De AVG voor coaches: zo ga je om met gezondheidsgegevens
Door Shandor de Prouw, coach en oprichter van KOHORT
4 minuten lezen
De AVG voor coaches is strenger dan veel coaches denken. Gewicht, slaap, blessures, bloedwaarden en de cyclus van een klant gelden als gezondheidsgegevens. Die vallen onder de bijzondere persoonsgegevens. Die mag je in principe niet verwerken, tenzij je aan strenge eisen voldoet.
Hieronder lees je wat dat in de praktijk betekent: welke toestemming je nodig hebt, wat er in je privacyverklaring hoort en waarom je met je software een verwerkersovereenkomst sluit. Dit is geen juridisch advies. Twijfel je over jouw situatie, vraag het dan aan een jurist.
Waarom de gegevens van je klanten bijzonder zijn
De Autoriteit Persoonsgegevens noemt gegevens over iemands gezondheid uitdrukkelijk als bijzondere persoonsgegevens. Die verwerken is verboden, tenzij je voldoet aan een aantal strenge eisen. Een gewone grondslag, zoals de overeenkomst met je klant, is dan niet genoeg.
Voor een coach gaat het om meer dan je zou denken: een gewicht in de check-in, slaapuren, een blessure, bloedwaarden, de menstruatiecyclus of medicatie. Houd je dat per klant bij, dan gelden deze regels voor jou.
Uitdrukkelijke toestemming van je klant
De uitzondering waar een coach meestal op leunt, is uitdrukkelijke toestemming. Dat is een strengere vorm dan gewone toestemming. Je klant geeft die vrij, voor een duidelijk doel, op basis van goede uitleg en met een actieve handeling. Een vinkje dat al aan staat telt niet.
Leg vast wanneer en waarvoor je klant toestemming gaf. Maak intrekken net zo makkelijk als geven. In KOHORT staat die toestemming als verplicht vinkje in je online intakeformulier, met een link naar je eigen privacyverklaring.
Een privacyverklaring die klopt
In je privacyverklaring staat welke gegevens je verwerkt, waarvoor, op welke grondslag, hoe lang je ze bewaart en met welke partijen je werkt. De Autoriteit Persoonsgegevens raadt aan de grondslag daar te noemen. Dan weet je klant waarom je de gegevens mag verwerken.
In KOHORT zet je je eigen voorwaarden en privacyverklaring in je omgeving. Ze staan op je eigen adres, zodat je klant ze kan lezen voordat die iets invult.
Een verwerkersovereenkomst met je software
Gebruik je software om de gegevens van je klanten bij te houden, dan ben jij verwerkingsverantwoordelijke en is de leverancier verwerker. Dat geldt ook voor een clouddienst waar alleen je bestanden staan. De AVG schrijft voor dat je daar schriftelijke afspraken over maakt: een verwerkersovereenkomst.
Let ook op waar de gegevens staan. Voor doorgifte buiten de EU gelden extra regels. Je moet aan je klant ook kunnen uitleggen waar het dossier ligt.
Bij KOHORT ga je akkoord met de verwerkersovereenkomst voordat je je eerste echte klant uitnodigt. De database staat in Ierland. In de overeenkomst staan alle partijen die meewerken, met het land erbij.
Inzage, export en verwijderen
Je klant mag vragen welke gegevens je hebt. Die mag je klant ook laten verbeteren, laten verwijderen of meenemen. Je software hoort je daarbij te helpen.
In KOHORT exporteer je de gegevens van een klant als bestand. Verwijder je een klant, dan gaan het dossier en de bestanden mee. Kijkt er iemand mee in je omgeving, bijvoorbeeld voor support, dan geef jij daar eerst toestemming voor en zie je terug wie er wanneer was.
Een korte checklist
- Vraag uitdrukkelijke toestemming voor gezondheidsgegevens, met een vinkje dat je klant zelf aanzet.
- Zet een privacyverklaring op je site of in je app, met de grondslag erin.
- Sluit een verwerkersovereenkomst met elke partij die gegevens van je klanten verwerkt.
- Weet waar de gegevens staan en wie erbij kan.
- Vraag alleen wat je voor de begeleiding echt nodig hebt.
- Bewaar gegevens niet langer dan nodig en ruim op als iemand stopt.
Veelgestelde vragen
- Moet ik als kleine coach ook een verwerkersovereenkomst hebben?
- Ja. Het gaat er niet om hoe groot je bedrijf is, maar of een andere partij gegevens voor je verwerkt. Gebruik je software of een clouddienst voor je klantgegevens, dan hoort daar een verwerkersovereenkomst bij.
- Mag ik de check-ins van mijn klanten in een spreadsheet bijhouden?
- Dat mag, maar dezelfde regels gelden. Je hebt uitdrukkelijke toestemming nodig, het bestand moet goed beveiligd zijn en met de partij waar het bestand staat sluit je een verwerkersovereenkomst.
- Waar staan de gegevens bij KOHORT?
- De database staat in Ierland, binnen de EU. In de verwerkersovereenkomst staan alle partijen die meewerken, met het land erbij.
- Kan mijn klant de eigen gegevens opvragen?
- Ja. Je klant vraagt het aan jou, want jij bent verwerkingsverantwoordelijke. In KOHORT download je de gegevens van die klant als bestand en stuur je dat door.
Zie het zelf
Kijk rond in de demo zonder account, of bouw je eigen omgeving. Je betaalt pas bij je eerste echte klant.