Privacy wetgeving en ziekteverzuim

Door Sonja de Winter - De VerzuimAdvieslijn

De nieuwe beleidsregels voor zieke werknemers die de Autoriteit Persoonsgegevens vorig jaar april bekend heeft gemaakt hebben voor veel vragen en kritiek gezorgd. De nieuwe regels zouden niet werkbaar-, en strijdig zijn met het UWV-beleid, de STECR-richtlijnen en de visie van de NVAB. Hoe zit het nu werkelijk met de privacy wetgeving en ziekteverzuim? Wat mag u als werkgever vragen en registreren? Dit artikel staat stil bij het wettelijk kader en biedt aan de hand van twee actuele vraagstukken handvatten voor uw verzuimbeleid.

Wettelijk kader beleidsregels Autoriteit Persoonsgegevens
Bij de afweging hoe u de nieuwe beleidsregels van de Autoriteit Persoonsgegevens (AP) in de praktijk toepast is het goed te beseffen dat het wettelijk kader waarop de regels zijn gebaseerd - zoals alle wettelijke kaders - ruimte laat voor interpretatie. Sterker nog: de beleidsregels van de AP zijn een interpretatie van het wettelijk kader! Dit maakt dat de regels van de AP niet in beton zijn gegoten. Bij de handhaving van de beleidsregels kan de AP weliswaar forse boetes opleggen tot maximaal 10% van de jaaromzet, maar boeteoplegging staat open voor bezwaar en beroep. Als het puntje bij het paaltje komt is het dus de rechter die het oordeel van de AP toetst aan het wettelijk kader.

Basisverbod verwerking persoonsgegevens
Een belangrijke basis van de nieuwe beleidsregels is gelegen in artikel 16 Wet bescherming persoonsgegevens (Wbp). Hierin is opgenomen dat het verboden is persoonsgegevens betreffende o.a. iemands gezondheid te verwerken.

Het begrip ‘gezondheid’ in de zin van artikel 16 Wbp zou volgens de Autoriteit Persoonsgegevens ruim moeten worden opgevat. Het zou niet alleen de gegevens bevatten die een arts bij een medisch onderzoek of medische behandeling verwerkt, maar álle gegevens die de lichamelijke of geestelijke gezondheid van een persoon betreffen. Zo is het enkele feit dat iemand zich ziek heeft gemeld een gegeven over de gezondheid, ook al zegt dat niets over de aard van de aandoening.

Uitzonderingen bevestigen de regel
Nadere beschouwing van de Wet bescherming persoonsgegevens leert ons echter dat het in bepaalde uitzonderingssituaties wél is toegestaan om privacy gevoelige persoonsgegeven te verwerken. Uitzonderingen op het specifieke verbod om persoonsgegeven betreffende iemands gezondheid te verwerken zijn met name opgenomen in artikel 21 lid 1 en 23 lid 1 Wbp.

Noodzakelijkheidseis
Uit de artikelen 21 en 23 Wbp blijkt verder dat de voorwaarde voor het mogen verwerken van verzuimgerelateerde persoonsgegevens in belangrijke mate wordt bepaald door de noodzaak. Oftewel, werkgevers en andere partijen mogen op grond van deze wetsartikelen verzuimgerelateerde persoonsgegevens verwerken voor zo ver noodzakelijk.

Zo mag u bijvoorbeeld, ondanks het basisverbod in artikel 16 Wbp, de verzuimperiode van een werknemer bijhouden omdat een dergelijke registratie noodzakelijk is voor een goede uitvoering van het wettelijke werknemersrecht op loondoorbetaling en re-integratie bij ziekte.

Bij beantwoording van de vraag of een gegevensverwerking daadwerkelijk noodzakelijk is voor het omschreven doel, spelen het proportionaliteits- en subsidiariteitsbeginsel, op grond van artikel 8 EVRM, een belangrijke rol.
Het proportionaliteitsbeginsel houdt in dat schending van de verzuimende werknemer in zijn privacy door de verwerking van zijn persoonsgegevens niet onevenredig mag zijn in verhouding tot het doel van de gegevensverwerking.
Het subsidiariteitsbeginsel houdt in dat het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de werknemer minder nadelige wijze kan worden bereikt.

Actuele vraagstukken
De beleidsregels van de Autoriteit Persoonsgegevens hebben bij werkgevers voor grote onduidelijkheid gezorgd ten aanzien van het volgende:
-    Mag de werkgever bij de ziekmelding vragen naar 'beperkingen en mogelijkheden'?
-    Mag de werkgever vragen onder welke vangnetbepaling de zieke werknemer valt?

