Beveiligde berichten in coaching: zo deel je veilig informatie

Beveiligde berichten in coaching: zo deel je veilig informatie

Beveiligde berichten in coaching zijn berichten die alleen jij en je coachee kunnen lezen. Ze staan op een plek waar jij de regie hebt, en je weet wie er nog meer bij kan. Dat klinkt eenvoudig. In de praktijk loopt het contact met coachees vaak via WhatsApp, gewone e-mail en losse bijlagen door elkaar. In dit artikel lees je wat de AVG van je vraagt en welke berichten echt extra bescherming nodig hebben. Je ziet ook hoe je kanalen vergelijkt en hoe je in een paar stappen je berichtenverkeer op orde brengt.

Kort samengevat

• De AVG verbiedt e-mail of chat niet, maar je moet als coach zelf zorgen voor passende beveiliging. Wat passend is, hangt af van hoe gevoelig de informatie is.
• Niet elk bericht is even gevoelig. Een afspraak verzetten is iets anders dan een reflectie over burn-out, conflicten op het werk of een thuissituatie.
• Let bij een tool op drie dingen: versleuteling, waar de gegevens staan en of je een verwerkersovereenkomst krijgt.
• Haal gevoelige inhoud zoveel mogelijk uit chatapps en mailboxen. Zet die op een vaste, afgeschermde plek die bij de juiste coachee hoort.
• Gaat er toch iets mis, dan meld je een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens.

Inhoudsopgave

• Waarom berichten in coaching extra aandacht vragen
• Wat de AVG van je vraagt
• Wat zijn versleutelde berichten?
• Welke berichten extra bescherming nodig hebben
• Gangbare kanalen naast elkaar
• Vijf vragen voor je een tool kiest
• Zo richt je veilig berichtenverkeer in
• Als het toch misgaat
• Onze kijk: haal de inhoud uit de chat
• Hoe Exantur je hierbij helpt
• Veelgestelde vragen
• Bronnen

Waarom berichten in coaching extra aandacht vragen

Een coachingtraject draait om vertrouwen. Je coachee vertelt je dingen die hij of zij niet met een leidinggevende, collega of partner deelt. Veel van die informatie komt niet alleen in de sessie zelf voorbij, maar ook in de berichten ertussen. Denk aan:

• een korte update na een lastig gesprek met een manager;
• een ingevuld reflectieformulier of een Wheel of Life;
• een check-in over hoe het gaat met slapen, stress of motivatie;
• een cv, een beoordelingsverslag of een 360-graden feedbackrapport;
• een voice-bericht op een avond dat het even niet gaat.

Zulke berichten zeggen vaak meer over iemand dan een sessieverslag. En ze staan op plekken waar je als coach weinig zicht op hebt: in een chatgeschiedenis op je telefoon, in een gedeelde mailbox of in een map met downloads. Juist daar ontstaan de meeste risico’s. Denk aan een telefoon die je verliest, een mail die naar de verkeerde ontvanger gaat, of een bijlage die jaren blijft staan in een mailbox waar ook je boekhouder bij kan.

Bij executive coaching en loopbaancoaching speelt nog iets mee. Vaak betaalt een werkgever het traject. Je coachee wil zeker weten dat wat hij jou schrijft niet bij die werkgever terechtkomt. Veilig berichtenverkeer is dus niet alleen een wettelijke zaak, maar ook een deel van je professionele belofte.

Wat de AVG van je vraagt

De AVG is de Algemene verordening gegevensbescherming, de Europese privacywet. Zodra je namen, contactgegevens, notities of andere informatie over coachees bewaart of deelt, verwerk je persoonsgegevens. Dan geldt de AVG voor jou.

De Autoriteit Persoonsgegevens (AP) is daar duidelijk over. Je moet passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen. Wat passend is, bepaal je zelf met een risicoanalyse. Je kijkt daarbij naar de aard, de hoeveelheid en de gevoeligheid van de gegevens. Technisch gaat het om dingen als versleuteling en sterke wachtwoorden. Organisatorisch gaat het om afspraken: wie mag wat inzien, hoe lang bewaar je iets en wat doe je als het misgaat.

