De AVG 1 jaar, gefeliciteerd!

Je kunt ook blij zijn met de AVG

Door Herman Evers - 25 mei 2019

Het is precies een jaar geleden dat de Algemene Verordening Gegevensbescherming (AVG) officieel van kracht werd. Dat ging gepaard met veel commotie, want veel organisaties hadden zich er niet voldoende op voorbereid.

De Autoriteit Persoonsgegevens (AP) werd als boeman gezien die nu ook grote financiële boetes kon gaan uitdelen. Ook in het wereldje van arbo en verzuim veroorzaakte de AVG hevige jeuk, pijnlijke likdoorns en chronische hoofdpijn. In veel organisaties was het niet anders, want in 2018 gingen er plots overal alarmbellen af en was er veel aandacht voor het onderwerp privacy. Ze lazen van alles over de AVG en spraken erover met ‘deskundigen’.

Wat daarbij opviel is dat veel auteurs met een reactie op de beleidsregels van de AP geen werknemer zijn die door ziekte verzuimen. Nee, ze verdienen hun geld met de begeleiding en ondersteuning van verzuimende werknemers. Het zijn arbeidsdeskundigen, directeuren van arbodiensten, casemanagementdiensten en opleidingsorganisaties, juristen, beleidsmedewerkers, adviseurs duurzame inzetbaarheid, etc. Ze berijden hun eigen stokpaardje, maar nergens las ik iets over het belang van de AVG voor de werknemers! Terwijl dat er natuurlijk wel is, als je ’t wil zien tenminste…

DE AVG VEROORZAAKTE HEVIGE JEUK, PIJNLIJKE LIKDOORNS EN CHRONISCHE HOOFDPIJN

Gelukkig zijn er werknemers, OR-leden, leidinggevenden en adviseurs die de AVG met een open frisse blik bekijken. Als je samen met hen het gebied gaat verkennen, krijg je eye-openers, kun je nieuwe conclusies trekken, zie je waar er in werkprocessen aanpassingen doorgevoerd kunnen worden en constateer je samen dat je ook blij kunt zijn met de AVG!

Doktertje spelen

“Griep” is de meest gestelde diagnose als we het overlaten aan de werknemers en hun leidinggevenden. Bij navraag bleek dat deze leken amper kennis hebben van het influenzavirus. De bedrijfsarts wees ons erop dat er slechts bij hoge uitzondering sprake is van de juiste diagnose “griep”.

Met dit eenvoudige voorbeeld werd duidelijk dat als werknemer en leidinggevenden of casemanagers over de diagnoses praten, dat ze dan ‘doktertje spelen’ maar geen deskundige zijn. Als ze dan de diagnose gaan registreren in het verzuimsysteem, ontstaan er naast veel schrijf- en interpretatiefouten ook privacyschendingen. Dat getuig niet van respect.

Als werknemer mag je wel blij worden van de privacywet of de AVG. Zelf werd ik me bewust dat mijn vroegere leidinggevenden in de loop der jaren heel wat gegevens van mij hebben vastgelegd die ze waarschijnlijk niet nodig hadden. Een van die leidinggevenden had ook nog de neiging om mij steeds homeopathisch verdunde adviezen te geven over voeding, medicatie of behandelingen. Dat zal hopelijk snel afnemen met dank aan de AVG.

Om dit soort privacyschendingen te tackelen, kun je de leidinggevenden vragen of ze vinden dat ze hun werk ook moeten kunnen doen als een werknemer hen liever geen medische informatie verstrekt. Omdat hun antwoord daarop unaniem “ja” zal zijn, kun je samen concluderen dat leidinggevenden in principe altijd in staat moeten zijn om hun werk te doen zonder over medische gegevens te beschikken.

Vanaf dat moment staan ze ervoor open om op een andere manier te communiceren met hun minder inzetbare werknemers. Dat scheelt de leidinggevende per saldo nogal wat tijd! En leidinggevenden kunnen ervaren hoe vaak ze ongemerkt in hun notities toch medicaliseren door de ‘Privacypoetser’ te gebruiken, waarmee hij zijn tekst kan laten controleren op het gebruik van medische begrippen.

Werkgevers- of werknemerssysteem?

Wat opvalt, is dat de AVG vooral toeziet op de vastlegging van gegevens en ook op het eigenaarschap ervan. Daarvan afgeleid heeft de AVG ook betrekking op het beheer van de gegevens.

