WhatsApp en e-mail met ouders en de GDPR

Gezondheidsgegevens vallen onder de bijzondere categorieën van artikel 9 van de GDPR. Verwerken is in principe verboden, met een uitzondering voor wat nodig is om gezondheidszorg te verstrekken, onder de verantwoordelijkheid van iemand die aan het beroepsgeheim gebonden is. Als logopedist val je daar onder, en die uitzondering dekt de communicatie die bij de behandeling hoort.

Een mail die een afspraak bevestigt, een verslagje van de zitting of een factuur is dus geen reclame. Het is uitvoering van de zorg die de ouders bij jou vroegen. Daarom hoef je er geen vinkje voor te laten zetten. Wat wel hoort: ouders kunnen vragen om geen mail meer te krijgen, en die vraag respecteer je zonder uitzondering, ook voor praktische berichten.

WhatsApp werkt omgekeerd. De tekst loopt via de infrastructuur van Meta, een derde partij die niets met je behandeling te maken heeft, en Meta eist van wie zakelijk via WhatsApp berichten stuurt dat de ontvanger daar vooraf mee instemde. Daar komt bij dat een telefoonnummer vaak gedeeld wordt in een gezin. Een toestemming per nummer, met datum, is hier dus de ondergrens.

Het kan, maar het is de zwakste vorm. Een gesprek op je privé-WhatsApp staat op een toestel dat je ook buiten het werk gebruikt, wordt vaak mee geback-upt naar een cloud die je niet voor dossiergegevens koos, en zit niet in het dossier van het kind. Verlies je je telefoon, of wissel je van toestel, dan is het onduidelijk wat er met die gesprekken gebeurt.

Ook organisatorisch wringt het. Ouders krijgen zo je persoonlijke nummer en sturen op zondagavond een vraag. Een collega die het kind overneemt tijdens je verlof, ziet niets van wat er gezegd werd. En je kan achteraf niet aantonen wanneer een ouder toestemde of wanneer je iets verstuurde.

Een zakelijk kanaal lost dat op: één praktijknummer, berichten die per kind in het dossier landen, een vastgelegde toestemming per nummer, en een collega die kan overnemen. Of je daar een apart toestel, een zakelijke WhatsApp-account of praktijksoftware voor gebruikt, is jouw keuze. De vraag is alleen of je kan uitleggen waar het gesprek staat en wie erbij kan.

De GDPR vraagt dataminimalisatie: je deelt niet meer dan nodig voor het doel. Voor een bericht aan ouders betekent dat praktisch dat de vorm afhangt van wat erin staat. Een herinnering voor morgen om vier uur heeft niets anders nodig dan de voornaam, het uur en het adres van de praktijk.

Een korte samenvatting van wat jullie vandaag deden en wat het kind thuis kan oefenen, past in een mail. Een diagnose, testscores, percentielen of de tekst van een bilan horen er niet in. Mails worden doorgestuurd, gelezen op een gedeelde computer en blijven jaren in een inbox staan. Voor die inhoud is een gesprek, een papieren verslag of een beveiligde omgeving met aanmelding de betere weg.

Let ook op wie in kopie staat. Een groepsmail aan alle ouders over een vakantiesluiting stuur je zo dat niemand de adressen van de anderen ziet, want een lijst ouders van een logopediepraktijk zegt al iets over hun kinderen.

In België blijft het ouderlijk gezag na een scheiding doorgaans gezamenlijk. Dan hebben beide ouders recht op informatie over de zorg voor hun kind, ook wanneer het kind vooral bij één van hen woont en die ouder de afspraken maakt. Alleen een ouder die het gezag niet (meer) heeft, valt daarbuiten, en daar mag je naar vragen bij de intake.

De praktische valkuil is de verzending. Een mail met beide ouders in het aan-veld geeft elk het adres van de ander, en dat is soms precies wat iemand niet wil. Stuur daarom twee afzonderlijke berichten, of laat elke ouder via een eigen kanaal volgen. Hetzelfde geldt voor een factuur: wie betaalt, staat los van wie geïnformeerd wordt.

Spreek ook af wie het aanspreekpunt is voor de planning. Twee ouders die elk een andere afspraak verzetten, is lastiger dan één hoofdcontact dat plant terwijl beiden de verslagjes en facturen krijgen.

De Kwaliteitswet van 22 april 2019 verplicht elke gezondheidszorgbeoefenaar om het patiëntendossier minimum 30 jaar en maximum 50 jaar te bewaren, gerekend vanaf het laatste patiëntencontact. Wat klinisch relevant is uit een bericht, zoals een ouder die meldt dat het kind sinds kort een gehoorapparaat draagt, hoort dus in het dossier en volgt die termijn.

Een losse herinnering of een vraag om een afspraak te verzetten is geen dossierinhoud. Daar geldt de gewone regel van de GDPR: niet langer bewaren dan nodig. Leg in je verwerkingsregister vast hoe je dat doet, zodat je het kan uitleggen wanneer een ouder ernaar vraagt.

Dit artikel is geen juridisch advies. Twijfel je over een concrete situatie, dan kan je terecht bij de Gegevensbeschermingsautoriteit of je beroepsvereniging.