Besluit van 29 november 2018 tot wijziging van het Besluit SUWI in verband met de verwerking van gegevens door verzekeraars in het kader van de verzekering van het ziekte- en arbeidsongeschiktheidsrisico

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van Onze Minister van Sociale Zaken en Werkgelegenheid van 22 oktober 2018, nr. 2018-0000170382;

Gelet op de artikelen 30, zesde lid, en 46, tweede lid, van de Uitvoeringwet Algemene verordening gegevensbescherming en artikel 73, vijfde lid, van de Wet structuur uitvoeringsorganisatie werk en inkomen;

De Afdeling advisering van de Raad van State gehoord (advies van 14 november 2018, nr. W12.18.0336/III);

Gezien het nader rapport van Onze Minister van Sociale Zaken en Werkgelegenheid van 26 november 2018, nr. 2018-0000186022;

Hebben goedgevonden en verstaan:

ARTIKEL I

In hoofdstuk 5 van het Besluit SUWI wordt na paragraaf § 5.5. een nieuwe paragraaf ingevoegd, luidende:

§ 5.5a Gegevensverwerking door werkgevers en verzekeraars

Artikel 5.18a. Gegevensverstrekking door werkgevers ten behoeve van verzekeringen met betrekking tot ziekte en arbeidsongeschiktheid

• 1. Werkgevers als bedoeld in artikel 73, derde lid, onderdeel a, van de Wet SUWI zijn bevoegd persoonsgegevens, waaronder gegevens over gezondheid, van de persoon, die in zijn dienst of voor hem arbeid verricht of heeft verricht, te verstrekken aan verzekeraars als bedoeld in artikel 1:1 van de Wet op het financieel toezicht, of financiële dienstverleners die bemiddelen in verzekeringen als bedoeld in artikel 1:1 van die wet, voor zover de verwerking noodzakelijk is voor:

  • a. de beoordeling bij het aangaan van de overeenkomst van het door de verzekeraar te verzekeren risico van het betalen van loon in geval van ziekte van de werknemer dan wel van het risico van betalingen als gevolg van het eigenrisicodragen, bedoeld in artikel 40, eerste lid, van de Wfsv alsmede van verzekeringen van uitkeringen ten gevolge van arbeidsongeschiktheid;

  • b. de uitvoering van de overeenkomst tot verzekering van het risico van het betalen van loon in geval van ziekte van de werknemer dan wel het risico van betalingen als gevolg van het eigenrisicodragen, bedoeld in artikel 40, eerste lid, van de Wfsv, alsmede verzekeringen van uitkeringen ten gevolge van arbeidsongeschiktheid.

• 2. Bij de gegevensverwerking noodzakelijk voor de beoordeling, bedoeld in het eerste lid, onderdeel a, kan de werkgever de volgende gegevens, waaronder gegevens over gezondheid, verstrekken van werknemers: geboortedatum, geslacht, gegevens over het dienstverband, salaris, verzuimstatistieken, arbeidsongeschiktheidspercentages van de werknemers bij verzuim en in verband met de beoordeling van een Wet WIA uitkering, ingangsdatum WGA-uitkering op grond van de Wet WIA, datum beëindiging loongerelateerde uitkering, datum beëindiging uitkering op grond van de Wet WIA, begin- en einddatum van de ZW-uitkering, aantal werknemers met een ZW-uitkering op grond van artikel 29b van de ZW.

• 3. Bij de gegevensverwerking noodzakelijk voor de uitvoering van een overeenkomst als bedoeld in het eerste lid, onderdeel b, kan de werkgever de volgende gegevens, waaronder gegevens over gezondheid van werknemers verstrekken: NAW-gegevens, geboortedatum, geslacht, gegevens over het dienstverband, salaris, arbeidsongeschiktheids- of werkhervattingspercentage, lopende uitkeringen en regelingen, percentage loonwaarde, datum aanvang mutatie van verzuim, gegevens met betrekking tot de algemene voortgang van de re-integratie en het re-integratietraject, waaronder gegevens over het plan van aanpak en de instroom in de WIA, bedoeld in artikel 25, tweede lid, van de Wet WIA, en over het reïntegratieverslag, bedoeld in artikel 25, derde lid, van de Wet WIA, in verband met een aanvraag voor een uitkering, bedoeld in artikel 65 van de Wet WIA, toekennings- en vervolgbeslissingen over uitkeringen op grond van de Wet WIA van UWV, gegevens over de WGA-uitkering in geval de werkgever eigenrisicodrager is in de zin van de Wet WIA, gegevens in verband met de mogelijkheid van regres, bedoeld in artikel 99 of 100 van de Wet WIA.

