Bij een website waar ik aan werkte, kwam ik een intakeformulier tegen dat meer wilde weten dan de gemiddelde huisarts. Je moest invullen of je getrouwd was, welke klachten je had en welke medicijnen je gebruikte, allemaal voordat je ook maar een kennismakingsgesprek had aangevraagd. Voor de dienst die werd aangeboden was de helft van die vragen niet nodig, en de andere helft hoorde eerder thuis in een eerste gesprek dan in een formulier op een website.
Zo’n formulier voelt logisch als je het maakt. Je wilt weten wie er straks tegenover je zit, en veel mensen vinden het prettig om hun verhaal alvast kwijt te kunnen voordat ze de eerste keer bij je binnenstappen. Toch vraag je daarmee via je website naar het soort gegevens waar de privacywet het strengst over is. De verantwoordelijkheid daarvoor ligt bij jou als eigenaar van de praktijk, ook als je websitebouwer het formulier heeft gemaakt.
Inhoudsopgave
Veel van wat je als therapeut vraagt, valt onder bijzondere persoonsgegevens
De AVG maakt onderscheid tussen gewone persoonsgegevens, zoals naam, adres en telefoonnummer, en bijzondere persoonsgegevens. Onder die tweede groep vallen onder meer gegevens over iemands gezondheid, religie of levensbeschouwing, en seksuele gerichtheid of seksleven. Gezondheid is ruimer dan alleen een diagnose. Slaapproblemen, medicatie, een burn-out, angstklachten, een zwangerschap of de vraag of iemand onder behandeling is bij een psycholoog horen er allemaal bij.
Voor spirituele coaches komt daar iets bij waar je misschien niet aan denkt. Een vraag als “Hoe sta je in je geloof of spiritualiteit?” gaat over levensbeschouwing, en die valt dus ook in deze strenge categorie. Hetzelfde geldt voor een open vak waarin mensen vertellen over problemen in hun relatie, omdat daar al snel iets in staat over hun seksleven of gezondheid.
De wet gaat ervan uit dat je bijzondere persoonsgegevens niet verwerkt, tenzij er een uitzondering geldt. Voor de meeste coaches en therapeuten komt dat neer op één uitzondering: de persoon geeft er uitdrukkelijk toestemming voor. Ik ben websitebouwer en geen jurist, dus voor jouw precieze situatie kun je het beste bij je beroepsvereniging terecht, zeker als je met een behandeldossier werkt. Waar ik wel mee kan helpen, is hoe zo’n formulier op je website in elkaar zit en waar je dan op let.
Een vinkje bij je formulier moet je bezoeker er bewust aan zetten
Veel formulieren hebben onderaan één vinkje met “Ik ga akkoord met de privacyverklaring”. Voor gewone gegevens is dat prima, maar voor gezondheid of levensbeschouwing is het te weinig. Uitdrukkelijke toestemming betekent dat iemand apart en bewust ja zegt tegen precies dit gebruik van precies deze gegevens, en dat het vakje niet al aangevinkt staat als het formulier opent.
In de praktijk is dat een extra vinkje met een zin die iedereen begrijpt, bijvoorbeeld: “Ik geef [naam praktijk] toestemming om de informatie over mijn gezondheid uit dit formulier te gebruiken om mijn eerste afspraak voor te bereiden.” Je websitebouwer kan zo’n vinkje makkelijk toevoegen, en gebruik je Google Forms, dan maak je er een verplicht selectievakje van.
Denk er ook aan dat iemand die toestemming later kan intrekken. Als een klant je vraagt om de informatie te verwijderen, moet je weten waar die overal staat. Daar kom ik verderop op terug, want dat zijn vaak meer plekken dan je denkt.
Vraag online alleen wat je nodig hebt voor een eerste afspraak
De eenvoudigste oplossing is om minder te vragen. Om een afspraak in te plannen heb je een naam, een e-mailadres, eventueel een telefoonnummer en een idee van waar iemand mee zit nodig. Dat laatste kun je zo vragen dat mensen niet vanzelf hun hele medische geschiedenis gaan typen, bijvoorbeeld met “Waar kan ik je mee helpen? Een paar woorden is genoeg, de rest bespreken we samen.” Loop daarnaast elk veld na met de vraag of je het antwoord echt nodig hebt om iemand te kunnen helpen. Een vraag als “Ben je getrouwd?” valt niet onder de strenge regels, maar als je er niets mee doet, hoort hij er ook niet in, want de AVG vraagt je om niet meer te verzamelen dan nodig is.
Het uitgebreide intakegesprek past dan in het vrijblijvend kennismakingsgesprek of in de eerste sessie, waar je de vragen stelt die je nu in je formulier hebt staan. Dat heeft ook buiten de privacy een voordeel: in een gesprek hoor je hoe iemand het vertelt, en je kunt doorvragen op wat opvalt.
Wil je toch vooraf uitgebreide informatie hebben, bijvoorbeeld omdat je een wachtlijst hebt of je sessies lang zijn, stuur dan na het eerste contact een apart intakeformulier. Dan weet je wie het invult en waarom, en kun je de toestemming en de uitleg daar goed regelen.
Kijk waar de antwoorden van je formulier terechtkomen
Als iemand je formulier invult, komen de antwoorden meestal op twee plekken terecht. Je krijgt een mail met alle ingevulde velden, en vaak bewaart je website er ook een kopie van. Die mail staat vervolgens in je inbox op je laptop en op je telefoon, en de kopie op je website blijft staan tot iemand hem weghaalt. Iedereen die kan inloggen op je website kan hem lezen, dus ook je websitebouwer.
Voor gezondheidsgegevens vraagt de wet om passende beveiliging. Het deel op je website is iets voor je websitebouwer: vraag of de antwoorden daar bewaard worden, en laat dat uitzetten als je ze op je website niet nodig hebt. Je mailbox is van jou. Zet daar tweestapsverificatie aan, en haal de mails met intakegegevens weg zodra je de informatie in je cliëntdossier hebt gezet.
Zet in je privacyverklaring wat je met die gegevens doet en hoe lang je ze bewaart. Schrijf op wat er echt gebeurt, ook als dat eenvoudig klinkt, zoals “Ik verwijder je aanvraag uit mijn mail zodra die in je dossier staat”. Een klant heeft daar meer aan dan een paar alinea’s juridische standaardtekst waar niemand iets van begrijpt.
Pak vandaag je eigen formulier erbij
Open je website als een bezoeker en vul je eigen formulier in, met verzonnen gegevens. Kijk daarna bij elk veld of iemand er iets kan invullen over gezondheid, geloof of relaties, en of je die informatie echt nodig hebt voordat iemand bij je in de praktijk zit. Staat er zo’n veld in, controleer dan of er een apart vinkje voor toestemming staat dat niet al aangevinkt is.
Kijk daarna waar je testinzending terechtkwam. Staat hij in je mail, en weet je van je websitebouwer of er ook een kopie op je website blijft staan? Als je voor je testinzending weet waar hij overal staat en hoe je hem weghaalt, weet je het ook voor de aanvragen van je klanten.
