordening gegevensbescherming (AVG) is dat het niet is toegestaan om gegevens over de gezondheid van werknemers te verwerken. Dat was ook al zo bij de Wet bescherming persoonsgegevens. Hierop zijn wel een paar uitzonderingen. De belangrijkste zijn:

• de situatie waarin de werknemer uitdrukkelijke toestemming heeft gegeven voor de verwerking van zijn gegevens voor één of meer doelen;
• de situatie waarin de verwerking noodzakelijk is voor de uitvoering van het arbeidsrecht, het sociale zekerheidsrecht of de collectieve arbeidsovereenkomst (cao).

Tussen werknemer en werkgever is echter sprake van een gezagsverhouding; de werknemer is daardoor eigenlijk nooit helemaal onafhankelijk van zijn werkgever en vrij in zijn keuze. Een rechter zal daarom niet snel aannemen dat een werknemer uitdrukkelijk toestemming geeft voor de verwerking van zijn gegevens.

Voorwaarden verwerken gezondheidsgegevens

Voor werkgevers is daarom vooral de tweede uitzondering belangrijk. Daaruit volgt dat de werkgever  gezondheidsgegevens mag verwerken in de volgende situaties:

• voor zover dat noodzakelijk is voor re-integratie of begeleiding van werknemers tijdens ziekte of arbeidsongeschiktheid;
• voor zover dat noodzakelijk is om aan wettelijke verplichtingen te voldoen. Denk aan de voorschriften uit de Wet verbetering poortwachter (tools), de Arbowet of een collectieve arbeidsovereenkomst;
• voor het stellen van medische diagnoses of het bieden van gezondheidszorg;
• voor de beoordeling van de arbeidsgeschiktheid van een werknemer en om de loondoorbetalingsverplichting vast te stellen.