• 4. Bij de gegevensverwerking noodzakelijk voor de uitvoering van de taak, bedoeld in het eerste lid, onderdeel b, kan gebruik worden gemaakt van het burgerservicenummer voor zover er sprake is van verwerking van gegevens over gezondheid.

ARTIKEL II

Dit besluit treedt in werking met ingang van de eerste dag van de eerste kalendermaand na de datum van uitgifte van het Staatsblad waarin het wordt geplaatst.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.^histnoot

Wassenaar, 29 november 2018

Willem-Alexander

De Minister van Sociale Zaken en Werkgelegenheid, W. Koolmees

Uitgegeven de dertiende december 2018

De Minister van Justitie en Veiligheid, F.B.J. Grapperhaus

NOTA VAN TOELICHTING

1. Inleiding en achtergrond

Werkgevers sluiten verzekeringen af met private verzekeraars om het ziekterisico of het arbeidsongeschiktheidsrisico van hun werknemers te verzekeren. Het gaat dan om het afdekken van het risico voor de werkgever van zijn loondoorbetalingsplicht tijdens ziekte (op grond van het Burgerlijk Wetboek), zijn keuze voor eigenrisicodragerschap voor de Ziektewet (ZW), zijn keuze voor eigenrisicodragerschap voor de Werkhervattingsregeling voor gedeeltelijk arbeidsgeschikten (WGA) – onderdeel van de Wet werk en inkomen naar arbeidsvermogen (Wet WIA) – alsmede verzekeringen voor de bovenwettelijke aanvullingen op de WIA-uitkering van zijn werknemers zoals overeengekomen in (collectieve) arbeidsovereenkomsten tussen werkgevers en werknemers.

In deze situaties sluit de verzekeraar een overeenkomst met werkgevers en niet met werknemers. De verzekeraar heeft echter wel bepaalde persoonsgegevens nodig van de (ex)-werknemers, zowel in de precontractuele fase als in de contractuele fase bij de uitvoering van de verzekeringsovereenkomst. Dit omvat eveneens bepaalde gezondheidsgegevens waar de werkgever over mag beschikken, zoals de aanvangsdatum van uitkeringen, verzuimstatistieken en de vermoedelijke verzuimduur.

De verwerking van deze gezondheidsgegevens valt onder de uitzondering uit artikel 30, derde lid, onderdeel b, van de Uitvoeringswet algemene verordening gegevensbescherming (UAVG) op het verbod uit artikel 9 van de Algemene verordening gegevensbescherming (AVG) om gegevens over gezondheid te verwerken. Artikel 30, derde lid, onderdeel b, UAVG ziet met name op die situaties waarbij een verzekeraar een overeenkomst heeft met de persoon wiens gegevens worden verwerkt. In het kader van het verzekeren van het ziekte- of arbeidsongeschiktheidsrisico heeft de verzekeraar echter een overeenkomst met de werkgever, en niet met de werknemer wiens gegevens worden verwerkt. Om te verduidelijken welke gezondheidsgegevens van werknemers in dit kader mogen worden verwerkt, en onder welke omstandigheden dit is toegestaan, wordt in het Besluit SUWI op basis van artikel 30, zesde lid, van de UAVG, (waarmee het mogelijk is gemaakt nadere regels te stellen omtrent de toepassing van artikel 30, derde lid, onderdeel b, UAVG) nadere regels getroffen ten aanzien van deze verwerking van persoons- en gezondheidsgegevens. Daarbij wordt aangesloten bij de afwegingen die al gemaakt zijn voor het verwerken van dit soort gegevens die ook veelal afkomstig zijn van het Uitvoeringsinstituut werknemersverzekeringen op grond van artikel 73, eerste en derde lid, en de regeling daarvan in het Besluit SUWI. Daarbij gaat het ook om gegevens die werkgevers op grond van de ZW en de Wet WIA dienen te verwerken in verband met de loondoorbetalingsverplichting en de re-integratieverplichtingen die voor de werkgevers gelden om instroom in de Wet WIA te voorkomen of in verband met de aanvraag voor een WIA-uitkering. Deze gegevens, voor zover het gegevens betreft over gezondheid mogen door de werkgever als zodanig worden verwerkt op grond van artikel 30, eerste lid, van de UAVG.