Twee punten zijn voor coaches belangrijk:

1. E-mail is niet verboden. Je mag mailen met coachees. Maar jij bent verantwoordelijk voor de beveiliging. Volgens de AP kun je bijvoorbeeld bijlagen versleutelen of een beveiligde mailserver gebruiken. Vaak zijn er ook veiligere manieren om gegevens uit te wisselen dan gewone e-mail.
2. Gevoelige informatie vraagt meer. Informatie over gezondheid valt onder de bijzondere persoonsgegevens. Daarvoor geldt een hoger niveau van beveiliging dan voor een telefoonnummer. Voor zorgaanbieders noemt de AP speciale normen zoals NEN 7510. Als coach ben je meestal geen zorgaanbieder. Maar praat een coachee met je over burn-out of medicatie, dan deelt hij wel gezondheidsinformatie. Dat is een reden om extra zorgvuldig te zijn.

Werk je met coachees die in behandeling zijn bij een psycholoog of huisarts? Of twijfel je of jouw werk onder zorg valt? Leg dat dan voor aan een privacyjurist of je beroepsvereniging. Dat geldt ook als je met een werkgever afspraken maakt over wat je wel en niet terugkoppelt.

Wat zijn versleutelde berichten?

Een versleuteld bericht is een bericht dat onderweg en bij opslag wordt omgezet in onleesbare code. Alleen wie de juiste sleutel heeft, kan het weer lezen. Er zijn grofweg twee vormen:

• Versleuteling onderweg. Het bericht is beschermd tussen jouw apparaat en de server van de aanbieder. Op de server zelf kan de aanbieder het in principe wel lezen. Bij veel gewone e-mail werkt het zo.
• End-to-end versleuteling. Het bericht wordt pas weer leesbaar op het apparaat van de ontvanger. De sleutels staan alleen op de apparaten van de gebruikers, niet bij de aanbieder. Het Europese agentschap voor cyberveiligheid ENISA raadt tools met end-to-end versleuteling aan voor professioneel gebruik.

Versleuteling is belangrijk, maar het is niet het hele verhaal. Drie dingen blijven ook bij een versleutelde app van belang:

• Metadata. Ook als de inhoud versleuteld is, kan een app vastleggen met wie je contact hebt, wanneer en hoe vaak. Bij een coachingrelatie zegt dat al veel.
• Waar de gegevens staan. ENISA adviseert om tools bij voorkeur binnen de Europese Unie te laten hosten. Gegevens buiten de EU vallen niet altijd onder dezelfde bescherming.
• Het apparaat zelf. Een versleutelde chat op een telefoon zonder pincode is zo open als een notitieboekje op tafel. En als je coachee een chat doorstuurt of een screenshot maakt, helpt versleuteling ook niet meer.

Welke berichten extra bescherming nodig hebben

Je hoeft niet elk bericht als staatsgeheim te behandelen. Een goede risicoanalyse begint met een eerlijke indeling. De tabel hieronder helpt je daarbij.

Een vuistregel: hoe meer een bericht zegt over iemands binnenwereld, gezondheid of positie op het werk, hoe minder het thuishoort in een gewone chat of mailbox.

Gangbare kanalen naast elkaar

Coaches gebruiken in de praktijk een mix van kanalen. Elk kanaal heeft eigen sterke en zwakke kanten.

Chat is niet verboden, maar je moet heel bewust kiezen wat je erin deelt. Een veilige praktijk werkt meestal met twee lagen: een snel kanaal voor praktische zaken en een afgeschermde plek voor alles wat over de inhoud gaat.

Vijf vragen voor je een tool kiest

Kies je een maildienst, een chatapp of coachingsoftware? Stel jezelf dan deze vragen. Ze zijn gebaseerd op de tips van ENISA en de eisen van de AP.

