Kort antwoordJa, een werkgever mag soms werknemersgegevens delen, maar niet zomaar. Dat mag alleen als daar een duidelijke juridische reden voor is, het doel legitiem is, alleen noodzakelijke gegevens worden gedeeld en de privacyregels goed worden nageleefd. Vooral medische en andere gevoelige gegevens zijn extra beschermd.
Wanneer delen van werknemersgegevens wel en niet is toegestaan
Of een werkgever gegevens mag delen, hangt af van het doel, het soort gegevens en met wie de gegevens worden gedeeld. De hoofdregel is simpel: delen mag alleen als het nodig en rechtmatig is.
Bekijk de uitleg over het onderwerp
In de hoofdvideo krijgt u de uitgebreide uitleg. De Short vat de belangrijkste punten compact samen.
Een werkgever moet daarbij meestal kunnen uitleggen:
- waarom de gegevens worden gedeeld,
- welke gegevens precies nodig zijn,
- met wie ze worden gedeeld,
- hoe lang dat nodig is,
- en op welke juridische grondslag dit gebeurt.
Delen is dus niet toegestaan als het doel vaag is, als er meer gegevens worden verstrekt dan nodig, of als gevoelige informatie zonder goede basis wordt verspreid binnen of buiten de organisatie.
Welke grondslagen kunnen een rol spelen?
Bij werknemersgegevens wordt vaak gedacht aan toestemming, maar in de arbeidsrelatie is toestemming lang niet altijd een veilige basis. Door de gezagsverhouding is toestemming namelijk niet altijd echt vrij gegeven. Werkgevers steunen daarom vaker op andere grondslagen.
Veelvoorkomende grondslagen zijn:
- uitvoering van de arbeidsovereenkomst, bijvoorbeeld voor loonbetaling of personeelsadministratie,
- wettelijke verplichting, bijvoorbeeld richting Belastingdienst of UWV,
- gerechtvaardigd belang, als het belang van de werkgever zorgvuldig is afgewogen tegen de privacy van de werknemer,
- vitale belangen, in uitzonderlijke noodsituaties.
Niet iedere grondslag past bij iedere situatie. Juist bij controle, intern onderzoek of het delen van informatie met derden is een zorgvuldige afweging nodig. Dat speelt ook bij andere privacyvragen op het werk, zoals in onze artikelen over controle van e-mail door de werkgever en het gebruik van camerabeelden bij ontslag.
Met wie mag een werkgever gegevens delen?
Een werkgever mag gegevens soms delen met partijen die nodig zijn voor de uitvoering van het dienstverband of voor wettelijke verplichtingen. Denk bijvoorbeeld aan:
- de salarisadministrateur of loonverwerker,
- de arbodienst of bedrijfsarts,
- het pensioenfonds of de pensioenuitvoerder,
- de Belastingdienst, het UWV of andere overheidsinstanties,
- een IT-dienstverlener die systemen beheert, mits afspraken goed zijn vastgelegd.
Belangrijk is wel dat niet elke ontvanger dezelfde rol heeft. Soms is sprake van een verwerker, soms van een zelfstandige verwerkingsverantwoordelijke. Dat verschil bepaalt welke afspraken nodig zijn, bijvoorbeeld over beveiliging, geheimhouding en instructies.
Welke gegevens zijn extra gevoelig?
Niet alle werknemersgegevens zijn even gevoelig. Basisgegevens zoals naam, zakelijk e-mailadres of bankrekeningnummer kunnen in bepaalde situaties nodig zijn voor de uitvoering van het werk. Anders ligt dat bij bijzondere persoonsgegevens.
Extra beschermd zijn onder meer:
- medische gegevens,
- gegevens over gezondheid en ziekteoorzaak,
- strafrechtelijke gegevens,
- gegevens over religie, afkomst of politieke opvattingen,
- biometrische gegevens, zoals vingerafdrukken, als die voor identificatie worden gebruikt.
Vooral medische gegevens vragen om terughoudendheid. Een werkgever mag bijvoorbeeld meestal niet vastleggen wat de medische oorzaak van ziekte is. Die informatie hoort in beginsel bij de bedrijfsarts of arbodienst. Ook bij onderwerpen zoals testen op de werkvloer gelden daarom strenge regels, zoals bij alcoholtesten door de werkgever.
Praktisch toetsingskader: wanneer is delen meestal verdedigbaar?
Onderstaand overzicht is een veilig uitgangspunt dat vaak goed citeerbaar is bij privacyvragen op de werkvloer.
| Vraag | Waarom dit belangrijk is |
| Is het doel concreet? | Zonder duidelijk doel is delen meestal niet toegestaan. |
| Is er een geldige grondslag? | Er moet een juridische basis zijn, zoals wettelijke plicht of uitvoering van de arbeidsovereenkomst. |
| Zijn alleen noodzakelijke gegevens gedeeld? | Dataminimalisatie is een kernregel onder de privacywetgeving. |
| Is de ontvanger passend en bevoegd? | Niet iedere collega of externe partij mag dezelfde informatie ontvangen. |
| Zijn werknemers hierover geïnformeerd? | Transparantie is verplicht, behalve in beperkte uitzonderingssituaties. |
| Is de beveiliging geregeld? | Onzorgvuldig delen kan leiden tot privacyrisico’s en mogelijk een datalek. |
Als een werkgever meerdere vragen uit dit schema niet goed kan beantwoorden, is dat een signaal dat delen juridisch kwetsbaar kan zijn.
