Voor een peeling of laserbehandeling vult elke nieuwe klant een intakeformulier in: huidtype, acne, medicijngebruik, zwangerschap. Dat is vakkundig werken, maar het maakt je salon ook beheerder van een stapel gezondheidsgegevens, en daar hangt het zwaarste AVG-regime aan. Dit artikel laat zien waar dat in de dagelijkse salonpraktijk om aandacht vraagt.
Vragen naar huidaandoeningen, medicijngebruik, allergieën of zwangerschap zijn nodig om veilig te behandelen, maar de antwoorden zijn bijzondere persoonsgegevens. Daarvoor geldt een verwerkingsverbod, tenzij je een uitzondering hebt; voor een salon is dat in de praktijk de uitdrukkelijke toestemming van de klant. Die toestemming moet echt iets voorstellen: de klant weet waarvoor je het vraagt, tekent er bewust voor en kan later terugkomen op dat akkoord. Wat je concreet kunt doen: zet boven het formulier in gewone taal waarom je deze vragen stelt en wat je met de antwoorden doet, laat de klant tekenen, en schrap elke vraag waarvan je eerlijk gezegd niet weet wat je met het antwoord doet. Minder vragen is hier echt beter.
art. 9 + art. 7 AVGEen geslaagde behandeling wil je laten zien, en klanten vinden het vaak prima. Maar een herkenbare foto is een persoonsgegeven, en een close-up van acne of rosacea zegt bovendien iets over iemands gezondheid. Daarnaast heeft de geportretteerde een eigen portretrecht: publicatie kan worden tegengehouden bij een redelijk belang. Toestemming die tussen neus en lippen bij de behandelstoel is gegeven, is achteraf niet te bewijzen en dekt vaak niet elk kanaal. Concreet: gebruik een kort toestemmingsformulier waarin de klant apart aankruist wat mag (portfolio in de salon, website, Instagram), bewaar dat formulier bij het dossier, en verwijder de foto overal zodra de klant zich bedenkt. Foto's zonder herkenbaar gezicht en zonder naam zijn de veiligste keuze.
art. 6 + art. 7 AVG + art. 21 AuteurswetSalonsoftware voor afspraken, klantdossiers en herinneringen verwerkt persoonsgegevens in jouw opdracht, en soms ook de intake-antwoorden zelf. De AVG eist dan een verwerkersovereenkomst tussen jou en die leverancier, en juist die ontbreekt vaak: hij zit ongelezen in de voorwaarden, of is er simpelweg niet, zeker bij losse tools zoals een nieuwsbriefdienst of een formulierenbouwer. Extra opletten als je gezondheidsvragen digitaal laat invullen: dan staan bijzondere persoonsgegevens bij die leverancier, en wil je weten waar die servers staan en hoe de toegang is geregeld. Concreet: loop je tools langs, zoek per tool de verwerkersovereenkomst op of vraag ernaar, en verplaats gezondheidsvragen weg uit tools die daar niet op zijn ingericht, zoals een gratis formulierendienst.
art. 28 AVGIntakeformulieren stapelen zich op, ook van klanten die één keer kwamen en nooit meer. Gegevens bewaar je niet langer dan nodig, en dat geldt dubbel voor gezondheidsgegevens: hoe langer die liggen, hoe groter de schade als er iets misgaat. De wet geeft geen vaste termijn; je kiest er zelf één die je kunt uitleggen. Voor behandelgegevens is een termijn gekoppeld aan de klantrelatie logisch, bijvoorbeeld tot enkele jaren na het laatste bezoek, mede met het oog op vragen of klachten over een behandeling. Concreet: leg de termijn vast in je privacyverklaring, plan één vast opruimmoment per jaar, en vernietig papieren formulieren echt (versnipperen, niet bij het oud papier). Je factuuradministratie valt hierbuiten: die bewaar je fiscaal zeven jaar.
art. 5 AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanJa, als het echt nodig is om veilig te behandelen en de klant er uitdrukkelijk toestemming voor geeft. Leg uit waarom je het vraagt, laat de klant tekenen en vraag niets waarvan je het antwoord niet gebruikt. Bewaar de formulieren afgeschermd.
Alleen met vooraf vastgelegde toestemming, per kanaal. Laat de klant apart aankruisen wat mag: salonportfolio, website of social media. Trekt de klant de toestemming in, dan haal je de foto overal weg. Onherkenbare foto's zonder naam zijn de veiligste route.
Er is geen vaste wettelijke termijn: je kiest zelf een termijn die je kunt uitleggen en legt die vast. Enkele jaren na het laatste bezoek is voor behandelgegevens een verdedigbare lijn. Ruim daarna echt op en versnipper papieren formulieren.
Wees daar voorzichtig mee. De antwoorden zijn gezondheidsgegevens en staan dan bij die formulierendienst, vaak op servers buiten de EU en zonder verwerkersovereenkomst. Gebruik liever salonsoftware die hierop is ingericht, of houd de gezondheidsvragen op papier in de salon.
Je moet daar in principe gehoor aan geven en binnen een maand reageren. Verwijder klantenkaart, intake en foto's, ook uit je software en back-upmailtjes. Alleen gegevens die je wettelijk moet bewaren, zoals facturen voor de Belastingdienst, houd je aan.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.