AVG en Verwerkersovereenkomst
Samenvatting
AVG en werkgever
Wat betekent de AVG voor jou als werkgever? Wanneer moet je een verwerkersovereenkomst sluiten, en moet dat dan ook met jouw arbodienst of zzp-bedrijfsarts?
Bekijk de animatievideo die kort uitlegt wat de AVG, de Algemene Verordening Gegevensbescherming voor werkgevers betekent.
Verwerkersovereenkomst: wanneer?
De Algemene Verordening Gegevensbescherming bepaalt dat indien organisaties gegevens over personen inwinnen of bijhouden zij er verantwoordelijk voor zijn dat deze gegevens niet verloren gaan of onrechtmatig door anderen gebruikt kunnen worden. Zij zijn verantwoordelijk voor het gebruik en de beveiliging van deze gegevens. ‘Verwerkingsverantwoordelijke’ heet dat in termen van de AVG.
Arbodiensten, zelfstandige bedrijfsartsen, verzuimbedrijven of re-integratieburo’s leggen – vaak op grote schaal – gegevens van personen vast in computersystemen. Het gaat dan zelfs om ‘bijzondere persoonsgegevens’, dat wil zeggen: gegevens over de gezondheid van die personen. In principe mogen dat soort gegevens niet eens worden ingewonnen en verzameld. Maar in het kader van arbodienstverlening is een uitzondering gemaakt en mag het wél. Deze gegevens worden door hen opgeslagen en verwerkt in eigen systemen, in de cloud (bijv. Office 365) of in gespecialiseerde online computersystemen zoals Track Verzuim.
Grotere, professionele organisaties kiezen steeds vaker voor ‘eigen regie’ en nemen daarmee afscheid van het full-service aanbod van een arbodienst. Ze voeren de poortwachterbegeleiding zelf uit en houden zelf de persoonsgegevens van re-integratie bij. Ze kiezen voor de ‘maatwerkregeling’. Het reïntegratiedossier wordt bijgehouden in een personeelsmanagementsysteem zoals AFAS of in een verzuimsysteem zoals Track Verzuim.
De hamvraag is nu: wie is de verwerkingsverantwoordelijke van welke gegevens? Dit paper geeft op deze vraag het antwoord. En dat antwoord is belangrijk. Want: als de verwerkingsverantwoordelijke gegevens uit handen geeft maar er wél verantwoordelijk voor blijft dán moet hij een verwerkersovereenkomst sluiten.
Verzuimbegeleiding en persoonsgegevens
Moet een arbodienst, een verzuimbedrijf of bedrijfsarts nooit, soms of altijd met zijn klanten een verwerkingsovereenkomst sluiten? Waarvan is dat afhankelijk? Dat is afhankelijk van de vraag wie de verwerkingsverantwoordelijke is voor het dossier. In de onderstaande paragrafen beantwoorden we de vraag in welke situatie jij zo’n overeenkomst met jouw klant of dienstverlener moet sluiten. We behandelen verschillende samenwerkingsscenario’s vanuit het perspectief van:
- Een arbodienst;
- Zzp bedrijfsarts;
- Verzuimbedrijf;
- Reïntegratiebedrijf of re-integratiedeskundige.
Tenslotte komt ook de context aan de orde dat een werkgever zelf een verzuimsysteem heeft en daarin samenwerkt met een bedrijfsarts en / of reïntegratiedeskundige zoals een arbeidsdeskundige.
Dienstverlener, klant en systeemleverancier
Er zijn vrijwel altijd drie partijen in het spel. Dat zijn:
- De dienstverlener;
- De klant;
- Track Software als de systeemleverancier.
Afhankelijk van de context gaat om één of twee dossiers, namelijk:
- Het medisch / bedrijfsgeneeskundige dossier van de bedrijfsarts of arbodienst;
- Het reïntegratiedossier van de werkgever.
Verantwoordelijke, verwerker en beheerder
Re-integratie dossier
Een werkgever moet gegevens bijhouden over het personeel. Als een medewerker ziek wordt, dan moet de werkgever gegevens bijhouden over het verloop van het verzuim. De werkgever is de Verwerkingsverantwoordelijke voor dit reïntegratiedossier. In zo’n re-integratiedossier zullen we stukken aantreffen zoals een terugkoppeling consult bedrijfsarts, probleemanalyse en bijstellingen, plan van aanpak, gespreksverslagen, informatie over interventies en het arbeidskundig onderzoek, etc.
