De AVG stelt grenzen aan de gegevens die een werkgever over een zieke werknemer mag verwerken. Veel werkgevers zijn zich hier niet of onvoldoende van bewust. Wanneer een werknemer zich ziek meldt, mag een werkgever namelijk alleen die gegevens registreren, die noodzakelijk zijn voor de beoordeling van de impact die de ziekmelding heeft op de gang van zaken binnen de onderneming van de werkgever, zoals de vermoedelijke duur van het verzuim, het telefoonnummer waarop de werknemer bereikbaar is en het (verpleeg)adres waar de werkgever verblijft, de stand van de werkzaamheden en de lopende afspraken. Zelfs als een werknemer uit eigen beweging vertelt over zijn ziekte en toestemming geeft om dit in zijn personeelsdossier op te nemen, zal een werkgever deze gegevens niet mogen opnemen. Toestemming wordt tussen werkgever en werknemer namelijk zelden of nooit als geldige grondslag aangemerkt.
Een werkgever mag uitsluitend die informatie van de bedrijfsarts krijgen en verder verwerken die noodzakelijk is voor een beslissing over loondoorbetaling, verzuimbegeleiding en re-integratie. De werkgever mag in principe geen gezondheidsgegevens over de werknemer verstrekken aan een re-integratiebedrijf, tenzij dit echt nodig is voor de re-integratie van de betreffende werknemer. Indien een re-integratie uiteindelijk niet succesvol is, dan stelt de werkgever, in overleg met de werknemer, uitsluitend het eerste deel van het re-integratieverslag op. Het tweede deel bevat de medische gegevens en wordt dan door de bedrijfsarts opgesteld, zodat de werkgever niet over die gegevens kan beschikken.
Indien een werkgever ziektegegevens verwerkt, dan gelden daarvoor verscherpte beveiligingseisen, zowel technisch als organisatorisch. Ziektegegevens zijn namelijk bijzondere persoonsgegevens en die moeten extra worden beschermd. Denk bijvoorbeeld aan een afgeschermde omgeving waar deze gegevens worden opgeslagen, toegang tot de gegevens via een tweefactor authenticatie en beperkte toegang van personeel (alleen voor zover dit noodzakelijk is).
De bewaartermijn van de administratieve verzuimgegevens en het re-integratiedossier bedraagt voor de werkgever in principe twee jaar na afloop van de arbeidsrelatie. Indien de werkgever eigenrisicodrager voor de Ziektewet of WGA is, is de bewaartermijn respectievelijk vijf en tien jaar na afloop van de arbeidsrelatie.
