Als werkgever heb je een zieke medewerker en je wilt natuurlijk weten hoe het gaat en wanneer hij weer aan het werk kan. Maar hoeveel mag je daadwerkelijk vragen, en wat mag je vastleggen zonder de AVG te overtreden? De grens tussen normale betrokkenheid en een verboden vraag is dunner dan je denkt. In dit artikel lees je welke vragen je bij ziekte wel en niet mag stellen, wat je mag vastleggen in het personeelsdossier en welke boetes de Autoriteit Persoonsgegevens kan opleggen bij overtreding.
Wat mag je vragen bij een ziekmelding?
Bij een ziekmelding mag je als werkgever vragen naar het telefoonnummer of verpleegadres waarop de medewerker bereikbaar is, de vermoedelijke duur van het verzuim, lopende werkzaamheden en noodzakelijke overdracht, of sprake is van een vangnetregeling van de Ziektewet (alleen ja of nee, niet welke), en of sprake is van een arbeidsongeval of een verkeersongeval waarbij mogelijk schade op een derde kan worden verhaald.
Wat mag je niet vragen bij ziekte?
Niet toegestaan zijn vragen naar de diagnose, de aard of oorzaak van de ziekte, symptomen, medicatie, de behandelaar of gemaakte doktersafspraken, en de vraag of de medewerker “echt ziek” is. Ook mag je niet vragen naar de eigen inschatting van de medewerker over zijn beperkingen: dat is een medische beoordeling, en die ligt bij de bedrijfsarts.
Vertelt een medewerker uit zichzelf over een burn-out of een operatie, dan mag je dat prima aanhoren, maar je mag het niet vastleggen in een verslag, e-mail of HR-systeem.
Contact tijdens de re-integratie: wat mag wel, wat niet?
Contact tijdens ziekte is elk moment waarop jij, een leidinggevende of een ingeschakelde adviseur met een zieke medewerker spreekt of gegevens over hem vastlegt. Je moet het loon doorbetalen zolang aan de voorwaarden van art. 7:629 BW wordt voldaan, en je moet de re-integratie bevorderen op grond van art. 7:658a BW. Gezondheidsgegevens zijn een bijzondere categorie persoonsgegevens en vallen onder het verwerkingsverbod van art. 9 lid 1 AVG. Alleen als de verwerking noodzakelijk is voor re-integratie, ziekteverzuimbegeleiding of de vaststelling van wettelijke aanspraken, geldt de uitzondering van art. 30 UAVG. Toestemming van de medewerker is hierbij geen geschikte grondslag: die kan altijd worden ingetrokken op grond van art. 7 lid 3 AVG en is bij een gezagsverhouding niet vrij gegeven.
Zodra de bedrijfsarts de belastbaarheid heeft beoordeeld, mag je met de medewerker spreken over de praktische uitvoering van dat advies: welke uren hij kan werken, welke taken passen binnen de beperkingen, en of de werkplek of werktijd uitvoerbaar is. Wat niet mag, is doorvragen naar de medische reden achter een beperking. Vragen als “waarom mag je niet autorijden” of “wat heeft de behandelaar precies gezegd” horen niet bij jou als werkgever, maar bij de bedrijfsarts. Bij twijfel over de belastbaarheid stel je de vraag aan de bedrijfsarts, niet aan de medewerker zelf.
Wat mag je vastleggen in het personeelsdossier?
In het personeelsdossier mogen alleen functionele en administratieve gegevens staan: de ziekmeldingsdatum, de verwachte duur, bereikbaarheidsgegevens, en de functionele beperkingen zoals de bedrijfsarts die teruggeeft, bijvoorbeeld “maximaal vier uur per dag, geen nachtdiensten”. Een diagnose, medicatie of behandelnaam mag daar nooit in staan: dat behoort uitsluitend tot het medische dossier van de bedrijfsarts of arbodienst, waarin jij als werkgever geen inzage hebt.
Bewaar administratieve verzuimgegevens niet langer dan noodzakelijk: als hoofdregel geldt uiterlijk twee jaar na het einde van het dienstverband, tenzij een wettelijke bewaarplicht of lopende procedure langere bewaring vereist. Ook je salarisadministratie krijgt niet meer gegevens dan nodig: voor de loonverwerking is de eerste ziektedag relevant, niet de diagnose. Een loonstrook of mutatie mag dus nooit een medische omschrijving bevatten.
Boetes van de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens (AP) houdt toezicht op de verwerking van gezondheidsgegevens en kan bij overtreding handhavend optreden: van een waarschuwing tot het verplicht verwijderen van onrechtmatig vastgelegde gegevens of een bestuurlijke boete. Omdat het om bijzondere persoonsgegevens gaat, valt een overtreding onder de hoogste boetecategorie van de AVG: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, op grond van art. 83 lid 5 AVG.
