AVG en een PMO of PAGO: wat mag je als werkgever zien?

Een PMO of PAGO geeft medewerkers persoonlijk inzicht in hun gezondheid en helpt jou als werkgever om gezondheidsrisico’s binnen de organisatie tijdig te herkennen. Tijdens zo’n onderzoek worden echter ook gevoelige persoonsgegevens verzameld. Denk aan informatie over lichamelijke gezondheid, mentale belasting, leefstijl en werkvermogen. Hoe zorg je ervoor dat medewerkers vrijuit kunnen deelnemen, terwijl je als werkgever toch bruikbare inzichten ontvangt? En welke resultaten mag je volgens de privacyregels eigenlijk wel en niet zien?

Gezondheidsgegevens zijn bijzondere persoonsgegevens

Gezondheidsgegevens vallen binnen de AVG onder de bijzondere persoonsgegevens. Hiervoor gelden strengere regels dan voor gewone persoonsgegevens, zoals een naam of e-mailadres. Als werkgever mag je niet zelf naar de gezondheid van medewerkers vragen of deze informatie verzamelen. Dat betekent ook dat je geen toegang mag krijgen tot de persoonlijke antwoorden, medische metingen of individuele onderzoeksresultaten uit een PMO of PAGO. Het onderzoek moet daarom zo worden ingericht dat de persoonlijke gezondheidsgegevens bij de uitvoerende deskundigen blijven. Iedere medewerker ontvangt uitsluitend de eigen resultaten en persoonlijke adviezen.

Wat krijg je als werkgever niet te zien?

Als werkgever krijg je geen inzage in:

ingevulde gezondheidsvragenlijsten;
uitslagen van medische metingen;
informatie over klachten, aandoeningen of diagnoses;
individuele scores en persoonlijke adviezen;
gegevens waaruit je kunt afleiden welke medewerker een bepaald gezondheidsrisico heeft;
een overzicht van medewerkers die op basis van hun resultaten worden doorverwezen.

Ook wanneer een medewerker zelf toestemming zou geven, blijft het belangrijk om zeer terughoudend te zijn. Binnen een arbeidsrelatie kan een medewerker zich namelijk onder druk gezet voelen om toestemming te geven. Een duidelijke scheiding tussen de werkgever en de partij die het onderzoek uitvoert, biedt medewerkers de meeste zekerheid.

Welke informatie mag je wel ontvangen?

Je kunt als werkgever wel algemene informatie ontvangen over de uitvoering van het onderzoek. Denk bijvoorbeeld aan het totale aantal uitgenodigde medewerkers en het algemene deelnamepercentage. Daarnaast kun je bij voldoende deelname kiezen voor een geanonimiseerde groepsrapportage. Hierin kunnen onderwerpen terugkomen zoals:

ervaren werkdruk;
mentale belasting;
fysieke belasting;
slaap en herstel;
leefstijl en vitaliteit;
werkvermogen;
behoefte aan preventieve ondersteuning.

De groepsrapportage mag geen gegevens bevatten die direct of indirect tot individuele medewerkers te herleiden zijn. Zo krijg je inzicht in aandachtspunten binnen de organisatie, zonder dat de privacy van deelnemers in gevaar komt.

Wanneer is een groepsrapportage voldoende anoniem?

Voor een geanonimiseerde groepsrapportage bestaat niet één minimale groepsgrootte die in iedere situatie automatisch veilig is. Alleen het aantal deelnemers is namelijk niet bepalend. Een groep van tien medewerkers kan bijvoorbeeld alsnog te klein zijn wanneer slechts één medewerker een bepaalde functie heeft of wanneer resultaten worden uitgesplitst naar een kleine afdeling, leeftijdscategorie of werklocatie. Ook combinaties van gegevens kunnen ervoor zorgen dat een uitkomst toch naar iemand te herleiden is. Spreek daarom vooraf met de aanbieder af:

welke minimale groepsgrootte wordt gebruikt;
welke resultaten in de rapportage worden opgenomen;
of resultaten worden uitgesplitst naar afdeling, functie of locatie;
hoe wordt voorkomen dat combinaties van gegevens herleidbaar zijn;
wat er gebeurt wanneer te weinig medewerkers deelnemen.