Maar als er gegevens van werknemers in het geding zijn, wie beheert dan de gegevens en wie bepaalt of ze kunnen worden meegenomen of verwijderd? Dat zou toch niet de werkgever maar de werknemer moeten zijn!

Employee selfservice is een voor de hand liggende oplossing waarbij de werknemer de verantwoordelijkheid voor zijn gegevens terugkrijgt. Kunnen we anno 2019 alsjeblieft stoppen met de werknemer te behandelen als een kind dat niet zelf verantwoordelijk kan zijn voor zijn gegevens!

De traditionele verzuimsystemen gaan ervan uit dat de werkgever de werknemersgegevens beheert. Dat was vroeger misschien de handigste manier, maar tegenwoordig niet nodig. Laten we dan stoppen met die patronale bescherming, dan kan de werknemer ook zijn verantwoordelijkheid pakken.

KUNNEN WE ALSJEBLIEFT STOPPEN MET DE WERKNEMER TE BEHANDELEN ALS EEN KIND!

Het is dus tijd voor een informatiesysteem voor en van de werknemer. Daarin maakt hij zijn eigen analyse, plannen, houdt hij de voortgang bij, legt zijn privacygevoelige gegevens vast, etc. Van daaruit kan de werknemer bepaalde informatie openstellen voor of doorgeven aan de werkgever, de bedrijfsarts, de casemanager, de collega’s. Andere gegevens – bijvoorbeeld medisch van aard – dus niet.

Zo kan de werknemer naast eigenaar ook beheerder worden van zijn gegevens. Het Werknemers-Inzetbaarheidssysteem is geboren, de AVG heeft geholpen met de kunstmatige conceptie. De eerste systeemontwikkelaars zijn als echte bakers bezig om de pasgeborene verder te ontwikkelen in samenwerking met de werknemers en werkgever.

Privacy by re-design

In de AVG worden een belangrijke tip gegeven: privacy by design en privacy by default(AVG art. 25). Dat houdt kort gezegd in dat je bij het ontwerpen van systemen vanzelfsprekend rekening houdt met de privacyregels en dat de standaardinstellingen altijd zo privacy-vriendelijk mogelijk zijn.

Dat kan dus ook als je systemen gaat her-ontwerpen. In plaats van te kijken hoe je de AVG zouden moeten implementeren in de structuur van onze bestaande systemen, kun je de structuur van de systemen en procedures gaan onderzoeken. Dat bied je de ruimte om opnieuw te kijken naar de onderwerpen verzuim, ziekte, re-integratie en (verminderde) inzetbaarheid in relatie tot de privacy van medische gegevens.

In de werkafspraken die in het bedrijfsreglement staan, kun je erop attenderen dat je ervan uitgaat dat de minder inzetbare werknemer – in het geval hij dat kan – zelf nadenkt over de probleemoplossing en een plan bedenkt. En dat het niet de bedoeling is dat de organisatie medische gegevens van hem ontvangt.

Persoonlijk houd ik wel van privacy by design, vooral als het een strak Scandinavisch design is zonder tierelantijntjes. Geen gegevenselement teveel in de informatiesystemen van de werkgever, dat geeft rust!

Het belangrijkste voorop: het werk!

De AVG zet aan tot nadenken om het klassieke ziekteverzuimreglement te her-ontwerpen. Het klassieke verzuimreglement met zijn procedures en formulieren is in de kern een overerving uit de tijd dat Nederland nog bedrijfsverenigingen had zoals het GAK, Detam, BVG en USZO.

Deze verenigingen voerden diverse wettelijke verzekeringen uit zoals de Ziektewet en WAO. De processen en de gegevensverwerking waren belegd bij de bedrijfsvereniging die aan het werk ging als er een ziekmelding binnenkwam. De werkgever bleef zich bezighouden met het werk zelf.

DOOR DE ‘ZIEKMELDING’ WORDT DE AANDACHT VAN DE WERKGEVER VERLEGT VAN HET WERK NAAR DE ZIEKTE

Sinds 1994 is de werkgever samen met de arbodienst op het toneel gekomen. Zij slaan de handen ineen om hetzelfde proces nu zelf uit te voeren.

Maar door de ‘ziekmelding’ wordt de aandacht van de werkgever nu verlegt van het werk naar de ziekte.

