Een werkgever mag bij een ziekmelding alleen functionele informatie opvragen, zoals de verwachte duur van het verzuim en of er aanpassingen nodig zijn. Medische details over de aard of oorzaak van de ziekte mag een werkgever niet vragen of vastleggen. De Autoriteit Persoonsgegevens (AP) en de AVG stellen hier strikte grenzen aan.

Deze regels bestaan om de privacy van werknemers te beschermen en tegelijkertijd werkgevers in staat te stellen hun wettelijke verplichtingen rondom re-integratie na te komen. Toch gaat het in de praktijk regelmatig mis: leidinggevenden vragen uit betrokkenheid naar klachten, of HR-afdelingen leggen meer vast dan toegestaan. In dit artikel beantwoorden we de belangrijkste vragen over wat je als werkgever wel en niet mag weten, vragen en vastleggen bij ziekte van een medewerker.

Welke gegevens mag een werkgever opvragen bij een ziekmelding?

Bij een ziekmelding mag een werkgever uitsluitend functionele gegevens opvragen die nodig zijn voor de verzuimbegeleiding en loondoorbetaling. Vragen naar de diagnose, symptomen of behandeling is niet toegestaan, ook niet als de werknemer deze informatie vrijwillig deelt.

De Autoriteit Persoonsgegevens heeft duidelijk vastgelegd welke informatie een werkgever wél mag vragen bij een ziekmelding:

• Het telefoonnummer waarop de medewerker bereikbaar is en het (verpleeg)adres
• De verwachte duur van het verzuim
• Lopende afspraken en werkzaamheden die overgedragen moeten worden
• Of de medewerker onder een vangnetbepaling valt (zoals zwangerschap), zonder verdere details
• Of de ziekte verband houdt met een arbeidsongeval
• Of er sprake is van een verkeersongeval met een aansprakelijke derde (regresrecht)

Wat veel werkgevers niet weten: zelfs als een medewerker uit zichzelf vertelt wat er aan de hand is, mag je deze medische informatie niet vastleggen in een verzuimsysteem of personeelsdossier. De gezagsverhouding tussen werkgever en werknemer maakt dat er geen sprake kan zijn van echte vrijwillige toestemming. Noteer dus alleen de functionele gegevens en laat medische beoordelingen over aan de bedrijfsarts.

Wat is de rol van de bedrijfsarts bij medische informatie?

De bedrijfsarts is de enige professional die medische informatie van een zieke werknemer mag verwerken en beoordelen in het kader van verzuim. De bedrijfsarts vertaalt medische gegevens naar functionele beperkingen en mogelijkheden, zonder de diagnose te delen met de werkgever.

Dit onderscheid is belangrijk: de bedrijfsarts stelt een probleemanalyse op waarin staat wat een medewerker nog wél kan, welke beperkingen er zijn en wat het verwachte herstelverloop is. De werkgever ontvangt dus een advies over inzetbaarheid, niet over de medische situatie zelf. Op basis van deze probleemanalyse stellen werkgever en werknemer samen een Plan van Aanpak op voor de re-integratie.

Wat deelt de bedrijfsarts met de werkgever?

De bedrijfsarts koppelt aan de werkgever alleen terug wat nodig is voor het re-integratieproces. Denk aan de mate van arbeidsongeschiktheid, de verwachte herstelduur, eventuele werkaanpassingen en of er sprake is van beperkingen voor bepaalde taken. De diagnose, medicatie of behandeling blijft vertrouwelijk tussen arts en werknemer.

Wat als een werknemer toestemming geeft?

Ook wanneer een werknemer toestemming geeft om medische informatie te delen, is de bedrijfsarts terughoudend. Het medisch beroepsgeheim geldt onverkort. De bedrijfsarts maakt een eigen professionele afweging over welke informatie relevant is voor de werkgever en deelt nooit meer dan strikt noodzakelijk. Dit beschermt zowel de werknemer als de werkgever tegen onbedoelde overtredingen van de privacywetgeving.

Welke regels stelt de AVG aan het vastleggen van verzuimgegevens?

De AVG verbiedt werkgevers om gezondheidsgegevens van werknemers te verwerken, tenzij er een wettelijke uitzondering van toepassing is. Voor verzuimregistratie betekent dit dat je alleen de datum van ziekmelding, het percentage arbeidsongeschiktheid en de verwachte hersteldatum mag vastleggen, maar nooit de aard of oorzaak van de ziekte.

Gezondheidsgegevens vallen onder de zogenoemde bijzondere persoonsgegevens in de AVG. De verwerking hiervan is in principe verboden, met een beperkt aantal uitzonderingen. Voor werkgevers zijn de relevante uitzonderingen:

• Loondoorbetaling bij ziekte: je mag vastleggen dat iemand ziek is en voor welk percentage, omdat je wettelijk verplicht bent loon door te betalen.
• Re-integratieverplichtingen: de Wet verbetering Poortwachter verplicht werkgevers om actief mee te werken aan terugkeer naar werk. Hiervoor mag je functionele beperkingen en afspraken vastleggen.
• Verwerking door de bedrijfsarts: de arbodienst of bedrijfsarts mag wél medische gegevens verwerken, omdat hiervoor een wettelijke grondslag bestaat.

