Maatschappelijke dienstverlener schendt privacy zieke werknemers

Toezicht en handhaving op naleving privacyregels

De Autoriteit Persoonsgegevens (AP), die toezicht houdt op het gebruik en de verwerking van persoonsgegevens door organisaties, handhaaft een strikt privacybeleid. Sinds januari 2016 kan de AP in dat kader gebruik maken van haar boetebevoegdheid. Hierdoor kan de AP direct boetes opleggen aan organisaties die de Wet bescherming persoonsgegevens (Wbp) overtreden. Daarnaast kan de AP een organisatie een sanctie op te leggen in de vorm van een last onder dwangsom of het geven van een bindende aanwijzing. De AP kan ook enkel een waarschuwing geven wegens de geconstateerde overtreding.

Last onder dwangsom

Afgelopen week publiceerde de AP een bericht waarin stond dat zij een last onder dwangsom heeft opgelegd aan de stichting Abrona, een organisatie voor ondersteuning aan mensen met een verstandelijke beperking. Maar wat is nou eigenlijk een last onder dwangsom? Een last onder dwangsom heeft als doel een bepaalde overtreding, in dit geval het overtreden van de Wbp, te beëindigen. Het is dan ook (nog) geen geldelijke sanctie. Wanneer de geconstateerde overtreding echter niet wordt beëindigd, verbeurd de overtreder wél boetes. De ‘last’ dient dan ook te worden gezien als een opdracht en wanneer daar niet aan is voldaan, wordt door de AP een boete opgelegd. 

Registratie ziekmelding

De stichting Abrona lag al in maart 2016 onder het vergrootglas van de AP. Na onderzoek kwam de AP destijds tot de conclusie dat de stichting bij een ziekmelding van haar werknemers in strijd handelt met de Wbp nu bleek dat de stichting bij een ziekmelding de aard en oorzaak van de ziekte van de werknemers (dus medische gegevens) registreerde. Dit is niet toegestaan.

Alleen een bedrijfsarts of Arboarts mag deze medische gegevens opvragen en registreren. De wet bepaalt dat werkgevers bij een ziekmelding alleen (medische) gegevens mogen vragen die noodzakelijk zijn voor het re-integratieproces en om te bepalen of de werknemer recht heeft op loondoorbetaling tijdens ziekte. Het is een werkgever bijvoorbeeld wel toegestaan te vragen naar de vermoedelijke duur van het verzuim en of de ziekte verband houdt met een arbeidsongeval. Er zijn overigens situaties waarin het de werkgever wél is toegestaan medische gegevens, die vrijwillig zijn verstrekt door de werknemer, te registreren. Wanneer een werknemer bijvoorbeeld last heeft van (een zware vorm) van epilepsie of een suikerziekte heeft, kan het noodzakelijk zijn dat collega’s hiervan op de hoogte moeten zijn.

De stichting heeft, naar aanleiding van de uitkomst van het onderzoek van de AP in maart 2016, maatregelen genomen om de geconstateerde overtredingen te beëindigen. De AP heeft tijdens een controle echter ontdekt dat de stichting nog niet alle overtredingen ongedaan heeft gemaakt. Zo wordt nog steeds de mate van arbeidsongeschiktheid geregistreerd zonder dat een bedrijfsarts of Arboarts is geraadpleegd. De AP heeft de stichting nu twee maanden de tijd gegeven om haar werkwijze aan te passen en de overtreding van de Wbp (volledig) te stoppen. Mocht de stichting de overtreding niet binnen de door de AP gestelde termijn hebben beëindigd, dan zal zij een boete moeten betalen die kan oplopen tot € 50.000.

Regelgeving privacy zieke werknemer  

Vorig jaar heeft de AP de beleidsregels ‘De zieke werknemer’ gepubliceerd met daarin informatie voor (onder andere) werkgevers die (medische) gegevens over de gezondheid van zieke werknemers verwerken. Voor een werkgever is het van belang op de hoogte te zijn van de inhoud van deze beleidsregels, die door de AP als uitgangspunt worden gebruikt wanneer zij onderzoekt of een bedrijf zich houdt aan de regelgeving omtrent het verwerken van gezondheid gegevens van werknemers. De vervolgstap is dan om ook daadwerkelijk conform dat beleid de organisatie te (her)inrichten. Een en ander ter voorkoming van (hoge) boetes van de AP en (eventuele) inbreuk op het bedrijfsimago.

Op de hoogte blijven?

Schrijf je in en ontvang de laatste nieuwsupdates, artikelen, blogs en evenement notificaties.