Back-up en herstel van cliëntgegevens in je praktijk: een praktisch plan

Je dossiers zijn je werkinstrument én vertrouwelijke gegevens. Verlies je ze, dan verlies je zowel de continuïteit van de zorg als de controle over gevoelige informatie. Een back-upplan is geen luxe voor grote organisaties; het past op een bladzijde.

Goed om te weten: dit is algemene informatie voor zorgverleners en geen juridisch advies. Hangt een punt af van je beroepsorganisatie of je eigen situatie, dan zeggen we dat, in plaats van te gokken. De Nederlandstalige tekst is niet nagekeken door een jurist.

Wat zegt de AVG over herstel?

Artikel 32 AVG vraagt passende technische en organisatorische maatregelen en noemt als voorbeelden onder meer de versleuteling van persoonsgegevens, het vermogen om de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen te waarborgen, het vermogen om de beschikbaarheid van en de toegang tot persoonsgegevens bij een fysiek of technisch incident tijdig te herstellen, en een procedure om de doeltreffendheid van de maatregelen regelmatig te testen. Voor een praktijk komt dat neer op vier vragen: is het versleuteld, is er een kopie, kun je herstellen en heb je het al eens getest?

Wat kan er misgaan?

• Laptop gestolen, verloren of kapot.
• Per ongeluk een map of dossier verwijderd.
• Ransomware of een gehackt account.
• Een leverancier met een storing of een stopgezet product.
• Jijzelf, een week of maanden afwezig: wie komt aan de dossiers als het moet?

De regel 3-2-1, aangepast voor een praktijk

Een bekende vuistregel is drie kopieën van je gegevens, op twee verschillende soorten opslag, waarvan één op een andere plaats. Voor vertrouwelijke dossiers komt er een voorwaarde bij: elke kopie moet versleuteld zijn en onder toegangsbeheer vallen. Een onversleutelde externe schijf in een schuif is een nieuw risico, geen oplossing.

Welke aanpak past bij jouw werkwijze?

Je werkt in lokale bestanden (Word, Excel, mappen)

Dan ben jij zelf verantwoordelijk voor de volledige keten: versleutelde schijf, geautomatiseerde back-up naar een versleutelde bestemming, en een test van het herstel. Dat is te doen, maar het hangt af van jouw discipline. Overweeg een overstap, zie overstappen van papier of Excel naar praktijksoftware.

Je werkt in een online praktijksysteem

Dan ligt een deel van de keten bij de leverancier. Vraag schriftelijk: hoe vaak wordt er een back-up gemaakt, waar staat die, hoe snel kun je herstellen na een storing, en hoe kom je aan je gegevens als je opzegt? Dat zijn dezelfde punten die een verwerkersovereenkomst volgens artikel 28 AVG moet dekken (instructies, beveiliging, bijstand, verwijdering of teruggave bij afloop).

Een back-upplan van één pagina

1. Inventaris. Waar staan dossiers, agenda, facturen, documenten? Ook op je telefoon en in je mail.
2. Frequentie. Dagelijks voor wat dagelijks verandert; wekelijks voor het archief.
3. Versleuteling. Op het toestel, in transit, in de back-up.
4. Bewaarplaats. Minstens één kopie buiten je praktijkruimte.
5. Herstelproef. Twee keer per jaar één dossier herstellen op een ander toestel. Een back-up die je nooit hebt hersteld, is een hoop.
6. Noodtoegang. Een beveiligde regeling voor als jij zelf niet beschikbaar bent, afgestemd op je beroepsgeheim en met een collega of beheerder die je vertrouwt.
7. Bewaartermijn. Hoe lang je dossiers bewaart is een kwestie van de wet en je deontologie; wij geven hier geen cijfer. Leg ze vast in een schriftelijk beleid en pas ze ook toe op je back-ups, want een kopie die je "vergeet" te verwijderen blijft een kopie.

Wat je van software niet moet verwachten

Ook met een online systeem blijft de eindverantwoordelijkheid bij jou als verantwoordelijke voor de verwerking. Nerela host gegevens in de Europese Unie, maar vraag bij elke leverancier, ook bij ons, wat er precies is toegezegd over beveiliging en herstel, en test de export tijdens de proefperiode.

Wat als jij er zelf even niet bent?

Een back-upplan beantwoordt ook een vraag waar weinig solopsychologen bij stilstaan: wat gebeurt er met je cliënten als je ziek wordt, op reis bent of je praktijk stopt? Cliënten hebben recht op continuïteit en op hun gegevens. Spreek met een collega of een vertrouwenspersoon af hoe je cliënten verwittigd worden en wie in dat geval onder jouw beroepsgeheim en de richtlijnen van de Psychologencommissie toegang krijgt. Leg dat vast, voor het nodig is, en bespreek het met de Commissie als je twijfelt over wat toegelaten is.

Houd tot slot een eenvoudig logboek bij: datum van de laatste back-up, datum van de laatste herstelproef, wie het deed en wat er misliep. Een logboek van tien regels is genoeg. Het helpt je ook om aan te tonen dat je de maatregelen regelmatig test, zoals artikel 32 AVG vraagt, mocht iemand ernaar vragen.

Bronnen

Alle onderstaande pagina's zijn geraadpleegd op 7 november 2026.

• AVG/GDPR, artikel 32: beveiliging van de verwerking (Engelstalige tekst)
• AVG/GDPR, artikel 28: verwerker (Engelstalige tekst)
• AVG/GDPR, artikel 33: melding van een datalek aan de toezichthouder (Engelstalige tekst)