Een beschouwing van deze vraagstukken aan de hand van het wettelijk kader levert verrassende inzichten op:

Vraag 1:
Mag de werkgever bij de ziekmelding vragen naar 'beperkingen en mogelijkheden'?

Volgens de beleidsregels Autoriteit Persoonsgegevens mag dit niet. Hierin staat namelijk letterlijk:

"De werkgever mag bij de ziekmelding niet vragen naar de aard en/of de oorzaak van de ziekte van de werknemer. Ook mag hij niet zelf vragen naar de beperkingen en mogelijkheden van de werknemer"

Echter, kijkende naar het wettelijk kader valt deze verbodsregel te betwisten:

Noodzakelijkheid vraag 1
Als werkgever zou u zich op het standpunt kunnen stellen dat het informeren naar- en het registreren van de verkregen informatie noodzakelijk is voor een adequate verzuim begeleiding vanaf de eerste ziektedag. Als u met uw werknemer pas na advies van de bedrijfsarts over de beperkingen en mogelijkheden aan de slag kunt met de re-integratie gaat er immers veel tijd verloren, hetgeen het re-integratieresultaat niet ten goed komt. Gezien deze noodzaak lijkt het gerechtvaardigd om uit te gaan van een uitzondering op het basisverbod in artikel 16 Wbp, op grond van artikel 21, lid 1, onder f, 2° Wbp.

In de beleidsregels onder 'De Ziekmelding' schrijft de Autoriteit Persoonsgegevens bovendien dat de werkgever zich bij de ziekmelding moet beperken tot de gegevens die noodzakelijk zijn, bijvoorbeeld voor de bedrijfsvoering. De AP baseert zich hierbij vermoedelijk op het nog niet eerder genoemde artikel 8, lid f Wbp. Met het oog op de continuïteit van de bedrijfsvoering lijkt het legitiem dat de werkgever de werknemer die zich ziek meldt, vraagt naar de beperkingen en mogelijkheden om vast te kunnen stellen welke werkzaamheden de zieke werknemer nog kan uitvoeren en voor welke werkzaamheden de werkgever een vervanger moet zoeken.

Proportionaliteitsbeginsel vraag 1
Uit de wet verbetering poortwachter blijkt dat informatie over de functionele mogelijkheden en beperkingen uiterlijk in de 6e week noodzakelijk is voor de re-integratie. Het lijkt niet reëel dat de privacy van een zieke werknemer onevenredig wordt geschonden als de werkgever bij de ziekmelding vraagt naar de functionele mogelijkheden en beperkingen en dit antwoord registreert c.q. verwerkt. Of de mogelijkheden en beperkingen nu vanaf dag 1-, of na een verplicht bezoek aan de bedrijfsarts in de 6e week worden besproken, maakt voor de werknemer in kwestie geen wezenlijk verschil in de zin van privacyschending. De gestelde noodzakelijkheid acht De VerzuimAdvieslijn daarom niet strijdig met het proportionaliteitsbeginsel.

Subsidiariteitsbeginsel vraag 1
Het is niet eenvoudig om op een andere, voor de werknemer minder nadelige, wijze inzicht te krijgen in de functionele mogelijkheden op het moment van ziekmelden. Via de bedrijfsarts met zijn beroepsgeheim is dit in theorie weliswaar mogelijk, maar diens bevindingen vernemen vergt meer planning en organisatie dan op het moment van ziekmelden praktisch haalbaar is. De gestelde noodzakelijkheid acht De VerzuimAdvieslijn daarom niet strijdig met het subsidiariteitsbeginsel.

Conclusie vraag 1
Inzicht in de functionele beperkingen en mogelijkheden van de werknemer die zich ziek meldt is noodzakelijk voor adequate verzuimbegeleiding en continuïteit van de bedrijfsvoering. Omdat deze noodzaak niet strijdig is met het proportionaliteits- en subsidiariteitsbeginsel acht De VerzuimAdvieslijn een uitzondering op het basisverbod in artikel 16 Wbp van toepassing. Deze uitzondering maakt dat het vragen naar de functionele beperkingen en mogelijkheden van de werknemer die zich ziek meldt, ondanks de verbodsregel van de beleidsregels van de Autoriteit Persoonsgegevens, niet strijdig is met het wettelijk kader bescherming persoonsgegevens.

