Data exporteren uit je coachingsoftware: zo doe je het veilig

Data exporteren uit je coachingsoftware: zo doe je het veilig

Wil je je cliëntgegevens uit je coachingsoftware halen voor een overstap of een back-up? Of vraagt een cliënt erom? Dan wil je drie dingen. Alles moet meekomen, niemand anders mag erbij en je moet binnen de regels van de AVG blijven. De AVG is de Europese privacywet. In Nederland houdt de Autoriteit Persoonsgegevens toezicht op die wet. In dit artikel lees je stap voor stap hoe je een export voorbereidt, veilig maakt en daarna controleert. We schrijven het voor solo-coaches en kleine praktijken zonder technische achtergrond.

Kort samengevat

• Maak eerst een lijst van alle gegevens die je hebt: cliëntprofielen, trajecten, sessienotities, doelen, documenten en facturen.
• Neem alleen mee wat je echt nodig hebt. De AVG vraagt je niet meer persoonsgegevens te verwerken dan nodig.
• Kies per soort gegeven een passend bestand: een spreadsheet voor lijsten, PDF voor verslagen en originele bestanden voor documenten.
• Bewaar of verstuur een export nooit zonder beveiliging. Een kwijtgeraakt exportbestand kan een datalek zijn.
• Controleer na afloop of aantallen, koppelingen en voorbeelden kloppen. Doe dat voor je iets verwijdert in je oude systeem.

Inhoudsopgave

• Wat een data-export in een coachingpraktijk is
• Wanneer je gegevens exporteert
• Stap 1: breng in kaart welke gegevens je hebt
• Stap 2: kies wat je echt meeneemt
• Stap 3: kies het juiste bestandsformaat
• Stap 4: exporteer en bewaar veilig
• Stap 5: controleer of alles compleet is
• Als een cliënt om zijn gegevens vraagt
• Onze kijk op exporteren
• Een plek voor je hele coachingpraktijk
• Veelgestelde vragen
• Bronnen

Wat een data-export in een coachingpraktijk is

Een export is een kopie van je gegevens die je uit een systeem haalt en in een bestand zet. Dat bestand kun je bewaren, lezen of in een ander programma inladen. Bij een coachingpraktijk gaat het bijna altijd om gevoelige informatie. Denk aan wat een cliënt je vertelt over werk, relaties, twijfels of gezondheid.

Daarom is een export meer dan op een knop drukken. Je haalt vertrouwelijke gesprekken uit een beveiligde omgeving en zet ze in een los bestand. Dat bestand staat daarna op je laptop, in je downloads of in een cloudmap. Precies daar gaat het vaak mis.

Een goede export heeft vier kenmerken:

1. Compleet: alle gegevens die je nodig hebt, komen mee.
2. Begrijpelijk: je ziet ook later nog welke notitie bij welke cliënt en welke sessie hoort.
3. Beveiligd: alleen jij, of wie je daar toestemming voor geeft, kan het bestand openen.
4. Beperkt: je neemt niet meer mee dan nodig.

Wanneer je gegevens exporteert

Coaches exporteren hun gegevens meestal om een van deze redenen:

• Je stapt over naar andere software. Je wilt je cliënten, trajecten en notities meenemen naar het nieuwe systeem.
• Je wilt een eigen back-up. Je wilt niet volledig afhankelijk zijn van een leverancier.
• Een cliënt vraagt om zijn gegevens. Onder de AVG heeft een cliënt het recht om zijn gegevens op te vragen of over te laten dragen.
• Je stopt met je praktijk of met een tool. Je moet dan bepalen wat je bewaart en wat je verwijdert.
• Je praktijk verandert. Een collega stopt, je gaat samenwerken of je splitst een praktijk op.

Elke reden vraagt iets anders. Bij een overstap wil je zoveel mogelijk samenhang behouden. Bij een verzoek van een cliënt geef je alleen de gegevens van die ene persoon. Bij een back-up gaat het vooral om veilig bewaren. Houd je reden voor ogen bij elke stap hieronder.

Stap 1: breng in kaart welke gegevens je hebt

Begin niet met exporteren, maar met een overzicht. Veel coaches merken pas bij een overstap hoeveel losse plekken ze gebruiken: een coachingtool, een agenda, een mailbox, een chatapp, een map met PDF’s en een boekhoudpakket.

