Beide arbodienstverleners verstrekten medische gegevens van zieke werknemers aan de werkgever. Het ging daarbij om medische informatie die niet noodzakelijk is voor de re-integratie of begeleiding in verband met ziekte of arbeidsongeschiktheid. Voorbeelden hiervan zijn aard en oorzaak van de ziekte, medicijngebruik en behandelingen. Verstrekking van dergelijke gevoelige medische gegevens aan de werkgever is in strijd met de Wet bescherming persoonsgegevens (Wbp).

Arbodienst

Uit het onderzoek blijkt dat de onderzochte gecertificeerde arbodienst structureel informatie over de aard en/of oorzaak van de ziekte, situationele omstandigheden, behandelingen en medicijngebruik heeft verstrekt aan werkgevers. Dit raakt bijna 58.000 werknemers. Het gaat om meer gegevens dan noodzakelijk is voor de re-integratie of begeleiding van werknemers in verband met ziekte of arbeidsongeschiktheid en is daarmee in strijd met de wet.

Het CBP zal de komende maanden controleren in hoeverre de geconstateerde overtredingen bij de arbodienst voortduren en zo nodig overgaan tot het nemen van handhavende maatregelen.

Verzuimbedrijf

Het CBP concludeert dat het onderzochte verzuimbedrijf meer medische gegevens heeft verwerkt dan is toegestaan. Ook dit bedrijf verstrekte structureel meer informatie over de aard en/of oorzaak van de ziekte, situationele omstandigheden, behandelingen en medicijngebruik aan werkgevers dan is geoorloofd. Het onderzochte verzuimbedrijf heeft inmiddels werkgevers en werknemers hierover geïnformeerd.

Het verzuimbedrijf heeft zijn werkwijze aangepast en aangekondigd de verwerkte gegevens te vernietigen. Ook heeft het verzuimbedrijf de werkgevers verzocht de aan hen verstrekte gegevens te vernietigen. De overtredingen zijn hiermee dus beëindigd.

Wettelijke eisen

Medische gegevens zijn gevoelige gegevens en voor het verwerken daarvan gelden extra wettelijke eisen. Een werkgever mag in het kader van de verzuimbegeleiding van zieke werknemers een beperkt aantal noodzakelijke medische persoonsgegevens verwerken. Dit betreft onder meer gegevens over de verwachte duur van het verzuim en de mate waarin een werknemer arbeidsongeschikt is. Een verzuimbedrijf dat de verzuimbegeleiding uitvoert voor de werkgever mag in beginsel ook alleen deze beperkte set medische gegevens verwerken en verstrekken aan de werkgever. Ook een gecertificeerde arbodienst mag in het kader van verzuimbegeleiding slechts een beperkt aantal medische gegevens verstrekken aan de werkgever.