Wie een bril of hoortoestel verkoopt, meet eerst iets aan een persoon: ogen of gehoor. Die meting is een gezondheidsgegeven, en daarmee gelden in jouw winkel strengere regels dan bij de kledingzaak ernaast. Bij de meeste optiekzaken en audiciens staat die meetdata intussen gewoon in de winkelsoftware, naast de marketingvoorkeuren.
Een sterktemeting, oogdrukmeting of audiogram zegt iets over iemands gezondheid. Daarmee valt het onder bijzondere persoonsgegevens, en daarvoor geldt een strenger regime dan voor naam en adres. In een retailomgeving voelt dat niet zo: de meting hoort bij de verkoop van een bril of hoortoestel. Toch verwerk je die data alleen met een geldige uitzondering, in de praktijk meestal uitdrukkelijke toestemming van de klant. Zet metingen dus niet zomaar in het algemene klantenbestand naast marketingvoorkeuren, en gebruik ze niet voor mailings ("tijd voor een nieuwe meting?") zonder dat de klant daar zelf voor koos. Concreet: scheid meetdata van marketingdata in je winkelsoftware en leg vast waarvoor de klant toestemming gaf.
art. 9 AVGIn veel optiek- en audicienssystemen staat elke klant die ooit iets kocht er nog in, met metingen en al. "Misschien komt hij ooit terug" voelt logisch, maar is geen geldige reden om gegevens eindeloos te bewaren. Zeker voor meetgegevens geldt: bewaar ze zolang je ze nodig hebt voor service en nazorg op het verkochte product, en niet langer. Spreek daarom een vaste termijn af, bijvoorbeeld gekoppeld aan de levensduur van het product, leg die vast in je privacyverklaring en ruim daarna daadwerkelijk op. Veel winkelsoftware doet dit niet automatisch; plan dan een vast opruimmoment per jaar. Dat is meteen het moment om oude adressen uit je nieuwsbrieflijst te halen. Factuurgegevens bewaar je apart voor de fiscale bewaarplicht.
art. 5 AVGModerne refractie-apparatuur en aanmeetsoftware voor hoortoestellen sturen metingen vaak naar de cloud van de fabrikant. Ook je kassasysteem, je afsprakenplanner en je mailprogramma zien klantgegevens. Elk van die partijen is een verwerker, en met elke verwerker hoort een getekende verwerkersovereenkomst te liggen. In de praktijk ontbreekt die vaak, zeker bij apparatuur: die is gekocht als meetinstrument, niet als gegevensverwerking. Staat de fabrikant buiten de EU, of loopt de data via Amerikaanse servers, dan komt daar het doorgiftevraagstuk nog bij. Concreet: maak een lijst van elke tool en elk apparaat dat klantdata ziet, vraag per leverancier de verwerkersovereenkomst op en vraag expliciet waar de data wordt opgeslagen.
art. 28 + art. 44 e.v. AVGVeel optiek- en audicienssites hebben een afspraakformulier met een veld "opmerkingen" of "waar kunnen we u mee helpen?". Klanten schrijven daar precies in wat je niet zonder waarborgen wilt ontvangen: "slechthorend na een operatie", "diabetes, ogen gaan achteruit". Zo komen gezondheidsgegevens binnen via een gewoon webformulier, belanden ze in een mailbox en blijven ze daar jaren staan. Concreet: vraag in het formulier alleen wat nodig is om de afspraak te plannen (naam, contactgegevens, soort afspraak als keuzemenu), zet bij het vrije veld een instructie om geen medische informatie in te vullen, en verwijder binnengekomen berichten met gezondheidsinformatie direct na het inplannen uit de mailbox.
art. 9 + art. 5 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, en zelfs bijzondere persoonsgegevens: ze zeggen iets over iemands gezondheid (art. 9 AVG). Daarvoor geldt een strenger regime dan voor naam en adres. In de praktijk verwerk je ze meestal op basis van uitdrukkelijke toestemming van de klant.
De AVG noemt geen vaste termijn, maar zegt: niet langer dan nodig voor het doel. Voor meetgegevens is dat meestal de periode waarin je service en nazorg levert op het product. Kies een concrete termijn, zet die in je privacyverklaring en ruim daarna echt op. Factuurgegevens bewaar je apart zeven jaar voor de Belastingdienst.
Dat kan nodig zijn voor het aanmeten, maar regel het goed: een verwerkersovereenkomst met de fabrikant en duidelijkheid richting de klant dat dit gebeurt. Stuur niet meer mee dan nodig en gebruik geen onbeveiligde e-mail voor dit soort gegevens.
Voor het uitvoeren van de meting zelf niet, die vraagt de klant immers zelf aan. Voor het bewaren en hergebruiken van de uitslag als gezondheidsgegeven leun je in de praktijk wel op uitdrukkelijke toestemming. Leg kort vast waarvoor je de meting bewaart en gebruik hem niet ongevraagd voor marketing.
Vrijwel zeker: de uitzondering voor kleine organisaties geldt niet als je structureel bijzondere persoonsgegevens verwerkt, en dat doe je met metingen. Het register hoeft niet ingewikkeld te zijn: een document waarin staat welke gegevens je verwerkt, waarom, waar ze staan en hoe lang je ze bewaart (art. 30 AVG).
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.