Privacy bij ziekteverzuim: wat mag u registreren en wat niet

Een medewerker meldt zich ziek. De leidinggevende vraagt begripvol hoe het gaat, noteert wat er verteld wordt en legt dat netjes vast in het verzuimsysteem. Goede bedoelingen, maar mogelijk een directe schending van de wet. De Autoriteit Persoonsgegevens maakt duidelijk dat werkgevers bij verzuim geen gegevens op persoonsniveau nodig hebben over de aard van de ziekte of de klachten die daaraan ten grondslag liggen. Toch blijkt dit in de praktijk een hardnekkig knelpunt.

De Algemene verordening gegevensbescherming (AVG) plaatst gezondheidsgegevens in de strengste beschermingscategorie: bijzondere persoonsgegevens. Het verbod op verwerking van die gegevens geldt ook in de context van ziekteverzuim, tenzij er een uitdrukkelijke wettelijke uitzondering van toepassing is. Voor de meeste werkgevers, HR-managers en leidinggevenden betekent dit dat de grenzen van wat je mag vastleggen veel strakker liggen dan men doorgaans denkt.

In dit artikel lees je precies wat je als werkgever wel en niet mag registreren bij ziekteverzuim, wat de bedrijfsarts in dit systeem doet, welke veelgemaakte fouten je kunt vermijden en hoe je een compleet en privacyproof verzuimdossier bijhoudt.

Gezondheidsgegevens zijn bijzondere persoonsgegevens

De AVG maakt onderscheid tussen gewone persoonsgegevens en bijzondere persoonsgegevens. Gezondheidsgegevens vallen in die tweede, zwaarst beschermde categorie. De beleidsregels voor verwerking van persoonsgegevens over gezondheid van zieke werknemers, vastgesteld op grond van de AVG, verbieden het verwerken van bijzondere persoonsgegevens tenzij er een wettelijke uitzondering is. Voor werkgevers bestaat die uitzondering, maar ze is smal: je mag alleen verwerken wat strikt noodzakelijk is voor de bedrijfsvoering, de loondoorbetaling en de re-integratie.

Dat klinkt logisch, maar in de praktijk gaat het regelmatig mis. Een medewerker vertelt uit zichzelf dat zij een burn-out heeft, of een leidinggevende noteert dat iemand geopereerd wordt. Die informatie mag je, ook al is ze vrijwillig gedeeld, niet vastleggen in het verzuimdossier of het personeelsdossier. De wet maakt geen uitzondering voor goede bedoelingen of vrijwillige verstrekking.

Wat je als werkgever wel mag registreren

De vuistregel is simpel: leg alleen vast wat je nodig hebt om het werk te organiseren en de loondoorbetaling te regelen. Concreet gaat het om de volgende gegevens:

• De datum van de ziekmelding en de verwachte duur van het verzuim
• Het telefoonnummer en het verblijf- of verpleegadres van de medewerker
• Lopende werkzaamheden en afspraken die overgenomen moeten worden
• Of er sprake is van een arbeidsongeval of een verkeersongeval met regresmogelijkheid
• Of de medewerker onder een vangnetbepaling van de Ziektewet valt (maar niet onder welke)

Meer dan dit heb je als werkgever officieel ook niet nodig om je verplichtingen na te komen. Alles wat verder gaat, valt buiten de wettelijke grondslag en is dus niet toegestaan.

Wat absoluut niet mag in het verzuimdossier

De lijst van verboden registraties is lang. Volgens de richtlijnen van de Autoriteit Persoonsgegevens mag je de aard, oorzaak of ernst van de ziekte niet vastleggen: geen diagnoses, geen namen van aandoeningen, geen klachten, zelfs niet als de medewerker die zelf noemt. Ook medicijngebruik, behandelingen door een psycholoog of specialist en andere gezondheidsgerelateerde bijzonderheden horen niet in je dossier thuis. Hetzelfde geldt voor subjectieve oordelen, geruchten of informele appberichten met medische details, ook als die diep in een archief zijn opgeslagen.

Een veelvoorkomende misvatting is dat je wel mag noteren wat je met eigen ogen ziet. Ziet een leidinggevende dat een medewerker kreupelt loopt of duidelijk overspannen is, dan mag die observatie toch niet worden vastgelegd. Zichtbare klachten zijn nog steeds gezondheidsgegevens en vallen daarmee volledig onder het verbod. Een andere misvatting: toestemming van de medewerker zou het verwerken van medische gegevens legaliseren. Dat klopt niet. Toestemming van een werknemer geldt juridisch gezien niet als een vrije wilsuiting, omdat er sprake is van een gezagsverhouding. De wettelijke grondslag voor het verwerken van gezondheidsgegevens bij verzuim ligt in de arbeidsrechtelijke verplichtingen, niet in toestemming.