Deel je gegevens in groepen in. Geef per groep aan hoe gevoelig de gegevens zijn en of je ze nodig hebt.

Zet bij elke groep ook waar de gegevens nu staan. Staan je facturen in een ander pakket dan je notities? Dan heb je twee exports nodig. Schrijf ook op wat je niet digitaal hebt, zoals papieren aantekeningen.

Let extra op bijzondere situaties. Coach je jongeren, mensen in een kwetsbare positie of cliënten met een beroep waarin vertrouwelijkheid zwaar weegt? Dan zijn de gevolgen van een lek groter. Bespreek je aanpak dan vooraf met een privacyjurist of met de functionaris gegevensbescherming van je opdrachtgever.

Stap 2: kies wat je echt meeneemt

Een export is een goed moment om op te ruimen. De AVG vraagt organisaties om niet meer persoonsgegevens te verwerken dan nodig voor het doel. Dat geldt ook voor jou als zelfstandige coach.

Stel jezelf per groep drie vragen:

1. Heb ik dit nog nodig voor mijn werk? Een lopend traject wel. Een cliënt die vier jaar geleden stopte, misschien niet.
2. Moet ik dit bewaren? Facturen moet je vaak langer bewaren voor je administratie. Vraag je boekhouder hoe lang dat voor jouw situatie geldt.
3. Wat heeft de cliënt verwacht? Noem je in je coachovereenkomst of privacyverklaring een bewaartermijn? Houd je daar dan aan.

Gegevens die je niet meer nodig hebt, neem je niet mee. Verwijder ze daarna ook in het oude systeem. Zo verklein je het risico: wat er niet is, kan ook niet lekken.

Stap 3: kies het juiste bestandsformaat

Software biedt een export meestal in een of meer vormen aan. Elke vorm heeft een eigen doel.

Voor een overstap heb je meestal een combinatie nodig: een tabel met cliënten en trajecten, plus de notities en documenten per cliënt. Vraag je nieuwe leverancier vooraf welk formaat zij kunnen inladen. Dan voorkom je een export die het nieuwe systeem niet begrijpt.

Bewaar ook de extra informatie rond je gegevens. Denk aan de datum van een sessie, het moment waarop een notitie is gemaakt en het traject waar een doel bij hoort. Zonder die informatie is een notitie een los stuk tekst. De Autoriteit Persoonsgegevens noemt dit ook bij het overdragen van gegevens: lever waar mogelijk relevante extra gegevens, zoals tijdstippen, zodat de betekenis bewaard blijft.

Stap 4: exporteer en bewaar veilig

Bij informatiebeveiliging draait het om drie dingen. De gemeente Rotterdam beschrijft ze in haar privacybeleid: vertrouwelijkheid (geen toegang voor onbevoegden), integriteit (gegevens zijn juist en compleet) en beschikbaarheid (je kunt erbij als het nodig is). Die drie gelden ook voor jouw export. In hetzelfde beleid staat dat ook verlies van persoonsgegevens, waardoor ze niet meer beschikbaar zijn, een datalek is.

Wat betekent dat in de praktijk?

• Exporteer op een vertrouwd apparaat. Niet op een gedeelde computer of een computer in de bibliotheek.
• Zet het bestand direct in een beveiligde map. Gebruik een versleutelde map of een versleuteld zip-bestand met een sterk wachtwoord. Versleutelen betekent dat het bestand zonder wachtwoord onleesbaar is.
• Stuur een export nooit als gewone bijlage per e-mail. Gebruik een beveiligde manier van delen en stuur het wachtwoord via een ander kanaal, bijvoorbeeld per sms.
• Beperk wie mag exporteren. Werk je met meerdere coaches? Spreek af wie exports mag maken en wie gegevens mag verwijderen.
• Gebruik MFA. MFA staat voor meervoudige authenticatie: naast je wachtwoord bevestig je het inloggen met een code op je telefoon. Zo kan iemand met alleen je wachtwoord niet bij je gegevens.
• Ruim tijdelijke bestanden op. Kijk na afloop in je downloadmap en prullenbak. Daar blijven exports vaak ongemerkt staan.