Al 25 jaar wordt op deze manier gewerkt, waarbij de werkgever vaak een eigen verzuiminformatiesysteem gebruikt voor het vastleggen van de werknemergegevens en de procesbewaking.

Door alles weer opnieuw te bedenken, kun je ook weer het belangrijkste vooropplaatsen in het proces: dat is het werk en daarna komt pas de wet en de ziekte. Zodoende kun je aan een minder inzetbare werknemer vragen om eerst te onderzoeken wat de gevolgen zijn voor zijn eigen werk, de klant, de collega’s en de organisatie. En daarna om na te denken over oplossingen en daarvoor zelf een eerste plan te bedenken. Dit is ook precies de manier waarop de meeste werknemers omgaan met de gevolgen voor de ‘werkzaamheden’ hun privé-omgeving. Dat illustreert dit voorbeeld.

Als Jeroen plotseling minder inzetbaar is geworden denkt hij – vanuit het belang van zijn gezin – eerst na over zijn ‘thuis’ werk: de zorg voor de kinderen die hun ontbijt moeten hebben en die hij naar school moet brengen. Dat kan ik vandaag niet doen, welke gevolgen heeft dat en hoe los ik dat op? schiet door zijn hoofd. Jeroen denkt na welke collega-ouder hij kan vragen om dit ‘werk’ te doen. En dat hij de school moet informeren dat iemand anders die middag de kinderen komt ophalen. Ook gaat hij na of hij ‘s middags op (aan)gepaste wijze zijn vaderrol wel kan vervullen en de kinderen kan voeden, opvoeden, etc. Ondertussen gooit hij in de tennisgroepsapp een berichtje dat hij voor die avond moet afzeggen en vraagt wie hem kan vervangen. Iets voor negenen belt Jeroen zijn leidinggevende om zich ziek te melden. Net op tijd volgens het ziekteverzuimreglement. Zijn leidinggevende toont begrip en wenst Jeroen veel sterkte en besluit met “en goed uitzieken!”.

Net zoals thuis

Zo normaal als je thuis met de nieuwe situatie omgaat, zo normaal kunnen we ook het proces van verminderde inzetbaarheid vormgeven.

Jeroen had waarschijnlijk ook voor zijn werk eerst kunnen nadenken over de gevolgen van zijn afwezigheid, hoe lang zijn verminderde inzetbaarheid zou gaan duren, hoe hij de klanten ervan op de hoogte kon stellen, welke collega’s hij had kunnen vragen om zijn werk over te nemen, welke andere taken hij nog wel zou kunnen doen om vervolgens dit plan te bespreken met zijn leidinggevende. Daarna had hij ziekteverlof kunnen aanvragen.

Her-ontwerpen van een oud proces kan soms kinderlijk eenvoudig zijn. Beginnen bij het werk en pas dan de wet, net zoals thuis.

De AVG kan er dus voor zorgen dat de OR en de werkgever opnieuw gaan kijken naar de afspraken als de werknemer minder inzetbaar is of wordt. Als ze het oude ziekteverzuimreglement erbij pakken, komt daar wel wat stof van af! En sommige onderwerpen lijken wel medicaliserend by default! Er worden nog standaardvragen gesteld die nu ten strengste verboden zijn zoals “wat mankeer je?”, “is er sprake van ziekte als gevolg van zwangerschap?” (in verband met een vangnetuitkering), “wat kun je niet?” (medische beperkingen), etc.

HER-ONTWERPEN VAN EEN OUD PROCES KAN SOMS KINDERLIJK EENVOUDIG ZIJN

Werkgever en de OR kunnen overeenkomen dat er voor de werknemer een algemeen toepasbaar inzetbaarheidsprotocol wordt gemaakt waarin staat dat de minder inzetbare werknemer eerst gaat nadenken over de gevolgen van zijn verminderde inzetbaarheid voor de klant, de collega en het werk dat blijft liggen. Voor de oplossingen maakt hij daarna een plan dat hij bespreekt met de leidinggevende.

Maar als de werknemer niet werkt, dan geldt wel de hoofdregel in het arbeidsrecht “geen arbeid, geen loon” (BW 7:627). Hoe komt de werknemer dan toch aan zijn inkomen?

