Inleiding
Als podoloog werk je dagelijks met gevoelige medische gegevens. De Algemene Verordening Gegevensbescherming, internationaal bekend als GDPR en in het Nederlands ook AVG genoemd, stelt strenge eisen aan hoe je deze gegevens verwerkt en beschermt.
Klinkt ingewikkeld? Het vraagt vooral discipline en bewijsbaarheid. Met deze praktische checklist breng je je praktijk op orde. Ook de software voor je podologiepraktijk hoort in die oefening thuis: ze neemt je verplichtingen niet over, maar bepaalt wel waar patiëntgegevens staan en wie erbij kan.
Software is een groot deel van je GDPR-huiswerk. Het meertalige publieke privacybeleid van VIMA dekt de website, account- en klantverwerking en de rol van VIMA als verwerker voor patiënt-/cliëntgegevens in de app. De actuele technische exportmogelijkheden en de verwerkersovereenkomst kan je nog steeds bevestigen via [email protected].
Richt je een nieuwe praktijk in? Leg deze checklist naast de starterspagina voor podologen. Softwarekeuze, praktijkafspraken en juridische verplichtingen blijven afzonderlijke aandachtspunten.
Wat is de GDPR?
De GDPR is Europese wetgeving die de privacy van burgers beschermt. Sinds 2018 is deze wet van kracht in alle EU-landen, inclusief België.
Voor jouw praktijk betekent dit:
- Je moet zorgvuldig omgaan met patiëntgegevens
- Je mag alleen gegevens verzamelen die je echt nodig hebt
- Patiënten hebben rechten over hun eigen gegevens
- Bij datalekken moet je actie ondernemen
- Overtredingen kunnen leiden tot boetes
Welke gegevens vallen onder de GDPR?
Alle gegevens die een persoon identificeerbaar maken:
- Naam, adres, telefoonnummer
- E-mailadres
- Geboortedatum
- Rijksregisternummer
- Foto's
- Medische gegevens (bijzondere categorie, extra beschermd)
Als podoloog verwerk je vooral medische gegevens. Die vallen onder de strengste bescherming.
Checklist: 12 punten voor je praktijk
1. Verwerkingsregister bijhouden
Je moet documenteren welke persoonsgegevens je verwerkt, waarom, en hoe lang je ze bewaart.
Actie: Maak een eenvoudig document met:
- Welke gegevens verzamel je?
- Waarom verzamel je ze?
- Hoe lang bewaar je ze?
- Wie heeft toegang?
2. Privacyverklaring opstellen
Informeer patiënten over hoe je hun gegevens verwerkt.
Actie: Plaats een privacyverklaring op je website en geef deze desgevraagd aan patiënten. Vermeld:
- Welke gegevens je verzamelt
- Waarvoor je ze gebruikt
- Hoe lang je ze bewaart
- Rechten van de patiënt
3. Verwerkersovereenkomsten afsluiten
Gebruik je diensten van derden die toegang hebben tot patiëntgegevens (zoals praktijksoftware, cloudopslag)?
Actie: Bepaal eerst de rol van elke partij. Sluit een verwerkersovereenkomst met partijen die persoonsgegevens namens jouw praktijk verwerken. Een zelfstandige verwerkingsverantwoordelijke heeft een andere rol; niet elke gegevensuitwisseling vraagt dezelfde overeenkomst. Zie artikel 28 van de AVG.
4. Beveiligingsmaatregelen nemen
Bescherm gegevens tegen onbevoegde toegang.
Actie:
- Gebruik sterke wachtwoorden
- Activeer tweefactorauthenticatie waar mogelijk
- Vergrendel je computer als je wegloopt
- Versleutel je harde schijf
- Houd software up-to-date
5. Toegang beperken
Niet iedereen hoeft overal bij te kunnen.
Actie: Zorg dat alleen jij (en eventuele medewerkers die het nodig hebben) toegang hebben tot patiëntdossiers.
6. Bewaartermijnen respecteren
Je mag gegevens niet eindeloos bewaren.
Actie:
- Patiëntendossiers binnen de Kwaliteitswet-context: minimum 30 en maximum 50 jaar vanaf het laatste patiëntencontact, volgens artikel 35
- Betaalbewijzen en boekhoudstukken: laat je boekhouder de toepasselijke fiscale bewaartermijn per documenttype en periode bepalen
- Documenteer per gegevenscategorie waarom je ze bewaart en wanneer je ze verwijdert
7. Datalekprocedure opstellen
Wat doe je als gegevens per ongeluk uitlekken?
Actie: Weet dat je:
- Een datalek intern moet beoordelen en documenteren
- Zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur na kennisname aan de Gegevensbeschermingsautoriteit meldt, tenzij het onwaarschijnlijk is dat het lek een risico inhoudt voor rechten en vrijheden
- De betrokken personen zonder onredelijke vertraging informeert wanneer het lek waarschijnlijk een hoog risico inhoudt, behoudens de wettelijke uitzonderingen
Zie artikelen 33 en 34 van de AVG voor de voorwaarden.
