Een casemanager mailt een probleemanalyse naar de werkgever, inclusief de passage over de behandeling die de werknemer volgt. Voor een re-integratie- of verzuimbureau is dit dagelijks werk: gezondheidsgegevens van mensen die niet jouw personeel zijn, in opdracht van hun werkgever. Precies daar kijkt de AVG het strengst mee.
Een re-integratiedossier zit vol gezondheidsgegevens: probleemanalyses, belastbaarheid, UWV-correspondentie, soms behandelinformatie die de werknemer zelf deelde. Dat zijn bijzondere persoonsgegevens, en de werknemer is niet jouw klant maar het onderwerp van een opdracht die zijn werkgever betaalt. Die driehoek vraagt discipline: de werkgever mag niet meer weten dan nodig voor loondoorbetaling en re-integratie, en zeker geen diagnoses. Wat jij in rapportages aan de werkgever zet, bepaalt of dat lukt. Concreet: rapporteer aan de werkgever in termen van belastbaarheid en mogelijkheden, niet in medische termen. Houd de medische onderbouwing in het dossier dat alleen voor jou en de bedrijfsarts toegankelijk is, en spreek dit met je opdrachtgevers vooraf af.
art. 9 AVGWerk je puur in opdracht en volgens de instructies van de werkgever, dan ben je verwerker en hoort er een verwerkersovereenkomst te liggen met elke opdrachtgever. Bepaal je zelf hoe je het traject inricht, welke gegevens je vastlegt en hoe lang, dan ben je (mede)verantwoordelijke en gelden er andere plichten, zoals zelf informeren en zelf een register bijhouden. Veel bureaus zitten er tussenin en hebben het nooit vastgelegd, waardoor bij een datalek of een inzageverzoek niemand weet wie wat moet doen. Concreet: bepaal per dienst welke rol je hebt, leg dat vast in een verwerkersovereenkomst of in je eigen voorwaarden, en doe hetzelfde voor de tools die jij weer inschakelt, zoals je dossiersysteem.
art. 28 AVGIn de praktijk reist het re-integratiedossier per e-mail: de werkgever stuurt de ziekmelding, de bedrijfsarts een terugkoppeling, jij de rapportage, en alles blijft jaren in ieders mailbox staan. Daarmee liggen gezondheidsgegevens op de minst beveiligde plek van het bedrijf, doorzoekbaar voor iedereen met toegang tot die inbox, en zonder bewaartermijn. Hetzelfde geldt voor bijlagen op bureaubladen en in gedeelde mappen. Concreet: werk waar mogelijk vanuit één beveiligd dossiersysteem met toegang per rol in plaats van bijlagen heen en weer te mailen, spreek met vaste opdrachtgevers een veilig kanaal af, ruim oude trajecten uit de mailbox op en stel een bewaartermijn in voor afgesloten dossiers.
art. 5 + art. 32 AVGTwee werkgevers heten bijna hetzelfde, de autocomplete kiest de verkeerde, en de probleemanalyse van werknemer A ligt bij bedrijf B. Bij gezondheidsgegevens is zo'n vergissing vrijwel altijd een datalek dat gemeld moet worden. Ben je verwerker, dan meld je het onmiddellijk aan je opdrachtgever, die beslist over melding aan de AP en aan de werknemer. Ben je zelf verantwoordelijke, dan geldt de termijn van 72 uur voor jou. Wat je vooraf kunt doen: controleer ontvangers bewust in plaats van op de suggestie te vertrouwen, versleutel bijlagen met gevoelige inhoud, en leg een eenvoudige datalekprocedure vast zodat op de dag zelf niemand hoeft te googelen wie er gebeld moet worden.
art. 33 + art. 34 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanNee. De werkgever mag weten wat nodig is voor loondoorbetaling en re-integratie: beperkingen, mogelijkheden, verwachte duur. Diagnoses en behandelinformatie horen bij de bedrijfsarts en in jouw dossier, niet in de rapportage aan de werkgever.
Dat hangt af van wie bepaalt wat er met de gegevens gebeurt. Volg je de instructies van de opdrachtgever, dan ben je verwerker en is een verwerkersovereenkomst verplicht. Richt je het traject zelf in, dan ben je (mede)verantwoordelijke. Leg de rolverdeling per dienst vast; bij een lek of inzageverzoek moet die duidelijkheid er al zijn.
Niet langer dan nodig voor het doel, plus wat andere wetten voorschrijven. Spreek per opdrachtgever een termijn af, leg die vast en ruim daarna daadwerkelijk op. Een dossierkast die nooit leger wordt is zelf het risico.
Behandel het als datalek. Vraag de ontvanger het bericht te verwijderen en dat te bevestigen, en meld het direct aan je opdrachtgever als je verwerker bent; die beoordeelt melding aan de AP binnen 72 uur. Leg vast wat er gebeurd is en wat je hebt gedaan.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.