AVG voor coaches: privacy en cliëntgegevens praktisch geregeld

Als coach hoor je verhalen die mensen nergens anders vertellen. Je noteert namen, e-mailadressen, soms iets over iemands gezondheid, werk of relatie. Daarmee verwerk je persoonsgegevens, en dan geldt de AVG: de privacywet die sinds 2018 in heel Europa van kracht is. Dat klinkt zwaarder dan het is. Met een handvol goed geregelde basiszaken voldoe je als kleine praktijk prima, en straal je meteen professionaliteit uit naar je cliënten. In dit artikel lopen we het rustig door.

Dit is algemene uitleg, geen juridisch advies. Voor de officiële bron kun je terecht bij de Autoriteit Persoonsgegevens.

Welke gegevens je eigenlijk verwerkt

Een persoonsgegeven is alles wat te herleiden is tot een persoon: een naam, een e-mailadres, een telefoonnummer, maar ook aantekeningen uit een sessie. De AVG kent daarnaast een categorie bijzondere gegevens die extra bescherming krijgt, zoals informatie over iemands gezondheid, geloof of seksuele leven.

Juist bij coaching raak je die bijzondere categorie sneller dan je denkt. Een aantekening over stressklachten, een burn-out of een rouwproces valt onder gezondheidsgegevens. Dat betekent niet dat je die dingen niet mag vastleggen, maar wel dat je er zorgvuldiger mee omgaat en er een goede reden voor hebt.

De grondslag: waarom mag je het vastleggen

Voor elke verwerking heb je een geldige grondslag nodig. Voor coaching is dat meestal de uitvoering van de overeenkomst die je met je cliënt hebt: om je werk te doen heb je nu eenmaal contactgegevens en enige dossiervorming nodig. Voor de gevoeliger aantekeningen leun je vaak op de uitdrukkelijke toestemming van je cliënt.

Het praktische advies: leg kort vast waarom je bepaalde gegevens bewaart, en vraag toestemming waar dat past. Dat hoeft geen dik contract te zijn, een heldere afspraak vooraf volstaat.

Je privacyverklaring

De AVG vraagt dat je transparant bent. Dat regel je met een privacyverklaring op je website. Daarin vertel je in gewone taal:

• wie je bent en hoe je bereikbaar bent;
• welke gegevens je verzamelt en met welk doel;
• op welke grondslag je dat doet;
• hoe lang je de gegevens bewaart;
• met welke partijen je ze eventueel deelt;
• welke rechten je cliënt heeft en hoe die daar gebruik van maakt;
• dat iemand een klacht kan indienen bij de Autoriteit Persoonsgegevens.

Je hoeft het wiel niet opnieuw uit te vinden. Kijk gerust naar een bestaand voorbeeld, zoals onze eigen privacyverklaring, en schrijf je eigen versie die klopt met hoe jij werkt.

Bewaartermijnen: niet langer dan nodig

Hier gaat het vaak mis, en hier circuleren ook hardnekkige misverstanden. De AVG noemt geen vaste minimumtermijn voor een coachdossier. De regel is simpel: bewaar gegevens niet langer dan noodzakelijk voor het doel waarvoor je ze hebt.

• Coachdossier: kies zelf een redelijke termijn die past bij jouw werk, leg die vast in je privacyverklaring en houd je eraan. Zolang je die keuze kunt onderbouwen, ben je goed bezig. Een langdurige medische bewaarplicht zoals in de zorg geldt alleen voor BIG-geregistreerde zorgverleners, niet voor de meeste coaches.
• Financiële administratie: facturen en boekhouding moet je van de Belastingdienst zeven jaar bewaren. Dat is wél een wettelijke plicht, los van de AVG.

Ruim gegevens dus actief op als je ze niet meer nodig hebt, in plaats van alles voor de zekerheid eindeloos te bewaren.

Beveiliging in de praktijk

De AVG vraagt om passende beveiliging. Dat is voor een coachpraktijk goed te doen met een paar gewoontes:

• sterke, unieke wachtwoorden en waar mogelijk tweestapsverificatie;
• versleutelde, met wachtwoord beveiligde opslag in plaats van losse mappen of papier dat rondslingert;
• regelmatige back-ups, zodat je niets kwijtraakt;
• je apparaten en software up-to-date houden;
• gevoelige informatie niet zomaar via onbeveiligde kanalen versturen.

Werk je met software of AI-tools

Gebruik je een boekhoudpakket, een planningstool, een mailprovider of clouddienst waarin cliëntgegevens staan, dan verwerkt die partij gegevens namens jou. Daarvoor sluit je een verwerkersovereenkomst af. Bij de meeste zakelijke diensten staat die kant-en-klaar in de voorwaarden, je hoeft hem vaak alleen te accepteren.

Zet je AI-tools in, wees dan extra alert. Gebruik een zakelijke versie met een verwerkersovereenkomst, let op waar de gegevens worden verwerkt en zet er liever geen herleidbare cliëntinformatie in. Anonimiseer waar het kan.

De rechten van je cliënt

Je cliënt mag onder meer vragen om inzage in zijn gegevens, om correctie van iets dat niet klopt, en om verwijdering. Zorg dat je zo'n verzoek kunt uitvoeren en reageer er binnen een redelijke termijn op. In de praktijk is dat vooral een kwestie van je dossier ordelijk houden, zodat je snel weet wat je van iemand bewaart.

Een datalek: wat dan

Raakt er onverhoopt informatie kwijt of in verkeerde handen, bijvoorbeeld een gestolen laptop of een mail naar de verkeerde persoon, dan heet dat een datalek. Bij een risico voor je cliënten meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens, en soms ook bij de betrokkenen zelf. Het helpt om vooraf te bedenken wat je dan zou doen, zodat je niet hoeft te improviseren.

Kort stappenplan

1. Schrijf een privacyverklaring en zet die op je website.

2. Neem een korte privacyafspraak op in je coachovereenkomst.

3. Controleer je software op een verwerkersovereenkomst en sluit die af.

4. Bepaal je bewaartermijnen en leg ze vast.

5. Regel je beveiliging: wachtwoorden, tweestapsverificatie, back-ups, updates.

6. Houd een eenvoudig overzicht bij van welke gegevens je verwerkt en waarom.

Met die basis op orde voldoe je aan de belangrijkste eisen en, minstens zo belangrijk, laat je je cliënten zien dat hun vertrouwen bij jou in goede handen is. Wil je je verder verdiepen in professioneel en betrouwbaar werken als coach, lees dan ook waar je op let bij kwaliteit en bekijk hoe cliënten een coach kiezen die bij hen past.