Een deskundige aanbieder zal geen uitsplitsing tonen wanneer daardoor de anonimiteit van deelnemers onvoldoende kan worden gegarandeerd.

Informeer medewerkers vooraf duidelijk

Goede communicatie is essentieel voor het vertrouwen en de deelname. Medewerkers moeten vooraf weten:

wat het doel van het PMO of PAGO is;
welke gegevens worden verzameld;
wie deze gegevens verwerkt;
waarom de gegevens nodig zijn;
hoe lang ze worden bewaard;
welke beveiligingsmaatregelen worden toegepast;
welke resultaten zij persoonlijk ontvangen;
welke informatie eventueel in de groepsrapportage terechtkomt;
dat individuele resultaten niet met de werkgever worden gedeeld;
bij wie zij terechtkunnen met privacyvragen.

Leg ook duidelijk uit of deelname vrijwillig is. Wanneer medewerkers precies weten wat er met hun gegevens gebeurt, verlaagt dat de drempel om eerlijk en met vertrouwen deel te nemen.

Controleer de privacyafspraken met de aanbieder

Vraag een mogelijke PMO- of PAGO-aanbieder altijd hoe de privacy en informatiebeveiliging zijn geregeld. Kijk daarbij verder dan een algemene zin in de offerte. Bespreek onder andere:

welke gegevens de aanbieder precies verzamelt;
welke deskundigen toegang krijgen tot de persoonlijke resultaten;
hoe de gegevens worden beveiligd;
waar de gegevens worden opgeslagen;
welke bewaartermijnen gelden;
of andere partijen of onderaannemers worden ingeschakeld;
hoe medewerkers hun privacyrechten kunnen uitoefenen;
hoe eventuele datalekken worden afgehandeld;
welke afspraken contractueel moeten worden vastgelegd.

Welke privacyovereenkomst nodig is, hangt mede af van de rol die de aanbieder bij de gegevensverwerking heeft. Laat dit vooraf duidelijk vastleggen en betrek bij twijfel jouw privacyfunctionaris, functionaris gegevensbescherming of juridisch adviseur.

Privacy is meer dan een wettelijke verplichting

Een zorgvuldige omgang met gezondheidsgegevens is niet alleen noodzakelijk om aan de AVG te voldoen. Het is ook een belangrijke voorwaarde voor een betrouwbaar onderzoek. Wanneer medewerkers bang zijn dat hun persoonlijke resultaten bij hun werkgever terechtkomen, bestaat de kans dat zij niet deelnemen of vragen minder eerlijk beantwoorden. Dat beïnvloedt zowel de persoonlijke waarde van het onderzoek als de betrouwbaarheid van de groepsrapportage. Door de privacy vooraf goed te regelen en helder uit te leggen, vergroot je het vertrouwen. Zo wordt het PMO of PAGO echt een cadeau aan medewerkers: een vertrouwelijk moment om stil te staan bij hun gezondheid, terwijl jij als werkgever op groepsniveau waardevolle aanknopingspunten krijgt voor preventief beleid.

Vergelijk aanbieders ook op privacy

PMO- en PAGO-aanbieders verschillen niet alleen in prijs en onderzoeksopzet, maar ook in rapportages, beveiliging, bewaartermijnen en de manier waarop zij privacy waarborgen. Via PMO Vergelijk Direct brengen we jouw wensen en uitgangspunten in kaart. Vervolgens vergelijken we passende aanbieders op inhoud, uitvoering, rapportagemogelijkheden, privacy en kosten. Zo kies je niet alleen voor een passend onderzoek, maar ook voor een aanpak waarin medewerkers met vertrouwen kunnen deelnemen. Wil je weten welke PMO- of PAGO-aanbieder bij jouw organisatie past? Vraag dan vrijblijvend een offertevergelijk aan.