Onderzoek CBP bij reïntegratiebedrijven naar naleving privacy

Cbp

Bij zes reïntegratiebedrijven heeft het CBP een verkennend onderzoek uitgevoerd naar de uitvoeringspraktijk bij reïntegratie van bijstandsgerechtigden en zieke werknemers. Het onderzoek heeft twee hoofdvragen. Hoe gaan de bedrijven in de praktijk om met de regels voor de verwerking van persoonsgegevens? En, ondervinden reïntegratiebedrijven bij het uitvoeren van hun opdrachten problemen als gevolg van deze regels? Op basis van het onderzoek ontstaat het beeld dat reïntegratiebedrijven klem zitten tussen gebrekkige regelgeving en dominante opdrachtgevers en daardoor in feite de Wet bescherming persoonsgegevens niet kunnen naleven.

Het onderzoek bevestigt de verwachting dat reïntegratiebedrijven ook in de praktijk last hebben van een lacune in de wetgeving voor arbeid en sociale zekerheid. Er is onvoldoende wettelijke basis voor de rapportages over de mogelijkheden van werkhervatting en de mate waarin zieke werknemers hieraan meewerken. Binnen de huidige regelgeving hebben de reïntegratiebedrijven geen mogelijkheid gegevens van werknemers die onder het medische beroepsgeheim vallen, op rechtmatige wijze terug te leveren aan werkgever of arbodienst. Verder lijken met name gemeenten als opdrachtgever meer gegevens in de rapportages over bijstandsgerechtigden te verlangen dan noodzakelijk is. De reïntegratiebedrijven ervaren de regels voor de verwerking van persoonsgegevens niet als een belemmering.

Het CBP zal de minister van Sociale Zaken en Werkgelegenheid andermaal vragen een wettelijke grondslag te scheppen voor de rapportage aan werkgevers. De gemeenten zullen via de VNG geattendeerd worden op de noodzaak in hun rol als opdrachtgever alleen rapportage van noodzakelijke gegevens te verlangen. Op basis van het onderzoek heeft het CBP de indruk dat reïntegratiebedrijven in de praktijk doorgaans fatsoenlijk met de persoonsgegevens van hun cliënten omgaan. Wel zal de reïntegratiebranche gevraagd worden de kennis van privacyregels bij de medewerkers te verhogen. Ook een gedragscode die door de gehele branche onderschreven wordt, kan hieraan een grote bijdrage leveren.

In het onderzoeksrapport over de reïntegratie van bijstandsgerechtigden komt het CBP tot de volgende conclusies:
. De manier waarop reïntegratiebedrijven persoonsgegevens verwerken wordt voor een groot deel bepaald door de opdrachtgevers, de gemeenten. De onderzochte reïntegratiebedrijven opereren in een vechtmarkt waarin contracten jaarlijks vernieuwd worden.
. De machtspositie van de gemeenten beperkt de mate waarin reïntegratiebedrijven verantwoordelijkheid kunnen nemen voor de verwerking van persoongegevens terwijl de WBP dit wel van hen verlangt. De opdrachtgevers bepalen voor een belangrijk deel de regels en de contracteisen. Reïntegratiebedrijven vragen zich af of bijvoorbeeld de uitgebreide verantwoording wel terecht wordt geëist. De indruk bestaat dat gemeenten vaak meer vragen dan noodzakelijk is.
. De kennis van de privacyregels bij de medewerkers is laag. In de uitvoeringspraktijk zijn de medewerkers van de bedrijven vooral pragmatisch. De vraag of de verwerking van bepaalde gegevens noodzakelijk is, wordt niet of te weinig gesteld. Medewerkers komen eigenlijk
niet toe aan de vraag of het huidige wettelijk kader voldoende houvast biedt. Zij zijn zich weinig bewust van de vaak open normen die een individuele afweging nodig maken. . Het CBP heeft geen aanwijzingen dat dit lage privacybewustzijn structureel leidt tot een onzorgvuldige omgang met persoonsgegevens. Medewerkers streven er naar om fatsoenlijk met cliënten om te gaan. Vanuit dit perspectief maken zij de afweging wat wel en wat niet acceptabel is.

In het onderzoeksrapport over de reïntegratie van zieke werknemers komt het CBP tot de volgende conclusies:

- Binnen de huidige regelgeving bestaat er voor de reïntegratiebedrijven geen mogelijkheid gegevens die onder het medisch beroepsgeheim vallen, op rechtmatige wijze terug te leveren aan werkgever of arbodienst. Voor de reïntegratieverplichting van de werkgever is het noodzakelijk dat hij geïnformeerd wordt over de mogelijkheden van werkhervatting en de mate waarin de cliënt meewerkt.
- De reïntegratiebedrijven vragen in de huidige situatie zo veel mogelijk toestemming van cliënten zelf als grondslag voor deze teruglevering. Deze werkwijze is niet rechtmatig omdat binnen het stelsel van reïntegratieverplichtingen de werknemer niet in vrijheid toestemming kan geven. Het vragen van toestemming wekt de indruk dat de werknemer kan afzien van de gegevensverstrekking, terwijl hij de verplichting heeft om mee te werken aan zijn reïntegratie.

- De rapportages van de reïntegratiebedrijven aan de arbodienst en de werkgever zijn vaak zeer uitgebreid en gedetailleerd. In een groot aantal rapportages is informatie aangetroffen waarvan het CBP het niet aannemelijk acht dat verstrekking noodzakelijk is. Het CBP roept reïntegratiebedrijven op de rapportages te beperken tot de noodzakelijke informatie.

- Reïntegratiebedrijven handelen op een groot aantal punten volgens de geldende privacyregels. Zo geven zij serieus invulling aan de informatieplicht. Zij informeren de cliënt op diverse momenten over het gebruik van zijn gegevens en de rapportages die plaatsvinden. Daarbij heeft het CBP de indruk dat medewerkers zich terdege bewust zijn van het feit dat zij gebonden zijn aan hun beroepsgeheim en dat zij vertrouwelijke en vaak ook medische informatie van hun cliënten gebruiken, waarmee behoorlijk en zorgvuldig moet worden omgegaan.

Over het CBP
Het College bescherming persoonsgegevens (CBP) houdt -onder de Wet bescherming persoonsgegevens (WBP)- toezicht op de naleving van wetten die het gebruik van persoonsgegevens regelen. Bij het CBP moet het gebruik van persoonsgegevens worden gemeld, tenzij hiervoor een vrijstelling geldt.
Het CBP adviseert de regering en organisaties over de bescherming van persoonsgegevens en onderwerpen die daarmee samenhangen. Het CBP toetst gedragscodes en bemiddelt in geschillen tussen burgers en gebruikers van persoonsgegevens. Op eigen initiatief of op verzoek van een belanghebbende kan het CBP onderzoeken of de manier waarop persoonsgegevens in een bepaalde situatie zijn gebruikt, in overeenstemming is met de wet en daaraan zonodig gevolgen verbinden. Voor in gebreke blijven bij de melding kan een boete worden opgelegd. Bij overtreding van de wet of daarop gebaseerde regelingen kan het CBP overgaan tot bestuursdwang of een dwangsom opleggen.