Verzuimgegevens verwerken volgens de regels van de AVG

De Algemene Verordening Gegevensbescherming (AVG) stelt strenge eisen aan de verwerking van gegevens van zieke werknemers. Werkgevers die deze gegevens laten verwerken door externe partijen, moeten in sommige gevallen een verwerkersovereenkomst sluiten.

De regels voor verwerking van gegevens over zieke werknemers waren al streng. Dat is door de Algemene verordening gegevensbescherming (AVG) niet veranderd. Wel nieuw is de verwerkersovereenkomst (tool). Als werkgevers persoonsgegevens door een externe partij laten verwerken, moeten zij met die partij afspraken maken over de manier waarop deze omgaat met die gegevens. Die afspraken staan in een verwerkersovereenkomst. Die is bijvoorbeeld nodig bij het uitbesteden van de salarisadministratie aan een boekhoudkantoor of het uitbesteden van de administratie rond ziekte aan een verzuimbureau. Of dit ook geldt voor de arbodienst en de bedrijfsarts, hangt af van een aantal zaken.

Arbodienst en bedrijfsarts geen verwerker

De Arbowet verplicht de werkgever om zich bij zijn wettelijke taken te laten bijstaan door deskundigen. Zo moet hij voor de verzuim- en re-integratiebegeleiding een gecertificeerde arbodienst of geregistreerde bedrijfsarts inschakelen. Op de arbodienst of bedrijfsarts rust een zelfstandige wettelijke verplichting. Zij verwerken gegevens rond ziekteverzuim omdat het hun wettelijke taak is. Binnen deze wettelijke taakuitoefening geldt de arbodienst of bedrijfsarts niet als verwerker. Zij zijn zelf verantwoordelijk voor de manier waarop zij de persoonsgegevens van de zieke werknemers verwerken.

Werkgever blijft eindverantwoordelijk

Werkgevers laten daarnaast regelmatig bepaalde werkzaamheden waar ze zelf verantwoordelijk voor  zijn, uitvoeren door derden. Bijvoorbeeld het invullen van het plan van aanpak voor de re-integratie door een extern verzuimbureau dat geen volwaardige arbodienst is. In zo’n geval is de externe partij wél de verwerker van persoonsgegevens en moet er een verwerkersovereenkomst worden gesloten. De werkgever blijft in dit geval eindverantwoordelijk voor de verwerking van de persoonsgegevens. Als de arbodienst of bedrijfsarts meer gegevens verwerkt dan nodig is om zijn wettelijke taak uit te voeren, is hij ook verwerker van de AVG en is er een verwerkersovereenkomst nodig.