Valt een werknemer uit wegens ziekte, dan is de werkgever in beginsel verplicht het loon door te betalen gedurende de periode dat de werknemer ziek is. De werkgever is daarnaast verplicht de zieke werknemer te doen re-integreren.

Om uitvoering te kunnen geven aan deze verplichtingen is het voor een werkgever van belang om te beschikken over gegevens met betrekking tot de ziekmelding c.q. ziekte van de werknemer. Voor de re-integratie moet een werkgever bijvoorbeeld weten of een werknemer mogelijk andere arbeid binnen de organisatie kan verrichten. Om vast te stellen of de werknemer recht heeft op loondoorbetaling is het belangrijk om te weten of en in hoeverre de werknemer arbeidsongeschikt is wegens ziekte.

Welke informatie mag een werkgever verwerken over zieke werknemers? Mag een arbodienst informatie delen met de werkgever? En wat te doen als een werknemer uit zichzelf gegevens deelt met de werkgever over zijn ziekte?

Vooropgesteld zij dat het een werkgever – evenals andere organisaties die persoonsgegevens verwerken – in beginsel verboden is om gezondheidsgegevens over het personeel te verwerken. Dit volgt uit de Algemene Verordening Gegevensbescherming (AVG), in het bijzonder art. 9 lid 1 AVG.

De begrippen ´gezondheidsgegevens´ en ´verwerken´ zijn zeer ruim. Alleen al het feit dát iemand zich ziek heeft gemeld (zonder dat vaststaat wat de oorzaak is van de gemelde ziekte) is bijvoorbeeld al een gezondheidsgegeven.[1] Verder is het ´verwerken´ van gegevens veel meer dan alleen het noteren en opslaan van informatie. Ook het opvragen van gegevens bij bijvoorbeeld de werknemer is een vorm van verwerken.[2] Zo valt het stellen van de vraag ´bent u ziek?´ in principe al onder de werking van de AVG, ongeacht het antwoord van de werknemer op deze vraag.

Op dit (algemene) verbod is een aantal uitzonderingen gemaakt. Zo mag een werkgever bijvoorbeeld wel gezondheidsgegevens verwerken voor zover dit noodzakelijk is voor het uitvoeren van wettelijke verplichtingen – of het uitoefenen van rechten – op grond van het arbeidsrecht of socialezekerheidsrecht.[3] Een belangrijk voorbeeld van zo´n wettelijke verplichting is de plicht om loon door te betalen tijdens ziekte.[4] Daarvoor moet een werkgever weten of een werknemer arbeidsongeschikt is wegens ziekte. Een ander belangrijk voorbeeld is de wettelijke verplichting tot het doen re-integreren van een zieke werknemer.[5]

Houd er rekening mee dat de verwerkte gezondheidsgegevens altijd noodzakelijk moeten zijn in het kader van deze wettelijke verplichtingen. Gegevens over de aard van de ziekte (bijv. een burn-out) of de oorzaak daarvan (bijv. privéomstandigheden) zijn bijvoorbeeld niet noodzakelijk om vast te stellen of de werknemer recht heeft op loondoorbetaling tijdens ziekte, en mogen dus niet worden verwerkt door een werkgever.[6]

Waarom zijn deze gegevens overigens niet noodzakelijk voor een werkgever? Dat hangt nauw samen met het feit dat een werkgever wettelijk verplicht is zich bij ziekteverzuim en re-integratie te laten bijstaan door een bedrijfsarts of arbodienst.[7] De bedrijfsarts/arbodienst verricht bij ziekmeldingen een onderzoek naar onder meer de aard en oorzaak van de ziekte en geeft naar aanleiding daarvan een advies af aan de werkgever (is de werknemer wel/niet arbeidsongeschikt? Welke stappen moeten worden genomen? Etc.). Is de werknemer het hier niet mee eens, dan kan hij zo nodig een deskundigenoordeel opvragen bij het UWV.

Wel is het voor een werkgever noodzakelijk om te weten of de werknemer onder een ´vangnetbepaling´ valt, bijvoorbeeld als de werknemer een ´no-riskpolis´ heeft.[8] Is sprake van een no-riskpolis, dan heeft de werknemer namelijk recht op een ziektewetuitkering en hoeft de werkgever geen loon door te betalen tijdens ziekte.

