ENNL
Menu
← Alle artikelen

Dpia voor coaches: wanneer moet je die echt uitvoeren?

Dpia voor coaches: wanneer moet je die echt uitvoeren?

DPIA en privacybescherming - titelkaart

In de meeste individuele coachpraktijken is een dpia niet verplicht. Zodra je werkt met profiling, grootschalige verwerking van gezondheidsgegevens of stelselmatige monitoring van cliënten, verandert dat: dan schrijft artikel 35 AVG een dpia voor. De Autoriteit Persoonsgegevens toetst dit aan een vaste lijst van risicovolle verwerkingen. Twijfel je? Dan is een korte toets vaak al genoeg om zekerheid te krijgen.

Kort samengevat:

  • Een dpia is verplicht bij grootschalige verwerking van gezondheidsgegevens, profiling met rechtsgevolgen of stelselmatige monitoring van cliënten.
  • Bij twijfel of je onder de verplichte categorieën valt, documenteer je je afweging en schakel je indien nodig een privacyadviseur in.
  • Een dpia moet minimaal bestaan uit een beschrijving van de gegevensverwerking, een noodzaak- en proportionaliteitstoets, een risicoanalyse en mitigerende maatregelen.
  • Praktijksoftware helpt je bij de technische en organisatorische privacyvereisten, maar vervangt de juridische beoordeling niet.
  • Een korte trigger-check kan je helpen snel te bepalen of een volledige dpia nodig is, waardoor je tijd en kosten bespaart.
Exantur
Verwerk cliëntgegevens met meer overzicht
Exantur brengt cliëntrelaties, sessienotities en privacybewuste gegevensverwerking samen in één coachingworkspace.
Bekijk Exantur

Inhoudsopgave

Wanneer is een dpia verplicht volgens de AVG en de Autoriteit Persoonsgegevens?

Artikel 35 van de AVG verplicht een dpia zodra een verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert voor de mensen wiens gegevens je verwerkt. Je voert die toets uit voordat je begint met verzamelen, niet achteraf, zo staat te lezen in de toelichting van Ondernemersplein.

De Autoriteit Persoonsgegevens heeft die open norm concreter gemaakt met een officiële lijst van 17 categorieën verwerkingen waarvoor een dpia altijd verplicht is. Die lijst is niet uitputtend: ook verwerkingen die er niet expliciet in staan, kunnen onder de hoofdregel van artikel 35 vallen. De Europese privacytoezichthouders (EDPB) gebruiken daarnaast negen indicatoren om risico te beoordelen, zoals grootschaligheid, gevoelige gegevens en het combineren van datasets.

Voor coaches zijn dit de situaties die het vaakst een dpia triggeren:

  • Je gebruikt profiling of geautomatiseerde scores die rechtsgevolgen hebben voor cliënten, bijvoorbeeld bij selectie voor een programma of vergoeding.
  • Je verwerkt op grote schaal gezondheidsgegevens, zoals bij coaching gericht op burn-out, mentale gezondheid of medische re-integratie.
  • Je koppelt meerdere databronnen aan elkaar, bijvoorbeeld cliëntdossiers met assessmentresultaten en externe data.
  • Je monitort cliënten stelselmatig, zoals continue tracking van gedrag of locatie.

De meeste dagelijkse coachactiviteiten, zoals notities maken of voortgang bijhouden, vallen buiten deze categorieën. Ze horen bij normale bedrijfsvoering, zolang je geen nieuwe technologie of grootschalige gevoelige data inzet, zo blijkt uit de toelichting van Ondernemersplein.

Geldt de uitzondering voor zorgverleners ook voor coaches?

Die uitzondering is smal en geldt niet automatisch voor elke coach die met persoonlijke of gezondheidsgerelateerde onderwerpen werkt, zo blijkt uit de toelichting bij het besluit over verplichte dpia-categorieën.

Je valt wél onder de dpia-plicht zodra je verwerking:

  • grootschalig is, bijvoorbeeld doordat je met honderden cliënten tegelijk werkt via een systeem met gedeelde data,
  • stelselmatig monitort, zoals doorlopende gedragsregistratie,
  • of profiling met rechtsgevolgen inzet, zoals automatische doorverwijzing of uitsluiting op basis van een score.

