Een aanmeldformulier met het veld "omschrijf uw klacht", een verwijsbrief van de huisarts in de mailbox, een agenda-app die meedraait op je telefoon: een paramedische praktijk verwerkt de hele dag gezondheidsgegevens. De regels zijn dezelfde als voor een ziekenhuis, alleen is er in een praktijk met één of twee behandelaren niemand die er fulltime op let. Dit zijn de punten waar het in de praktijk het vaakst misgaat.
Bijna elke praktijksite heeft een aanmeld- of contactformulier met een vrij tekstveld. Daar typen mensen precies in waarvoor ze komen: slikproblemen, diabetes, eczeem, een kind dat stottert. Daarmee verwerkt je website bijzondere persoonsgegevens in de zin van art. 9 AVG, vaak zonder dat iemand daarbij stilstond toen het formulier werd gebouwd. De inzendingen landen in een gewone mailbox of bij een formulierendienst, en blijven daar onbeperkt staan. Wat je kunt doen: haal het vrije klachtveld van het openbare formulier af of vervang het door een neutrale keuzelijst met behandelrichtingen, en bespreek de inhoudelijke klacht pas in de beveiligde intake. Ruim oude formulierinzendingen periodiek op.
art. 9 AVGEen paramedische praktijk leunt op software: het elektronisch patiëntendossier, online afspraken maken, declareren bij de zorgverzekeraar, soms een aparte herinnerings-sms-dienst. Elk van die partijen verwerkt patiëntgegevens namens jou, en daar hoort per partij een verwerkersovereenkomst bij (art. 28 AVG). Bij de grote EPD-leveranciers zit die meestal in de algemene voorwaarden, maar bij de losse tools eromheen (nieuwsbriefdienst, websiteformulieren, online agenda) ontbreekt hij opvallend vaak. Maak eenmalig een lijstje van alle software waar patiëntgegevens doorheen gaan, controleer per leverancier of er een getekende of digitaal geaccepteerde verwerkersovereenkomst ligt, en kijk daarbij ook waar de data staat: binnen of buiten de EER.
art. 28 AVGVoor het behandeldossier geldt op grond van de WGBO een bewaartermijn van in beginsel twintig jaar. Veel praktijken vertalen dat onbewust naar "alles twintig jaar bewaren", inclusief aanmeldmails, no-shows die nooit patiënt werden, oude nieuwsbrieflijsten en verwijsbrieven in de mailbox. Dat is precies verkeerd om: de AVG eist dat je gegevens niet langer bewaart dan nodig (art. 5 AVG), en die twintig jaar geldt alleen voor het medisch dossier zelf. Maak onderscheid tussen dossier en bijvangst. Spreek voor de bijvangst een korte termijn af, bijvoorbeeld: aanmeldingen die niet tot behandeling leiden na drie maanden weg, en ruim je mailbox jaarlijks op volgens die afspraak.
art. 5 AVG + WGBOKleine praktijken laten hun website vaak één keer bouwen en kijken er daarna jaren niet meer naar om. Ondertussen laadt de site een lettertype rechtstreeks bij Google, staat er een YouTube-video met oefeningen in de pagina die bij het openen al gegevens naar de VS stuurt, en toont de cookiebanner wel een accepteerknop maar geen gelijkwaardige weigerknop. Voor een zorgpraktijk weegt dat extra: het bezoek aan jouw pagina over incontinentietherapie of diabetesbegeleiding zegt iets over de gezondheid van de bezoeker. Host lettertypen zelf, embed video's in de privacyvriendelijke variant die pas laadt na een klik, en zorg dat weigeren in de cookiebanner net zo makkelijk is als accepteren.
art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa. De uitzondering voor organisaties met minder dan 250 medewerkers geldt niet wanneer je structureel bijzondere persoonsgegevens verwerkt, en dat doet elke paramedische praktijk. Een simpel document volstaat: welke gegevens je verwerkt, waarvoor, hoe lang je ze bewaart en welke leveranciers erbij kunnen.
Veel verwijzingen lopen via beveiligde zorgnetwerken zoals ZorgDomein, en dat is ook de bedoeling. Komt een verwijzing toch per gewone mail binnen, dan ben je vanaf dat moment verantwoordelijk voor veilige opslag: zet de brief in het dossier en verwijder hem uit de mailbox in plaats van hem daar jaren te laten staan.
Ja, met elke partij die patiëntgegevens namens jou verwerkt: EPD, online agenda, declaratieservice, nieuwsbriefdienst. Bij grote zorgsoftware zit de overeenkomst vaak al in de voorwaarden; controleer dat en bewaar het bewijs. Ontbreekt hij bij een kleinere tool, vraag er dan om of kies een andere leverancier.
Gegevens van kinderen krijgen onder de AVG extra bescherming. Praktisch betekent het dat je communicatie over de behandeling via de ouders of gezaghebbenden loopt, dat je extra terughoudend bent met foto's en voorbeeldmateriaal, en dat je bij gescheiden ouders vastlegt wie er geïnformeerd mag worden.
Daar geldt de WGBO-termijn van twintig jaar niet, want er is geen behandeldossier. Bewaar zulke aanmeldingen alleen zolang je ze nodig hebt om de aanvraag af te handelen, en spreek een vaste opruimtermijn af, bijvoorbeeld drie maanden. Leg die termijn vast in je verwerkingsregister.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.