Het HIS is aan strenge normen gebonden en het LSP is netjes ingeregeld. Maar het herhaalreceptformulier op de praktijksite mailt intussen naam, geboortedatum en medicatie onbeveiligd naar de praktijkmailbox. Bij huisartsenpraktijken zit het AVG-risico zelden in de zorgketen en bijna altijd in de eigen website.
Veel praktijksites hebben naast het beveiligde portaal nog een eigen formulier voor herhaalrecepten of vragen. Daar vult een patiënt zijn naam, geboortedatum en medicatie in, en dat is een gezondheidsgegeven: uit het middel valt de aandoening af te leiden. Loopt zo'n formulier via een standaard websiteplugin of komt het binnen als gewone mail, dan reist de gevoeligste informatie van je praktijk over de minst beveiligde route die je hebt, en stapelt hij zich op in een mailbox waar het hele team bij kan. Concreet: laat herhaalrecepten en e-consulten alleen via het beveiligde patiëntenportaal van je HIS lopen, haal het losse formulier van de site of beperk het tot naam en telefoonnummer voor een terugbelverzoek, en ruim oude formuliermails op.
art. 9 + art. 32 AVGVoor het HIS en het LSP gelden strenge normen en die zijn meestal goed geregeld. De praktijkwebsite valt buiten die keten, en daar zie je het klassieke lek: de site laadt lettertypen bij Google, een YouTube-video met uitleg of een kaartje van Google Maps. Bij elk bezoek gaat het IP-adres van de bezoeker naar een Amerikaanse partij, zonder grondslag en zonder dat de privacyverklaring het vermeldt. Voor een gewone site is dat al een aandachtspunt, voor een huisartsensite meer: je bezoekers zijn vrijwel allemaal patiënten. Concreet: laat je websitebouwer de lettertypen op de eigen server zetten, vervang embeds door een klikbare link of een lokaal opgeslagen afbeelding, en controleer daarna welke externe verbindingen er nog over zijn.
art. 44 e.v. AVG + art. 13 AVGDe meeste huisartsenpraktijken hebben een privacyverklaring, vaak op basis van een branchemodel. Die beschrijft het dossier, het beroepsgeheim en de uitwisseling met andere zorgverleners, en dat is terecht. Maar de website zelf ontbreekt er meestal in: welke gegevens het contactformulier verwerkt, welke cookies er staan, welke partij de site host en wat er met formulierberichten gebeurt. Daarmee klopt de verklaring niet met wat de site feitelijk doet, en dat is precies het onderdeel dat een bezoeker en de toezichthouder als eerste kunnen controleren. Concreet: loop de site langs, noteer elk formulier, elke externe dienst en elke cookie, en vul de privacyverklaring aan met een kort websitehoofdstuk. Controleer meteen of de link naar de verklaring op elke pagina werkt.
art. 13 AVGJe websitebouwer en je hostingpartij hebben toegang tot alles wat via de site binnenkomt: formulierberichten, logbestanden met IP-adressen, soms een gekoppelde mailbox. Daarmee zijn het verwerkers, en de AVG eist een verwerkersovereenkomst, ook met de zzp'er die de site ooit voor een vriendenprijs bouwde. Voor een huisartsenpraktijk telt dit dubbel: via de site komen patiëntvragen binnen, en bij een incident kijkt naast de Autoriteit Persoonsgegevens ook de IGJ mee, met je beroepsgeheim als inzet. Concreet: vraag na wie er allemaal bij de site en de bijbehorende mail kan, sluit met elk van die partijen een verwerkersovereenkomst, en spreek af dat formulierdata niet langer bewaard blijft dan nodig, ook niet in back-ups van de bouwer.
art. 28 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, gegevens beschikbaar stellen via het LSP mag alleen met uitdrukkelijke toestemming van de patiënt, en die keuze moet vastliggen. Dat staat los van de behandelrelatie zelf: voor het voeren van het eigen dossier is geen toestemming nodig, voor het delen met de keten wel.
Een FG is verplicht bij grootschalige verwerking van gezondheidsgegevens (art. 37 AVG). De Autoriteit Persoonsgegevens hanteert voor huisartsenpraktijken als vuistregel de grens van ruim 10.000 ingeschreven patiënten; huisartsenposten en grote samenwerkingsverbanden vallen er vrijwel altijd onder. Leg vast waarom je wel of geen FG hebt aangesteld.
Een patiënt mag zelf iets mailen, maar bied bij voorkeur een beveiligd kanaal via het patiëntenportaal aan. Zet ontvangen foto's zo snel mogelijk in het dossier en verwijder daarna de mail. Stuur zelf nooit medische informatie over gewone, onbeveiligde e-mail.
De WGBO schrijft twintig jaar voor vanaf de laatste wijziging, en langer als goede zorg dat vereist. Voor gegevens buiten het dossier, zoals formuliermails, wachtlijsten en no-show-overzichten, geldt die termijn niet: daar bepaal je zelf een zo kort mogelijke termijn op grond van art. 5 AVG.
Dat is af te raden: een medicijnnaam is een gezondheidsgegeven en WhatsApp is een Amerikaanse dienst die niet voor zorgcommunicatie is ingericht. Bied het beveiligde patiëntenportaal of de receptenlijn aan als vaste route, en zet dat duidelijk op de site zodat patiënten niet zelf naar een app grijpen.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.