Overigens wordt deze conclusie bevestigd door de brief van de Autoriteit Persoonsgegevens d.d. 18 augustus 2016 aan de OVAL en het Verbond van Verzekeraars. Hieruit valt op te maken dat de AP de verbodsregel met betrekking tot het vragen naar de beperkingen en mogelijkheden aan de werknemer niet zo stellig heeft bedoeld. In deze brief schrijft de AP namelijk:

"U geeft in uw brief aan dat deze opvatting lijkt te impliceren dat iedere zieke werknemer eerst naar de bedrijfsarts zou moeten voor een overzicht van beperkingen en mogelijkheden voordat hij kan beginnen met re-integreren. Dit is niet het geval. De regel is dat alleen wanneer de werkgever een overzicht wil van de beperkingen en mogelijkheden van de zieke werknemer omdat deze noodzakelijk zouden zijn voor een goede re-integratie, dan dient de werkgever voor een dergelijk overzicht van beperkingen en mogelijkheden een bedrijfsarts/arbodienst in te schakelen."

Wel dient hierbij aangetekend te worden dat een meningsverschil tussen werkgever en werknemer over de functionele mogelijkheden altijd voorgelegd zal moeten worden aan de bedrijfsarts. Het aanwenden van de verkregen informatie ter beoordeling van de arbeidsongeschiktheid is niet toegestaan. Deze beoordeling was eerder- en is op basis van nieuwe beleidsregels nog steeds uitsluitend voorbehouden aan de bedrijfsarts.

Vraag 2:
Mag de werkgever vragen onder welke vangnetbepaling de zieke werknemer valt?

Volgens de beleidsregels Autoriteit Persoonsgegevens mag dit niet. Hierin staat namelijk dat een werkgever, als een werknemer zich ziek meldt, mag vragen en registreren of de werknemer onder één van de vangnetbepalingen van de Ziektewet valt, maar niet onder welke vangnetbepaling hij valt. Ook staat in de beleidsregels dat een werknemer de werkgever antwoord moet geven op de vraag of één van de bepalingen in artikel 29b of 29d van de Ziektewet van toepassing is als hij minimaal twee maanden in dienst is. Volgens de beleidsregels van de AP betekent dit niet dat de werkgever dan mag vragen naar het ziekte- of uitkeringsverleden van de werknemer. De werkgever mag alleen vragen of artikel 29b of 29d van de Ziektewet - de no-riskpolis dus - van toepassing is.

Echter, kijkende naar het wettelijk kader valt ook deze verbodsregel te betwisten:

Noodzakelijkheid vraag 2
Informatie over de type vangnetbepaling en/of het uitkeringsverleden van de werknemer lijkt in de eerste instantie noodzakelijk om de werkgever in staat te stellen om het recht op Ziektewet op basis van de no-riskpolis vast te stellen. De wetgeving die hieraan ten grondslag ligt is namelijk complex en de informatie vanuit het UWV niet altijd volledig of foutloos. Enkel vragen aan de werknemer of één van de bepalingen in artikel 29b ZW of 29d ZW van toepassing is, zal werkgever zelden een valide antwoord opleveren. Uit de praktijk van De VerzuimAdvieslijn blijkt met regelmaat dat werknemers geen flauw idee hebben wat de no-riskpolis is en of ze überhaupt onder een vangnetbepaling van de Ziektewet vallen, laat staan welke.
Informatie met betrekking tot de type vangnetbepaling lijkt bovendien noodzakelijk voor het vaststellen van de duur van de no-riskpolis, die per type vangnetbepaling kan verschillen. Zo geldt de no-riskpolis in de meeste gevallen tot vijf jaar na aanvang van het dienstverband, maar bij Wajongers voor onbeperkte tijd.

Daarbij komt dat de werkgever de Ziektewet uitkering dient aan te vragen middels een UWV-formulier dat expliciet om de zogenaamd verboden informatie vraagt. In geval van een incompleet aanvraagformulier neemt het UWV de Ziektewetaanvraag simpelweg niet in behandeling. Hieruit valt af te leiden dat op de Ziektewetaanvraag een wettelijk voorschrift van toepassing is, zoals bedoeld in artikel 21, lid 1, onder f, 1° Wbp, en dat de werkgever dit wettelijke voorschrift niet kan uitvoeren zonder te beschikken over de "verboden informatie".

De genoemde noodzaken lijken daarmee een uitzondering op het basisverbod in artikel 16 Wbp te rechtvaardigen, op grond van artikel 21, lid 1, onder f, 1° Wbp°.

