Re-integratiebedrijven en de AVG

08-11-2018

Knook, Karen

Bij de begeleiding en re-integratie van zieke werknemers verwerken verschillende partijen (zoals werkgevers, bedrijfsartsen en re-integratiebedrijven) persoonsgegevens van deze werknemers. De Algemene Verordening Gegevensbescherming (“AVG”) is in dat geval van toepassing. In deze blog belichten wij kort de rol van re-integratiebedrijven. Met welke aspecten van gegevensverwerking dienen zij rekening te houden? U leest het hieronder.

Wat wordt onder een re-integratiebedrijf verstaan?
Volgens de Wet werk en inkomen naar arbeidsvermogen (“WIA”) betreft een re-integratiebedrijf een natuurlijke persoon dan wel rechtspersoon die voor de uitoefening van beroep of bedrijf de inschakeling van personen in de arbeid bevordert. Re-integratiebedrijven worden door werkgevers ingeschakeld ter ondersteuning van het re-integratieproces. Zo kan het re-integratiebedrijf helpen bij terugkeer van de zieke werknemer naar zijn of haar eigen werk, maar ook om ander werk te vinden dat aansluit bij zijn of haar kennis, vaardigheden en mogelijkheden.

Welke gegevens dient de werkgever aan het re-integratiebedrijf te verstrekken? En welke gegevens mag het re-integratiebureau verwerken?
De werkgever moet aan het re-integratiebedrijf gegevens verstrekken die noodzakelijk zijn voor het bedrijf om de door de werkgever opgedragen werkzaamheden uit te voeren. Denk bijvoorbeeld aan NAW-gegevens, gegevens rondom ziekmelding (zoals verwachte verzuimduur), voortgangsrapportages, etc. Ook is de werkgever wettelijk verplicht het BSN van de werknemer te verstrekken.

Vanwege de informatieplicht moet de werkgever de zieke werknemer laten weten welke gegevens aan het re-integratiebedrijf worden verstrekt. Dat kan bijvoorbeeld via een privacystatement voor haar werknemers. Anderzijds dient ook het re-integratiebureau haar cliënten (de zieke werknemers) over de verwerking van zijn of haar gegevens te informeren (zie ook kopje “Informatieplicht”).

Hoe zit het met gezondheidsgegevens?
Gezondheidsgegevens mogen in beginsel niet aan het re-integratiebedrijf worden verstrekt. In bepaalde situaties is het echter noodzakelijk dat de bedrijfsarts toch tot verstrekking overgaat. Bijvoorbeeld wanneer het om een re-integratiebedrijf gaat, dat zich toespitst op de re-integratie van werknemers met rugklachten. De Autoriteit Persoonsgegevens (“AP”) noemt dit voorbeeld in haar Beleidsregels ‘De zieke werknemer’. Bij verstrekking van gezondheidsgegevens moet de bedrijfsarts overigens altijd een afweging maken of verstrekking daadwerkelijk noodzakelijk is voor de re-integratieactiviteiten.

Re-integratiebedrijven mogen dus alleen gezondheidsgegevens verwerken als dit noodzakelijk is om de door de werkgever aan dit bedrijf opgedragen taak uit te voeren voor de begeleiding en re-integratie van de zieke werknemer. De verwerking van gezondheidsgegevens moet binnen het re-integratiebedrijf plaatsvinden door iemand die in staat is om de gegevens te beoordelen en op basis hiervan te adviseren over de re-integratie. Doorgaans zal dit een medisch geschoold persoon zijn.

Mag het re-integratiebedrijf gegevens aan derden verstrekken?
Het re-integratiebedrijf kan gegevens aan derden verstrekken en is in sommige gevallen zelfs daartoe verplicht. Denk aan verstrekking van informatie aan het UWV in verband met het vaststellen van recht op uitkering.

Gegevens bewaren?
Voor het bewaren van het niet-medische gedeelte van het re-integratiedossier geldt geen wettelijke termijn. De Autoriteit Persoonsgegevens adviseert om dit deel niet langer dan twee jaar na afronding van de re-integratie te bewaren. Voor het medische gedeelte van het re-integratiedossiers geldt een wettelijke bewaartermijn van 15 jaar.

Informatieplicht
Re-integratiebedrijven dienen, net als werkgevers, ook aan de informatieplicht uit de AVG te voldoen. Dit betekent dat zij hun cliënten (de zieke werknemers), maar ook hun opdrachtgevers (de werkgevers) dienen te informeren over de verwerking van hun persoonsgegevens. Dat kan via een privacystatement. Daarin moet onder meer worden opgenomen welke gegevens worden verwerkt, wie daarvoor verantwoordelijk is, voor welk doel, welke grondslag, of gegevens aan derden worden verstrekt, rechten van betrokkenen, bewaartermijnen, etc.

Meer artikelen van BANNING

Dit artikel is ook te vinden in het dossier Privacy op de werkvloer

Van onze partners

Verdiepingscursus Privacy in de praktijk

Veel organisaties zijn al een tijd bezig met de implementatie van de AVG. In deze verdiepingscursus leert u hoe de organisatie compliant blijft en hoe het privacybeleid mee kan blijven groeien.

→ Lees meer

Cursus Privacy in de HR-praktijk

In deze cursus wordt uiteengezet waar een werkgever aan gebonden is als het gaat om privacy van werknemers. Aan de hand van casuïstiek wordt het onderwerp inzichtelijk gemaakt en kunt u hiermee ook daadwerkelijk mee aan de slag.

→ Lees meer

Nieuwsbrief

Blijf op de hoogte van het laatste nieuws over privacy, cybersecurity en data. Abonneer op onze gratis nieuwsbrief.

Abonneer