Ziekteverzuim en de AVG: wat mag een werkgever vastleggen?

VerumVault AVG · Francesco Zerbonia · 19 oktober 2026

Gegevens over de gezondheid van werknemers behoren tot de gevoeligste informatie binnen een organisatie. De AVG noemt ze bijzondere persoonsgegevens (artikel 9 AVG) en verbiedt het verwerken ervan in beginsel. Toch moet een werkgever een zieke werknemer kunnen begeleiden. Waar ligt de grens? En hoe bespreekt u een verzuimcasus zonder iemands privacy te schenden?

Wat mag een werkgever vragen en vastleggen?

De Autoriteit Persoonsgegevens (AP) geeft in haar uitleg over de zieke werknemer aan dat een werkgever alleen gegevens mag vragen die nodig zijn voor de loondoorbetaling, de verzuimbegeleiding en de controle. Volgens de AP gaat het om:

het telefoonnummer en (verpleeg)adres van de werknemer;
de verwachte duur van het verzuim;
lopende afspraken en werkzaamheden;
of de werknemer onder een van de vangnetregelingen van de Ziektewet valt (welke regeling hoeft de werknemer meestal niet te zeggen, met uitzonderingen zoals de no-riskpolis);
of het verzuim verband houdt met een arbeidsongeval;
of er sprake is van een verkeersongeval met een aansprakelijke derde (regresrecht).

Een uitzondering: heeft een werknemer een aandoening waarbij collega's in geval van nood moeten weten hoe te handelen, zoals epilepsie of diabetes, dan mag de werkgever de informatie die de werknemer daarover vrijwillig geeft vastleggen.

Wat mag een werkgever niet vragen?

De werkgever mag niet vragen naar de diagnose, de aard of de oorzaak van de ziekte, en mag dat ook niet vastleggen als de werknemer het uit zichzelf vertelt. Ook toestemming van de werknemer maakt dat volgens de AP niet anders, omdat een werknemer zich door de gezagsverhouding gedwongen kan voelen. Medische informatie hoort bij de bedrijfsarts of arbodienst. De bedrijfsarts geeft de werkgever alleen een advies in functionele termen: wat de werknemer nog wel en niet kan, en welke aanpassingen nodig zijn.

Verzuimcasussen bespreken zonder privacyrisico

HR-medewerkers en leidinggevenden willen soms een casus voorleggen aan een collega, een adviseur, een intervisiegroep of een AI-assistent, bijvoorbeeld om een gesprek voor te bereiden of een brief op te stellen. Dan geldt: deel geen gegevens die tot de werknemer te herleiden zijn als dat niet nodig is.

Vervang naam, personeelsnummer, afdeling en woonplaats door labels.
Laat medische details weg; beschrijf alleen wat functioneel relevant is ("kan tijdelijk geen zware lasten tillen").
Let op indirecte kenmerken, zoals een unieke functie of een opvallende datum. Meer in Pseudonimiseren of anonimiseren.
Plak nooit een verzuimdossier ongewijzigd in een AI-chatbot. De AP waarschuwde in 2024 voor datalekken doordat medewerkers persoonsgegevens in chatbots invoerden; zie ChatGPT AVG-proof gebruiken.

Tip: met VerumVault vervangt u namen, adressen, telefoonnummers en nummers in een brief of gespreksverslag lokaal door labels zoals [PERSOON_1]. Controleer zelf of er nog gezondheidsinformatie in staat die er niet in hoort, en haal die weg.

Bewaren en beveiligen

Ook toegestane verzuimgegevens moeten goed beveiligd zijn (artikel 32 AVG) en mogen niet langer worden bewaard dan nodig. Beperk de toegang tot de mensen die de gegevens echt nodig hebben. Gaat er iets mis, bijvoorbeeld een verzuimoverzicht naar de verkeerde collega? Dan kan dat een meldplichtig datalek zijn; lees Datalek melden: wanneer en hoe.

Veelgestelde vragen

Mag mijn werkgever vragen wat ik heb?

Nee. De werkgever mag niet naar de diagnose of de aard van de ziekte vragen en die ook niet vastleggen. Dat is voorbehouden aan de bedrijfsarts.

Wat mag de werkgever wel vragen bij ziekmelding?

Onder meer uw bereikbaarheid, de verwachte duur van het verzuim, lopende afspraken en of het verzuim met een (arbeids)ongeval te maken heeft.

Mag HR een verzuimcasus met een adviseur bespreken?

Ja, als dat nodig is, maar deel dan zo weinig mogelijk herleidbare en medische gegevens. Anonimiseer of pseudonimiseer de casus eerst.

Zijn gezondheidsgegevens bijzondere persoonsgegevens?

Ja. Gegevens over gezondheid vallen onder artikel 9 AVG en krijgen extra bescherming.