Reacties op “De AVG-rolverdeling binnen de arbodienstverlening”

Share
Share on linkedin
Share on facebook
Share on google
Share on twitter
Division of GDPR roles in Occupational Health & Safety Services A Dutch example

In onze eerste blog over de AVG-rolverdeling binnen de arbodienstverlening schreven wij dat uit ons onderzoek duidelijk was geworden dat er verschillen in interpretatie van de rolverdeling op grond van de AVG bestaan, en dat naar onze mening de Arbeidsomstandighedenwet, en in haar kielzog de Autoriteit Persoonsgegevens, lijkt uit te gaan van slechts twee varianten: de arbodienst met bedrijfsarts(en) op de loonlijst en de zelfstandige bedrijfsarts.

De huidige werkelijkheid kent echter ook nog de arbodienst zonder bedrijfsarts op de loonlijst, die samenwerkt met een zelfstandige bedrijfsarts. Wij onderbouwden waarom in die context naar onze mening de arbodienst gezien moet worden als verwerker voor de werkgever en de bedrijfsarts als zelfstandig verwerkingsverantwoordelijke.
Wij nodigden eenieder die met deze materie bekend is uit om inhoudelijk te reageren.

Allereerst willen wij iedereen die betrokken was bij de discussies op de LinkedIn TPF-pagina, via LinkedIn messaging en via e-mail, bedanken voor hun waardevolle bijdragen.

De kern van de initiële reacties is het best als volgt samengevat: de arbodienst is verwerkingsverantwoordelijke, en geen verwerker. Opvallend daarbij was, dat in deze reacties niet of nauwelijks werd gedifferentieerd tussen interne competentie en externe competentie. Reden voor ons om onderstaande nadere vraagstelling te formuleren.

“Een arbodienst met bedrijfsarts(en) op de payroll is inderdaad een verantwoordelijke. Hoe kijk jij aan tegen de AVG-rol van een arbodienst die haar werkzaamheden beperkt tot het in opdracht van werkgever uitvoeren van enkel de wettelijke verplichtingen van werkgever bij verzuim zieke werknemer? Voor het bedrijfsmedische gedeelte heeft in deze casus de arbodienst een samenwerkingsovereenkomst gesloten met een externe bedrijfsarts. Haar activiteiten betreffen in deze dus uitsluitend faciliterende en coördinerende werkzaamheden tijdens het ziekteverzuimproces. De medewerker van de arbodienst beschikt in die context enkel over de informatie die noodzakelijk is voor de vervulling van deze taken. Hij verwerkt daarbij niet meer gegevens dan die voor de werkgever noodzakelijk zijn bij de re-integratie of begeleiding van zieke of arbeidsongeschikte werknemers. Is het niet zo dat in die context de werkgever en de bedrijfsarts moeten worden gekwalificeerd als zelfstandig verwerkingsverantwoordelijke en de arbodienst als een in opdracht van werkgever werkende procesbewaker (zie: De zieke werknemer, Autoriteit Persoonsgegevens) en daarmee als een verwerker in de zin van de AVG?”

In antwoord op bovenstaande vraagstelling, waarbij wij nadrukkelijk vroegen om te reageren op de arbodienst als procesbewaker bij verzuimafhandeling in opdracht van werkgever, bleven sommigen erbij dat de arbodienst ook in die rol moest worden gezien als verwerkingsverantwoordelijke en hooguit als medeverantwoordelijke samen met de externe bedrijfsarts.

Er waren echter ook reacties waarin wel een onderscheid werd gemaakt tussen interne en externe competentie. In deze reacties werd de zuivere casemanager-rol van de arbodienst voor wat betreft de uitvoering van de wettelijke taken van de werkgever onderkend. De werkgever werd daarbij gekwalificeerd als verwerkingsverantwoordelijke – degene die doel en middelen bepaalt, daarmee impliciet de kern van onze eerste blog bevestigend dat een arbodienst wier taak alleen bestaat uit faciliterende en coördinerende werkzaamheden tijdens het ziekteverzuimproces, moet worden gekwalificeerd als procesbewaker (lees: verwerker) voor de werkgever.

Wat hebben wij geleerd? In onze AVG-praktijk komen wij alle drie de genoemde varianten van arbodienstverlening tegen, en minstens even zovele kwalificaties van de AVG-rollen door betrokken adviseurs (AVG, ISO en arbo) waar het de zuivere casemanager-rol betreft.

De discussie naar aanleiding van onze blog bevestigt nogmaals het bestaan van diverse interpretaties hieromtrent, en daarmee het belang van voorafgaande analyse van de activiteiten waarin persoonsgegevens worden verwerkt, door wie en op welke wettelijke grondslag. Naar onze mening ligt hier nog steeds een taak voor de Autoriteit Persoonsgegevens om, in aanvulling op haar eerdere beleidsregels1, specifiek voor de arbodienstverlening een explicieter advies op te stellen.

Darinka Zarić

Darinka Zarić

Darinka Zarić is jurist bij The Privacy Factory. Nieuwe juridische vraagstukken die ontstaan in een gedigitaliseerde samenleving spreken haar enorm aan. Met name op het gebied van privacyrecht en de inzet van big data. Momenteel volgt zij aan de Vrije Universiteit Amsterdam de master Internet, intellectuele eigendom en ICT.

Volg onze publicaties

cookie

Wij gebruiken alleen functionele en analytische cookies om u een optimale gebruikerservaring te bieden op onze website. Onze cookies verzamelen geen persoonsgegevens. Meer informatie.