Inhoud en doel

Met de wijziging van het Besluit SUWI wordt geregeld dat de werkgever bepaalde persoonsgegevens van zijn werknemers mag leveren aan de (aspirant) verzekeraar met wie hij een verzekering wil sluiten respectievelijk gesloten heeft. Er wordt met deze wijziging gebruik gemaakt van de mogelijkheid die artikel 30, zesde lid, UAVG biedt om nadere regels te stellen omtrent de toepassing van artikel 30, derde lid, aanhef en onderdeel b UAVG. Het gaat dan om de verzekering die de werkgever afsluit ter zake van zijn loondoorbetalingsplicht tijdens ziekte en de daarmee samenhangende verplichtingen van de werkgever ten behoeve van de procesgang tijdens de periode van ziekteverzuim, het verzekeren van de betalingsverplichtingen in verband met het eigenrisicodragerschap voor de ZW en/of de WGA en het verzekeren van de kosten van aanvullingen op WIA-aanvullingen. Met dit doel is aangesloten bij het geregelde in artikel 73, derde lid, van de Wet structuur uitvoeringsorganisatie werk en inkomen (Wet SUWI), waarin is geregeld aan welke organisaties het Uitvoeringsinstituut werknemersverzekeringen (UWV) bevoegd is gegevens te verstrekken.

In dit besluit wordt onderscheid gemaakt tussen persoonsgegevens van werknemers die geleverd worden in de precontractuele fase en de contractuele fase, omdat de verzekeraar in beide fases andere persoonsgegevens nodig heeft. In de precontractuele fase gaat het om de gegevens die de verzekeraar nodig heeft voor het uitbrengen van de offerte. Bij de contractfase gaat het om persoonsgegevens die nodig zijn voor de uitvoering van de overeenkomst, bijvoorbeeld de situatie waarin de werkgever een claim heeft ingediend indien het verzekerde risico zich heeft voorgedaan.

Precontractuele fase

In de precontractuele fase – voorafgaand aan het sluiten van de verzekeringsovereenkomst – heeft de verzekeraar bepaalde persoonsgegevens van werknemers nodig die aangemerkt kunnen worden als gegevens over gezondheid, om een offerte uit te kunnen brengen. Wanneer een verzekeraar niet over deze persoonsgegevens zou mogen beschikken, zou deze op basis van generieke aannames een risico-inschatting moeten maken en daar de premie op moeten baseren. Differentiatie naar risico – en daarmee in de premiestelling – zou dan niet mogelijk zijn en (verzuim)verzekeringen zouden onaanvaardbaar duur worden.

Het is daarom van belang om het risico in te schatten en daarop de premie te baseren. Hiervoor heeft de verzekeraar onder meer de volgende persoonsgegevens nodig: geboortedatum, geslacht, gegevens over het dienstverband (begin- en einddatum en contractsoort), parttimepercentage en salarisgegevens. Daarnaast heeft hij een beperkt aantal gegevens nodig over de gezondheid van de werknemers. Hierbij moet gedacht worden aan verzuimstatistieken van het bedrijf van de werkgever. Het gaat daarbij om de aantallen, de duur, frequentie, en het aantal werknemers dat ziek is. Het is niet uitgesloten dat deze gegevens onder omstandigheden tot werknemers herleidbaar zijn. Voorts verstrekt de werkgever geanonimiseerde gegevens over het arbeidsongeschiktheidspercentage van de werknemers die bij hem in dienst zijn. Ook levert hij bepaalde geanonimiseerde informatie aan de verzekeraar indien bij zijn werknemers bij de WIA-beoordeling een arbeidsongeschiktheidspercentage van minder dan 35% is vastgesteld.

