Voor een duikcursus vult elke cursist een medische vragenlijst in, en bij twijfel volgt een keuring. Die formulieren belanden in een ordner of mailbox en blijven daar jaren liggen, naast de aansprakelijkheidsverklaringen en boekingslijsten. Zo bouwt een duikschool of buitensportbedrijf ongemerkt een archief vol gezondheidsgegevens op.
Bij duiken, klimmen en andere buitensport is de medische check terecht standaard: je moet weten of iemand veilig mee kan. Maar antwoorden over hart, longen, epilepsie of medicijngebruik zijn bijzondere persoonsgegevens. Je verwerkt ze op basis van uitdrukkelijke toestemming, en dan hoort de rest ook op orde te zijn: de cursist weet waar het formulier blijft, wie het inziet en hoe lang je het houdt. In de praktijk leest de hele crew mee omdat de ordner achter de balie staat. Concreet: beperk de toegang tot instructeurs die het echt nodig hebben, bewaar medische formulieren gescheiden van de gewone boekingsadministratie, en zet op het formulier zelf waarvoor het dient en wanneer het wordt vernietigd.
art. 9 + art. 13 AVGBrevetten lopen vaak via internationale organisaties, en cursistgegevens gaan dan naar systemen buiten de EU, regelmatig in de VS. Dat is doorgifte naar een derde land, en daar horen twee dingen bij: een geldige basis voor de doorgifte en heldere informatie aan de cursist dat zijn naam, geboortedatum en soms medische geschiktheid naar die organisatie gaan. De meeste cursisten willen dat brevet graag, dus het probleem is zelden de doorgifte zelf maar het zwijgen erover. Concreet: benoem de certificeringsorganisatie in je privacyverklaring, geef aan welke gegevens je doorstuurt, en stuur niet meer door dan de organisatie voor het brevet nodig heeft.
art. 13 + art. 44 e.v. AVGMedische verklaringen, aansprakelijkheidsformulieren en deelnemerslijsten van seizoenen geleden: papier gooit zichzelf niet weg, en mailboxen al helemaal niet. Toch geldt ook hier de opslagbeperking: bewaren mag zolang het doel bestaat, en het doel, veilige deelname aan die ene cursus, is na afloop voorbij. Een medische verklaring van een cursist van jaren terug beschermt niemand meer, maar is bij een inbraak of hack wel een datalek met gezondheidsdata. Concreet: koppel de bewaartermijn aan de cursus of het brevettraject, plan een vaste vernietigingsronde aan het einde van elk seizoen, en loop de mailbox na op formulieren die als bijlage zijn binnengekomen.
art. 5 + art. 32 AVGJeugdduikers en schoolgroepen brengen extra verplichtingen mee. De inschrijving en de medische vragenlijst lopen bij minderjarigen via de ouders, en dat moet ook zichtbaar zo geregeld zijn: een handtekening van een vijftienjarige onder een medische verklaring is niet waar je op wilt leunen. Gaat de communicatie via een school of vereniging, dan krijg je gegevens van derden en moet je de deelnemers of hun ouders alsnog informeren over wat je ermee doet. En voor actiefoto's van kampen en cursussen geldt: toestemming van de ouders, vooraf. Concreet: laat formulieren van minderjarigen altijd door een ouder tekenen, regel fototoestemming bij de inschrijving, en spreek met scholen af wie de ouders informeert.
art. 9 + art. 14 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, veiligheid is een goede reden om ernaar te vragen, en de verwerking baseer je op uitdrukkelijke toestemming (art. 9 AVG). Vraag alleen wat voor veilige deelname nodig is, en leg vast wie het formulier inziet en hoe lang je het bewaart.
Er is geen wettelijke termijn die je verplicht ze jaren te houden. Bewaar ze zolang de cursus of het brevettraject loopt en vernietig ze daarna volgens een vaste routine. Wil je iets langer bewaren met het oog op aansprakelijkheid, leg die afweging en termijn dan vast.
Ja. Doorgifte naar een organisatie buiten de EU hoort in je privacyverklaring te staan, inclusief welke gegevens het betreft (art. 13 en art. 44 e.v. AVG). In de praktijk is dat een korte, duidelijke alinea.
Dan staat er gezondheidsdata in je mailbox, vaak jarenlang. Verwerk het formulier in je administratie, verwijder de mail met bijlage, en bied bij voorkeur een veiliger kanaal aan dan losse e-mail, bijvoorbeeld een upload of inleveren op locatie.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.