Twijfel je of jouw praktijk onder de uitzondering valt? Documenteer dan kort waarom je geen dpia nodig acht en bewaar die afweging. Bij twijfel is extern advies vaak goedkoper dan achteraf een probleem oplossen.

Wat moet een dpia minimaal bevatten?

De Autoriteit Persoonsgegevens stelt vier vaste onderdelen verplicht voor elke dpia, zo staat op de pagina over de dpia:

  1. Een systematische beschrijving van de verwerking: welke gegevens, van wie, met welk doel en via welke route ze bij jou terechtkomen.
  2. Een toets op noodzaak en proportionaliteit: verwerk je alleen wat nodig is voor het coachdoel, of ga je verder dan nodig?
  3. Een risicoanalyse: welke risico’s lopen cliënten, hoe groot is de kans en hoe zwaar is de impact?
  4. Mitigerende maatregelen: welke technische en organisatorische stappen verlaag je het risico mee, en welk restrisico blijft over?

Daarnaast documenteer je wie de beslissing heeft genomen, of een functionaris voor gegevensbescherming (FG) betrokken was, en of voorafgaande raadpleging van de Autoriteit Persoonsgegevens nodig was. Een FG is de interne toezichthouder op privacy binnen een organisatie; als solo-coach heb je die meestal niet, maar je kunt wel een externe adviseur raadplegen. Bewaar deze documentatie: bij een controle moet je kunnen aantonen dat je de afweging serieus hebt gemaakt.

Hoe voer je als coach een dpia uit in 10 stappen?

Handreikingen van de Rijksoverheid en privacyspecialisten gebruiken meestal een model van acht tot tien stappen, zo blijkt uit de uitleg van Legiscope. Voor een coachpraktijk werkt de volgende volgorde het beste.

  1. Doe eerst een trigger-check. Beantwoord kort: werk je met gezondheidsdata op grote schaal, profiling met gevolgen, of stelselmatige monitoring? Bij drie keer “nee” is een volledige dpia meestal niet nodig.
  2. Bepaal de scope. Welke coachactiviteit, welk programma of welke cliëntgroep beoordeel je?
  3. Beschrijf de dataflow. Welke persoonsgegevens verzamel je, waar komen ze binnen en waar slaan ze op?
  4. Toets noodzaak en proportionaliteit. Kun je het coachdoel bereiken met minder of minder gevoelige data?
  5. Identificeer risico’s. Denk aan datalekken, misbruik van gevoelige notities of ongewenste inzage door derden.
  6. Beoordeel en prioriteer die risico’s op kans en impact.
  7. Formuleer maatregelen: technisch (versleuteling, toegangsbeheer), organisatorisch (procedures) en gedragsmatig (training).
  8. Bepaal het restrisico en besluit: starten, aanpassen, of eerst de Autoriteit Persoonsgegevens raadplegen.
  9. Documenteer en laat ondertekenen wie de beslissing nam en op basis waarvan.
  10. Plan een herziening, bijvoorbeeld jaarlijks of bij elke nieuwe tool die je invoert.

Blijft er na deze stappen een hoog restrisico over? Dan verplicht artikel 36 AVG voorafgaande raadpleging van de Autoriteit Persoonsgegevens. De toezichthouder reageert binnen acht weken, met een mogelijke verlenging van zes weken, zo meldt Ondernemersplein.

Pro-tip: Gebruik de trigger-check uit stap 1 ook los van een volledige dpia. Bij twijfel over een nieuwe tool of een nieuw coachprogramma kost die check je vijf minuten en bespaart hij je vaak een hele beoordeling.

Besluitvorming van triggercontrole tot DPIA

Welke praktische maatregelen verlagen het risico voor coaches?

Je hoeft niet te wachten op een volledige dpia om je risico te verlagen. Een paar directe maatregelen maken vaak al het verschil tussen een lichte toets en een uitgebreid onderzoek.

