De AVG-rolverdeling binnen de arbodienstverlening

Share
Share on linkedin
Share on facebook
Share on twitter
De-AVG-rolverdeling-binnen-de-arbodienstverlening

In het geval dat een werknemer ziek wordt, moet een verscheidenheid aan persoonsgegevens worden verwerkt, door verschillende partijen en met gebruikmaking van verschillende verzuimsystemen. Dit kan de nodige verwarring met zich meebrengen, hetgeen reden was voor de Autoriteit Persoonsgegevens om in 2016 – voordat de AVG in werking was getreden – beleidsregels op te stellen voor de verwerking van persoonsgegevens over de gezondheid van zieke werknemers.

Desalniettemin laat de huidige praktijk zien dat ook onder de AVG nog steeds een verschil van inzicht bestaat tussen privacy professionals, arboconsultants en certificeerders waar het de AVG-rolverdeling betreft. Om meer duidelijkheid te verkrijgen over die rolverdeling, poneert The Privacy Factory in deze blog een stelling, met als doel de lezer uit te nodigen hierop inhoudelijk te reageren via LinkedIn.

1. Zieke werknemers

Bij de ziekteverzuimbegeleiding van een zieke werknemer speelt de verwerking van niet-medische en medische informatie een rol. Beide vallen onder ‘gegevens over gezondheid’ en betreffen dus bijzondere persoonsgegevens. Gegevens over gezondheid mogen (in beginsel) niet worden verwerkt, maar de Uitvoeringswet van de AVG maakt een uitzondering voor werkgevers (en de instellingen die voor hen werkzaam zijn) wanneer verwerking noodzakelijk is voor de begeleiding van werknemers in verband met ziekte (artikel 30 UAVG).

Bij de bovenstaande verwerking van gegevens over gezondheid zijn verschillende partijen betrokken. Dit zijn de werkgever zelf, de arbodienst, de bedrijfsarts en casemanagers/medewerkers. Voor deze partijen wordt hieronder nader ingegaan op de AVG-rolverdeling aan de hand van in de arbo-praktijk te onderkennen samenwerkingsvormen. Naast de AVG speelt hierbij artikel 14 van de Arbeidsomstandighedenwet een belangrijke rol. Op basis van dat artikel is een werkgever wettelijk verplicht om in het geval dat een werknemer ziek wordt deskundige ondersteuning te regelen (lid 1 sub b). Daarbij moet de werkgever zich laten bijstaan door een geregistreerde bedrijfsarts of gecertificeerde arbodienst. Ook voor deze laatste twee bevat artikel 14, eerste lid, sub b van de Arbeidsomstandighedenwet een wettelijke taak, te weten de taak om die deskundige ondersteuning te leveren. De uitvoering van een dergelijke wettelijke taak vormt de verwerkingsgrondslag in de zin van artikel 6, eerste lid, sub c van de AVG.

Bij het uitvoeren van deze wettelijke taak geldt als uitgangspunt dat partijen alleen die gegevens mogen verwerken die noodzakelijk zijn voor hun eigen rol. De werkgever mag alleen gegevens verwerken die voor de ziekmelding, reïntegratie en loondoorbetalingsplicht van belang zijn. Dit zijn bijvoorbeeld gegevens over de periode van verzuim, de mate waarin iemand arbeidsongeschikt is en wat dat betekent voor de werkzaamheden waartoe de werknemer wel of niet meer in staat is. Het is de bedrijfsarts die mag adviseren over zieke werknemers: hij verwerkt daarvoor medische gegevens en slaat deze op in het medisch dossier van de zieke werknemer.

2. De werkgever

De werkgever is en blijft verwerkingsverantwoordelijke voor het uitvoeren van zijn wettelijke taak. De werkgever kan op verschillende manieren voldoen aan zijn wettelijk taak om deskundige ondersteuning te regelen. Soms heeft de werkgever binnen de eigen organisatie een casemanager die de verzuimbegeleiding op zich neemt en een bedrijfsarts in dienst. De casemanager en de bedrijfsarts vormen dan de interne medische dienst van de organisatie. Zij verwerken de gegevens dan als medewerkers voor de werkgever, waarbij de casemanager is aan te merken als procesbewaker voor de werkgever en de bedrijfsarts als medische begeleider voor de werknemer. De werkgever zelf is in deze zelfstandig verwerkingsverantwoordelijke voor de gehele verwerking.