Raak je toch een bestand kwijt, of heeft iemand anders het geopend? Dan heb je mogelijk te maken met een datalek. Kijk op de site van de Autoriteit Persoonsgegevens wat je dan moet doen en of je het moet melden.

Wil je weten waar je praktijk nu staat? Doe de korte coaching-privacycheck of loop de AVG-checklist voor coaches door.

Stap 5: controleer of alles compleet is

Een export die er goed uitziet, is nog niet compleet. Controleer daarom altijd alles voor je iets verwijdert in je oude systeem.

1. Maak een veldenlijst. Schrijf per tabel op welke kolommen erin staan en wat ze betekenen. Bijvoorbeeld: “status” kan “actief”, “gepauzeerd” of “afgerond” zijn. Noteer ook welke velden altijd gevuld moeten zijn, zoals naam en e-mail.
2. Tel na. Hoeveel cliënten, trajecten, sessies en facturen had je in het oude systeem? Komen die aantallen terug in de export?
3. Controleer de koppelingen. Hoort elke notitie nog bij de juiste cliënt en het juiste traject? Op dit punt schieten exports het vaakst tekort.
4. Neem een steekproef. Kies vijf cliënten, bij voorkeur met lange trajecten. Vergelijk hun notities, doelen en documenten in het oude en het nieuwe systeem.
5. Check bijzondere tekens. Namen met een trema of accent en lange notities met opsommingen raken soms beschadigd. Kijk of ze goed zijn overgekomen.
6. Bewaar het origineel tijdelijk. Houd je oude account of een versleutelde kopie aan tot je zeker weet dat alles klopt. Kies een datum waarop je het definitief verwijdert.

Ga je over naar een nieuw systeem? Laad dan eerst een klein deel in, bijvoorbeeld drie cliënten. Pas als die goed overkomen, zet je de rest over.

Als een cliënt om zijn gegevens vraagt

Een export kan ook beginnen bij een cliënt. De AVG geeft mensen het recht op gegevensoverdracht, ook wel dataportabiliteit genoemd. Dat betekent dat iemand zijn gegevens kan opvragen om ze zelf te bewaren of aan een andere partij te geven.

Volgens de Autoriteit Persoonsgegevens over dataportabiliteit geldt dan het volgende:

• Je geeft de persoonsgegevens die de cliënt zelf aan jou heeft gegeven.
• Je levert ze in een gestructureerd, veelgebruikt en machineleesbaar formaat. Machineleesbaar betekent dat een computer het bestand kan inlezen, zoals een CSV-bestand. Een scan of foto van een document is dat niet.
• Je controleert zorgvuldig of de aanvrager echt de cliënt is. Zo voorkom je dat je gegevens aan de verkeerde persoon geeft.
• Het recht op overdracht ontslaat je niet van je plicht om de gegevens goed te beveiligen.

Het recht op overdracht gaat over digitale gegevens. Volgens de handleiding AVG van de Autoriteit Persoonsgegevens vallen papieren dossiers er niet onder. Een cliënt kan wel via andere AVG-rechten, zoals het recht op inzage, vragen welke gegevens je hebt.

Twijfel je of jouw eigen aantekeningen over een cliënt onder het verzoek vallen? Leg die vraag dan voor aan een privacyjurist. Noteer in elk geval wanneer het verzoek binnenkwam, hoe je de identiteit hebt gecontroleerd en wat je hebt geleverd.

Een tip uit een andere sector: de verzekeringsbranche werkt met vaste afspraken over hoe gegevens worden overgedragen. Volgens SIVI helpt zo’n standaard ook om alleen de noodzakelijke gegevens uit te wisselen. Voor jou als coach is de les: maak een vaste opzet voor zo’n verzoek. Dan hoef je niet elke keer opnieuw te bedenken wat je levert.

Onze kijk op exporteren

Wij zien vaak dat coaches pas aan exporteren denken als ze willen overstappen. Dan blijkt hun praktijk verspreid over vijf of zes plekken. De notities staan in een tekstbestand, de doelen in een spreadsheet, de check-ins in een chatapp en de facturen ergens anders. Een export wordt dan een puzzel.

