Privacy bij ziekte: wie mag zien waarom iemand afwezig is

“Waar is hij vandaag?” wordt elke week op elk kantoor gevraagd. Het beleefde antwoord en het rechtmatige antwoord zijn niet hetzelfde: de reden van iemands afwezigheid is een gezondheidsgegeven, en gezondheidsgegevens behoren tot de best beschermde categorieën in het Europese recht.

Wat de wet echt zegt

Volgens de AVG zijn gezondheidsgegevens “bijzondere persoonsgegevens” (artikel 9): voor de verwerking is een specifieke rechtsgrond nodig, en het leidende principe is minimale gegevensverwerking - verzamel alleen wat het doel vraagt. Voor een werkgever is het doel het werk te organiseren, en daarvoor zijn twee feiten nodig: de persoon is afwezig, en tot wanneer. De diagnose is voor dat doel niet nodig - dus hoort de werkgever die in de regel ook niet te verzamelen.

Sommige landen gaan verder: in Nederland bijvoorbeeld mag een werkgever helemaal niet vragen naar de aard van een ziekte - het beoordelen van arbeidsgeschiktheid is het werk van de bedrijfsarts. De elektronische ziekteverklaringen in Oekraïne volgen dezelfde logica: de werkgever ziet het feit en de periode, niet de medische details.

De precieze regels verschillen per land - wat op de ene plek een strikt verbod is, is elders een sterke aanbeveling. Wat je jurisdicties ook zijn, de veilige standaard is dezelfde: leg het feit en de datums vast, niet de reden erachter.

De drie kringen van zichtbaarheid

Binnen een team gaat het niet alleen om wat het bedrijf weet - het gaat erom wie het ziet. Een verstandig beleid heeft drie kringen:

De persoon - ziet alles van zichzelf: historie, saldi, documenten;
De leidinggevende en degene die aanvragen goedkeurt - zien de echte soort en de datums, omdat zij het werk plannen en de verantwoordelijkheid dragen;
Collega’s - hebben precies één ding nodig: de persoon is afwezig, en tot wanneer. “Afwezig tot vrijdag” beantwoordt elke legitieme vraag van een teamgenoot.

Let op wat er in de derde kring niet staat: het woord “ziek”. Of iemand op vakantie is, op een begrafenis of in een ziekenhuis, gaat het team gewoon niet aan - en een systeem dat collega’s een algemene “andere soort afwezigheid” toont, beschermt de persoon zonder het rooster te verbergen.

Waarom een spreadsheet hier per definitie tekortschiet

Een gedeeld bestand heeft precies twee standen. Óf iedereen met de link ziet elke regel - ook de kolom met “ziek” naast een naam, precies de openbaarmaking die de wet afkeurt. Óf het bestand is dichtgezet voor één beheerder - en dan kan niemand, ook de leidinggevenden die het nodig hebben, zien wie er deze week beschikbaar is. Er is geen tussenweg: een spreadsheet kan verschillende mensen geen verschillende dingen laten zien.

Dit is het stille broertje van de problemen uit het artikel over waar spreadsheets tekortschieten: de meeste ervan zie je als extra werk, maar dit zie je als een privacy-incident dat op zijn moment wacht.

Een regel die het opschrijven waard is

Welke tool je ook gebruikt, zet het beleid op papier: wie ziet de soort afwezigheid, wie ziet alleen het feit, en wie keurt goed. Het best is het als de tool de kringen vanzelf afdwingt - zodat privacy er niet van afhangt dat iemand eraan denkt het in te stellen.