Verwerkersovereenkomst met je praktijksoftware: wat moet erin staan?

Wie cliëntgegevens in een online systeem bewaart, laat een andere partij die gegevens verwerken. De AVG eist dan een contract. Dit artikel legt in gewone taal uit wat artikel 28 vraagt en waar je op let als je de voorwaarden van een leverancier leest.

Goed om te weten: dit is algemene informatie voor zorgverleners en geen juridisch advies. Hangt een punt af van je beroepsorganisatie of je eigen situatie, dan zeggen we dat, in plaats van te gokken. De Nederlandstalige tekst is niet nagekeken door een jurist.

Wie is wie?

Als psycholoog in de praktijk bepaal jij waarom en hoe cliëntgegevens worden verwerkt: jij bent de verwerkingsverantwoordelijke. De softwareleverancier die de gegevens in jouw opdracht opslaat of verwerkt, is de verwerker. Werk je in een groter geheel (een centrum of een vennootschap), dan kan de verdeling anders liggen; vraag dan advies. Zie ook groepspraktijk en vennootschap.

Wat artikel 28 AVG zegt

Je mag alleen verwerkers inschakelen die voldoende garanties bieden voor passende technische en organisatorische maatregelen. De verwerking moet geregeld zijn in een bindend contract (of andere rechtshandeling), schriftelijk, ook in elektronische vorm. Het contract bepaalt minstens het onderwerp en de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en jouw rechten en plichten.

Daarnaast moet de verwerker zich in het contract verbinden tot het volgende:

1. Alleen op jouw gedocumenteerde instructies handelen, ook voor doorgiften buiten de EU, tenzij een wet iets anders eist.
2. Geheimhouding door personen die toegang hebben.
3. Beveiligingsmaatregelen volgens artikel 32.
4. Onderaannemers: alleen met jouw voorafgaande schriftelijke toestemming, specifiek of algemeen. Bij een algemene toestemming moet de verwerker je op de hoogte brengen van wijzigingen, zodat je bezwaar kunt maken. Dezelfde plichten gelden voor de onderaannemer, en de verwerker blijft aansprakelijk.
5. Bijstand bij verzoeken van betrokkenen (inzage, correctie, wissing) en bij je plichten rond beveiliging, datalekken en gegevensbeschermingseffectbeoordelingen.
6. Wissen of teruggeven van alle persoonsgegevens na afloop van de dienst, naar jouw keuze, en bestaande kopieën wissen tenzij de wet bewaring eist.
7. Informatie en audits: alle informatie bezorgen die nodig is om de naleving aan te tonen, en audits of inspecties toelaten of eraan meewerken.

De verwerker moet je ook onmiddellijk verwittigen als hij vindt dat een instructie de regels schendt.

Zo lees je de voorwaarden van een leverancier

De meeste leveranciers bieden een verwerkersovereenkomst die je online aanvaardt. Controleer:

• Staan de zeven punten hierboven er herkenbaar in?
• Is er een lijst met onderaannemers (bijvoorbeeld hostingpartijen) en hoe word je verwittigd van wijzigingen?
• Waar worden de gegevens gehost, en gebeurt er een doorgifte buiten de EU?
• Wat gebeurt er met je gegevens als je opzegt, binnen welke termijn en in welk formaat krijg je ze terug?
• Hoe snel verwittigt de leverancier je bij een datalek? Zie datalek melden.

Beroepsgeheim en de verwerker

Artikel 9 AVG verbiedt in beginsel de verwerking van gezondheidsgegevens, met uitzonderingen. Lid 3 laat de verwerking voor gezondheidszorg toe door of onder de verantwoordelijkheid van iemand die gebonden is aan het beroepsgeheim. Hoe dat precies doorwerkt in je verhouding tot een softwareleverancier, hangt af van het Belgische recht en de deontologische code van de Psychologencommissie. Wij trekken daar geen conclusie uit; leg de vraag voor aan de Commissie of aan een jurist die gezondheidsrecht kent, en bewaar het antwoord bij je verwerkersovereenkomst.

Wat je niet moet verwachten van een contract

Een verwerkersovereenkomst is een noodzakelijke basis, geen vrijbrief. Het ontslaat je niet van je eigen plichten: een bewaarbeleid, een procedure voor inzageverzoeken, toestemming van je cliënten en een plan bij een datalek. Zie de checklist gegevensbescherming.

Een korte checklist om te bewaren

Bewaar bij elke tool die cliëntgegevens verwerkt een map met: de aanvaarde verwerkersovereenkomst met datum en versie, de lijst van onderaannemers, het antwoord op de vraag waar de gegevens gehost worden, het contactpunt voor datalekken en een notitie over hoe je gegevens kunt exporteren of laten wissen. Herzie die map eenmaal per jaar en telkens wanneer de leverancier zijn voorwaarden wijzigt. Wat je kunt aantonen, hoef je niet te reconstrueren als iemand ernaar vraagt.

Let ook op de volgorde van gebeurtenissen: sluit de overeenkomst af voordat je echte cliëntgegevens invoert, niet erna. Test een nieuwe tool altijd eerst met fictieve cliënten. Zo kun je de voorwaarden rustig lezen zonder dat er al gevoelige informatie op een server staat die je nog niet kent. Vraagt een leverancier om gegevens in te voeren vóór je de voorwaarden hebt kunnen inzien, dan is dat op zich al een signaal.

Bronnen

Alle onderstaande pagina's zijn geraadpleegd op 7 november 2026.

• AVG/GDPR, artikel 28: verwerker (Engelstalige tekst)
• AVG/GDPR, artikel 9: verwerking van bijzondere categorieën van persoonsgegevens (Engelstalige tekst)
• AVG/GDPR, artikel 32: beveiliging van de verwerking (Engelstalige tekst)
• AVG/GDPR, artikel 33: melding van een datalek aan de toezichthouder (Engelstalige tekst)