Contractuele fase

De verzekeraar heeft eveneens een aantal persoonsgegevens nodig als het contract tussen werkgever en verzekeraar is afgesloten. Dit kan gaan om verschillende soorten gegevens. Bij de aanvang van de polis zijn bijvoorbeeld NAW-gegevens (naam, adres, woonplaats), verpleegadres, telefoonnummer en emailadres, het geslacht van de werknemer, gegevens over het dienstverband (begin- en einddatum contract, en soort contract) en het burgerservicenummer (BSN) nodig. Ook lopende uitkeringen en regelingen, waaronder gegevens over een no-risk polis op grond van artikel 29b Ziektewet, en het aantal zieke werknemers kan worden verstrekt. Deze gegevens zijn nodig voor het aanmaken van de deelnemersregistratie van de verzekeraar.

Als de werkgever een claim indient bij een ziekmelding – en het verzekerd risico zich dus heeft voorgedaan – dan heeft de verzekeraar bovengenoemde persoonsgegevens eveneens nodig, en bovendien enkele gezondheidsgegevens. Het gaat dan om het arbeidsongeschiktheid- of werkhervattingspercentage (de mate van arbeidsongeschiktheid en de mate waarin de werknemer in staat is de bedongen arbeid te verrichten zoals is vastgesteld door het UWV en arbodienst) en de loonwaarde van de werknemer (het loon dat de werknemer nog kan verdienen gelet op zijn inzetbaarheid, die kwaliteit van het werk dat hij nog kan verrichten en het tempo waarin het werk kan worden verricht, gelet op zijn beperken die tot het verzuim hebben geleid). Deze gegevens zijn noodzakelijk voor het aanpassen van de hoogte van de beloning voor de werknemer, wanneer deze niet in staat is de volledige arbeid te verrichten. Met het oog op het beoordelen van eventuele re-integratievergoedingen, om na te kunnen gaan of er een recht op uitkering bestaat, en om te kunnen beoordelen of de werkgever en werknemer hun re-integratieverplichtingen nakomen, dient de verzekeraar ook te beschikken over gegevens over de prognose van het verloop van de re-integratie en het re-integratietraject; de vraag of er activiteiten zijn ondernomen, zoals of er een plan van aanpak is opgesteld en of de activiteiten uit het plan van aanpak tijdig zijn uitgevoerd. Dit is het soort gegevens dat de werkgever in het kader van de Regeling procesgang eerste en tweede ziektejaar moet vastleggen in het plan van aanpak. Het gaat hier om gegevens met betrekking tot de algemene voortgang van de re-integratie die voor de verzekeraar als claimbeoordelaar van belang zijn. Artikel 5.18a Besluit SUWI ziet derhalve niet op de fase van de re-integratie als zodanig. Voorts heeft de verzekeraar salarisgegevens van de werknemer nodig als er een claim is ingediend, om de hoogte van de uitkering vast te kunnen stellen. Het verdient nog opmerking dat het hier nadrukkelijk niet gaat om gegevens die inzicht geven in de medische toestand van de werknemer, bijvoorbeeld de diagnose.