De werkgever kan er ook voor kiezen om gebruik te maken van een externe gecertificeerde arbodienst met een interne of externe bedrijfsarts. Ook dan blijft de werkgever voor het uitvoeren van zijn wettelijke taak verwerkingsverantwoordelijke. Hij bepaalt immers het doel en de middelen van de verwerking door te kiezen voor een specifieke arbodienst die bij de uitvoering van zijn taak gebruikmaakt van een bepaald verzuimsysteem.

3. De arbodienst

De arbodienst is als procesbewaker voor de werkgever te kwalificeren als verwerker en, afhankelijk van de werkrelatie met de bedrijfsarts, al dan niet als verwerkingsverantwoordelijke.

De arbodienst die als procesbewaker in opdracht van de werkgever diens wettelijke taak uitvoert is in die hoedanigheid te kwalificeren als verwerker voor de werkgever. Voor wat betreft de medische begeleiding van de in verzuim zijnde werknemer geldt dat, indien de arbodienst gebruikmaakt van een eigen bedrijfsarts in loondienst, zij voor dat deel van de verwerking te kwalificeren is als verwerkingsverantwoordelijke. Dit laatste is niet het geval indien de arbodienst gebruikmaakt van een externe bedrijfsarts. In deze context is de externe bedrijfsarts te kwalificeren als ontvanger in de zin van artikel 4, onderdeel 9, van de AVG.

4. De bedrijfsarts

Uit bovenstaande blijkt dat een bedrijfsarts in dienst kan zijn van de werkgever of van de arbodienst of actief is als onafhankelijk in te huren bedrijfsarts. Voor de eerste twee situaties (bedrijfsarts als werknemer) geldt dat zijn werkgever moet worden gekwalificeerd als verwerkingsverantwoordelijke voor de door de bedrijfsarts in de uitvoering van zijn wettelijke taken te verwerken (bijzondere) persoonsgegevens.

Voor de onafhankelijk in te huren bedrijfsarts geldt, in tegenstelling tot bovenstaande, dat hij voor de door de hem in de uitvoering van zijn wettelijke taken te verwerken (bijzondere) persoonsgegevens moet worden gekwalificeerd als zelfstandig verwerkingsverantwoordelijke. Hij bepaalt tenslotte doel en middelen, zelfs wanneer hij het verzuimsysteem gebruikt van de arbodienst die hem heeft ingehuurd. De laatste is dan verwerker. Draagt de bedrijfsarts op basis van taakdelegatie (een deel van) zijn/haar taken over aan een casemanager werkzaam voor de arbodienst, uiteraard met afgeleid beroepsgeheim, dan nog blijft de bedrijfsarts verwerkingsverantwoordelijke voor de op grond van de taakdelegatie door de casemanager uitgevoerde verwerking van (bijzondere) persoonsgegevens.

Uitnodiging

Tijdens het onderzoek voorafgaand aan het schrijven van deze blog is ons duidelijk geworden waar de mogelijke bron van het verschil in interpretatie van de rolverdeling op grond van de AVG ligt. De Arbeidsomstandighedenwet, en in haar kielzog de Autoriteit Persoonsgegevens, lijkt uit te gaan van twee varianten: de arbodienst met bedrijfsarts(en) op de loonlijst en de zelfstandige bedrijfsarts. De huidige werkelijkheid kent ook nog de arbodienst zonder bedrijfsarts op de loonlijst, die samenwerkt met een zelfstandige bedrijfsarts. In dit laatste construct is naar onze mening de arbodienst verwerker voor de werkgever en de bedrijfsarts een zelfstandig verwerkingsverantwoordelijke.

Graag nodigen wij eenieder die met deze materie bekend is uit om inhoudelijk op deze blog te reageren via LinkedIn.

Robin Creuels

Robin Creuels

Robin Creuels is werkzaam als AVG & Cybersecurity jurist bij The Privacy Factory. Zij is in het bezit van een master ICT- en Privacyrecht.

Recente publicaties

Privacy Weekly

Meld u aan voor Privacy Weekly en blijf op de hoogte van recente trends en ontwikkelingen rondom privacy.

Op zoek naar

Gratis AVG|Check

Volg ons op social media

Meld u aan voor Privacy Weekly

Aanmelden Privacy Weekly
Elke donderdag een privacy alert, blog of whitepaper in uw inbox!
cookie

Wij gebruiken alleen functionele en analytische cookies om u een optimale gebruikerservaring te bieden op onze website. Onze cookies verzamelen geen persoonsgegevens. Meer informatie.