Een werkgever belt met de vraag hoe het met zijn medewerker gaat. Of een bezorgde ouder wil weten wat haar volwassen kind jou heeft verteld. Je weet intuïtief dat je niets mag zeggen, maar als de beller doorvraagt en jij je eigen algemene voorwaarden erbij pakt, blijkt dat ze dit soort situaties niet dekken. Wat had je cliënt precies ondertekend? En wat heb jij juridisch eigenlijk vastgelegd?

Voor therapeuten komen in de algemene voorwaarden drie juridische kaders samen: het beroepsgeheim, de AVG en de vertrouwelijkheidsafspraken met de cliënt. Als die drie niet op elkaar aansluiten, ontstaan er gaten. In die gaten liggen tuchtklachten, datalekken en beschadigde vertrouwensrelaties. Dit artikel laat zien hoe je dat voorkomt.

Drie veelgemaakte fouten die therapeuten nu in de problemen brengen

Veel therapeuten gebruiken algemene voorwaarden die ze ooit ergens hebben gekopieerd of die ze jarenlang geleden lieten opstellen. Drie problemen komen steeds terug.

Ten eerste: een te ruime delingsbevoegdheid. Clausules als ‘wij kunnen gegevens delen met relevante derden’ klinken voorzichtig, maar zijn feitelijk een open deur. Wie zijn die derden? Onder welke voorwaarden? Zonder beperking ondermijnt zo’n zin direct je beroepsgeheim.

Ten tweede: ontbrekende grondslag voor gezondheidsgegevens. De AVG behandelt gezondheidsgegevens als bijzondere persoonsgegevens. Je hebt dus niet zomaar een grondslag voor de verwerking ervan. Veel algemene voorwaarden noemen geen enkele grondslag, waardoor de hele dataverwerking in juridische lucht hangt.

Ten derde: bewaartermijnen die niet kloppen. De Wet op de geneeskundige behandelingsovereenkomst (WGBO) verplicht je een medisch dossier twintig jaar te bewaren. De AVG vraagt juist om dataminimalisatie en kortere termijnen. Als je voorwaarden alleen ‘conform wettelijke termijnen’ zeggen zonder die termijnen te benoemen, weet niemand wat er precies geldt.

De juridische driehoek die je moet begrijpen

Voordat je een clausule schrijft, is het belangrijk te begrijpen hoe drie juridische kaders naast elkaar bestaan en soms botsen.

Het beroepsgeheim (artikel 7:457 BW) geldt voor BIG-geregistreerde zorgverleners en verbiedt je om zonder toestemming van de patiënt informatie te delen. Schending kan leiden tot tuchtrechtelijke maatregelen.

De AVG regelt hoe je gezondheidsgegevens mag verwerken. De uitzondering die therapeuten het meest gebruiken staat in artikel 9 lid 2 sub h: verwerking is toegestaan als die noodzakelijk is voor de verlening van gezondheidszorg. Maar die uitzondering geeft je geen vrijbrief. Je moet nog steeds voldoen aan transparantie, beveiliging en rechten van betrokkenen.

Contractuele geheimhouding, vastgelegd in je algemene voorwaarden, is wat je met de cliënt afspreekt. Dit mag nooit breder zijn dan wat de wet toestaat, maar het mag wel specifieker zijn. Juist die specificiteit maakt je voorwaarden nuttig.

Het gevaar zit in de overlap. Als je in je voorwaarden vastlegt dat je gegevens deelt ’tenzij het beroepsgeheim zich daartegen verzet’, geef je de cliënt een vals gevoel van veiligheid. Want het beroepsgeheim heeft uitzonderingen die de cliënt misschien niet kent.

Stap 1: bepaal je verwerkingsgrondslag vóór je een clausule schrijft

Dit is de meest overgeslagen stap. Therapeuten schrijven een geheimhoudingsclausule zonder eerst te bepalen op welke grondslag ze überhaupt gezondheidsgegevens mogen verwerken.

Voor BIG-geregistreerde therapeuten is de grondslag meestal artikel 9 lid 2 sub h AVG: noodzakelijk voor de behandelovereenkomst. Je hoeft daarvoor geen aparte toestemming te vragen. Maar let op: dit geldt alleen voor gegevens die echt noodzakelijk zijn voor de behandeling zelf.

Voor coaches zonder BIG-registratie is dat anders. Coaching valt niet onder gezondheidszorg in de juridische zin. Als jij als coach toch gezondheidsgegevens verzamelt (bijvoorbeeld over depressie of burnout), heb je expliciete toestemming nodig als grondslag. Dat is een apart, actief akkoord, niet een vinkje in de algemene voorwaarden.

Zet de gekozen grondslag expliciet in je voorwaarden en zorg dat deze aansluit op je privacyverklaring en algemene voorwaarden. Niet als juridisch jargon, maar als heldere zin: ‘Wij verwerken jouw gezondheidsgegevens op grond van de behandelovereenkomst, zoals bedoeld in artikel 9 lid 2 sub h van de AVG.’

Stap 2: formuleer de geheimhoudingsclausule zonder jezelf in de val te lokken

Een goede geheimhoudingsclausule beschermt de cliënt, maar is ook eerlijk over de grenzen. Dat betekent: benoem de wettelijke uitzonderingen expliciet.

Verplichte uitzonderingen die je altijd moet opnemen zijn situaties waarbij er sprake is van een redelijk vermoeden van kindermishandeling of huiselijk geweld (Meldcode), en situaties waarbij een rechterlijk bevel je verplicht te spreken. Noem deze gevallen bij naam. Schrijf niet ’tenzij de wet ons verplicht’, want dat is te vaag. Een cliënt die later verrast wordt door een melding, had dat van tevoren moeten kunnen lezen.