Een ander voorbeeld: een werkgever moet bedrijfsongevallen die leiden tot de dood, blijvend letsel of een ziekenhuisopname melden bij de Inspectie SZW. Om te kunnen bepalen of u hiertoe verplicht bent, mag u bij de werknemer dus informeren of hij/zij ziek is geworden als gevolg van een bedrijfsongeval (dat is noodzakelijk).[9]

Hetzelfde geldt wanneer iemand aansprakelijk is voor de ziekte van de werknemer. Denk bijvoorbeeld aan verkeersongevallen. Als werkgever mag u in dat geval het doorbetaalde loon verhalen op de aansprakelijke persoon. Dit wordt ook wel aangeduid als de ´regresmogelijkheid´.[10] Om dat te kunnen doen, mag u bij de werknemer informeren of de ziekte is veroorzaakt door toedoen van een andere partij.[11] Volgens de Autoriteit Persoonsgegevens (AP) doet u er als werkgever wel goed aan om de vraag in dat geval te beperken tot de vraag of er een regresmogelijkheid is door een verkeersongeval (verreweg de meest voorkomende regresmogelijkheid). Dit om te voorkomen dat de werknemer zich gedwongen voelt om te vertellen dat de ziekte bijvoorbeeld het gevolg is van huiselijk geweld, wat volgens de AP veel privacygevoeliger is.[12]

Bij de beantwoording van de vraag wat in een concreet geval wel of niet noodzakelijk is, is het altijd belangrijk om rekening te houden met de beginselen van proportionaliteit en subsidiariteit.[13] Het eerste beginsel vereist dat een afweging plaatsvindt tussen uw belang als werkgever en het belang van de werknemer bij behoud van zijn privacy. Het hiervoor genoemde advies om specifiek te vragen naar regresmogelijkheden bij verkeersongevallen hangt bijvoorbeeld nauw samen met dit proportionaliteitsbeginsel. Het tweede beginsel vereist dat het te bereiken doel niet op een andere manier kan worden bewerkstelligd waarbij de inbreuk op de privacy van de werknemer minder is.

Er zijn ook andere uitzonderingen op het verbod om gezondheidsgegevens te verwerken, maar die zullen zich in de praktijk niet zo snel voordoen. Zo mag een werkgever ook gezondheidsgegevens verwerken als de werknemer hiervoor uitdrukkelijk toestemming heeft gegeven.[14] Vanwege de gezagsverhouding tussen werkgever en werknemer wordt over het algemeen echter aangenomen dat een werknemer niet ´in vrijheid´ zijn toestemming hiervoor kan geven.[15] Stellen dat een werknemer heeft ingestemd met bijvoorbeeld het in zijn personeelsdossier noteren van de aard van de ziekte en de te volgen medische behandelingen, is dus niet aan te raden. Dit zou zich alleen kunnen voordoen als de werknemer een groot belang heeft bij het delen van medische informatie, bijvoorbeeld als hij epilepsie heeft en de werkgever moet weten wat hij moet doen ingeval van noodsituaties.[16]

Een andere wettelijke uitzondering is het verwerken van gezondheidsgegevens voor het onderbouwen van een rechtsvordering.[17] Ook dit zal zich niet zo snel voordoen. Denkbaar is wellicht de situatie waarin een werkgever een dossier wenst op te bouwen ingeval van verslavingsproblematiek van een werknemer.[18]

In de praktijk komt het overigens vaak voor dat een werknemer uit zichzelf details prijsgeeft over de aard en oorzaak van de ziekte. Denk bijvoorbeeld aan een werknemer die zich ziek meldt wegens griep, of die wegens een auto-ongeluk in het ziekenhuis is beland met een fractuur. Volgens de AP impliceert dit echter geen uitdrukkelijke toestemming. Een werkgever mag ook in dat geval dus alleen de puur noodzakelijke gegevens noteren of vastleggen.[19]

In de ´Beleidsregels voor de verwerking van persoonsgegevens over de gezondheid van zieke werknemers´ uit 2016 heeft de AP een opsomming gegeven van de gezondheidsgegevens die werkgevers mogen verwerken voor het nakomen van wettelijke verplichtingen, zoals het recht op loondoorbetaling tijdens ziekte, en het uitoefenen van rechten. Dat zijn:

Bij de sollicitatie:

1. Indien de werkgever zich met een aanstellingskeuring wil laten informeren over de medische geschiktheid van de sollicitant (mag alleen onder strikte voorwaarden): de uitslag van de aanstellingskeuring c.q. of de werknemer geschikt of ongeschikt is, nadat de werknemer toestemming heeft gegeven de uitslag bekend te maken.
2. Of de sollicitant is opgenomen in het ´doelgroepregister´. Op grond van de Wet banenafspraak en quotum arbeidsbeperkten moeten werkgevers een minimumaantal werknemers met een ziekte of handicap te werk stellen. Een werkgever mag bij het UWV informeren of een sollicitant binnen deze ´doelgroep´ valt.

Bij de ziekmelding:

1. Het telefoonnummer en (verpleeg)adres.
2. De vermoedelijke duur van het verzuim.
3. De lopende afspraken en werkzaamheden.
4. Of de werknemer onder een van de vangnetbepalingen van de Ziektewet valt (bijv. een no-riskpolis), maar niet onder welke vangnetbepaling hij valt.
5. Of de ziekte verband houdt met een arbeidsongeval.
6. Of er sprake is van een verkeersongeval waarbij een eventueel aansprakelijke derde betrokken is (regresmogelijkheid).

