AVG voor coaches: wat je echt moet regelen rond je cliëntdossier

Het is dinsdagavond, je werkt je verslagen bij en je mailt er een naar je cliënt. Twee minuten later zie je het: de bijlage is naar de verkeerde Marieke gegaan. Zes pagina’s over een burn-out, een scheiding en een gesprek met haar leidinggevende, bij iemand die er niets mee te maken heeft.

Dat is geen slordigheidje. Dat is een datalek, en het is de meest voorkomende in kleine praktijken.

Toch is dat niet het echte probleem. Het echte probleem is dat privacy voor de meeste coaches iets is wat je “ooit nog eens netjes regelt”. Terwijl het inmiddels het eerste is waar een zakelijke opdrachtgever naar vraagt. AVG is geen papierwerk dat je erbij doet. Het is een verkoopargument, of het ontbreken ervan.

Waarom “ik doe niets geks met gegevens” niet genoeg is

Als zelfstandig coach ben je verwerkingsverantwoordelijke. Niet je boekhouder, niet je softwareleverancier: jij. Jij bepaalt welke gegevens je vastlegt, waarom, en hoe lang.

En wat je vastlegt is zwaarder dan je denkt. Zodra je aantekeningen gaan over spanningsklachten, een burn-out, medicatie of een diagnose, verwerk je gegevens over gezondheid. Daarvoor geldt een strenger regime dan voor een adres of een telefoonnummer. Je hoeft daar niet nerveus van te worden, maar je moet er wel iets voor inrichten.

Het tweede probleem is waar die gegevens leven. Bij de meeste coaches staat het dossier verspreid: aantekeningen in een notitieboek, verslagen in een map op de laptop, afspraken in de mail, facturen in een boekhoudpakket. Mail is daarbij het grootste risico. Mail is een doorgeefluik, geen archief. Alles wat er blijft hangen, ligt eigenlijk op de gang.

En dan de praktische kant. Als een cliënt vraagt: “wat heb je precies over mij vastgelegd?”, dan heb je een maand om dat compleet te beantwoorden. Kun je dat, als het over vier plekken verspreid staat?

Vijf dingen die je echt moet regelen

Geen juridisch traject. Vijf vuistregels die je in een middag kunt neerzetten.

1. Weet wat je verwerkt, en schrijf het op. Dat heet een verwerkingsregister: een overzicht van welke gegevens je van wie verwerkt, met welk doel, hoe lang je ze bewaart en met wie je ze deelt. Veel zzp’ers denken dat ze hiervan zijn vrijgesteld omdat ze minder dan 250 medewerkers hebben. Die vrijstelling vervalt zodra je structureel gegevens verwerkt of gevoelige gegevens vastlegt, en dat doe je allebei. Eén A4 in een tekstbestand is genoeg om te beginnen.

2. Vertel je cliënt wat je doet. Een privacyverklaring op je site, en in je intake een korte, expliciete afspraak over wat je vastlegt en waarom. Leg toestemming voor gezondheidsgegevens vast op een plek die je later terugvindt, niet in een appje.

3. Regel een verwerkersovereenkomst met elke tool die gegevens voor je verwerkt. Je software, je mailprovider, je boekhoudpakket. Vraag er gewoon om. Een leverancier die er niet binnen een week één kan sturen, vertelt je daarmee precies wat je wilde weten.

4. Beveilig de plek waar het dossier leeft. Eén plek waar het dossier staat, beveiligd. Geen dossiers in je Downloads-map, geen verslagen via WhatsApp, geen usb-stick in je tas. En back-ups die je niet zelf hoeft te onthouden.

5. Kies je bewaartermijnen bewust. Je financiële administratie bewaar je zeven jaar, dat is fiscaal. Voor het inhoudelijke dossier geldt: niet langer dan nodig. Kies zelf een termijn, leg vast waarom, en houd je eraan. Werk je therapeutisch of ben je BIG-geregistreerd, dan gelden er strengere dossierregels. Check dat voor jouw situatie apart.

Wat je doet als het toch misgaat

Terug naar die verkeerd geadresseerde mail. Wat nu?

Beoordeel eerst het risico voor de cliënt. Ging er een adreslijst weg of ging er een verslag over iemands mentale gezondheid weg? Dat verschil bepaalt alles. Is er waarschijnlijk risico, dan meld je het bij de Autoriteit Persoonsgegevens, binnen 72 uur na ontdekking. Is het risico hoog, dan informeer je ook de cliënt zelf.

Houd daarnaast een eigen datalekregister bij, ook van incidenten die je niet meldt. Dat is verplicht, maar het is vooral nuttig: na drie regels in dat bestand zie je precies welk proces je moet veranderen.

Waarom dit je opdrachten oplevert

Zodra je gaat werken voor een werkgever, arbodienst of gemeente, kom je in een inkoopproces terecht. Daar zit iemand van HR of inkoop die drie vragen stelt: waar staan de gegevens van onze medewerkers, wie heeft er toegang toe, en heb je een verwerkersovereenkomst.

De coach die daar een helder antwoord op geeft, is professioneel met zijn of haar werk bezig. De coach die moet gaan uitzoeken hoe het ook alweer zat, is een risico.

Precies daarom is dit het inrichten waard, ook als je nu alleen particuliere cliënten hebt. Het is de goedkoopste manier om er professioneler uit te zien dan je concurrent.

Voor de goede orde: dit is precies waarom we Coachsoft zo hebben gebouwd. Alles van één cliënt staat op één plek in het dossier, verslagen deel je veilig met je cliënt en je gegevens staan op Nederlandse servers met dagelijkse back-ups.

Begin deze week hiermee

Drie stappen, samen ongeveer een uur.

1) Schrijf op welke tools cliëntgegevens bevatten. Mail, laptop, telefoon, agenda, boekhouding, notitieboek. De lijst is bijna altijd langer dan je dacht — dat is de hele oefening.

2) Zet je verwerkingsregister op één A4: welke gegevens, van wie, waarom, hoe lang, waar. Klaar is beter dan volledig.

3) Kies één plek waar het dossier voortaan leeft.

Dit artikel geeft vuistregels, geen juridisch advies. Twijfel je over jouw situatie, leg het dan voor aan een privacyjurist.