Onjuiste verzuimregistratie leidt op grond van de AVG tot een boetebedrag ter hoogte van 1.035.000,- euro, welke later door de AP vanwege de draagkracht van de werkgever naar 15.000,- euro is verlaagd.

De Autoriteit Persoonsgegevens (AP) heeft een boete ter hoogte van 1.035.000,- euro (welke later vanwege de draagkracht van de werkgever is verlaagd naar 15.000,- euro) aan een werkgever opgelegd die in haar verzuimregistratie ten onrechte gezondheidsgegevens van werknemers heeft verwerkt. Tevens verwijt de AP de werkgever dat er geen passende beveiligingsmaatregelen voor bescherming van de persoonsgegevens waren getroffen.

Boetebesluit

De werkgever hield via een Google Drive-bestand op internet haar verzuimregistratie bij. Dit bestand was via een website voor onbevoegde toegankelijk. Zo heeft de AP het bestand tijdens het onderzoek zes keer bezocht. In het bestand hield de werkgever onder andere de verzuimreden (over de fysieke en de mentale gezondheid), de prognose en aanvullende opmerkingen hierover van de werknemers bij.

Met het digitaal registreren, opslaan, bijwerken en ter beschikking stellen van deze persoonsgegevens heeft de werkgever persoonsgegevens (gezondheidsgegevens) als bedoeld in de AVG verwerkt. Gegevens over de gezondheid zijn bijzondere persoonsgegevens. Daarvoor geldt in principe dat verwerking verboden is, tenzij een wettelijke uitzondering van toepassing is. Zo mag een werkgever gezondheidsgegevens verwerken als dit noodzakelijk is voor de re-integratie van een zieke werknemer.

Beleid en conclusie

In de beleidsregels “De zieke werknemer” van de AP is geconcretiseerd welke gezondheidsgegevens een werkgever in het kader van de re-integratie en verzuimbegeleiding mag verwerken. Daarvoor is een onderscheid gemaakt tussen noodzakelijke gegevens en niet noodzakelijk gegevens. Laatstgenoemde gegevens mogen niet worden verwerkt, omdat zij niet onder de wettelijke uitzondering vallen.

De AP concludeert na onderzoek dat de verzuimregistratie gegevens over de gezondheid bevatte die, vanwege het ontbreken van een noodzaak, niet mochten worden verwerkt. Deze gegevens zijn namelijk niet noodzakelijk voor de re-integratie van werknemers. Een werkgever moet voor de re-integratie van werknemers een bedrijfsarts of arbodienst inschakelen. Deze partij(en) mogen wel voornoemde gegevens verwerken, mits noodzakelijk voor de uitoefening van het re-integratietraject.

Eenvoudig te voorkomen

Voorts concludeert de AP dat de werkgever heeft verzuimd zorg te dragen voor passende beveiliging van de gegevens. Het Google Drive-bestand was immers voor iedere onbevoegde toegankelijk, zodra het webadres bij diegene bekend was. Dit had eenvoudig voorkomen kunnen worden door bijvoorbeeld authenticatietechnieken. Op grond van de AVG is de werkgever verantwoordelijk voor passende beveiliging van de gegevens.

Ondanks dat de overtreding inmiddels is geëindigd, legt de AP een boete op. De AP stelt de hoogte van de boete vast op 1.035.000,- euro. De werkgever deed een beroep op de beperkte draagkracht, als gevolg waarvan zij een boete van 1.035.000,- euro niet zou kunnen dragen. Nadat de financiële gegevens van de werkgever door de AP zijn onderzocht, stelt de AP vast dat de werkgever een boete van 1.035.000,- euro niet kan dragen en verlaagt het boete bedrag naar 15.000,- euro.

Conclusie

In het kader van verzuimbegeleiding van werknemers mogen door de werkgever alleen die gegevens worden verwerkt die noodzakelijk zijn voor het doel, begeleiding van de zieke werknemer. In de beleidsregels “de zieke werknemer” van de AP staat geconcretiseerd welke gegevens dit zijn. Worden meer gegevens dan noodzakelijk verwerkt loopt u als werkgever het risico op een forse boete. 

Wilt u meer informatie?

Heeft u vragen of wilt u meer informatie over de AVG en de zieke werknemer? Neem dan contact op met een van de advocaten van team Privacyrecht en Arbeidsrecht. Wij houden u op de hoogte van alle ontwikkelingen in het Privacyrecht en Arbeidsrecht via onze website en Arbeidsrecht LinkedIn pagina.

 

 

Mei 2021