Een werkbare formulering ziet er zo uit: ‘Wij bewaren strikte vertrouwelijkheid over alles wat je met ons deelt. Wij delen geen informatie met derden zonder jouw uitdrukkelijke toestemming, behalve in de volgende situaties: (a) bij een wettelijke meldplicht zoals de Meldcode Huiselijk Geweld en Kindermishandeling, (b) bij een rechterlijk bevel.’

Stap 3: dossiervorming en bewaartermijnen in één bepaling

De WGBO verplicht BIG-geregistreerde therapeuten om een dossier twintig jaar te bewaren na het einde van de behandeling; dit is onderdeel van het beleid voor klantdata en accounts na beëindiging. De AVG vraagt je tegelijkertijd om niet langer te bewaren dan noodzakelijk. Dit lijkt tegenstrijdig, maar is dat niet. De wettelijke bewaarplicht is zelf een rechtmatige grondslag voor die langere bewaartermijn.

Leg dit in je voorwaarden als volgt vast: benoem de twintig jaar termijn expliciet voor het behandeldossier, en geef aan dat andere gegevens (zoals marketinggegevens of nieuwsbriefadressen) een kortere termijn hebben. Voeg toe welke software je gebruikt voor digitale dossiers en dat die software een verwerkersovereenkomst heeft getekend.

Stap 4: delen met derden in afzonderlijke leden

Eén vage zin over ‘derden’ is onvoldoende. Maak aparte bepalingen voor elke categorie.

  • Huisartsen en verwijzers: alleen met uitdrukkelijke toestemming van de cliënt, tenzij er sprake is van een acuut veiligheidsrisico.
  • Zorgverzekeraars: leg uit dat bij vergoeding via de basisverzekering DBC-codes worden gedeeld, en dat de cliënt het recht heeft om dit te weigeren (maar dan zelf de kosten draagt).
  • Waarnemende collega’s: geef aan dat bij ziekte of vakantie een collega toegang heeft tot het dossier, en vraag daarvoor toestemming bij aanvang van de behandeling.
  • Supervisoren: maak duidelijk dat casuïstiek geanonimiseerd wordt besproken in supervisie, tenzij de cliënt expliciet toestemming geeft voor herkenbare bespreking.

Stap 5: verwerkersclausule voor software en facturatie

Als je een elektronisch patiëntendossier (EPD) of facturatiesoftware gebruikt, ben jij de verwerkingsverantwoordelijke en is die softwareleverancier de verwerker. Je bent wettelijk verplicht een verwerkersovereenkomst met hen te sluiten.

In je algemene voorwaarden hoef je niet de hele overeenkomst te herhalen. Volsta met: de naam van de software, de vermelding dat er een verwerkersovereenkomst is gesloten, en een verwijzing naar je privacyverklaring voor meer details.

Stap 6: rechten van de cliënt als actieve bepaling

Schrijf de AVG-rechten van je cliënt als concrete, bruikbare afspraken, niet als juridische voetnoot. Inzage, correctie, het recht op vergetelheid en dataportabiliteit zijn rechten die je cliënt in de praktijk kan uitoefenen.

Voeg wel één belangrijke grens toe: therapeutische werkaantekeningen voor jezelf (niet bedoeld als officieel dossier) vallen buiten het inzagerecht. Dat is juridisch zo geregeld, maar vertel het de cliënt van tevoren zodat er geen verwarring over ontstaat.

Stap 7: toestemming die later standhoudt

Een vinkje bij ‘ik ga akkoord met de algemene voorwaarden’ is zelden voldoende bewijs dat een cliënt geïnformeerd heeft ingestemd, zeker niet voor gezondheidsgegevens. Leg in je voorwaarden vast dat de privacyverklaring actief is aangeboden (bijvoorbeeld via e-mail of een intakeformulier) en dat de cliënt de gelegenheid heeft gehad vragen te stellen.

Bewaar dit bewijs. Een handtekening op het intakeformulier, een bevestigingsmail of een aantekening in het dossier zijn alle drie bruikbaar.

Controleer je concept met vijf toetsvragen

Voordat je je algemene voorwaarden publiceert, loop je ze langs deze vijf vragen.

  • Staat de verwerkingsgrondslag voor gezondheidsgegevens expliciet benoemd?
  • Worden alle wettelijke uitzonderingen op het beroepsgeheim met naam en toenaam genoemd?
  • Klopt de bewaartermijn met de WGBO, en is dat uitgelegd?
  • Zijn alle categorieën derden apart benoemd met de bijbehorende toestemmingsbasis?
  • Kun je aantonen dat de cliënt de privacyverklaring actief heeft ontvangen en begrepen?

Kun je alle vijf vragen met ‘ja’ beantwoorden, dan staan je algemene voorwaarden als therapeut op het gebied van geheimhouding op juridisch stevige grond.

Geheimhouding in algemene voorwaarden is voor therapeuten complexer dan voor de meeste andere beroepen, omdat beroepsgeheim, AVG en contractuele vertrouwelijkheid elk hun eigen eisen stellen en toch op elkaar moeten aansluiten. Dat begint bij een heldere verwerkingsgrondslag, en eindigt bij clausules die ook kloppen met wat je in de praktijk doet.

Gebruik de generator als startpunt en pas de clausules daarna aan op jouw situatie: of je BIG-geregistreerd bent, welke software je gebruikt voor dossiervorming, en hoe je de administratie met zorgverzekeraars regelt. Dat is werk van een kwartier, en het voorkomt problemen die aanzienlijk meer tijd kosten.