De AVG heeft een slechte naam bij kleine praktijken: veel tekst, weinig houvast. Terwijl het voor een praktijk met klantgegevens neerkomt op een handvol afspraken met jezelf. Hieronder staan ze, in de volgorde waarin je ze het beste kunt aanpakken.
1. Weet wat je vastlegt, en waarom
Naam, adres, telefoonnummer, afspraken, notities over de behandeling. Alles wat je vastlegt moet ergens voor dienen. Gegevens over iemands gezondheid, en dat is bij een voetzorg- of huidpraktijk al snel het geval, zijn bijzondere persoonsgegevens: die vragen om extra zorg in wie erbij kan en hoe ze zijn opgeslagen. Wat je niet nodig hebt, leg je niet vast. Dat is de helft van de AVG.
2. Toestemming is niet overal voor nodig
Voor de behandeling zelf, de afspraak en de factuur heb je geen aparte toestemming nodig: dat is de overeenkomst die je met de klant hebt. Toestemming heb je wél nodig om iemand marketing te sturen. Dus: een apart vinkje voor nieuwsbrieven en acties, uit zolang de klant het niet aanzet, en in elke mail een afmeldlink die meteen werkt. Wie zich afmeldt, krijgt niets meer, ook niet als er ergens nog een oud vinkje aan staat.
3. Een verwerkersovereenkomst met je software
Elke partij die klantgegevens voor jou opslaat of verwerkt, van agendasoftware tot boekhoudpakket en mailprogramma, is een verwerker. Met elk van die partijen hoort een verwerkersovereenkomst te bestaan. Bij goede software is die een kwestie van akkoord geven; staat er nergens iets over, dan is dat een reden om door te vragen.
4. Inzage, export en verwijderen
Een klant mag vragen wat je over hem hebt vastgelegd en mag een kopie. Zorg dat je dat zonder gedoe kunt geven. Verwijderen mag ook, maar niet altijd meteen: voor facturen geldt de fiscale bewaarplicht van zeven jaar, en voor gegevens over de behandeling gelden eigen bewaartermijnen. Leg uit wat je wel en niet kunt verwijderen; dat is beter dan stilzwijgend alles laten staan.
5. Niet iedereen hoeft alles te zien
Wie aan de balie afspraken plant, hoeft geen behandelnotities te lezen. Geef medewerkers alleen toegang tot wat bij hun werk hoort, en zet tweestapsverificatie aan op accounts die bij het dossier kunnen. Houd bij wie een dossier heeft ingezien; niet uit wantrouwen, maar omdat je het moet kunnen laten zien als iemand het vraagt.
6. Als het misgaat
Een mail naar de verkeerde klant, een telefoon met de agenda erop die kwijt is: dat is een datalek. Schrijf op wat er is gebeurd en wat je hebt gedaan. Is er een risico voor de mensen om wie het gaat, dan meld je het binnen 72 uur bij de Autoriteit Persoonsgegevens. Dat is geen schande; niet melden is dat wel.
Dit is een praktische samenvatting, geen juridisch advies. Twijfel je bij een concrete situatie, bijvoorbeeld over een bewaartermijn of een verzoek om verwijdering, leg hem dan voor aan een jurist of je brancheorganisatie.