Proportionaliteitsbeginsel vraag 2
Het vragen naar de type vangnetbepaling en/of het uitkeringsverleden van de werknemer is een behoorlijke schending van de verzuimende werknemer in zijn privacy. In hoeverre de schending onevenredig is in verhouding tot het doel hiervan, te weten de vaststelling van het recht op Ziektewet door de werkgever en/of zijn aanvraag van de Ziektewet uitkering middels het UWV-formulier, valt lastig te zeggen.
Overigens kan in dit verband wel geconcludeerd worden dat de veel voorkomende praktijk waarbij niet-zieke werknemers, al dan niet collectief, de "verboden" vragen krijgen voorgelegd, strijdig is met proportionaliteitsbeginsel. Het vragen naar- en verwerken van persoonsgegevens die inzicht geven in de specifieke vangnetbepaling, is immers pas relevant op het moment dat iemand zich daadwerkelijk ziek meldt. Zo lang er geen sprake is van een ziekmelding, is het op grond van artikel. 11 Wbp en 8, lid c Wbp niet toegestaan om deze persoonsgegevens te verwerken. Werkgevers die zich hier niet aan houden lopen het risico op een boete van de Autoriteit Persoonsgegevens.

Subsidiariteitsbeginsel vraag 2
Werkgevers die informatie over de type vangnetbepaling en/of het uitkeringsverleden van de werknemer noodzakelijk achten dienen zichzelf tevens de vraag te stellen of het doel waarvoor ze de gegevens noodzakelijk achten op een andere-, voor de betrokkene minder nadelige wijze, kan worden bereikt. Wellicht is dit doel tevens te bereiken door het opvragen- en verwerken van de "verboden" informatie over te laten aan bijvoorbeeld een artsgemachtigde en/of advocaat. Vraagtekens kunnen echter worden geplaatst bij de wenselijkheid en doeltreffendheid van deze werkwijze. Want is het bijvoorbeeld wenselijk dat de werkgever niet meer zelfstandig de Ziektewet uitkering voor zijn werknemers kan aanvragen? En is de ziekmelding van de vangnetter binnen de wettelijke termijn van 4 dagen bij het UWV dan nog haalbaar?

Het eerder genoemde wettelijke voorschrift dat kennelijk op de Ziektewet aanvraagprocedure van toepassing is en dat voorschrijft dat de werkgever de "verboden informatie" bij de aanvraag van de Ziektewet uitkering doorgeeft, impliceert bovendien dat het vragen naar- en verwerken van de "verboden" informatie door de werkgever niet strijdig is met het subsidiariteitsbeginsel.

Conclusie vraag 2
Er lijkt een zekere noodzaak te bestaan voor de werkgever om te vragen naar de type vangnetbepaling en/of het uitkeringsverleden van de zieke werknemer. De werkgever is zonder deze informatie namelijk niet in staat om het recht op Ziektewet op basis van een no-riskpolis vast te stellen en aan te vragen. Met deze noodzaak is een uitzondering op het basisverbod in artikel 16 Wbp echter nog geen feit, nu er onduidelijkheid bestaat of deze noodzaak strijdig is met het subsidiariteits- en proportionaliteitsbeginsel.
De verbodsregel in de beleidsregels van de Autoriteit Persoonsgegevens valt dus niet met grote stelligheid te ontkrachten. De VerzuimAdvieslijn is echter wel de stellige mening toegedaan dat handhaving van de betwiste verbodsregel een onwerkbare situatie voor werkgevers oplevert. Er lijkt immers geen alternatieve werkwijze denkbaar die hen, zonder risico op boete van de AP- en zonder risico op boete van het UWV wegens te late ziekmelding, in staat stelt het recht op no-risk vast te stellen en te verzilveren.

Brief aan de Autoriteit Persoonsgegevens
In een poging om een duidelijke- en werkbare situatie te bewerkstelligen voor werkgevers zal De VerzuimAdvieslijn haar vragen en visie ten aanzien van het vragen naar de type vangnetbepaling schriftelijk voorleggen aan de Autoriteit Persoonsgegevens. Via dit kennisblog zullen wij u op de hoogte houden van de ontwikkelingen hieromtrent.

Tot slot
Veel werkgevers zien in alle commotie op het gebied van ziekteverzuim en privacy aanleiding om hun verzuimbeleid, regels en reglementen opnieuw onder de loep te nemen. Wilt u ook graag weten of u verzuimbeleid nog voldoet aan de huidige privacywetgeving? De adviesgroep van De VerzuimAdvieslijn is u graag van dienst. Bel of mail gerust ons voor meer informatie.