Als zorgverlener weet je alles over dossierplicht en beroepsgeheim. Maar zodra je een website hebt, komt daar een extra laag bij: de Algemene Verordening Gegevensbescherming (AVG). Wat moet je als praktijkhouder regelen, en wat niet?
Wanneer is de AVG van toepassing op je website?
De AVG geldt zodra je persoonsgegevens verwerkt. Op een website gebeurt dat sneller dan je denkt:
- Contactformulier: een bezoeker vult naam en e-mailadres in. Dat zijn persoonsgegevens.
- Afspraakverzoek: naam, telefoonnummer en reden van bezoek. Dat laatste kan gezondheidsinformatie zijn (bijzondere persoonsgegevens).
- Nieuwsbrief: e-mailadressen die je verzamelt voor een nieuwsbrief vallen onder de AVG.
- Analytics: als je Google Analytics gebruikt, verwerk je IP-adressen en bezoekgedrag.
- Cookies: tracking cookies van Google, Facebook of andere partijen vereisen expliciete toestemming.
Wat moet je minimaal regelen?
1. Een privacyverklaring
Elke website die persoonsgegevens verwerkt, moet een privacyverklaring hebben. Daarin staat:
- Welke gegevens je verzamelt en waarom
- Hoe lang je ze bewaart
- Met wie je ze deelt (hostingpartij, e-mailprovider, analytics)
- Hoe bezoekers hun rechten kunnen uitoefenen (inzage, correctie, verwijdering)
- Je contactgegevens als verwerkingsverantwoordelijke
Tip: plaats de link naar je privacyverklaring in de footer van elke pagina, zodat bezoekers hem altijd kunnen vinden.
2. Cookiemelding met keuze
Als je website cookies plaatst die niet strikt noodzakelijk zijn (analytics, marketing), moet je bezoekers om toestemming vragen voordat die cookies geplaatst worden. Een simpele banner met "accepteren of weigeren" volstaat.
Belangrijk: de website moet ook werken als iemand cookies weigert. Analytics laden zonder toestemming is niet toegestaan.
3. Verwerkersovereenkomsten
Iedereen die namens jou persoonsgegevens verwerkt, is een "verwerker" in AVG-termen. Denk aan:
- Je hostingprovider (slaat je website en formulierdata op)
- Je e-mailprovider (ontvangt en verstuurt mails via je domein)
- Google (Analytics data)
- Je websitebouwer (heeft mogelijk toegang tot je website en data)
Met elk van deze partijen heb je een verwerkersovereenkomst nodig. De meeste grote partijen bieden standaard een DPA (Data Processing Agreement) aan.
4. SSL-certificaat
Een SSL-certificaat (herkenbaar aan het slotje in de browserbalk en https://) is geen AVG-vereiste, maar wordt door de Autoriteit Persoonsgegevens wel aanbevolen als "passende technische maatregel". In de praktijk is het een must voor elke professionele website.
Bijzondere aandachtspunten voor de zorg
De zorg heeft te maken met bijzondere persoonsgegevens. Gezondheidsinformatie heeft extra bescherming nodig:
- Contactformulieren: vraag niet om medische klachten in een contactformulier. Beperk het tot naam, contactgegevens en een open tekstveld.
- Wachtlijstinschrijving: als je een online wachtlijst hebt, sla dan zo min mogelijk gegevens op. Naam en telefoonnummer is voldoende.
- Bewaartermijnen: bewaar formulierdata niet langer dan nodig. Een contactverzoek na 3 maanden verwijderen is een goede richtlijn. Medische dossiers hebben andere bewaartermijnen (20 jaar), maar die staan los van je website.
- Geen patientgegevens op de website: het klinkt vanzelfsprekend, maar vermeld geen patientnamen, reviews met medische details of caseomschrijvingen zonder expliciete toestemming.
Veelgemaakte fouten
- Geen privacyverklaring of een generiek template dat niet aansluit bij je situatie
- Google Analytics zonder cookietoestemming laden (een veelvoorkomende overtreding)
- Contactformulier zonder SSL (gegevens worden dan onversleuteld verstuurd)
- Oude data bewaren omdat niemand eraan denkt het op te ruimen
- Geen verwerkersovereenkomst met je hostingpartij of websitebouwer
Praktisch
AVG-compliance klinkt ingewikkeld, maar voor een gemiddelde praktijkwebsite is het behapbaar. Zorg voor een privacyverklaring, een cookiebanner, SSL en verwerkersovereenkomsten. Vraag niet meer gegevens dan nodig via formulieren. En ruim oude data regelmatig op.
Bij JouwPraktijkWebsite is AVG-compliance standaard inbegrepen. Elke website wordt opgeleverd met een privacyverklaring, cookiemelding, SSL-certificaat en de juiste technische instellingen.