AVG voor de huidtherapeut

13 november 2026 · Blog

Afspraken, notities, foto's en behandelverslagen zijn gezondheidsgegevens: de strengste categorie onder de AVG. Dat klinkt zwaar, maar voor een praktijk komt het neer op een handvol afspraken die u één keer goed regelt. Dit is wat erbij hoort, in gewone taal.

1. Voor het dossier heeft u geen toestemming nodig

Een veelgemaakte vergissing: de cliënt laten tekenen voor het verwerken van haar gegevens. Voor de behandeling zelf is dat niet nodig. Een zorgverlener met een beroepsgeheim mag gezondheidsgegevens verwerken voor de zorg die ze geeft (artikel 30 van de Uitvoeringswet AVG), en de WGBO verplicht u zelfs om een dossier bij te houden.

Toestemming vraagt u wel voor alles wat buiten de zorg valt: een voor-en-nafoto op uw website of Instagram, een nieuwsbrief, of het delen van gegevens met iemand die niet bij de behandeling betrokken is. Vraag die toestemming apart, op papier of in een formulier, en zo dat de cliënt ook nee kan zeggen.

De toestemming voor de behandeling zelf (informed consent) is iets anders: die gaat over de risico's van de behandeling, niet over privacy. Zie toestemmingsformulier laser en IPL.

2. Vraag alleen wat u nodig heeft

Op het intakeformulier hoort wat u voor de behandeling en de declaratie gebruikt, en niet meer. Een BSN bijvoorbeeld alleen als u het nodig heeft. Wat u niet vraagt, kan ook niet uitlekken. Zie intakeformulier huidtherapie.

3. Bewaar het dossier 20 jaar

De WGBO zegt: 20 jaar, gerekend vanaf de laatste wijziging in het dossier, of langer als goede zorg dat vraagt. Dat geldt ook voor ingevulde formulieren, verslagen en foto's die bij de behandeling horen. Facturen bewaart u 7 jaar voor de Belastingdienst. Daarna verwijdert u wat u niet meer hoeft te bewaren.

4. Een verwerkersovereenkomst met elke leverancier

Iedere partij die cliëntgegevens voor u opslaat of verwerkt, is een verwerker: uw agenda- en dossiersysteem, de dienst die uw e-mails verstuurt, een online formulier, een boekhouder die facturen met namen ziet. Met elk van hen sluit u een verwerkersovereenkomst (artikel 28). Daarin staat onder meer waar de gegevens staan, wie erbij kan, en dat u een datalek op tijd hoort. Kijk ook of de gegevens in de EU blijven.

5. Een verwerkingsregister

Omdat u gezondheidsgegevens verwerkt, houdt u een register bij, ook als u alleen werkt. Een eenvoudige tabel is genoeg. Per verwerking (bijvoorbeeld "dossier", "afspraken", "facturen", "nieuwsbrief"):

• het doel en de grondslag (zorg, wettelijke plicht, toestemming);
• welke gegevens, van wie;
• wie ze ontvangen (zorgverzekeraar, huisarts, leveranciers);
• hoe lang u ze bewaart;
• hoe ze beveiligd zijn.

Een eenmanspraktijk heeft meestal geen functionaris gegevensbescherming of DPIA nodig; voor een grote kliniek met veel cliënten kan dat anders liggen. Uw beroepsvereniging helpt bij twijfel.

6. Rechten van de cliënt

• Inzage en een afschrift: de cliënt mag haar dossier inzien en een kopie krijgen. Reageer binnen een maand; de eerste kopie is gratis.
• Aanvullen: de cliënt mag een eigen verklaring aan het dossier laten toevoegen. Een fout verbetert u met een aantekening, zodat zichtbaar blijft wat er eerst stond.
• Vernietigen: een cliënt mag vragen haar dossier te vernietigen (WGBO 7:455). Dat doet u binnen drie maanden, tenzij de wet of een groot belang van een ander zich ertegen verzet. Facturen houdt u wel, voor de Belastingdienst. Laat het verzoek bij voorkeur schriftelijk doen.
• Wie heeft er gekeken: een cliënt mag vragen wie haar dossier heeft geopend. Daarom legt een goed systeem dat vast.

7. Toegang en beveiliging in de praktijk

• Ieder een eigen login, geen gedeelde wachtwoorden. Gaat een medewerker weg, dan sluit u haar toegang dezelfde dag.
• Inloggen in twee stappen, met een app op de telefoon.
• Een medewerker ziet wat ze voor haar werk nodig heeft; de cijfers en instellingen van de praktijk zijn voor de eigenaar.
• Vergrendel computer en telefoon als u wegloopt, en laat geen dossiers open op een scherm dat cliënten kunnen zien.

8. E-mail en WhatsApp

Een herinnering of bevestiging per e-mail is prima, maar zet de behandeling niet in de onderwerpregel: die leest iedereen die meekijkt in de inbox. Stuur een dossier, verslag of foto niet als gewone bijlage als het anders kan, en controleer het adres twee keer. WhatsApp is handig voor "ik ben er over vijf minuten", niet voor foto's van een huidaandoening of medische vragen: die belanden in de fotogalerij en de back-up van uw telefoon.

9. Als het misgaat: een datalek

Een mail met een verslag aan de verkeerde cliënt, een gestolen laptop zonder wachtwoord, een gehackt account: dat is een datalek. Wat u dan doet:

• Altijd noteren in uw eigen register van datalekken: wat er gebeurde, welke gegevens, wat u heeft gedaan.
• Binnen 72 uur melden bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico geeft voor de cliënt. Bij gezondheidsgegevens is dat risico er al snel.
• De cliënt informeren als het risico voor haar hoog is, zodat ze zich kan beschermen.

Uw leveranciers moeten u een lek bij hen snel laten weten; dat staat in de verwerkersovereenkomst.

10. Een privacyverklaring

Op uw website en boekingspagina staat in gewone taal welke gegevens u vastlegt, waarom, hoe lang, met wie u ze deelt, en hoe een cliënt haar rechten gebruikt. Het verwerkingsregister uit punt 5 is daarvoor een goede basis.

Zo werkt het in ClinicBase

• Verwerkersovereenkomst: staat op de site en hoort bij de voorwaarden die u accepteert als u uw praktijk aanmaakt. De gegevens staan in de EU; een datalek bij ons hoort u binnen 48 uur nadat wij het weten.
• Eigen logins en rollen: nodig medewerkers uit met hun eigen e-mailadres (Plus). Instellingen, behandelingen en de cijfers van de praktijk zijn van de eigenaar.
• Inloggen in twee stappen per gebruiker, onder Instellingen → Mijn account.
• Ingezien: wie een dossier heeft geopend en wanneer, vastgelegd door de server en 5 jaar bewaard. De eigenaar ziet het bij de cliënt.
• Pdf voor de cliënt: het hele dossier als pdf voor inzage of een afschrift, met één klik in het dossier (Plus). Dat het is gemaakt, wordt in het dossier vastgelegd.
• Correcties zonder wissen: een verslag wordt nooit overschreven; een correctie komt erbij.
• Dossier vernietigen op verzoek van de cliënt op de cliëntkaart (de eigenaar). Facturen blijven, zonder de rest van het dossier.
• Onderwerpregels zonder behandeling in alle e-mails aan cliënten.

Meer over hoe ClinicBase de gegevens beschermt op Veiligheid en AVG.

Dit artikel is algemene informatie, geen juridisch advies. De Autoriteit Persoonsgegevens en uw beroepsvereniging hebben meer uitleg en voorbeelden; bij twijfel over uw situatie vraagt u hen of een jurist.