Dit is geen theoretisch risico. Een onderhoudsbedrijf kreeg in de praktijk 15.000 euro boete van de AP omdat de verzuimregistratie ziektenamen en klachten van medewerkers bevatte en bovendien onvoldoende beveiligd was. Naast een boete kan een medewerker ook schadevergoeding eisen als jouw onrechtmatige verwerking hem schade heeft berokkend, en blijf je zelf verantwoordelijk voor fouten van een ingeschakelde adviseur of salarisadministrateur.
Veelgemaakte fouten
De volgende fouten zien we regelmatig terugkomen bij werkgevers die contact houden met zieke medewerkers. Herken je een van deze situaties in je eigen organisatie, dan is het slim om je verzuimproces nog eens goed te checken.
Een diagnose of ziektenaam vastleggen
Een diagnose of ziektenaam vastleggen in het HR- of verzuimsysteem is onrechtmatige verwerking van bijzondere persoonsgegevens, met boeterisico tot 20 miljoen euro of 4% van de jaaromzet. Beperk daarom vrije tekstvelden in je verzuimsysteem en verwijder medische informatie direct.
Doorvragen naar de oorzaak
Doorvragen naar de oorzaak bij de ziekmelding levert geen bruikbare informatie op, vergroot je aansprakelijkheidsrisico en voelt voor de medewerker als een inbreuk. Instrueer leidinggevenden om alleen naar bereikbaarheid en verwachte duur te vragen.
Vrijwillig gedeelde of doorgestuurde informatie vastleggen
Ook spontaan gedeelde medische informatie mag je niet vastleggen zonder noodzaak: de AP maakt geen onderscheid tussen gevraagd en vrijwillig gedeeld. Medische e-mails of bijlagen doorsturen aan een leidinggevende of de salarisadministratie verspreidt bovendien bijzondere persoonsgegevens buiten de kring die ze nodig heeft. Laat weten dat een medisch antwoord niet nodig is, noteer alleen de functionele uitkomst, en werk met need-to-know-toegang.
Toestemming gebruiken als grondslag
Een algemeen toestemmingsformulier gebruiken als grondslag voor verzuimregistratie werkt niet: toestemming is bij een gezagsverhouding meestal geen geldige grondslag en kan altijd worden ingetrokken. Baseer de verwerking op art. 30 UAVG en de wettelijke re-integratieverplichting, niet op toestemming.
Wat Pascal-AI voor jou kan betekenen
Verzuim, re-integratie en privacy lopen vaak door elkaar, en elke situatie is anders. Pascal-AI helpt je als werkgever om snel en betrouwbaar antwoord te krijgen op dit soort vragen.
- Direct antwoord op vragen over wat je wel en niet mag vragen of vastleggen bij ziekte, gebaseerd op wetgeving en jouw cao.
- Hulp bij het opstellen van een verzuimprotocol dat voldoet aan de AVG en UAVG.
- Praktische ondersteuning bij twijfelgevallen, zodat je zeker weet dat je juridisch juist handelt.
- Altijd actuele informatie, zodat je nooit werkt met verouderde regels of boetebedragen.
Zo hoef je niet zelf uit te zoeken hoe de AVG, de UAVG en jouw specifieke situatie zich tot elkaar verhouden, en houd je meer tijd over voor je medewerkers en je bedrijf.
Veelgestelde vragen
Mag ik als werkgever vragen wat een zieke medewerker precies heeft?
Nee. Je mag alleen vragen naar bereikbaarheid, de vermoedelijke duur van het verzuim en of sprake is van een arbeids- of verkeersongeval. De diagnose, oorzaak en symptomen mag je niet vragen: dat is een medische beoordeling die bij de bedrijfsarts ligt (art. 9 lid 1 AVG, art. 30 UAVG).
Mag ik een diagnose vastleggen als de medewerker die zelf vertelt?
Nee. Ook vrijwillig gedeelde medische informatie mag je niet registreren zonder noodzaak. Laat weten dat een medisch antwoord niet nodig is en leg alleen de functionele uitkomst vast, bijvoorbeeld de afgesproken werktijden.
Hoe lang mag ik verzuimgegevens bewaren?
Bewaar administratieve verzuimgegevens niet langer dan noodzakelijk. Als hoofdregel geldt uiterlijk twee jaar na het einde van het dienstverband, tenzij een wettelijke bewaarplicht of lopende procedure langere bewaring vereist.
Welke boete kan de Autoriteit Persoonsgegevens opleggen?
Omdat het om bijzondere persoonsgegevens gaat, valt een overtreding onder de hoogste boetecategorie van de AVG: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet (art. 83 lid 5 AVG). Een onderhoudsbedrijf kreeg in de praktijk al 15.000 euro boete voor een te uitgebreide verzuimregistratie.