Privacyschending door de werknemer

Als het werk volgens het inzetbaarheidsprotocol is gedaan, kan de werknemer besluiten om aanspraak te maken op een van de vele (boven)wettelijke regelingen voor arbeidsverzuim, eventueel met loondoorbetaling. Maar daarvoor moet hij wel zijn privacy schenden! Iedere regeling heeft ten slotte te maken met een oorzaak die in het privédomein van de werknemer ligt. Denk aan geboorte of adoptie van een kind, huwelijk, overlijden, mantelzorgtaken, vakantie, verhuizing of ziekte van de werknemer zelf.

Het verkrijgen van dat recht moet de werknemer betalen met zijn privacy. Aansluitend op het algemeen inzetbaarheidsprotocol kan voor iedere specifieke verlofsoort een protocol worden gemaakt waar de werknemer een beroep op kan doen als hij daardoor minder inzetbaar is.

Iedere verlofsoort kent andere voorwaarden met andere uitvoeringsregels en leidt tot andere financiële gevolgen.

Als ziekte van de werknemer de oorzaak is van verminderde inzetbaarheid, gebruikt de werknemer dus het werknemersprotocol ziekteverlof dat goed aansluit bij het leidinggevendenprotocol ziekteverlof. Zo leest iedere actor in zijn eigen protocol wat van hem wordt verwacht.

AVG: Een onherstelbare verbetering

Het was even een wake-up call toen er vorig jaar zoveel heisa ontstond rondom de invoering van de AVG. Maar het heeft ons daadwerkelijk wakker geschud en doen realiseren dat het geen kwestie van een quick-fix zou moeten zijn.

Zoals vaak is een opgelegde verandering van ons gedrag aanleiding tot wrijving, woede, afwijzing, diskwalificatie, ontkenning of ontzetting. Dat lazen en hoorden we vaak om ons heen. Door juist open en nieuwsgierig naar de AVG te kijken, kun je je blinde vlekken ontdekken en zie je nieuwe realiteit opdoemen.

Per saldo brengt de AVG ons meer goeds dan slechts. Het kost wat inspanning, tijd en geld maar de opbrengst mag er dan ook zijn. We zijn weer een stap verder in de boeiende wereld van sociale zekerheid en de werknemer kan het eigenaarschap van zijn inzetbaarheid verder tot bloei laten komen.

De AVG heeft ons veel opgeleverd zoals:

1. Duidelijk bepalen wie de eigenaar van de gegevens is.
2. Bewust worden op welk gebied we geen kennis van zaken hebben, ervaringsdeskundigen zijn vaak niet deskundigen.
3. Respectvol communiceren met zieke werknemers door te demedicaliseren.
4. Geen schrijffouten en verkeerde interpretatie van medische informatie met de https://www.privacypoetser.nl
5. Werknemers die hun medische privacy niet onnodig schenden.
6. Bewustwording dat werknemers betalen met hun privacy als ze een beroep doen op een wettelijke regeling of de CAO.
7. Inzetbaarheid voor het werk gaat vóór op het beroep doen op de wet.
8. Inzien van het belang van een inzetbaarheidsprotocol naast een ziekteverlofprotocol.
9. Werknemers die meer oplossingsgericht gaan nadenken en minder medisch.
10. Het recht hebben om gegevens mee te nemen (dataportabiliteit).
11. Werknemers hebben het recht om vergeten te worden door gegevens te laten verwijderen.
12. Het belang van een werknemers-inzetbaarheidssysteem.
13. Betere communicatie (vraagstelling) met de bedrijfsarts.
14. Leidinggevenden die tijd overhouden.
15. Nieuwe doelstellingen: 0 datalekken, 0 medische informatie in werkgeversdossiers.

Ik ben een optimist en stiekem ben ik de AP dankbaar dat ze dit soort geboden en verboden hebben uitgevaardigd. Het zal ons aanzetten om over onze heilige huisjes en verouderde veronderstellingen te gaan nadenken. En ook dat het onderwerp privacy als een vanzelfsprekendheid wordt gezien bij het her-ontwerpen en uitvoeren van beleid, en het maken van nieuwe protocollen en moderne systemen.

Privacy by design, dat is evident!

Herman Evers, Directeur van Evident bv ontwerpbureau voor sociale zekerheid, bedenker van de Sociaal Accountant®.

© BG magazine

Heeft u de bescherming van persoonsgegevens op uw website goed geregeld?