Na de ziekmelding c.q. tijdens de ziekteverzuimbegeleiding/re-integratie:

1. De werkzaamheden waartoe de werknemer niet meer of nog wel in staat is (functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen).
2. De verwachte duur van het verzuim.
3. De mate waarin de werknemer arbeidsongeschikt is (gebaseerd op functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen).
4. Eventuele adviezen over aanpassingen, werkvoorzieningen of interventies die de werkgever voor de re-integratie moet treffen.

Deze gegevens zullen door de bedrijfsarts/arbodienst worden verstrekt. Verder zou hier aan toegevoegd kunnen worden: alle gezondheidsgegevens die de werkgever opslaat in het re-integratiedossier, zoals het plan van aanpak en de eventuele bijstellingen daarvan.

In de beleidsregels worden de uitslagen van eventuele alcohol- en drugstesten die de werkgever heeft laten afnemen onder het personeel, niet genoemd. Dit terwijl deze uitslagen wel degelijk gezondheidsgegevens zijn. Mogelijk houdt dit verband met het standpunt van de AP dat het door werkgevers afnemen van alcohol- en drugstesten verboden is, tenzij dit uitdrukkelijk is voorgeschreven in de wet (zoals bij de luchtvaart). Zie ook mijn blog over alcohol- en drugstesten op het werk.

Een werkgever is wettelijk verplicht zich bij de re-integratie van zieke werknemers te laten bijstaan door een bedrijfsarts of (gecertificeerde) arbodienst.[20] Om de werkgever goed te kunnen adviseren, is het voor bedrijfsartsen/arbodiensten eveneens noodzakelijk gezondheidsgegevens te verwerken over het personeel.

Denk bijvoorbeeld aan de aard en oorzaak van de ziekte, de medische behandelingen die de werknemer ondergaat, omstandigheden die van invloed zijn op de re-integratie, etc.

Ook voor bedrijfsartsen geldt dat niet méér gegevens mogen worden verwerkt dan noodzakelijk (in de hiervoor aangehaalde beleidsregels van de AP wordt een opsomming gegeven van de gezondheidsgegevens die bedrijfsartsen zoal mogen verwerken, zie p. 24-26 van de beleidsregels). Voor bedrijfsartsen geldt bovendien een medisch beroepsgeheim.[21] In de advisering aan de werkgever zal een bedrijfsarts nooit meer informatie mogen geven dan de gegevens vermeld in de vorige paragraaf.

Uit het voorgaande volgt dat werkgevers en bedrijfsartsen/arbodiensten in het kader van hun wettelijke verplichtingen gezondheidsgegevens mogen verwerken over het personeel. In hoeverre is een werknemer nu verplicht om deze gegevens te verstrekken aan een werkgever? En wat zijn de consequenties als de werknemer dit niet doet?

Op grond van de wet mag een werkgever voorschriften vaststellen met betrekking tot het verstrekken van inlichtingen die de werkgever nodig heeft om vast te stellen of de (zieke) werknemer recht heeft op doorbetaling van loon (ook wel aangeduid als ´controlevoorschriften´). Bij controlevoorschriften kan worden gedacht aan: een verplichting om bij ziekte zich zo spoedig mogelijk ziek te melden, het verstrekken van inlichtingen aan een bedrijfsarts of arbodienst, het vragen van een second opinion als de werknemer het niet eens is met het advies van de bedrijfsarts/arbodienst.[22] Controlevoorschriften moeten altijd schriftelijk zijn vastgelegd, redelijk zijn, en kunnen een werknemer niet verplichten méér informatie te verstrekken dan noodzakelijk.

Leeft een werknemer controlevoorschriften niet na – hij komt bijvoorbeeld herhaaldelijk niet opdagen op het spreekuur van de bedrijfsarts – dan mag de werkgever de loondoorbetaling opschorten.[23] Dat is in principe de enige sanctie die een werkgever mag treffen.[24] Voor het opleggen van zwaardere sancties, zoals een ontslag (al dan niet op staande voet), zullen altijd bijkomende omstandigheden vereist zijn, bijvoorbeeld wanneer een werknemer zich gedurende een lange periode in het geheel onbereikbaar houdt voor de werkgever.

Werkgevers mogen tot op zekere hoogte gezondheidsgegevens over het personeel verwerken. Hoofdregel is dat deze gegevens altijd noodzakelijk moeten zijn voor het door de werkgever kunnen nakomen van zijn wettelijke (re-integratie)verplichtingen. Een werkgever mag er in principe niet op vertrouwen dat een werknemer toestemming heeft gegeven voor het verwerken van zijn gezondheidsgegevens, ook niet als de werknemer op eigen initiatief medische gegevens prijsgeeft. Werkgevers doen er goed aan hun interne beleid zo in te richten dat alleen de gezondheidsgegevens, zoals genoemd in de beleidsregels van de AP, worden verwerkt. Het is aan te raden hierbij juridisch advies in te winnen.