8. Rechten van patiënten respecteren
Patiënten hebben rechten:
- Inzage: ze mogen hun dossier zien
- Correctie: ze mogen fouten laten aanpassen
- Verwijdering: ze mogen vragen om verwijdering (met beperkingen bij medische dossiers)
- Dataportabiliteit: ze mogen hun gegevens opvragen in een bruikbaar formaat
Actie: Weet hoe je aan deze verzoeken voldoet.
9. Alleen noodzakelijke gegevens verzamelen
Verzamel niet meer dan je nodig hebt.
Actie: Vraag je bij elk gegeven af: heb ik dit echt nodig voor de behandeling of administratie?
10. Beveiligde communicatie gebruiken
E-mail is niet standaard beveiligd.
Actie:
- Stuur geen gevoelige medische informatie via gewone e-mail
- Gebruik een passend beveiligd communicatiekanaal; toestemming vervangt je beveiligingsplicht niet
11. Papieren dossiers beveiligen
Ook papier valt onder de GDPR.
Actie:
- Bewaar dossiers in afsluitbare kasten
- Vernietig oude documenten met een papierversnipperaar
- Laat geen dossiers open liggen
12. Praktijksoftware controleren
Je software moet de juiste controles ondersteunen; zorgvuldig volgens de GDPR werken blijft een combinatie van software, contracten en praktijkafspraken.
Actie: Check of je software:
- Data versleuteld opslaat
- Hostinglocatie, subverwerkers en eventuele doorgiften buiten de EER duidelijk documenteert
- Een verwerkersovereenkomst biedt
- Toegang logt (wie keek wanneer in welk dossier)
- Data-export mogelijk maakt
Veelgestelde vragen
Moet ik een functionaris gegevensbescherming (DPO) aanstellen?
Dat hangt af van je verwerkingen. Een DPO is onder meer verplicht bij grootschalige verwerking van bijzondere categorieën gegevens, zoals gezondheidsgegevens. Een solopraktijk zal vaak niet grootschalig verwerken, maar beoordeel dit concreet en documenteer je keuze.
Wat zijn de boetes bij overtredingen?
De GDPR bevat hoge maximale sancties, maar een toezichthouder kijkt naar context, ernst, duur, schade, maatregelen en medewerking. Gebruik boetebedragen dus niet als enige motivatie: je doel is aantoonbaar zorgvuldig omgaan met patiëntgegevens.
Mag ik patiëntgegevens per e-mail versturen?
Beoordeel de rechtsgrond, het beroepsgeheim, de ontvanger en de noodzakelijke gegevens. Gebruik passende beveiliging, zoals een beveiligd portaal of versleutelde overdracht. Toestemming alleen maakt een onveilig kanaal niet verantwoord. Zie artikelen 6, 9 en 32 van de AVG.
Hoe lang moet ik medische dossiers bewaren?
Voor zorgverleners binnen de Kwaliteitswet-context wordt het patiëntendossier minimum 30 en maximum 50 jaar bewaard vanaf het laatste patiëntencontact. Andere gegevens vallen onder opslagbeperking: niet langer bewaren dan nodig voor het doel.
Voldoet mijn software aan de GDPR?
Vraag de aanbieder naar: verwerkersovereenkomst, toegangsbeheer, beveiliging, back-ups, incidentprocedure, export, verwijdering, subverwerkers, hostinglocatie en eventuele doorgiften buiten de EER.
Samenvatting checklist
- Verwerkingsregister opgesteld
- Privacyverklaring op website
- Verwerkersovereenkomsten met leveranciers
- Sterke wachtwoorden en tweefactorauthenticatie
- Toegang tot dossiers beperkt
- Bewaartermijnen gedocumenteerd
- Datalekprocedure bekend
- Weet hoe ik patiëntenrechten respecteer
- Alleen noodzakelijke gegevens verzamelen
- Beveiligde communicatie voor gevoelige info
- Papieren dossiers in afsluitbare kast
- Software ondersteunt verwerkersovereenkomst, toegang, beveiliging, back-ups, export en verwijdering
Officiële bronnen gecontroleerd op 15 september 2026: GBA-kmo-gids, GDPR artikel 32 via EUR-Lex en Kwaliteitswet via Belgisch Staatsblad/openJustice.
Conclusie
De GDPR is geen papieren tijger. Als zorgverlener heb je een extra verantwoordelijkheid omdat je met medische gegevens werkt, en de Gegevensbeschermingsautoriteit kijkt steeds scherper naar de zorgsector. Maar met gezond verstand en een goede checklist is het goed te doen.
Begin met de basis: beveilig je systemen, documenteer wat je doet, en kies software die je controles ondersteunt. Dan heb je een verdedigbaar vertrekpunt, maar blijf je verplichtingen regelmatig opnieuw toetsen.