Onlangs heeft de Autoriteit Persoonsgegevens (AP) een boete opgelegd aan een bedrijf voor het registreren van gezondheidsgegevens van zijn werknemers. In de verzuimregistratie van het bedrijf werd de reden voor ziekmelding vastgelegd. Het register bevatte gevoelige informatie over fysieke en/of mentale gesteldheid van de werknemers en informatie over aard en oorzaak van de ziekmeldingen.

Verboden

Het verwerken van gezondheidsgegevens van werknemers is verboden. Gezondheidsgegevens worden in de privacywetgeving gekwalificeerd als bijzondere persoonsgegevens die extra beschermd moeten worden. De aard en oorzaak van een ziekmelding mag dan ook niet worden geregistreerd, ook niet wanneer een werknemer daarover uit eigener beweging informatie verstrekt.

Melding

De AP ontving in januari 2019 een melding dat het bedrijf in kwestie gezondheidsgegevens van werknemers zou verwerken. Bovendien bleek uit de melding dat de verzuimregistratie online stond en dat deze zonder enige vorm van authenticatie toegankelijk was. Wanneer persoonsgegevens worden verwerkt, is degene die voor de verwerking verantwoordelijk is verplicht te zorgen voor een adequate beveiliging. Daarvan was hier duidelijk geen sprake. Voor beide overtredingen werd het bedrijf in kwestie dan ook flink door de AP op de vingers getikt. De boete voor deze zogenaamde ‘first offender’ bedroeg direct EUR 15.000,–.

Veel impact

Uit één en ander blijkt dat de Autoriteit Persoonsgegevens streng handhaaft als het om de verwerking van bijzondere persoonsgegevens gaat. In het persbericht dat het AP naar aanleiding van deze opgelegde boete uitbracht, benoemt deze dat werkgevers met de kennis over een werknemer’s fysieke en emotionele toestand, een oordeel kunnen vellen of beslissingen kunnen nemen die veel impact hebben op de werknemer. Mede hierom heeft iedereen het recht bijzondere persoonsgegevens (zoals gezondheidsgegevens) zoveel mogelijk voor zichzelf te houden, en dat geldt ook voor werknemers, aldus de AP.

Al dan niet gevaccineerd

Wij zien dat werkgevers zich in de praktijk geregeld afvragen of zij het al dan niet gevaccineerd zijn tegen corona van hun werknemers mogen registreren. In onze vorige nieuwsbrief zijn wij hierop al ingegaan en concludeerden dat het antwoord op deze vraag vooralsnog ‘nee’ is. Uit het in dit artikel behandelde boetebesluit en de toelichting daarop van de AP, volgt nog eens dat werkgevers zich waarschijnlijk al snel op glad ijs begeven wanneer zij besluiten hiertoe toch over te gaan. Het al dan niet gevaccineerd zijn geldt immers als een gegeven over de gezondheid van die persoon. Hoewel de AP vaak eerst tot waarschuwingen en het geven van aanwijzingen overgaat, blijkt uit het onderhavige boeterapport dat ook een zogenaamde ‘first offender’ direct door de AP beboet kan worden. Wij adviseren dan ook met klem om niet tot vaccinatieregistratie – alsook niet tot het registreren van andere gezondheidsgegevens – van uw werknemers over te gaan.

Voor vragen of advies over dit onderwerp kunt u contact opnemen met Lise van den Heuvel (06-23492248).

Dit artikel is gepubliceerd in de Nieuwsbrief Vestius van juli 2021

Terug naar overzicht