Bedrijfsgeneeskundig dossier
Bedrijfsartsen en arbodiensten hebben een eigen, wettelijke taak. Zij moeten vaststellen dat een werknemer als gevolg van ziekte beperkingen ervaart die hem beletten te werken. Zij leggen een medisch zgn. ‘bedrijfsgeneeskundig dossier’ aan. Daarin zitten de gegevens van de werknemer, medische verslagen, probleemanalyse, terugkoppelingen, ingewonnen informatie huisarts of specialist, etc.
De bedrijfsarts of arbodienst is de verwerkingsverantwoordelijke voor het bedrijfsgeneeskundig dossier.
Track Software is verwerker
Track Software is de maker van online ‘cloud’ verzuimsystemen. Voor arbodiensten en verzuimbedrijven hebben we Track Verzuim. Zelfstandige bedrijfsartsen maken gebruik van Track Medic. Track Software levert deze software daarnaast aan organisaties die eigen regie voeren. Het zijn cloud oplossingen waar veel gebruik van wordt gemaakt. Track Software is ‘verwerker’ of onder omstandigheden ‘subverwerker’ voor haar klanten.
Klant Track is beheerder van het programma
Bij registratie van persoonsgegevens in een extern beheerd computersysteem, is het standpunt van de AP dat dan een verwerkersovereenkomst moet worden afgesloten met de beheerder van dat systeem. Daarom is het belangrijk om te weten wie de beheerder is.
Onze klanten zijn beheerder van hun eigen implementatie van Track Verzuim of Track Medic. De klant regelt de toegang tot het systeem (gebruikers accounts), de beveiliging van zijn gegevens en welke functies het programma hen aanbiedt. Track is technisch beheerder in de zin dat Track de technische beveiliging (firewalls, servers, hosting, backup) van het systeem regelt.
Op het gebied van inrichting en autorisatie geeft Track haar klanten maximale autonomie.
Track heeft daarmee een positie die afwijkt van wat gebruikelijk is in de markt. Ons verdienmodel is er niet op gericht geld te verdienen met het verlenen van service. We verlenen natuurlijk wel service, maar de prijs daarvoor is meestal verdisconteerd in een vaste licentiefee. Veel andere aanbieders van verzuimsoftware leunen voor hun verdiensten juist sterk op deze serviceverlening. Deze aanbieders voeren tegen vergoeding van kosten het functioneel beheer uit. In die situatie zijn zij dus de beheerder van het systeem.
Context: arbodienst
De onderstaande tabel toont de verschillende scenario’s waarin een arbodienst werkzaam is, en in welke context deze een verwerkingsovereenkomst met haar klant moet sluiten.
Een arbodienst is een alszodanig gecertificeerde organisatie. Zie voor meer informatie http://www.sbca.nl.
De arbodienst legt in Track Verzuim het bedrijfsgeneeskundig dossier vast en is zelfstandig Verwerkingsverantwoordelijke voor deze gegevens. Dat geldt inclusief de gegevens van werknemers en hun verzuim (de zgn. administratieve gegevens). Track Software is verwerker van deze gegevens, en daarom sluiten arbodienst en Track Software een verwerkersovereenkomst.
De arbodienst hoeft voor haar dossiervorming met opdrachtgevers geen verwerkersovereenkomst af te sluiten. De verwerkte gegevens zijn de gegevens van de arbodienst. Deze verzuimgegevens zijn weliswaar door de klant overgedragen maar de verantwoordelijkheid geworden van de arbodienst.
Het is wat anders indien de klant zijn reïntegratiedossiers in Track bijhoudt. Voor die dossiers is de klant de Verantwoordelijke. Track Verzuim is voor de klant dan een ‘extern systeem’ waarvoor hij als Verantwoordelijke met de beheerder van dat systeem een verwerkersovereenkomst moet sluiten. Die beheerder is de arbodienst. Daarom moet in dit geval de klant met de arbodienst wél een verwerkingsovereenkomst sluiten.
Context: zzp bedrijfsarts
Track Medic is een populaire versie van Track Verzuim die door veel bedrijfsartsen wordt gebruikt. De onderstaande tabel toont de verschillende scenario’s waarin een zelfstandige bedrijfsarts met Track Medic werkt.
Net als de arbodienst legt de zzp-bedrijfsarts in Track Medic zijn bedrijfsgeneeskundig dossier vast. Hij is de verwerkingsverantwoordelijke voor dit dossier. Track Software is verwerker van deze gegevens, en daarom sluiten bedrijfsarts en Track Software een verwerkersovereenkomst.
