Privacyveilige afspraak- en contactformulieren op een zorgwebsite (GDPR)

Een zorgwebsite mag afspraakformulieren aanbieden, als je weinig gevoelige informatie uitvraagt.

Gezondheidsgegevens vallen onder de bijzondere categorieën van de GDPR (de Europese privacywet, ook bekend als AVG). Daar geldt in principe een verwerkingsverbod.

Het oordeel: voor een zorgwebsite GDPR-proof maken, vraag je op het formulier alleen contactgegevens. Je baseert je op een geldige rechtsgrond en zegt duidelijk wat er met de gegevens gebeurt.

Dat is bijna altijd de praktische oplossing. En je formulieren lopen er niet van leeg, integendeel.

Wat maakt een zorgwebsite anders dan een gewone B2B-site?

Het soort data: een zorgwebsite krijgt al snel gezondheidsgegevens binnen.

Gewone contactgegevens zoals naam, e-mailadres en telefoonnummer zijn normale persoonsgegevens.

Zodra een bezoeker iets prijsgeeft over een klacht, aandoening, behandeling of medicatie, gaat het om gezondheidsgegevens. Die behandelt de GDPR als gevoelig.

Het verwerkingsverbod van artikel 9

Voor die bijzondere categorieën geldt een principieel verwerkingsverbod in artikel 9 van de GDPR.

Je mag ze dus niet zomaar verzamelen. Ook niet via een onschuldig ogend vrije-tekstveld op een afspraakformulier.

De uitzonderingen

Dat verbod kent uitzonderingen. De Belgische toezichthouder noemt er onder meer twee (GBA over gevoelige gegevens):

• Toestemming: “de betrokkene heeft er uitdrukkelijk mee ingestemd”.
• Zorg: “de verwerking is noodzakelijk voor het verstrekken van gezondheidszorg”.

Welke uitzondering voor jou geldt, hangt af van wie je bent en waarvoor je de gegevens gebruikt.

Een voorbeeld: een ziekenhuis of praktijk staat anders dan een leverancier die zorgorganisaties bedient.

Wie ziet erop toe?

De toezichthouder in België is de Gegevensbeschermingsautoriteit (GBA), die sinds 2018 toeziet op de correcte toepassing van de GDPR.

Twijfel je over je rechtsgrond? Laat dat dan toetsen door een jurist of je functionaris voor gegevensbescherming.

Dit artikel gaat over de webkant: hoe je je formulieren zo bouwt dat je het risico klein houdt.

De bredere basis staat in een GDPR-proof website in België.

Welke gegevens vraag je wel en niet op een formulier?

Alleen wat je nodig hebt om terug te bellen of een afspraak in te plannen.

De kernregel is dataminimalisatie: vraag alleen wat je echt nodig hebt voor het doel van het formulier.

Bij de meeste zorgwebsites is dat doel niet “een medisch dossier opbouwen”. Het doel is simpelweg “terugbellen” of “een afspraak inplannen”. Daarvoor heb je geen diagnose nodig.

Wel en niet vragen

Houd op het formulier zelf dus aan:

• Wel vragen: naam, telefoonnummer of e-mailadres, en eventueel een voorkeursmoment of de afdeling of dienst waarvoor iemand belt. Dat is genoeg om contact op te nemen.
• Liever niet uitvragen: concrete klachten, symptomen, diagnoses, medicatie of andere medische details. Zelfs een open veld “omschrijf je vraag” lokt zulke informatie uit.

Toch een vrij tekstveld?

Zet er dan een korte zin bij. Vraag de bezoeker om geen medische details te delen en dat in een persoonlijk gesprek te doen.

Zo stuur je het gedrag. En je verkleint de kans dat je ongewild gezondheidsgegevens binnenkrijgt.

Zo kan zo’n formulier eruitzien:

Het echte inhoudelijke gesprek voer je daarna via een beveiligd kanaal, telefonisch of in de praktijk. Niet via een open webformulier.

Korter is ook beter voor conversie

Deze aanpak is niet alleen juridisch netter. Hij is ook beter voor je conversie.

Elk extra veld kost invullingen. De principes uit conversie-optimalisatie van formulieren en privacy wijzen hier dezelfde kant op: korter is bijna altijd beter.

Hoe je de velden zelf scherp krijgt, lees je in je leadformulier optimaliseren.

Hoe regel je toestemming zonder de bezoeker af te schrikken?

Met een eigen vinkje, één heldere zin en een link naar je privacyverklaring.

Goede toestemming is vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig. In de praktijk betekent dat: geen vooraf aangevinkte vakjes.

De bezoeker zet zelf een vinkje of voert een bewuste actie uit. Jij legt in één zin uit waarvoor je de gegevens gebruikt, met een link naar je privacyverklaring.

Drie praktische punten

Een paar praktische punten:

• Splits doelen. Toestemming om contact op te nemen over een aanvraag is iets anders dan toestemming voor een nieuwsbrief. Gooi die niet op één hoop in één vinkje.
• Houd de tekst leesbaar. Eén regel naast de verzendknop, met een link naar de volledige uitleg. Een muur van juridische tekst onder elk formulier schaadt vertrouwen en conversie.
• Onderscheid toestemmingstypen. De cookietoestemming voor analytics of marketing op je site staat los van de grondslag waarop je de formuliergegevens verwerkt. Verwar die twee niet in je teksten.

Wat er in die privacyverklaring hoort, staat in een privacybeleid voor je website opstellen. Voor de cookiekant lees je of een cookiebanner verplicht is in België.

Toestemming is niet altijd de juiste basis

Wat altijd geldt: wees transparant.

