Onderzoek CBP bij reïntegratiebedrijven naar naleving privacy
Cbp
Bij zes reïntegratiebedrijven heeft het CBP een verkennend onderzoek uitgevoerd naar
de uitvoeringspraktijk bij reïntegratie van bijstandsgerechtigden en zieke
werknemers. Het onderzoek heeft twee hoofdvragen. Hoe gaan de bedrijven in de praktijk om
met de regels voor de verwerking van persoonsgegevens? En, ondervinden
reïntegratiebedrijven bij het uitvoeren van hun opdrachten problemen als gevolg van
deze regels? Op basis van het onderzoek ontstaat het beeld dat reïntegratiebedrijven
klem zitten tussen gebrekkige regelgeving en dominante opdrachtgevers en daardoor in feite
de Wet bescherming persoonsgegevens niet kunnen naleven.
Het onderzoek bevestigt de verwachting dat reïntegratiebedrijven ook in de praktijk
last hebben van een lacune in de wetgeving voor arbeid en sociale zekerheid. Er is
onvoldoende wettelijke basis voor de rapportages over de mogelijkheden van werkhervatting
en de mate waarin zieke werknemers hieraan meewerken. Binnen de huidige regelgeving hebben
de reïntegratiebedrijven geen mogelijkheid gegevens van werknemers die onder het
medische beroepsgeheim vallen, op rechtmatige wijze terug te leveren aan werkgever of
arbodienst. Verder lijken met name gemeenten als opdrachtgever meer gegevens in de
rapportages over bijstandsgerechtigden te verlangen dan noodzakelijk is. De
reïntegratiebedrijven ervaren de regels voor de verwerking van persoonsgegevens niet
als een belemmering.
Het CBP zal de minister van Sociale Zaken en Werkgelegenheid andermaal vragen een
wettelijke grondslag te scheppen voor de rapportage aan werkgevers. De gemeenten zullen
via de VNG geattendeerd worden op de noodzaak in hun rol als opdrachtgever alleen
rapportage van noodzakelijke gegevens te verlangen. Op basis van het onderzoek heeft het
CBP de indruk dat reïntegratiebedrijven in de praktijk doorgaans fatsoenlijk met de
persoonsgegevens van hun cliënten omgaan. Wel zal de reïntegratiebranche
gevraagd worden de kennis van privacyregels bij de medewerkers te verhogen. Ook een
gedragscode die door de gehele branche onderschreven wordt, kan hieraan een grote
bijdrage leveren.
In het onderzoeksrapport over de reïntegratie van bijstandsgerechtigden komt het CBP
tot de volgende conclusies:
. De manier waarop reïntegratiebedrijven persoonsgegevens verwerken wordt voor een
groot deel bepaald door de opdrachtgevers, de gemeenten. De onderzochte
reïntegratiebedrijven opereren in een vechtmarkt waarin contracten jaarlijks
vernieuwd worden.
. De machtspositie van de gemeenten beperkt de mate waarin reïntegratiebedrijven
verantwoordelijkheid kunnen nemen voor de verwerking van persoongegevens terwijl de WBP
dit wel van hen verlangt. De opdrachtgevers bepalen voor een belangrijk deel de regels en
de contracteisen. Reïntegratiebedrijven vragen zich af of bijvoorbeeld de uitgebreide
verantwoording wel terecht wordt geëist. De indruk bestaat dat gemeenten
vaak meer vragen dan noodzakelijk is.
. De kennis van de privacyregels bij de medewerkers is laag. In de uitvoeringspraktijk
zijn de medewerkers van de bedrijven vooral pragmatisch. De vraag of de verwerking van
bepaalde gegevens noodzakelijk is, wordt niet of te weinig gesteld. Medewerkers komen
eigenlijk
niet toe aan de vraag of het huidige wettelijk kader voldoende houvast biedt. Zij zijn
zich weinig bewust van de vaak open normen die een individuele afweging nodig maken.
. Het CBP heeft geen aanwijzingen dat dit lage privacybewustzijn structureel
leidt tot een onzorgvuldige omgang met persoonsgegevens. Medewerkers streven er naar om
fatsoenlijk met cliënten om te gaan. Vanuit dit perspectief maken zij de afweging
wat wel en wat niet acceptabel is.
In het onderzoeksrapport over de reïntegratie van zieke werknemers komt het CBP tot
de volgende conclusies:
- Binnen de huidige regelgeving bestaat er voor de reïntegratiebedrijven geen
mogelijkheid gegevens die onder het medisch beroepsgeheim vallen, op rechtmatige wijze
terug te leveren aan werkgever of arbodienst. Voor de reïntegratieverplichting van
de werkgever is het noodzakelijk dat hij geïnformeerd wordt over de mogelijkheden
van werkhervatting en de mate waarin de cliënt meewerkt.
- De reïntegratiebedrijven vragen in de huidige situatie zo veel mogelijk toestemming
van cliënten zelf als grondslag voor deze teruglevering. Deze werkwijze is niet
rechtmatig omdat binnen het stelsel van reïntegratieverplichtingen de werknemer niet
in vrijheid toestemming kan geven. Het vragen van toestemming wekt de indruk dat de
werknemer kan afzien van de gegevensverstrekking, terwijl hij de verplichting heeft om
mee te werken aan zijn reïntegratie.
- De rapportages van de reïntegratiebedrijven aan de arbodienst en de werkgever zijn
vaak zeer uitgebreid en gedetailleerd. In een groot aantal rapportages is informatie
aangetroffen waarvan het CBP het niet aannemelijk acht dat verstrekking noodzakelijk is.
Het CBP roept reïntegratiebedrijven op de rapportages te beperken tot de
noodzakelijke informatie.
- Reïntegratiebedrijven handelen op een groot aantal punten volgens de geldende
privacyregels. Zo geven zij serieus invulling aan de informatieplicht. Zij informeren de
cliënt op diverse momenten over het gebruik van zijn gegevens en de rapportages die
plaatsvinden. Daarbij heeft het CBP de indruk dat medewerkers zich terdege bewust zijn
van het feit dat zij gebonden zijn aan hun beroepsgeheim en dat zij vertrouwelijke en
vaak ook medische informatie van hun cliënten gebruiken, waarmee behoorlijk en
zorgvuldig moet worden omgegaan.
Over het CBP
Het College bescherming persoonsgegevens (CBP) houdt -onder de Wet bescherming
persoonsgegevens (WBP)- toezicht op de naleving van wetten die het gebruik van
persoonsgegevens regelen. Bij het CBP moet het gebruik van persoonsgegevens worden
gemeld, tenzij hiervoor een vrijstelling geldt.
Het CBP adviseert de regering en organisaties over de bescherming van persoonsgegevens en
onderwerpen die daarmee samenhangen. Het CBP toetst gedragscodes en bemiddelt in
geschillen tussen burgers en gebruikers van persoonsgegevens. Op eigen initiatief of op
verzoek van een belanghebbende kan het CBP onderzoeken of de manier waarop
persoonsgegevens in een bepaalde situatie zijn gebruikt, in overeenstemming is met de wet
en daaraan zonodig gevolgen verbinden. Voor in gebreke blijven bij de melding kan een
boete worden opgelegd. Bij overtreding van de wet of daarop gebaseerde regelingen kan het
CBP overgaan tot bestuursdwang of een dwangsom opleggen.