Een intake begint met alles op tafel: bankafschriften, loonstroken, deurwaardersbrieven, en meestal ook het verhaal erachter, zoals een scheiding, ziekte of ontslag. Wie hulp zoekt bij schulden, legt zijn hele financiële en persoonlijke leven in jouw handen. De AVG verwacht dat je daarnaar handelt.
Schulden zijn formeel geen bijzondere categorie persoonsgegevens, maar de impact van een lek is groot: schaamte, problemen bij werkgever of verhuurder, en een doelgroep die zich moeilijk kan verweren. De AVG vraagt dat je beveiliging en zorgvuldigheid meegroeien met het risico, en bij schuldhulp is dat risico hoog. Dat begint bij minder verzamelen: niet elk traject vraagt om het complete financiële verleden vanaf dag één. Wat je kunt doen: bouw je intake in fasen op en vraag per fase alleen wat je op dat moment nodig hebt, beperk de toegang tot dossiers tot de behandelaar, en zet tweestapsverificatie aan op elk systeem waar cliëntgegevens in staan.
art. 5 + art. 32 AVGIn een intakeverslag staat zelden alleen een bedrag. 'Cliënt is depressief sinds het ontslag', 'gokverslaving, nu onder behandeling': zulke aantekeningen zijn gezondheidsgegevens, en die vallen onder het zwaarste regime van de AVG. Het gebeurt bijna altijd in vrije tekstvelden, met de beste bedoelingen, want context helpt bij het traject. Maar daarmee verwerk je wel bijzondere gegevens op een plek die daar niet voor is ingericht en die iedereen met dossiertoegang leest. Wat je kunt doen: schrijf feitelijk en terughoudend, bijvoorbeeld 'doorverwezen naar hulpverlening' in plaats van de diagnose, leg gezondheidsinformatie alleen vast als die het traject echt raakt, en spreek dit als vaste schrijfwijze af met iedereen die dossiers bijhoudt.
art. 9 AVGCliënten mailen ID-kopieën en bankafschriften, schuldeisers sturen vorderingsoverzichten, en alles blijft staan in de inbox en de verzonden items. Zo ontstaat naast je dossiersysteem een tweede, onbeveiligd archief dat niemand opruimt. Bij een gehackt mailaccount ligt daarmee het financiële leven van al je cliënten open. Dit is een van de meest voorkomende bevindingen bij financiële dienstverleners, en hij is goed te verhelpen. Wat je kunt doen: laat cliënten stukken aanleveren via een beveiligde upload of een portaal in plaats van per mail, verplaats binnengekomen bijlagen direct naar het dossier en verwijder ze uit de mail, en plan een vast opruimmoment voor de mailbox.
art. 5 + art. 32 AVGWie jouw site bezoekt, heeft waarschijnlijk geldzorgen, en alleen al dat gegeven is gevoelig. Staan er trackers of social-media-pixels op je pagina's, dan gaat dat signaal met IP-adres en al naar advertentieplatforms, vaak in de VS. Ook een lettertype dat bij Google wordt geladen stuurt het IP-adres van elke bezoeker mee. En een aanmeldformulier met een groot vrij tekstveld haalt gevoelige verhalen binnen nog voor er een dossier bestaat. Wat je kunt doen: haal trackers en pixels van je site of beperk ze tot het hoognodige met een eerlijke cookiebanner, host lettertypen zelf, beperk het formulier tot contactgegevens, en controleer of je privacyverklaring beschrijft wat er werkelijk gebeurt.
art. 13 + art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanNee, schulden vallen niet onder de bijzondere categorieën van art. 9 AVG. Ze zijn wel gevoelig, en de AVG verwacht dat je beveiliging past bij dat risico. Het verhaal achter de schulden, zoals ziekte of verslaving, is vaak wél een bijzonder gegeven.
Alleen wat nodig is voor de regeling die je treft, en met medeweten van je cliënt. Een voorstel met het beschikbare bedrag volstaat meestal; het volledige dossier of de persoonlijke achtergrond deel je niet. Leg vast wat je met wie hebt gedeeld.
Niet langer dan nodig. Voor je eigen administratie geldt een fiscale bewaarplicht van zeven jaar, maar dat rechtvaardigt niet het bewaren van het complete hulpverleningsdossier. Leg per soort stuk een termijn vast en ruim jaarlijks op.
Praktisch gezien ja. De uitzondering voor kleine organisaties geldt niet wanneer je structureel gevoelige gegevens verwerkt, en dat is bij schuldhulp het geval (art. 30 AVG). Een overzicht van wat je verwerkt, waarom, waar het staat en wanneer het weg kan, is een prima start.
Behandel het als een datalek. Beoordeel het risico voor je cliënt, meld binnen 72 uur bij de Autoriteit Persoonsgegevens als er waarschijnlijk risico is, en informeer je cliënt bij hoog risico (art. 33 en 34 AVG). Registreer het voorval ook in je eigen datalekoverzicht.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.