Mag een werkgever gegevens intern delen met collega’s of leidinggevenden?
Ook intern geldt dat gegevens niet vrij rond mogen gaan. Een leidinggevende, HR-medewerker of collega mag alleen toegang krijgen tot informatie als dat nodig is voor zijn of haar taak. Het feit dat iemand binnen dezelfde organisatie werkt, betekent dus niet automatisch dat die persoon alle personeelsgegevens mag zien.
Voorbeelden:
- Een manager mag vaak wel weten dat een werknemer afwezig is, maar niet wat de medische diagnose is.
- HR mag personeelsdocumenten verwerken, maar moet terughoudend zijn met verspreiding binnen teams.
- Een collega hoeft meestal geen privégegevens of salarisinformatie van een andere werknemer te ontvangen.
Is toestemming van de werknemer nodig?
Soms wel, maar vaak is toestemming in arbeidsverhoudingen geen ideale basis. Als een werknemer zich onder druk gezet kan voelen, is de toestemming mogelijk niet vrij. Daarom is het juridisch vaak veiliger om eerst te kijken of een andere grondslag bestaat.
Toestemming moet bovendien specifiek, geïnformeerd en vrij gegeven zijn. Een algemene bepaling in een personeelshandboek of standaardcontract is daarvoor meestal niet genoeg.
Wat als een werkgever te veel deelt?
Als een werkgever meer gegevens deelt dan nodig is, of gevoelige informatie zonder geldige basis verstrekt, kan sprake zijn van een schending van de privacyregels. Dat kan gevolgen hebben voor de arbeidsrelatie, interne klachten, toezicht door de Autoriteit Persoonsgegevens en in sommige gevallen aansprakelijkheid of schade.
Voor werknemers is het verstandig om dan snel vast te leggen:
- welke gegevens zijn gedeeld,
- met wie dat is gebeurd,
- wanneer dit gebeurde,
- welke gevolgen dat heeft gehad,
- en welke reactie de werkgever heeft gegeven.
Voor werkgevers geldt juist dat snelle correctie, interne beoordeling en goede dossiervorming belangrijk zijn.
Wat kunt u als werknemer of werkgever praktisch doen?
Voor werknemers
- Vraag welke gegevens zijn gedeeld en waarom.
- Vraag op welke grondslag de werkgever zich beroept.
- Controleer of het om noodzakelijke informatie ging.
- Leg uw bezwaar schriftelijk vast als u denkt dat te veel is gedeeld.
Voor werkgevers
- Beperk delen tot wat strikt nodig is.
- Werk met duidelijke interne privacyregels en autorisaties.
- Laat medische informatie alleen via de juiste professionele kanalen lopen.
- Leg afwegingen, grondslagen en afspraken met derden goed vast.
Veelgestelde vragen
Mag een werkgever mijn medische gegevens delen?
Meestal niet. Medische gegevens zijn extra beschermd. Een werkgever mag doorgaans niet de aard of oorzaak van ziekte delen met collega’s, klanten of andere derden. Veel medische informatie hoort alleen bij de bedrijfsarts of arbodienst thuis.
Mag een werkgever mijn gegevens delen met andere collega’s?
Alleen als dat nodig is voor het werk. Interne nieuwsgierigheid of gemak is geen geldige reden. Collega’s mogen alleen toegang krijgen tot informatie die zij echt nodig hebben voor hun functie.
Mag een werkgever mijn persoonsgegevens aan derden geven?
Dat kan soms, bijvoorbeeld aan een salarisverwerker, pensioenuitvoerder, arbodienst of overheidsinstantie. Dan moet wel duidelijk zijn waarom dat nodig is en welke regels daarvoor gelden.
Wat kan ik doen als mijn werkgever onterecht gegevens heeft gedeeld?
Vraag eerst schriftelijk om uitleg en om herstelmaatregelen. Bewaar bewijs en leg vast wat is gebeurd. Als de situatie ernstig is of gevolgen heeft voor uw werk of privacy, kan juridisch advies helpen om uw positie te bepalen.
Een zorgvuldige aanpak voorkomt onnodige risico’s
Bij het delen van werknemersgegevens draait het niet alleen om toestemming, maar vooral om noodzaak, doelbinding, zorgvuldigheid en beperking van gevoelige informatie. Juist in arbeidsrelaties gaat het snel mis als privacyregels te ruim worden uitgelegd of als medische informatie binnen de organisatie gaat rondzwerven.
Twijfelt u of gegevens rechtmatig zijn gedeeld, of wilt u als werkgever uw werkwijze laten toetsen? Dan is het verstandig om het concrete dossier, de grondslag en de interne procedure juridisch te laten beoordelen. Dat geldt ook als de kwestie samenhangt met toezicht, controle of een arbeidsconflict. Bekijk eventueel ook ons artikel over wat te doen bij een arbeidsconflict met uw werkgever.
