Achtergrond
Mag je je BIG-nummer en VOG zomaar naar een opdrachtgever mailen volgens de AVG?
Een opdrachtgever vraagt om je registratienummer, je verklaring en je diploma, en je stuurt ze binnen een minuut per mail. Dat mag, maar er zitten meer regels aan vast dan de meeste zelfstandige zorgverleners vermoeden. Dit artikel legt uit wat je precies weggeeft, wat de AVG daarvan vindt en hoe je het netter kunt aanpakken zonder omslachtig te worden.
Waar de vraag vandaan komt
De Algemene verordening gegevensbescherming is van toepassing sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. Toezichthouder is de Autoriteit Persoonsgegevens.
Die verordening gaat over persoonsgegevens, en jouw papieren staan daar vol mee. Toch denken veel zelfstandigen dat de AVG alleen over clientgegevens gaat. Dat is de eerste misvatting die uit de weg moet: als jij je eigen dossier deelt, ben jij de betrokkene en gelden de regels net zo goed, alleen dan in jouw voordeel.
Wat je precies deelt als je je papieren mailt
Zet eens naast elkaar wat er in een gemiddelde mail aan een bemiddelaar meegaat:
- je volledige naam, je geboortedatum en vaak je woonadres;
- je registratienummer en de datum waarop je registratie is ingegaan;
- een verklaring die gaat over een beoordeling van je gedrag door de overheid;
- je diploma's, met opleidingsinstituut en afstudeerjaar;
- scholingsbewijzen die laten zien welke handelingen je beheerst;
- soms een kopie van je identiteitsbewijs, waar meer op staat dan nodig is.
Los van elkaar zijn dat onschuldige gegevens. Bij elkaar vormen ze een compleet profiel van een persoon: wie je bent, waar je bent opgeleid, hoe je bent beoordeeld en waar je werkt. Dat is precies waarom dataminimalisatie in de AVG zo'n centrale gedachte is.
Let op de bijzondere categorieen
Gezondheidsgegevens zijn bijzondere persoonsgegevens in de zin van artikel 9 AVG en daarvoor gelden strengere regels. Dat lijkt hier niet te spelen, tot je merkt dat er in dossiers van zorgverleners geregeld een medische keuring, een vaccinatiebewijs of een verklaring over belastbaarheid opduikt.
Stuur dat soort stukken niet mee als er niet expliciet om gevraagd is en als er geen duidelijke grond voor is. Ze horen thuis in een apart tabblad dat je bewust uitzet wanneer je deelt.
Wie is wat onder de AVG
De rolverdeling helpt om te snappen waar je aan toe bent. Drie posities zijn van belang.
| Rol | Wie dat is | Wat dat betekent |
|---|---|---|
| Betrokkene | Jij, als de gegevens over jou gaan | Je hebt rechten op inzage, correctie en wissing |
| Verwerkingsverantwoordelijke | De opdrachtgever of bemiddelaar die je stukken ontvangt | Bepaalt doel en middelen, en moet zich verantwoorden |
| Verwerker | De leverancier die de gegevens namens een ander opslaat | Werkt op basis van een verwerkersovereenkomst |
Een verwerkersovereenkomst is geen vrijblijvende formaliteit: artikel 28 AVG schrijft die overeenkomst voor. Vraag een softwareleverancier gerust of hij er een heeft. Kan hij die niet laten zien, dan weet je genoeg.
Mag het dan, per mail?
Ja. De AVG verbiedt het versturen van je eigen papieren niet, en er is geen regel die e-mail uitsluit. Maar er zijn drie punten waarop een mail slechter scoort dan een gedeeld dossier.
Doelbinding: waarvoor mag de ontvanger het gebruiken?
Gegevens worden verzameld voor een bepaald doel. Bij een bemiddelaar is dat doel: vaststellen of je aan een opdracht mag beginnen. Voor dat doel heeft hij een aantal stukken nodig, niet je hele map. Welke stukken dat doorgaans zijn, staat op een rij in de checklist met documenten die een zorgbemiddelaar opvraagt.
Dataminimalisatie: hoeveel stuur je mee?
Wie voor de zekerheid alles meestuurt, doet het tegenovergestelde van wat de verordening bedoelt. Een selectie maken kost dertig seconden en scheelt een hoop. Zet je identiteitsbewijs er alleen bij als er echt om gevraagd wordt en er een duidelijke reden voor is.
Bewaartermijn: hoe lang blijft het staan?
Dit is het zwakke punt van elke bijlage. Zodra een bestand in een mailbox staat, bepaal jij niet meer hoe lang het bewaard blijft. Het wordt doorgestuurd, opgeslagen in een gedeelde map en geback-upt, en jij weet daar niets van.