De rol van de bedrijfsarts: scheiding is de kern

De bedrijfsarts neemt een heel andere positie in dan de werkgever. Waar jij als werkgever geen medische gegevens mag verwerken, is de bedrijfsarts daar wettelijk toe gemachtigd, omdat dat noodzakelijk is voor de begeleiding van de medewerker. Die informatie blijft echter bij de bedrijfsarts. Wat jij als werkgever terugkrijgt, is uitsluitend een functioneel oordeel: een beschrijving van wat de medewerker nog kan doen, zonder medische duiding.

Concreet mag de bedrijfsarts aan jou als werkgever doorgeven: de werkzaamheden waartoe de medewerker niet meer of nog wel in staat is, de verwachte duur van het verzuim, de mate van arbeidsongeschiktheid op basis van functionele beperkingen, en eventueel noodzakelijke werkaanpassingen. De Arbowet verplicht de werkgever om zich bij ziekteverzuimbegeleiding en re-integratie te laten bijstaan door een geregistreerde bedrijfsarts of een gecertificeerde arbodienst. Die scheiding tussen wat de bedrijfsarts weet en wat de werkgever weet, is niet bureaucratisch bedacht, maar vormt de kernvoorwaarde van de wettelijke uitzondering in artikel 9 van de AVG.

De bedrijfsarts mag geen medische gegevens opslaan in het verzuimsysteem dat de werkgever beheert. Medische dossiers van de bedrijfsarts vallen onder het medisch beroepsgeheim en worden gescheiden bewaard van de administratie van de werkgever. Alleen de bedrijfsarts of arbodienst bepaalt welke functionele informatie gedeeld wordt, en op welk moment.

Praktische tips voor een privacyproof verzuimregistratie

Goede intenties zijn niet genoeg. Privacy bij ziekteverzuim vraagt om bewust beleid en heldere afspraken binnen je organisatie. De volgende stappen helpen je op weg:

• Werk met standaardformulieren die alleen de toegestane gegevens bevatten, zodat leidinggevenden niet in de verleiding komen om meer te noteren
• Train leidinggevenden actief: maak duidelijk wat ze wel en niet mogen vragen en vastleggen bij een ziekmelding
• Gebruik beveiligde systemen en vermijd het delen van verzuiminformatie via onbeveiligde e-mail of gedeelde spreadsheets
• Beperk de toegang tot het verzuimdossier tot de medewerkers die die toegang echt nodig hebben
• Verwijder per ongeluk vastgelegde medische details zo snel mogelijk uit het dossier
• Communiceer transparant naar medewerkers welke gegevens worden bijgehouden, waarom en wie er toegang toe heeft

Leg het AVG-beleid rond ziekteverzuim ook schriftelijk vast en zorg dat het onderdeel is van je verzuimprotocol. Zo creëer je helderheid voor iedereen in de organisatie en verklein je het risico op een privacyschending.

Hoe lang mag je verzuimgegevens bewaren?

Ook de bewaartermijn is aan regels gebonden. De AVG schrijft voor dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Voor het verzuimdossier geldt op grond van de Wet verbetering poortwachter een bewaartermijn van twee jaar na afronding van het verzuim. Is een medewerker eigenrisicodrager Ziektewet, dan gelden langere termijnen. Na het verstrijken van de maximale bewaartermijn ben je verplicht de gegevens te vernietigen. Maak van het periodiek opschonen van dossiers een vaste taak binnen je HR-proces, zodat je niet onnodig gegevens bewaard die je niet meer nodig hebt.

Privacy bij ziekteverzuim is geen bijzaak: het raakt direct aan de rechten van je medewerkers en aan jouw verplichtingen als werkgever. Wie de regels kent, kan zowel zorgvuldig als effectief begeleiden, zonder onnodige risico's te lopen.

Key takeaways

• Gezondheidsgegevens zijn bijzondere persoonsgegevens onder de AVG: als werkgever mag je ze niet registreren, ook niet als de medewerker ze zelf deelt.
• Wat je wel mag vastleggen: datum ziekmelding, verwachte duur, bereikbaarheidsgegevens, lopende werkafspraken en of een vangnetbepaling van toepassing is.
• Diagnoses, klachten, medicatie, behandelingen en observaties over zichtbare klachten horen niet in het verzuimdossier thuis.
• De bedrijfsarts mag medische gegevens verwerken, maar deelt met jou alleen een functioneel oordeel: wat de medewerker nog wel of niet kan.
• Toestemming van de medewerker is geen geldige grondslag voor het verwerken van medische gegevens door de werkgever.
• Train leidinggevenden, werk met standaardformulieren en gebruik beveiligde systemen om onbedoelde privacyschendingen te voorkomen.
• Bewaar verzuimdossiers maximaal twee jaar na afronding van het verzuim en vernietig ze daarna conform de wettelijke regels.

Wil je zeker weten dat jouw organisatie de verzuimregistratie op de juiste manier heeft ingericht? Arbo Concern helpt je graag met een praktische beoordeling van je huidige werkwijze en concrete verbeteringen die passen bij jouw organisatie.