1. Is de inhoud versleuteld? Vraag of berichten en bestanden onderweg en bij opslag versleuteld zijn. Bij chat is end-to-end versleuteling de beste keuze.
2. Waar staan de gegevens? Kies bij voorkeur een dienst die de gegevens binnen de EU bewaart. Vraag het na als het niet duidelijk op de website staat.
3. Gebruikt de aanbieder je gegevens voor iets anders? ENISA adviseert tools die geen gegevens delen voor marketing. Lees de privacyvoorwaarden daarop na.
4. Krijg je een verwerkersovereenkomst? Als een leverancier gegevens voor jou opslaat, is die leverancier een verwerker. Dan heb je volgens de AP een schriftelijke verwerkersovereenkomst nodig. Daarin staat wat de leverancier met de gegevens doet en wat er gebeurt bij een datalek.
5. Hoe goed is de toegang beveiligd? Vraag naar MFA. Dat staat voor meerfactorauthenticatie: naast je wachtwoord bevestig je het inloggen met een code op je telefoon. Een gestolen wachtwoord is dan niet genoeg om binnen te komen.

Wil je in een paar minuten zien waar jouw praktijk staat? Doe de privacycheck voor coaches of loop de AVG-checklist voor coaches door.

Zo richt je veilig berichtenverkeer in

Je hoeft niet alles in een keer om te gooien. Met deze stappen breng je in een paar weken orde aan.

1. Maak een lijst van je kanalen. Schrijf op via welke wegen coachees je nu berichten sturen: mail, chat, sms, gedeelde mappen, formulieren. Vaak zijn het er meer dan je denkt.
2. Deel je berichten in. Gebruik de tabel hierboven. Welke berichten zijn praktisch en welke gaan over de inhoud van het traject?
3. Kies per soort een vast kanaal. Bijvoorbeeld: afspraken via mail of automatische herinneringen, en reflecties, opdrachten en documenten op een afgeschermde plek.
4. Leg het vast in je coachovereenkomst. Schrijf op hoe je communiceert, wat je niet via chat bespreekt en hoe snel je reageert. Een coachovereenkomst opstellen kan met een gratis template.
5. Vertel het je coachee in de eerste sessie. Leg kort uit waarom je gevoelige dingen niet via chat wilt bespreken. De meeste coachees vinden dat juist professioneel.
6. Beveilig je eigen apparaten. Zet een pincode op je telefoon, gebruik MFA waar het kan en houd werk en persoonlijke contacten zoveel mogelijk gescheiden.
7. Ruim op. Spreek af hoe lang je berichten en documenten bewaart. Verwijder oude chats en bijlagen als een traject is afgerond en je ze niet meer nodig hebt.
8. Kijk een keer per jaar opnieuw. Tools veranderen en je praktijk groeit. Met een korte jaarlijkse check blijft je beveiliging passend.

Als het toch misgaat

Een mail naar de verkeerde ontvanger, een gestolen laptop of een gehackt account: ook als je goed voorbereid bent, kan er iets misgaan. De AP geeft tips om een datalek te voorkomen en voorbereid te zijn. Het helpt om vooraf te weten wat je dan doet.

Volgens de AP meld je een datalek binnen 72 uur nadat je het ontdekt. Als coach ben jij de verwerkingsverantwoordelijke: degene die bepaalt waarom en hoe gegevens worden gebruikt. Daarom moet jij het lek melden, ook als het bij je softwareleverancier gebeurt. Je kunt de leverancier wel namens jou laten melden, maar dat moet dan schriftelijk zijn vastgelegd.

Een praktisch noodplan past op een A4:

• wie je belt als je een lek vermoedt;
• hoe je toegang blokkeert, bijvoorbeeld door wachtwoorden te wijzigen of een apparaat op afstand te wissen;
• hoe je bepaalt of je moet melden bij de AP en of je de coachee moet informeren;
• waar je het incident noteert, ook als je het uiteindelijk niet hoeft te melden.

Twijfel je of een incident gemeld moet worden? Neem dan contact op met een privacyjurist of je beroepsvereniging. Wacht niet tot de 72 uur bijna voorbij zijn.

Onze kijk: haal de inhoud uit de chat

We spreken veel coaches die hun praktijk goed willen regelen. Bijna allemaal herkennen ze hetzelfde beeld. Het gesprek in de sessie is goed beschermd: een rustige ruimte of een afgesloten videogesprek. Maar alles daaromheen staat verspreid. Een reflectie in WhatsApp, een assessment als bijlage in de mail, actiepunten in een spreadsheet.

