Een privékliniek is twee werelden in één: een zorginstelling met medische dossiers onder toezicht van de IGJ, en een commercieel bedrijf dat klanten werft met vóór/na-foto's, advertenties en online consulten. Juist op het snijvlak van die twee gaat het onder de AVG het vaakst mis: de marketingkant behandelt gezondheidsgegevens alsof het gewone klantdata zijn. Denk aan de Meta-pixel op je pagina over haartransplantaties, of de fotoreeks van een tevreden patiënt op Instagram.
De vóór/na-foto is het sterkste verkoopmiddel van een kliniek, en tegelijk een bijzonder persoonsgegeven: de foto toont een medische behandeling bij een herkenbare persoon. Publicatie kan alleen met uitdrukkelijke toestemming, en die moet aan eisen voldoen: vooraf, vrijwillig, specifiek per kanaal (website, Instagram, advertenties) en net zo makkelijk in te trekken als gegeven. Trekt een patiënt de toestemming in, dan moet de foto overal weg, ook bij het marketingbureau en uit lopende advertenties. Regel het strak: een apart toestemmingsformulier per patiënt met aangekruiste kanalen, een administratie van welke foto waar staat, en een vast proces om foto's binnen enkele dagen overal te verwijderen.
art. 7 + art. 9 + art. 17 AVGWie jouw pagina over ooglaseren, borstvergroting of haartransplantatie bezoekt en daar een offerte aanvraagt, vertelt daarmee iets over zijn lichaam en zijn plannen. Draait op die pagina een advertentiepixel van Meta, Google of TikTok, dan gaat dat signaal rechtstreeks naar het advertentieplatform, meestal zonder geldige voorafgaande toestemming. De toezichthouder heeft cookiebanners zonder echte weigerknop al bij honderden sites aangepakt, en bij gezondheidsgerelateerde sites weegt het zwaarder. Wat je kunt doen: inventariseer welke pixels op welke pagina's draaien, laat ze pas laden ná een vrije en geïnformeerde keuze in de cookiebanner, en overweeg om behandelpagina's en aanvraagformulieren volledig pixelvrij te houden.
art. 11.7a Telecommunicatiewet + art. 9 AVGVeel klinieken werken internationaal: patiënten uit het buitenland, een marketingbureau dat leads aanlevert, een samenwerkende kliniek buiten de EU, of leadopvolging via WhatsApp. Zodra gezondheidsgegevens (een intakeformulier, foto's voor een online beoordeling) buiten de EER terechtkomen, gelden de doorgifteregels van art. 44 e.v. AVG, en daar is zelden iets voor geregeld. Ook binnen de EU geldt: een leadbureau of callcenter dat namens jou aanvragen opvolgt is een verwerker, en daar hoort een verwerkersovereenkomst bij. Breng de route van een lead in kaart van eerste klik tot consult, leg per schakel vast wie de gegevens krijgt en op basis waarvan, en gebruik voor foto-beoordelingen een beveiligd kanaal in plaats van WhatsApp of gewone e-mail.
art. 44 e.v. AVG + art. 28 AVGEen privékliniek valt niet alleen onder de Autoriteit Persoonsgegevens maar ook onder de IGJ. Een datalek of een slordige omgang met dossiers raakt daardoor twee kanten tegelijk: je privacyverplichtingen én je positie als zorgaanbieder. Toch ontbreken juist in kleinere klinieken vaak de basisdocumenten: een verwerkingsregister dat klopt met de werkelijkheid, en een DPIA waar die verplicht is, bijvoorbeeld bij grootschalige verwerking van gezondheidsgegevens of bij cameratoezicht in en om de kliniek. Begin met het register: welke gegevens, van wie, waarvoor, hoe lang, welke leveranciers. Toets daarna of je verwerkingen een DPIA vragen, en leg ook de uitkomst "niet nodig, omdat" schriftelijk vast.
art. 30 + art. 35 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanAlleen met uitdrukkelijke, vooraf gegeven toestemming die specifiek benoemt waar de foto's komen te staan. De patiënt mag die toestemming op elk moment intrekken, en dan moeten de foto's overal verwijderd worden, ook uit advertenties en bij je marketingbureau. Leg toestemmingen schriftelijk vast en houd bij welke foto waar staat.
Alleen als de bezoeker vooraf een vrije, geïnformeerde keuze heeft gekregen en de pixel pas daarna laadt. Omdat het bezoek aan zulke pagina's iets over gezondheid zegt, is het risico hier groter dan bij een gewone webshop. Veel klinieken kiezen ervoor behandel- en aanvraagpagina's helemaal pixelvrij te houden.
Nee, niet alles. Het medisch dossier valt onder de bewaarplicht van de WGBO en mag je niet zomaar wissen; leg dat uit aan de patiënt. Marketinggegevens, foto's en nieuwsbriefinschrijvingen vallen daar niet onder: die moet je op verzoek wél verwijderen, en dat verzoek handel je binnen een maand af.
Dat hangt af van de omvang en aard van je verwerkingen. Bij grootschalige verwerking van gezondheidsgegevens, cameratoezicht of het volgen van websitebezoekers op gevoelige pagina's is een DPIA al snel verplicht. Twijfel je, voer hem dan uit of leg schriftelijk vast waarom hij niet nodig is; dat document is ook richting toezichthouders je onderbouwing.
WhatsApp is hiervoor niet geschikt: de foto's zijn medische gegevens en komen op privételefoons en Amerikaanse servers terecht. Gebruik een beveiligd uploadkanaal of patiëntenportaal, en regel voor structurele samenwerking met partijen buiten de EER de doorgifte volgens de Europese doorgifteregels (art. 44 e.v. AVG).
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.