Een link die na een vooraf ingestelde termijn vervalt, draait dat om. Jij bepaalt de houdbaarheid in plaats van de ontvanger. Hoe zo'n gedeeld dossier zich verhoudt tot een cloudmap of losse bijlagen, is uitgewerkt in het artikel over de keuze tussen een cloudmap en een documentenwacht.
Wat je rechten zijn als je iets terug wilt
Als betrokkene heb je een reeks rechten: inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar. Je kunt dus opvragen wat een organisatie van je heeft, een fout laten herstellen of vragen om verwijdering.
Een organisatie moet zo'n verzoek binnen een maand beantwoorden, met een verlenging van maximaal twee maanden als het verzoek ingewikkeld is. Komt er niets, of ben je het niet eens met het antwoord, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.
In de praktijk struikelt dit vaak op een praktisch punt: je weet niet meer aan wie je wat hebt gestuurd. Zonder overzicht van je eigen verzendingen is een verzoek om wissing lastig te richten. Ook daarom is een dossier met een lijst van gedeelde links meer dan een gemak.
Wat er misgaat en wat dat kan kosten
Een verkeerd geadresseerde mail met vijf bijlagen is zo verstuurd. Aan de ontvangende kant is dat een datalek, en dat moet binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Alle datalekken moeten daarnaast intern worden geregistreerd.
De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Die bedragen zijn niet bedoeld voor een zelfstandige met een volle agenda, maar ze laten wel zien hoe serieus de wetgever dit neemt.
Belangrijker voor jou is de gewone schade: een verklaring over jouw gedrag die bij de verkeerde persoon belandt, haal je nooit meer terug. Hoe zo'n avond met bijlagen er in de praktijk uitziet, staat beschreven in het verhaal over een spoedaanvraag voor een nachtdienst.
De andere kant: jouw plichten als zorgaanbieder
Zodra je zelf zorg verleent, ben je niet alleen betrokkene maar ook verantwoordelijk voor de gegevens van je clienten. Drie verplichtingen komen dan in beeld.
- Een verwerkingsregister volgens artikel 30 AVG. De uitzondering voor organisaties met minder dan 250 medewerkers vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft, en dat is bij zorg vrijwel altijd het geval.
- Een data protection impact assessment volgens artikel 35 AVG bij verwerkingen met een hoog risico.
- Bewaartermijnen die kloppen. Medische dossiers moeten op grond van de Wgbo twintig jaar worden bewaard, gerekend vanaf de laatste wijziging, terwijl je gewone administratie zeven jaar bewaard blijft.
Houd die twee werelden gescheiden. Het dossier over jouw bevoegdheid is iets anders dan het dossier over je clienten, en ze horen niet in dezelfde map.
Een werkwijze die past bij de AVG
- Bewaar je eigen bewijsstukken op een plek, niet verspreid over mailboxen en telefoons.
- Maak per aanvraag een selectie in plaats van je hele map te versturen.
- Deel met een link die na een ingestelde termijn vervalt, niet met bijlagen.
- Houd bij wie waar toegang toe heeft gehad, zodat je later kunt vragen om verwijdering.
- Vraag je leverancier waar de gegevens staan en of er een verwerkersovereenkomst is.
Dat is precies het ontwerp geworden van het gedeelde dossier van BIG Wacht: je documenten staan op servers binnen de Europese Unie, je deelt per keer alleen wat is aangevinkt en de link vervalt vanzelf. Waarom die keuzes vanaf het begin vastlagen, licht Jimenez Julien toe op zijn auteurspagina.
Conclusie: het mag, maar er is een betere manier
Je BIG-nummer en je VOG naar een opdrachtgever mailen is niet verboden. Het is alleen een manier van delen waarbij je in een klap de controle kwijt bent over hoeveel je weggeeft, hoe lang het bewaard blijft en wie het doorstuurt. De AVG dwingt je niet om te stoppen met mailen, maar wijst wel de richting: minder gegevens, een duidelijk doel en een eindige bewaartermijn.
BIG Wacht is daarop gebouwd. Je zet je verklaringen, je registratie, je diploma's en je scholingsbewijzen in een map met tabbladen, je vinkt per aanvraag aan wat er meegaat en je stelt in hoe lang de link werkt. Daarna vervalt hij vanzelf en blijven er geen kopieen achter in een mailbox. Wil je zien hoe dat voor jouw dossier werkt, vraag dan een demo aan via het contactformulier. Je krijgt binnen twee werkdagen persoonlijk antwoord.