2. Ontvangen commentaren

Het onderhavige besluit is tot stand gekomen in samenspraak met het Verbond van Verzekeraars. Voorts heeft de Autoriteit Persoonsgegevens (AP) geadviseerd over het conceptbesluit. Het besluit is naar aanleiding van het advies van de Autoriteit Persoonsgegevens gewijzigd. De AP heeft opgemerkt dat gegevens als NAW-gegevens in het kader van deze regeling onder omstandigheden zijn aan te merken als bijzondere persoonsgegevens, wanneer uit de verstrekking van deze gegevens aan een verzekeraar kan worden afgeleid dat er sprake is van een zieke werknemer. Het besluit en de toelichting zijn hierop aangepast. Daarnaast is de mogelijkheid die in het besluit was opgenomen om bij ministeriële regeling technische details ter nadere invulling van het besluit te regelen, als gevolg van het advies van de AP vervallen.

3. Regeldrukgevolgen en financiële effecten

De wijzigingen hebben geen gevolgen voor de regeldruk. Er zijn ook geen financiële effecten. Het voorstel is voorgelegd aan het Adviescollege toetsing regeldruk (ATR). De ATR kan zich vinden in de analyse en conclusie ten aanzien van de gevolgen voor de regeldruk.

Artikelsgewijs

Artikel I (Artikel 5.18a Besluit SUWI)

Met dit artikel worden nadere regels gesteld omtrent de uitzondering op het verbod om gegevens betreffende de gezondheid te verwerken uit artikel 30, derde lid, onderdeel b, UAVG, met het oog op het verstrekken van persoonsgegevens van (ex)-werknemers, door werkgevers aan verzekeraars.

In artikel 9, eerste lid, AVG is een verbod om persoonsgegevens over gezondheid te verwerken neergelegd. Het tweede lid, onderdeel h, van artikel 9 AVG bepaalt dat dit verbod niet van toepassing is wanneer de verwerking noodzakelijk is voor, onder andere, het verstrekken van sociale diensten dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, op grond van Unierecht of lidstatelijk recht. Artikel 30, derde lid, onderdeel b, van de UAVG bepaalt dat, gelet op artikel 9, tweede lid, onderdeel h, van de AVG het verbod uit artikel 9, eerste lid, AVG, om gezondheidsgegevens te verwerken niet van toepassing is wanneer de verwerking geschiedt door verzekeraars, voor zover dit noodzakelijk is voor de beoordeling van het door de verzekeraar te verzekeren risico, dan wel de uitvoering van de overeenkomst van een verzekering. Zoals uit de toelichting artikel 30, derde lid, onderdeel b, UAVG blijkt, is deze uitzondering primair van toepassing op de situatie dat een (aspirant) verzekerde gegevens over de eigen gezondheid verstrekt aan de verzekeraar. In het kader van private verzekeringen, die een werkgever sluit om het ziekterisico en arbeidsongeschiktheidsrisico van zijn werknemers af te dekken, is het echter de werkgever die persoonsgegevens van de werknemer aan de verzekeraar verstrekt. Met het onderhavige besluit wordt daarom gebruik gemaakt van deze mogelijkheid uit artikel 30, zesde lid, van de UAVG om nadere regels te stellen omtrent de toepassing van het derde lid, om duidelijkheid te verschaffen welke gegevens op grond van artikel 30, derde lid, van de UAVG zijn uitgezonderd van het verbod om gezondheidsgegevens te verwerken, in het kader van de verstrekking van gegevens door werkgevers aan verzekeraars, die te maken hebben met re-integratie of begeleiding van werknemers of uitkeringsgerechtigden in verband met ziekte of arbeidsongeschiktheid en voor verzekeringen van de aanvullende uitkeringen.

De grondslag voor de verwerking van de gegevens is gelegen in artikel 6, eerste lid, onder f, de behartiging van het gerechtvaardigde belang van de verwerkingsverantwoordelijke. Daarnaast biedt artikel 30, eerste lid, onderdelen a en b, UAVG, voor werkgevers als zodanig de uitzondering op het verbod om gegevens betreffende de gezondheid te verwerken van diens werknemer wanneer dit noodzakelijk is voor een goede uitvoering van wettelijke voorschriften die voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene, of voor de re-integratie of begeleiding van werknemers in verband met ziekte of arbeidsongeschiktheid.

