Opslaan van gegevens over zieke werknemers leidt tot boete

Vanwege het overtreden van regels bij het verwerken van gezondheidsgegevens van zieke werknemers heeft de Autoriteit Persoonsgegevens (AP) een boete van € 15.000 opgelegd aan een onderhoudsbedrijf. Onder andere de beveiliging van de verzuimregistratie schoot tekort.

De verzuimregistratie van de organisatie bevatte zeer privacygevoelige informatie over de fysieke en mentale gezondheid van werknemers. Door bij te houden wat onder andere de namen, de specifieke klachten en pijnaanduidingen van de individuele ziektegevallen waren, werd er meer privacygevoelige informatie vastgelegd dan is toegestaan. Volgens de Algemene verordening gegevensbescherming (AVG) is het voor de re-integratie van werknemers niet noodzakelijk voor een werkgever om dit vast te leggen.

Identiteit via meerfactorauthenticatie aantonen

Daarnaast was de verzuimregistratie online inzichtelijk zonder enige vorm van beveiliging (tool). Een online toegankelijke verzuimregistratie is in principe niet verboden. Hierin mag een werkgever echter alleen ziekmeldingen registreren en niet de oorzaak of aard van de ziekte. Bovendien geldt dat alleen bevoegde werknemers bij deze gegevens mogen en zij hun identiteit via een meerfactorauthenticatie op minimaal twee manieren moeten aantonen.

Acute ziekteverschijnselen werknemer

Alleen in uitzonderlijke gevallen mag een werkgever de aard en de oorzaak van de ziekte van een werknemer registreren. Bijvoorbeeld als een werknemer acute ziekteverschijnselen kan hebben, zoals bij epilepsie. Collega’s zijn dan op de hoogte en weten wat te doen als de werknemer een aanval krijgt. Een werkgever mag een zieke werknemer wel noodzakelijke vragen stellen (tool) om te bepalen hoe het verder moet met zijn werkzaamheden.

Verantwoording arbodienst of bedrijfsarts

Gezondheidsgegevens zijn bijzondere persoonsgegevens. Iedere werknemer heeft het recht die gegevens zo veel mogelijk voor zichzelf te houden. De privacywetgeving verbiedt werkgevers informatie over de oorzaak en aard van een ziekmelding van een werknemer te registreren. Dit is de verantwoording van de arbodienst of de bedrijfsarts. Die kan de werkgever vervolgens informeren over de verwachte duur van de ziekte en de belastbaarheid van de werknemer.