Een slachtoffer van een aanrijding mailt zijn medische stukken, het proces-verbaal van de politie zit erbij, en in de intake staat hoe het letsel zijn werk en gezin raakt. Weinig ondernemers verwerken zulke gevoelige combinaties als een letselschadebureau: gezondheid en schuldvraag komen samen in hetzelfde dossier.
Een letselschadedossier is een stapeling van de twee zwaarste categorieën uit de AVG. De medische informatie over het letsel valt onder art. 9 AVG (bijzondere persoonsgegevens), en de toedracht raakt geregeld aan art. 10 AVG: een proces-verbaal, een verdenking van rijden onder invloed, een strafzaak tegen de veroorzaker. Beide categorieën kennen een verwerkingsverbod met beperkte uitzonderingen, en beide staan bij jou gewoon in één map. Dat maakt de basisdiscipline belangrijker dan waar ook: wie kan bij welk dossier, waar staan de medische stukken, en wat gebeurt er bij een verkeerd geadresseerde mail. Concreet: scheid het medische deel van het dossier van de rest, beperk de toegang daartoe tot wie het echt nodig heeft, en neem deze verwerkingen expliciet op in je verwerkingsregister (art. 30 AVG).
art. 9 + art. 10 + art. 30 AVGVeel bureausites hebben een formulier met een veld als "omschrijf uw letsel" of "wat is er gebeurd". Handig voor de intake, maar wie dat invult, stuurt bijzondere persoonsgegevens over een gewoon webformulier, dat vaak per onbeveiligde mail bij het bureau binnenkomt en daar in de inbox blijft staan. Dit is de websiteversie van het vrije tekstveld waar het bij veel branches misgaat: het veld nodigt uit tot meer detail dan je op dat moment nodig hebt of veilig kunt ontvangen (art. 9 + art. 32 AVG). Concreet: vraag op de website alleen naam, contactgegevens en het soort zaak, en haal de medische details pas op in een beveiligde omgeving of in het eerste gesprek. Vermeld in de privacyverklaring wat er met formulierdata gebeurt (art. 13 AVG).
art. 9 + art. 32 + art. 13 AVGEen letselschadezaak is een keten: de aansprakelijke verzekeraar, een schade-expert, een medisch adviseur, soms een arbeidsdeskundige. Medische informatie hoort daarbij alleen te stromen op basis van een machtiging van de cliënt, en die toestemming moet net zo makkelijk in te trekken zijn als te geven (art. 7 AVG). Kijk daarnaast per partij wat de rol is: een medisch adviseur heeft een eigen professionele verantwoordelijkheid (WGBO-context), terwijl een ingehuurde dienstverlener die namens jou werkt een verwerker kan zijn waarmee een verwerkersovereenkomst hoort te liggen (art. 28 AVG). En verstuur medische stukken niet als gewone mailbijlage. Concreet: werk met gerichte machtigingen per opvraag, leg per ketenpartner de rol vast, en gebruik een beveiligd kanaal voor medische stukken.
art. 7 + art. 28 AVG, WGBONa de vaststellingsovereenkomst blijft het dossier vaak jarenlang onaangeroerd staan: medische rapporten, het strafdossier van de wederpartij, loonstroken, foto's van het letsel. Er zijn goede redenen om een afgesloten zaak een tijd te bewaren, bijvoorbeeld voor naijlende klachten of aansprakelijkheid, maar "voor altijd, je weet maar nooit" is geen bewaartermijn (art. 5 AVG). Juist bij dossiers met art. 9- en art. 10-gegevens telt elk onnodig bewaard jaar mee in de schade als er iets misgaat. Cliënten hebben bovendien het recht om verwijdering te vragen van wat je niet meer nodig hebt (art. 17 AVG). Concreet: leg per dossiertype een bewaartermijn vast met een onderbouwing, plan een jaarlijkse schoningsronde, en neem mailboxen en back-ups daarin mee.
art. 5 + art. 17 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, maar het verwerkingsverbod van art. 9 AVG geldt als uitgangspunt en je hebt een uitzondering nodig. In de praktijk loopt dat meestal via de uitdrukkelijke toestemming van de cliënt, vastgelegd in een machtiging. Die toestemming moet vrij, specifiek en intrekbaar zijn (art. 7 AVG).
Gegevens over verdenkingen en veroordelingen vallen onder art. 10 AVG, met een eigen verbod en beperkte uitzonderingen. Voor het onderbouwen van een letselschadeclaim kan verwerking nodig zijn, maar behandel deze stukken als de gevoeligste laag van het dossier: beperkte toegang, veilige opslag en een duidelijke bewaartermijn.
De AVG noemt geen vaste termijn, maar eist dat je zelf een onderbouwde termijn kiest en naleeft (art. 5 AVG). Denk aan verjarings- en aansprakelijkheidstermijnen als onderbouwing. Leg de termijn vast per dossiertype en ruim daarna ook echt op, inclusief mail en back-ups.
Een DPIA is verplicht bij verwerkingen met een waarschijnlijk hoog risico, zoals grootschalige verwerking van bijzondere gegevens (art. 35 AVG). Of jouw bureau daaronder valt, hangt af van omvang en werkwijze. Maak die beoordeling in elk geval aantoonbaar: ook de conclusie "niet verplicht" wil je op papier hebben.
Alleen met duidelijke, vastgelegde toestemming van de cliënt, en let op dat anonimiseren echt anoniem is: een combinatie van ongeval, woonplaats en letsel is voor bekenden snel herleidbaar. Beschrijf liever het type zaak dan de persoon, en laat de cliënt de tekst vooraf zien.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.