De gegevens waarvoor een regeling wordt getroffen betreffen gegevens van werknemers of ex-werknemers waarvan de verstrekking door werkgevers aan verzekeraars noodzakelijk wordt geacht met het oog op de taak van de verzekeraar. In artikel 73, derde lid, van de Wet SUWI is al geregeld dat verzekeraars door werkgevers aan UWV verstrekte gegevens verkrijgen van het UWV, voor zover dit noodzakelijk is ten behoeve van het aangaan of de uitvoering van verzekeringen van het risico van het betalen van loon of de betaling van Ziektewet of WIA- uitkeringen als eigenrisicodrager. Met dit nieuwe artikel wordt aangesloten bij artikel 73 Wet SUWI. In het eerste lid, onderdelen a en b, wordt het doel van de gegevensverstrekking door werkgevers aan verzekeraars neergelegd, waarbij een onderscheid wordt gemaakt tussen de precontractuele fase en de contractuele fase. De gegevens over gezondheid die in dit verband worden genoemd zijn ook de gegevens die in artikel 5.13 en 5.14 van het Besluit SUWI worden genoemd als relevant voor verzekeraars en die verwerkt worden door werkgevers in verband met de uitvoering van de arbeidsongeschiktheidswetten en de Ziektewet en ook bekend zijn bij het UWV. De afweging dat deze gegevens ook voor verzekeraars noodzakelijk zijn om te verwerken voor de verzekeringsproducten, bedoeld in artikel 73, eerste lid, onderdeel c, en artikel 73, derde lid, is met de regeling in deze artikelen in het Besluit SUWI reeds gemaakt. Het gaat om de gegevens die UWV ook verwerkt. Dit heeft te maken met het feit dat de verantwoordelijkheid voor de betaling van loon op grond van het Burgerlijk Wetboek of de kosten van uitkeringen bij eigen-risicodragen op grond van de sociale verzekeringswetten ook bij werkgevers is neergelegd.

In het tweede en derde lid wordt geregeld welke gegevens door werkgevers mogen worden verstrekt in de precontractuele, respectievelijk contractuele fase. In het algemene gedeelte van deze toelichting is toegelicht om welke gegevens het gaat. Het betreft hier zowel bijzondere en niet-bijzondere persoonsgegevens, zoals NAW-gegevens en gegevens over het dienstverband. Opgemerkt dient te worden dat deze gegevens, afhankelijk van de omstandigheden waaronder ze worden verwerkt, aangemerkt dienen te worden als bijzondere persoonsgegevens. Immers, persoonsgegevens die worden verwerkt in het kader van een ziekmelding, hebben betrekking op de gezondheid van (ex-)werknemers. Ten overvloede zij daarbij vermeld, dat bepalingen die zien op de verwerking van bijzondere persoonsgegevens uit de AVG (waaronder artikel 32 van de AVG, dat ziet op de beveiliging van de verwerking) en de UAVG, van toepassing zijn op de gegevensverwerking voor zover het hier gaat om de verwerking van gegevens over gezondheid. De grondslag voor de verwerking van deze gegevens is eveneens gelegen in artikel 6, eerste lid, onder f, van de AVG.

In het vierde lid is op grond van artikel 46, tweede lid, van de UAVG voorzien in de regeling dat in de contractuele fase gebruik wordt gemaakt van het burgerservicenummer van de werknemer. Het gebruik van dit nummer door de verzekeraar is noodzakelijk voor de uitwisseling van de verzuimmelding en herstelmeldingen tussen de verzekeraar en de arbodienst of het re-integratiebedrijf, voor communicatie met UWV in het kader van het eigenrisicodragerschap van de werkgever voor de Ziektewet, en diens keuze voor eigenrisicodragerschap voor de werkhervattingsregeling voor gedeeltelijk arbeidsgeschikten op grond van de Wet WIA, evenals voor communicatie met de basisregistratie personen.

De Minister van Sociale Zaken en Werkgelegenheid, W. Koolmees

---

histnoot Het advies van de Afdeling advisering van de Raad van State wordt met de daarbij behorende stukken openbaar gemaakt door publicatie in de Staatscourant.