AVG en verzuimregistratie: wat mag je vastleggen en wat niet?

Bij verzuimregistratie geldt één duidelijke regel vanuit de AVG: je mag als werkgever géén medische gegevens van een zieke medewerker vastleggen. Niet de diagnose, niet de klachten, niet de naam van de aandoening. Wat je wél mag registreren, is beperkt tot een klein aantal feitelijke gegevens. Precies waar die grens ligt, en hoe je verzuim dan toch goed bijhoudt, lees je hier.

Wat de AVG je verbiedt bij verzuimregistratie

Gezondheidsgegevens vallen onder de zogenaamde bijzondere persoonsgegevens in de AVG. Die zijn extra beschermd, omdat ze gevoelig zijn en tot discriminatie of andere nadelen kunnen leiden. Als werkgever heb je in principe geen toestemming om deze gegevens te verwerken, tenzij er een wettelijke uitzondering geldt.

Concreet betekent dit dat je de volgende dingen niet mag noteren in je verzuimdossier of personeelssysteem:

De diagnose of het ziektebeeld van de medewerker
Klachten die de medewerker noemt (bv. rugpijn, burn-out, psychische klachten)
Medicatie die iemand gebruikt
Informatie over behandelingen of artsenbezoeken
De reden van ziekmelding, als die medisch van aard is

Zelfs als een medewerker zelf vrijwillig vertelt wat er aan de hand is, mag je dat niet vastleggen. Je kunt het aanhoren, maar het hoort niet in een dossier thuis. Dit geldt ook voor aantekeningen in e-mails of losse notities die je bewaart.

Wat je wél mag registreren bij verzuim

De AVG laat je gelukkig genoeg ruimte om verzuim goed te administreren. De Autoriteit Persoonsgegevens (AP) heeft duidelijk gemaakt welke gegevens een werkgever mag bijhouden. Het gaat om puur feitelijke, niet-medische informatie:

De datum van ziekmelding
De verwachte datum van herstel (als de medewerker die zelf aangeeft)
De datum van herstelmelding
Of de medewerker wel of niet arbeidsongeschikt is (ja of nee)
Informatie over de re-integratie, voor zover die niet medisch is
Het verzuimpercentage en de verzuimfrequentie

Meer heb je als werkgever officieel ook niet nodig. De bedrijfsarts is degene die de medische situatie beoordeelt. Jij ontvangt van de bedrijfsarts alleen een functioneel oordeel: wat kan de medewerker nog wel of niet? Hoe de beperking medisch heet, is voor jou als werkgever niet relevant en mag de bedrijfsarts niet zomaar delen.

De rol van de bedrijfsarts in de AVG-verzuimregistratie

De bedrijfsarts heeft een bijzondere positie. Die mag wél medische gegevens verwerken, omdat dat noodzakelijk is voor de begeleiding. Maar die informatie blijft bij de bedrijfsarts. Wat jij als werkgever terugkrijgt, is uitsluitend het functionele oordeel: een beschrijving van wat de medewerker nog kan doen, zonder medische duiding.

Dit onderscheid is in de praktijk soms lastig. Een medewerker die zegt “ik heb een gebroken enkel” geeft informatie die je begrijpt, maar ook die mag je niet verwerken. Je noteert dan alleen: medewerker is niet inzetbaar, verwachte terugkeer op datum X.

Hoe lang mag je verzuimgegevens bewaren?

Ook de bewaartermijn valt onder de AVG. Voor verzuimregistratie geldt dat je gegevens niet langer mag bewaren dan noodzakelijk. In de praktijk hanteren veel werkgevers een bewaartermijn van twee jaar na afloop van het dienstverband voor verzuimcijfers. Voor re-integratiedossiers geldt op grond van de Wet verbetering poortwachter een bewaartermijn van twee jaar na het einde van de wachttijd (de 104 weken ziekte). Bewaar je gegevens langer, dan loop je het risico in strijd te handelen met de AVG.

Beveiliging van je verzuimadministratie

De AVG verplicht je ook om de gegevens die je wél mag registreren goed te beveiligen. Dat betekent dat niet iedereen in je organisatie zomaar bij het verzuimdossier kan. Begrens de toegang tot leidinggevenden die de gegevens echt nodig hebben voor de werkplanning, en tot HR voor de administratie. Zorg dat je verzuimsysteem wachtwoordbeveiligd is en dat je kunt aantonen wie er toegang toe heeft gehad.

Gebruik je een extern verzuimsysteem of een HR-softwareleverancier? Dan ben je verplicht een verwerkersovereenkomst af te sluiten. Dit is een contract waarin de leverancier vastlegt hoe zij met de persoonsgegevens omgaan en dat zij dit conform de AVG doen.

Veelgemaakte fouten bij AVG en verzuimregistratie

In de dagelijkse praktijk gaat het op een aantal punten regelmatig mis. Herkenbare situaties:

Diagnose noteren in HR-systeem. Dit mag niet, ook niet als de medewerker het zelf vertelt.
E-mails bewaren waarin medische info staat. Een e-mail is ook een verwerkingsmiddel. Verwijder of anonimiseer dit.
Mondelinge informatie van de medewerker doorsturen naar collega’s. “Jan heeft last van zijn rug” is al een overtreding als je dit deelt zonder noodzaak.
Geen verwerkersovereenkomst met de softwareleverancier. Formeel verplicht, maar in de praktijk vaak vergeten.
Gegevens te lang bewaren. Na het einde van het dienstverband worden dossiers niet altijd opgeschoond.

Praktisch: zo richt je een AVG-proof verzuimregistratie in

Een AVG-conforme verzuimregistratie hoeft niet ingewikkeld te zijn. Houd het simpel en feitelijk. Leg alleen vast: wanneer iemand zich ziek meldt, wanneer diegene beter is, en wat de afspraken zijn over re-integratie (zonder medische details). Informeer medewerkers bij indiensttreding over welke gegevens je bijhoudt en waarom. Dit mag in het personeelshandboek of via een privacyverklaring. Zorg ook dat je intern een procedure hebt voor wie de ziekmelding aanneemt en wat er dan precies wordt geregistreerd, want die eerste stap is waar het in de praktijk vaak misgaat.

Twijfel je of je huidige verzuimregistratie voldoet aan de AVG? De Autoriteit Persoonsgegevens heeft op haar website (autoriteitpersoonsgegevens.nl) concrete richtlijnen gepubliceerd over gezondheidsgegevens op de werkvloer. Die zijn gratis te raadplegen en geven houvast bij het inrichten van je administratie.