Daarom bouwen we Exantur rond het coachingtraject zelf. Notities, doelen, check-ins, assessments, documenten en opdrachten zijn gekoppeld aan de juiste cliënt en het juiste traject. Sessienotities leg je vast als observaties, inzichten, doorbraken en actiepunten. Die vaste opbouw maakt je gegevens ook later beter te begrijpen. Een notitie zonder cliënt, datum of traject zegt weinig. Een notitie met die context wel.

We vinden ook dat je goed moet weten waar je gegevens staan. Wij bewaren de gegevens in de EU, op servers in Frankfurt. Elke organisatie is afgeschermd van andere organisaties. Je kunt MFA gebruiken en er is een verwerkersovereenkomst. Dat is een contract waarin staat hoe wij als leverancier met de gegevens van jouw cliënten omgaan. Meer daarover lees je op onze pagina’s over AVG-coachingsoftware en veilige coachingsoftware.

Eerlijk is eerlijk: software alleen maakt je praktijk niet vanzelf volledig AVG-conform. Jij bepaalt wat je vastlegt, hoe lang je het bewaart en met wie je het deelt. Ons advies: vraag elke leverancier voor je begint hoe je je gegevens er later weer uit krijgt. Probeer het ook echt uit in een proefperiode. Dat geldt voor ons net zo goed als voor anderen.

- Martijn

Een plek voor je hele coachingpraktijk

Wil je na je export alles op een plek hebben? In Exantur beheer je cliënten, trajecten, sessienotities, doelen, check-ins en documenten in een werkruimte. Je cliënten krijgen een eigen portaal voor hun doelen, voortgang en check-ins. Je kunt beginnen met een gratis proefperiode. Daarna kost het Mini-pakket € 19 per maand of € 190 per jaar. Het Starter-pakket kost € 49 per maand. Bekijk alle pakketten op de pagina met prijzen of lees eerst hoe je coachingcliënten organiseert.

Veelgestelde vragen

Mag ik cliëntgegevens zomaar exporteren naar mijn eigen computer?

Dat mag, zolang je een duidelijk doel hebt en de gegevens goed beveiligt. Zet een export direct in een versleutelde map en gebruik een apparaat met een sterk wachtwoord. Verwijder tijdelijke kopieën zodra je ze niet meer nodig hebt.

Welk bestandsformaat is het beste voor een overstap?

Dat hangt af van wat je nieuwe software kan inladen. Voor lijsten met cliënten en trajecten werkt een CSV- of Excel-bestand meestal goed. Vraag de nieuwe leverancier vooraf welk formaat zij ondersteunen en test eerst met een paar cliënten.

Moet ik mijn oude gegevens verwijderen na een overstap?

Ja, zodra je hebt gecontroleerd dat alles goed is overgekomen. Gegevens die je niet meer nodig hebt, horen niet te blijven bestaan. Let wel op stukken die je voor je administratie moet bewaren, zoals facturen, en vraag je boekhouder naar de termijn.

Moet ik mijn sessienotities geven als een cliënt om zijn gegevens vraagt?

Bij een verzoek om gegevensoverdracht gaat het om de digitale gegevens die de cliënt zelf aan jou heeft gegeven. Hoe dat uitpakt voor jouw eigen aantekeningen, hangt af van de situatie. Leg twijfel voor aan een privacyjurist en controleer altijd eerst de identiteit van de aanvrager.

Is een verloren exportbestand een datalek?

Dat kan. Ook verlies van persoonsgegevens, waardoor ze niet meer beschikbaar zijn, geldt als datalek. Kijk op de site van de Autoriteit Persoonsgegevens wat je moet doen en of je het moet melden.

Bronnen

• De AVG in het kort, Autoriteit Persoonsgegevens
• Recht op gegevens overdragen (dataportabiliteit), Autoriteit Persoonsgegevens
• Handleiding Algemene verordening gegevensbescherming, Autoriteit Persoonsgegevens
• Privacybeleid gemeente Rotterdam
• Dataportabiliteit Standaard, SIVI

Aanbevelingen

• Veilige coachingsoftware, EU-gehost, AVG, RLS