Zeg wie je bent, wat je met de gegevens doet en hoe lang je ze bewaart.

Hoe houd je het formulier technisch veilig?

Met HTTPS, beperkte toegang, een bewaartermijn en nette afspraken met je verwerkers.

Transparantie en dataminimalisatie zijn de helft van het werk, de techniek is de andere helft.

De GDPR vraagt “passende technische en organisatorische maatregelen” en noemt “de pseudonimisering en versleuteling van persoonsgegevens” als voorbeeld (artikel 32 van de GDPR).

Vier zaken die op orde horen te zijn

Een paar zaken horen standaard op orde te zijn op een zorgwebsite:

• Versleutelde verbinding. De hele site, en zeker de formulierpagina’s, draaien over HTTPS zodat ingevoerde gegevens onderweg versleuteld zijn.
• Veilige afhandeling van inzendingen. Stuur formulierinzendingen niet in platte tekst naar een onbeveiligde mailbox die half je team kan lezen. Beperk wie toegang heeft en bewaar de data op een plek met passende beveiliging.
• Bewust databeleid. Spreek een bewaartermijn af en verwijder inzendingen als je ze niet meer nodig hebt. Minder opgeslagen data betekent minder risico.
• Let op je verwerkers. Een formuliertool, CRM of e-mailplatform die de gegevens namens jou verwerkt, is een verwerker. Daar hoort een verwerkersovereenkomst bij, en je let op waar de gegevens worden opgeslagen. Kies tools die dat netjes ondersteunen.

Waarom HTTPS de basis is, lees je in SSL-certificaat en HTTPS uitgelegd.

Waar staan de gegevens?

Waar je formuliertool en hosting de data bewaren, telt mee in je risico.

Hoe je dat afweegt, staat in EU-hosting en data residency.

Platformonafhankelijk

Of je nu in Webflow, WordPress of een headless opzet bouwt: deze eisen gelden los van het platform.

Wij zijn platformonafhankelijk. We kijken per geval welke combinatie van formuliertool, hosting en verwerkers het beste bij je beveiligings- en groeibehoeften past.

Meer over die aanpak lees je op onze pagina over webdesign en in de B2B-website gids.

Hoe voorkom je dat privacy je conversie kost?

Door privacy zichtbaar te maken: kort, duidelijk en met een menselijk alternatief.

Goede privacy en goede conversie spreken elkaar niet tegen, ze versterken elkaar.

Een formulier dat kort is, duidelijk maakt wat er gebeurt en waarom het veilig is, voelt betrouwbaarder.

Juist op een zorgwebsite, waar de drempel om gegevens te delen hoger ligt, is dat vertrouwen doorslaggevend.

Vier dingen die privacy en conversie helpen

Een paar dingen die zowel de privacy als de conversie helpen:

• Zeg wat er na het verzenden gebeurt. “We bellen je binnen één werkdag terug” geeft duidelijkheid en haalt de spanning weg.
• Toon vertrouwenssignalen rond het formulier. Een echt telefoonnummer, een adres en een gezicht doen meer dan een lange disclaimer. Zie ook vertrouwen wekken op een B2B-website.
• Bied een alternatief. Niet iedereen wil een formulier invullen. Een zichtbaar telefoonnummer of e-mailadres geeft mensen de keuze.
• Maak het toegankelijk. Heldere labels, voldoende contrast en bediening met het toetsenbord helpen iedereen, en voorkomen veelgemaakte toegankelijkheidsfouten.

Tip: test je formulierpagina met de gratis toegankelijkheidstest voor je website.

Wat een website wel en niet kan

Een formulier vangt de aanvraag op een veilige, conversievriendelijke manier op.

De zorginhoud en het echte vertrouwen ontstaan in het contact daarna.

Hoe je die deskundigheid ook online toont, lees je in E-E-A-T voor een zorgwebsite.

Wat is de korte samenvatting?

Een zorgwebsite kan prima afspraak- en contactformulieren aanbieden, zolang je gezondheidsgegevens als bijzondere categorie behandelt.

De checklist in vijf punten:

1. vraag op het formulier alleen contactgegevens
2. houd medische details bewust buiten beeld
3. baseer je verwerking op een geldige rechtsgrond
4. wees transparant over doel en bewaartermijn
5. zorg voor HTTPS, beperkte toegang en nette verwerkersafspraken

Doe je dat goed, dan win je tegelijk aan vertrouwen en aan ingevulde aanvragen.

Veelgestelde vragen over een zorgwebsite en de GDPR

Mag ik op mijn zorgwebsite naar klachten vragen?

Liever niet via het webformulier. Klachten en symptomen zijn gezondheidsgegevens, waarvoor artikel 9 van de GDPR een principieel verwerkingsverbod kent. Vraag alleen contactgegevens en bespreek de inhoud persoonlijk.

Heb ik een toestemmingsvinkje nodig op mijn afspraakformulier?

Dat hangt af van je rechtsgrond. Baseer je je op toestemming, dan moet die uitdrukkelijk zijn en zet de bezoeker zelf het vinkje. Verwerk je gegevens omdat ze nodig zijn voor zorg, dan kan een andere grondslag gelden. Laat dat juridisch toetsen.

Moet mijn formuliertool een verwerkersovereenkomst hebben?

Ja. Een tool die formuliergegevens namens jou verwerkt, is een verwerker. Daar hoort een verwerkersovereenkomst bij, en je controleert waar de gegevens worden opgeslagen.

Wil je je zorgwebsite GDPR-proof én conversiegericht?

Begin met je formulier: schrap elk veld dat je niet nodig hebt om terug te bellen.

Neem contact op