Boete voor privacy schending van zieke werknemers

De Autoriteit Persoonsgegevens (AP) heeft een bedrijf een boete van € 15.000,- opgelegd, omdat het in een verzuimsysteem bijhield welke klachten zieke medewerkers hadden. Daarnaast was het systeem ook niet voldoende beveiligd.

Het bedrijf hield in een systeem onder meer de reden van de ziekte van de werknemers bij met (soms) de vermelding welke specifieke klachten ze hadden.

Deze verwerking van gezondheidsgegevens is niet toegestaan.

Gezondheidsgegevens zijn bijzondere persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (AVG) en de UAVG. Dat betekent dat het verwerken van die persoonsgegevens in principe verboden is, tenzij sprake is van één van de uitzonderingen genoemd in de wet.

Zo is het verboden dat de werkgever vragen stelt aan de zieke werknemer die gaan over de aard en/of de oorzaak van de ziekte. Ook als de medewerker deze informatie op eigen initiatief verstrekt, mag deze informatie niet worden vastgelegd of gedeeld.

Wel mag de werkgever vragen stellen die zien op het vooruitzicht op herstel (hoe lang verwacht de werknemer door ziekte afwezig te zijn?) en/of op het overnemen van lopende werkzaamheden. Maar ook vragen die zien op de invulling van de re-integratie, zoals geadviseerd door de Arboarts. Daarnaast is het ook toegestaan om het verpleegadres te registreren.

Overtreden van verbod verwerking gezondheidsgegevens

De AP legt het bedrijf in kwestie een boete op voor het overtreden van het verwerkingsverbod van bijzondere persoonsgegevens en voor het niet treffen van passende beveiligingsmaatregelen. Zo verwerkte het bedrijf bijzondere persoonsgegevens en meer persoonsgegevens dan wettelijk is toegestaan. Het is niet noodzakelijk dat een werkgever ook deze informatie verwerkt voor de re-integratie van haar werknemers.

Onvoldoende beveiligde verzuimregistratie

Daarnaast was de verzuimregistratie onvoldoende beveiligd. Zo was de verzuimregistratie online toegankelijk, zonder een vorm van authenticatie. Voor de beveiliging van bijzondere persoonsgegevens, zoals gezondheidsgegevens, gelden extra strenge eisen. Daarbij dient het systeem zo te zijn beveiligd dat alleen de medewerkers die bevoegd zijn om toegang te krijgen ook bij die gegevens kunnen komen en andere, onbevoegden, niet.

Als een verzuimregistratiesysteem via internet toegankelijk is, mag de toegang tot het systeem alleen via meerfactor-authenticatie verlopen. Naast het gewone inloggen moeten bevoegde medewerkers hun identiteit dan ook op een andere manier aantonen om toegang te krijgen tot de verzuimregistratie, denk dan bijvoorbeeld aan het gebruik van een token.

Wil je meer weten over het verwerken van gezondheidsgegevens of de beveiliging daarvan, of wil je als werkgever hulp hierbij? Neem dan gerust contact met mij op.