Indien de klant van zo’n bedrijfsarts in Track Medic inlogt om daar zijn reïntegratiedossiers bij te houden, moet er een verwerkersovereenkomst worden gesloten tussen de bedrijfarts – als beheerder van het systeem – en zijn opdrachtgever. Track Software kan de arts desgewenst een format voor zo’n overeenkomst aanreiken.
Context: verzuimbedrijf
Een verzuimbedrijf ondersteunt haar klanten met de Poortwachterbegeleiding. Een verzuimbedrijf heeft geen toegang tot medische informatie en heeft, anders dan een arbodienst, geen bedrijfsartsen in dienst. Een verzuimbedrijf kent geen bedrijfsgeneeskundig dossier. De opdrachtgevers van een verzuimbedrijf zijn de verwerkingsverantwoordelijken voor de reïntegratiedossiers. Het verzuimbedrijf verwerkt gegevens onder de verantwoordelijkheid van zijn klant.
De overdracht van gegevens waar de klant verantwoordelijkheid voor blijft dragen aan het verzuimbedrijf brengt met zich mee dat er tussen hen een verwerkingsovereenkomst gesloten moet worden.
Track Software is op haar beurt een verwerker voor het verzuimbedrijf. Track Software sluit daarom een verwerkersovereenkomst met het verzuimbedrijf.
Context: re-integratiebedrijf
Een reïntegratiebedrijf geeft specialistische ondersteuning aan klanten bij de Poortwachterbegeleiding. Denk aan arbeidskundige onderzoeken of begeleiding bij re-integratie spoor 2.
De opdrachtgever van het reïntegratieburo is verwerkingsverantwoordelijke voor de reïntegratiedossiers. Het reïntegratieburo werkt onder de verantwoordelijkheid van zijn opdrachtgever. Deze situatie is identiek aan de situatie van het verzuimbedrijf.
Het reïntegratiebedrijf dient een verwerkingsovereenkomst te sluiten met haar opdrachtgevers. Track is op zijn beurt verwerker voor het reïntegratiebedrijf, en sluit daarmee een verwerkingsovereenkomst.
Context: eigen regie
Organisaties die ‘eigen regie’ voeren voor hun Poortwachterbegeleiding zijn de verwerkingsverantwoordelijke voor het reïntegratieverslag. Als dit dossier vastgelegd en beheerd wordt met Track Verzuim, dan is Track Software de bewerker. Track Software sluit een verwerkersovereenkomst met de klant.
Als de klant een bedrijfsarts toestaat om zijn bedrijfsgeneeskundig dossier in Track Verzuim vast te leggen, dan sluit Track Software een verwerkersovereenkomst met die bedrijfsarts. Het is in die situatie niet toegestaan dat de klant het functioneel beheer voert. Denk aan het instellen van de beveiliging of het autoriseren van een gebruiker als arts. Track is dan de beheerder, en daarom sluiten arts en Track Software met elkaar een verwerkersovereenkomst.
Verwerkingsovereenkomst: Do's & Don'ts
De noodzaak om bij overdracht van gegevens een verwerkingsovereenkomst te sluiten bestond onder de Wet Bescherming Persoonsgegevens ook al. De AVG heeft op dit punt geen verandering gebracht. Wat wél is veranderd, is dat opdrachtgevers zich meer bewust zijn geworden van de noodzaak om samen goede afspraken te maken.
Wij adviseren onze klanten om zélf een format voor zo’n overeenkomst te (laten) ontwikkelen en vooral niet zomaar een overeenkomst te tekenen die een opdrachtgever aanbiedt. Opdrachtgevers nemen soms een veeltal eenzijdige verplichtingen en aansprakelijkheden in zo’n overeenkomst op waar je mogelijk niet aan kan of wilt voldoen. Hierin schuilen grote risico’s.
De onderwerpen die geregeld moeten worden in een verwerkersovereenkomst staan opgesomd in artikel 28 lid 3 van de AVG. Op de website van de Autoriteit Persoonsgegevens kan je een beknopte uitleg van dit artikel vinden.
Vragen en opmerkingen
De materie blijft lastig. Ik merk aan de informatieverzoeken van onze klanten dat het best een worsteling is om de vraag te beantwoorden wanneer nu wél of niet een verwerkersovereenkomst gesloten moet worden. Met dit whitepaper heb ik geprobeerd de gangbare scenrio’s te bespreken. Track Software heeft voor haar klanten een privacy-helpdesk. Mocht u met vragen zitten of opmerkingen kwijt willen dan kunt u natuurlijk altijd contact met mij opnemen.
Nijmegen, Klaas van der Galiën
24 mei 2018