Let op: het verzuimsysteem dat je als werkgever gebruikt, moet zo ingericht zijn dat alleen geautoriseerde medewerkers toegang hebben tot verzuimgegevens. Een leidinggevende hoeft bijvoorbeeld niet te zien welke afspraken een medewerker bij de bedrijfsarts heeft gehad. Beperk de toegang tot wat noodzakelijk is voor ieders rol in het verzuimproces.

Wat zijn de gevolgen als een werkgever te veel informatie vastlegt?

Wanneer een werkgever te veel gezondheidsgegevens vastlegt, riskeert het bedrijf boetes van de Autoriteit Persoonsgegevens die kunnen oplopen tot 820.000 euro of 4% van de jaarlijkse wereldwijde omzet. Daarnaast kan het leiden tot schadeclaims van werknemers en ernstige reputatieschade.

De gevolgen zijn zowel juridisch als organisatorisch:

• Boetes van de AP: de Autoriteit Persoonsgegevens handhaaft actief op de verwerking van gezondheidsgegevens door werkgevers. Overtredingen worden als ernstig beschouwd.
• Schadeclaims: werknemers kunnen een schadevergoeding eisen als hun privacy is geschonden. Dit geldt voor zowel materiële als immateriële schade.
• Verstoorde arbeidsrelatie: wanneer een medewerker ontdekt dat medische gegevens onrechtmatig zijn vastgelegd of gedeeld, beschadigt dit het vertrouwen. Dit kan het verzuim juist verlengen.
• Problemen bij een WIA-beoordeling: als het UWV na twee jaar ziekte constateert dat de werkgever onzorgvuldig met gegevens is omgegaan, kan dit het re-integratiedossier ondermijnen en zelfs leiden tot een loonsanctie.

In de praktijk zien we dat overtredingen vaak niet uit kwade wil ontstaan, maar uit onwetendheid. Een leidinggevende die in een e-mail beschrijft dat een medewerker een burn-out heeft, legt al onrechtmatig medische gegevens vast. Bewustwording en training zijn daarom net zo belangrijk als het inrichten van systemen.

Hoe zorg je als werkgever voor een privacyproof verzuimbeleid?

Een privacyproof verzuimbeleid begint met duidelijke afspraken over wie welke informatie mag opvragen, vastleggen en inzien. Combineer dit met training van leidinggevenden, een goed ingericht verzuimsysteem en samenwerking met een gecertificeerde arbodienst die de medische gegevens beheert.

Met deze stappen bouw je een verzuimbeleid dat voldoet aan de AVG en de privacyregels rondom ziekteverzuim:

1. Stel een verzuimprotocol op: leg vast welke vragen een leidinggevende mag stellen bij een ziekmelding en welke niet. Maak dit protocol beschikbaar voor alle leidinggevenden.
2. Train leidinggevenden: zorg dat managers weten dat ze niet naar de aard van de ziekte mogen vragen. Oefen met praktijkvoorbeelden, want de meeste fouten ontstaan in het dagelijkse gesprek.
3. Richt je verzuimsysteem goed in: zorg dat er geen vrije tekstvelden zijn waarin medische informatie kan worden ingevuld. Beperk de toegangsrechten per rol.
4. Schakel een bedrijfsarts in bij twijfel: zodra er medische vragen spelen, verwijs door naar de bedrijfsarts. Die beoordeelt de situatie en koppelt alleen functionele informatie terug.
5. Evalueer periodiek: controleer regelmatig of het verzuimdossier alleen toegestane gegevens bevat en of het protocol wordt nageleefd.

Een veelgemaakte fout is het vastleggen van informatie die een medewerker vrijwillig deelt. Zelfs als iemand open vertelt over een operatie of diagnose, mag je dit niet noteren. Reageer empathisch, maar leg alleen vast wat het protocol toestaat.

Hoe Masters in Vitaliteit helpt met privacy bij ziekteverzuim

Als gecertificeerde arbodienst nemen wij de verwerking van medische gegevens volledig uit handen van werkgevers. Onze bedrijfsartsen beoordelen de medische situatie, stellen de probleemanalyse op en koppelen uitsluitend functionele adviezen terug. Zo blijf je als werkgever aan de juiste kant van de privacyregels.

Wat we concreet voor je doen:

• Vaste casemanager: begeleidt het verzuimproces en bewaakt dat alleen toegestane gegevens worden vastgelegd en gedeeld
• Spreekuren met de bedrijfsarts: medische beoordelingen vinden plaats binnen ons team, zodat gevoelige informatie niet bij de werkgever terechtkomt
• Advies over verzuimbeleid: we helpen je bij het opstellen van een privacyproof verzuimprotocol dat voldoet aan de AVG en de Wet verbetering Poortwachter
• Webportaal met juiste autorisaties: via ons portaal heb je inzicht in de voortgang van het re-integratieproces, zonder toegang tot medische details

Bekijk ons volledige aanbod op de pagina met onze diensten voor verzuimbegeleiding en preventie. Wil je zeker weten dat jouw verzuimbeleid voldoet aan de privacyregels? Neem contact met ons op voor een vrijblijvend gesprek over hoe we je kunnen ondersteunen bij een zorgvuldige en wettelijk correcte verzuimbegeleiding.