  • Beperk wat je verzamelt. Vraag alleen gegevens die je daadwerkelijk nodig hebt voor het coachtraject, en bewaar ze niet langer dan nodig.
  • Werk met software die in de EU hostet. Data die binnen de EU blijft, valt onder dezelfde privacywetgeving als jij, wat toezicht en handhaving eenvoudiger maakt.
  • Sluit een verwerkersovereenkomst met elke leverancier die namens jou persoonsgegevens verwerkt, zoals je boekhoudsysteem of praktijksoftware.
  • Beveilig toegang met multifactor-authenticatie (MFA). Dat betekent dat je bij inloggen naast een wachtwoord ook een tweede bevestiging nodig hebt, bijvoorbeeld via een code op je telefoon.
  • Scheid cliëntidentiteit van gevoelige notities waar mogelijk, en beperk wie toegang heeft tot welk dossier.

Deze maatregelen verlagen het risicoprofiel van je verwerking aanzienlijk, zo benadrukken Ondernemersplein en de AP in hun toelichting op mitigerende maatregelen. Ga je toch twijfelen of je verwerking onder een verplichte categorie valt, bijvoorbeeld bij grootschalige gezondheidsdata of profiling? Schakel dan een jurist of privacyadviseur in voordat je verder gaat.

Software organiseert je privacy, maar vervangt geen juridische toets

Praktijksoftware kan veel van het praktische werk uit deze artikel voor je regelen. Denk aan versleutelde opslag, gescheiden toegang tot cliëntdossiers en een kant en klare verwerkersovereenkomst. Sommige software biedt dit als onderdeel van een veilige hosting binnen de EU, sterke toegangsbeveiliging met multifactor-authenticatie en standaard verwerkersovereenkomsten. Dit helpt de basis van je gegevensbescherming te organiseren zonder dat je zelf techniek moet uitzoeken.

Maar een tool alleen maakt je praktijk niet automatisch AVG-compliant. Werk je met profiling, grootschalige gezondheidsdata of stelselmatige monitoring? Dan blijft de juridische toets uit artikel 35 AVG nodig, eventueel met hulp van een externe privacyadviseur. Software organiseert de uitvoering, jij blijft verantwoordelijk voor de beoordeling.

Wil je snel checken of jouw coachpraktijk in de buurt komt van een dpia-plicht? Bekijk de gratis privacy-check voor coaches of ontdek hoe veilige coachingsoftware je dagelijkse gegevensbeheer eenvoudiger maakt. Exantur biedt een gratis proefperiode zonder kosten tijdens de proef; kijk voor de volledige aanpak op de pagina over coachingsoftware voor Nederland.

— Martijn

Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde advocaat. Raadpleeg een gekwalificeerde juridische professional over uw eigen situatie voordat u op basis van deze inhoud handelt.

Bronnen

Voor de juridische basis raadpleeg je Ondernemersplein voor de praktische uitleg en het officiële besluit met de lijst van verplichte verwerkingen voor de exacte categorieën. De Autoriteit Persoonsgegevens publiceert de officiële eisen aan een dpia-rapport.

Veelgestelde vragen

Wanneer is een dpia verplicht voor coaches?

Een dpia is verplicht zodra je verwerking waarschijnlijk een hoog privacyrisico oplevert, zoals bij profiling met rechtsgevolgen, grootschalige gezondheidsdata of stelselmatige monitoring. De AP-lijst met 17 categorieën geeft concrete voorbeelden, maar is niet uitputtend.

Hoe voer ik een dpia uit als coach?

Je doorloopt een stappenplan van scope bepalen, dataflow beschrijven, noodzaak toetsen, risico’s beoordelen en maatregelen formuleren, tot slot documenteren en herzien. Het tien stappenmodel beschrijft deze aanpak in detail.

Hoe vul ik een dpia in?

Een dpia bevat minimaal een beschrijving van de verwerking, een toets op noodzaak en proportionaliteit, een risicoanalyse en de mitigerende maatregelen die je neemt. De Autoriteit Persoonsgegevens beschrijft deze vier onderdelen als vaste eis.

Wat betekent dpia precies?

Een dpia, in het Nederlands een gegevensbeschermingseffectbeoordeling, is een onderzoek naar de privacyrisico’s van een gegevensverwerking voordat je ermee begint. Het is geen administratieve afvinklijst, maar een hulpmiddel om risico’s voor cliënten vooraf te ontdekken en te verminderen.

Aanbevelingen