Ons punt is eenvoudig. De vraag is niet alleen welke app het best versleutelt. De vraag is waar de inhoud van een coachingtraject hoort te staan. Wij vinden: bij de coachee en het traject, op een plek waar jij de toegang bepaalt. Een snel kanaal voor praktische zaken blijft prima. Maar check-ins, voorbereidingen, opdrachten en documenten horen niet tussen verjaardagswensen en groepsfoto’s.

Daar komt bij dat versleuteling niet alles oplost. Met een veilige tool voldoet je praktijk niet vanzelf aan de AVG. Je blijft zelf verantwoordelijk voor je afspraken, je risicoanalyse en je keuzes. Software kan je daarbij goed helpen, maar het denkwerk blijft van jou. Dat zeggen we ook eerlijk tegen coaches die met Exantur werken.

Martijn

Hoe Exantur je hierbij helpt

Exantur is software voor coaches die hun praktijk in een samenhangende werkplek willen regelen. Voor veilig contact met coachees is vooral het coachee-portaal van belang. Daarin vult je coachee check-ins in, bereidt hij sessies voor en ziet hij doelen en voortgang. Ook gedeelde documenten, opdrachten en cursussen staan daar. Zo staat de inhoud van het traject niet meer in chats en mailboxen, maar bij de juiste coachee. Ook accountability volg je daar: je houdt bij of je coachee doet wat hij heeft afgesproken.

Voor privacy heeft Exantur een aantal vaste maatregelen:

• gegevens worden in de EU bewaard, in Frankfurt;
• de gegevens van jouw praktijk zijn afgeschermd van die van andere praktijken;
• inloggen kan met MFA;
• er is een verwerkersovereenkomst beschikbaar.

Meer daarover lees je op de pagina over beveiliging bij Exantur. Praktische berichten regel je met online boeken en automatische sessieherinneringen. Die hoeven dan niet via losse mails.

Het Mini-pakket kost € 19 per maand of € 190 per jaar. Het Starter-pakket kost € 49 per maand of € 490 per jaar. Je kunt Exantur eerst gratis uitproberen. Bekijk alle pakketten en prijzen.

Veelgestelde vragen

Mag ik als coach WhatsApp gebruiken met coachees?

Ja, de AVG verbiedt het niet. Maar je bent zelf verantwoordelijk voor passende beveiliging. Gebruik het bij voorkeur voor praktische zaken. Houd gevoelige inhoud, zoals reflecties en documenten, op een afgeschermde plek.

Wat zijn versleutelde berichten precies?

Dat zijn berichten die worden omgezet in onleesbare code, zodat alleen wie de sleutel heeft ze kan lezen. Bij end-to-end versleuteling kunnen alleen de verzender en de ontvanger het bericht lezen, de aanbieder niet. Let daarnaast op waar de gegevens worden bewaard en wie erbij kan.

Moet ik mijn e-mail beveiligen als ik met coachees mail?

Je moet zorgen voor beveiliging die past bij wat je deelt. Voor een afspraak is gewone e-mail vaak genoeg. Voor gevoelige documenten kun je bijlagen versleutelen of een beveiligde maildienst gebruiken. Je kunt de informatie ook op een afgeschermde plek zetten in plaats van haar te mailen.

Heb ik een verwerkersovereenkomst nodig met mijn software?

Ja, als een leverancier persoonsgegevens van je coachees voor jou opslaat of verwerkt. Volgens de AP leg je dan schriftelijk vast wat de leverancier met de gegevens doet en wat er gebeurt bij een datalek. Vraag hier altijd naar voordat je een tool gaat gebruiken.

Bronnen

• Stap 4: Maak de beveiliging in orde, Autoriteit Persoonsgegevens
• Gezondheidsgegevens beveiligen, Autoriteit Persoonsgegevens
• Zo meldt u een datalek, Autoriteit Persoonsgegevens
• Datalek voorkomen en voorbereid zijn, Autoriteit Persoonsgegevens
• Tips for selecting and using online communication tools, ENISA

Aanbevelingen

• Rapportagesoftware voor coaching, zicht, toch vertrouwelijk
• Coaching-sessienotities schrijven, praktische gids
• Sessienotitiesoftware voor coaches, gestructureerd
• Veilige coachingsoftware, EU-gehost, AVG, RLS