AVG-proof intakeformulier op je therapeut-website

De meeste intakeformulieren die je op therapeut-websites tegenkomt vragen te veel, te vroeg. Naam, adres, telefoon, e-mail, geboortedatum, huisarts, verzekering, een korte beschrijving van de klacht, medicatie, eerdere behandelingen. Allemaal op de eerste pagina, vóór er een gesprek is geweest. Voor iemand die juist nu hulp zoekt is dat een mini-overweldiging. Onderaan dit artikel staat een update van augustus 2026: wat er sinds de eerste versie werkelijk is veranderd, en wat gewoon is blijven staan.

De AVG-basis

Bijzondere persoonsgegevens (gezondheid, geestelijk welzijn) mogen alleen verwerkt worden met expliciete grondslag. Voor therapeuten is dat doorgaans "uitvoering van een overeenkomst" plus een uitdrukkelijke toestemming. Praktisch betekent dit: voorafgaand aan elke gegevensverwerking moet de cliënt weten wat je verzamelt, waarom, hoe lang je het bewaart en met wie je het deelt.

Twee momenten, niet één

Splits intake in twee momenten. Het eerste is een lichte aanmelding: naam, e-mail, een zin over wat speelt, en gewenst contactmoment. Dat is genoeg om een kennismaking te kunnen plannen. Het tweede is de volledige intake, die plaatsvindt na het kennismakingsgesprek, als beide partijen besloten hebben verder te gaan. Pas dán gaan medische geschiedenis, medicatie en huisartsgegevens in een afgeschermd systeem.

Wat hoort op het korte aanmeldformulier

• Naam (volledige naam, geen tweede naam-velden).
• E-mailadres.
• Telefoonnummer (optioneel, alleen als je echt terugbelt).
• Een open tekstveld: "Wat speelt er kort?" Maximaal vijf regels, niet verplicht.
• Voorkeur voor contact: e-mail of telefoon.
• Eén checkbox: ik ga akkoord met de privacyverklaring (met link).

Wat NIET op het korte formulier hoort

• Diagnose-vragen of klachtenlijsten.
• Medicatieoverzicht.
• Burgerservicenummer.
• Verzekeringsgegevens (tenzij je direct declareert; dan pas na akkoord traject).
• Geboortedatum (vraag bij intake-gesprek of bij start traject).

Privacyverklaring koppelen

De checkbox "ik ga akkoord met de privacyverklaring" werkt alleen als die verklaring ook echt bestaat en bereikbaar is. Schrijf hem in begrijpelijke taal: welke gegevens verzamel je, waarom, hoelang bewaar je ze, met wie deel je ze (boekhouder, eventuele waarnemer, hosting), en hoe kan iemand inzage of verwijdering vragen. Geen kopie-plak juridische standaardtekst die niemand leest.

Technische kant

Een formulier dat per e-mail bij jou binnenkomt is technisch een gegevensverwerking in je mailbox. Dat is werkbaar mits je mailbox tweestapsverificatie aan heeft, je gegevens niet doorstuurt buiten beveiligde kanalen, en je periodiek opschoont. Voor groeiende praktijken is een formulier dat direct in praktijksoftware landt (in plaats van in je inbox) veiliger op termijn.

De zachte kant

Schrijf boven het formulier één rustige zin: "Je hoeft niet veel in te vullen. Een korte schets van wat speelt is genoeg om met je mee te kunnen denken." Dat verlaagt de drempel én geeft een eerste ervaring van hoe jij werkt. Geen verplichte velden waar geen reden voor is.

De kern van dit artikel staat nog. Vraag weinig, vraag laat, en bewaar wat je vraagt goed. Drie dingen zijn er sinds de eerste versie bijgekomen die je formulier raken.

Werk je met een chatbot of AI-intake, dan moet je dat zeggen

Sinds 2 augustus 2026 gelden de transparantieregels van de Europese AI-verordening. Praat een bezoeker op je site met een chatbot of een AI-assistent die vragen stelt voor de intake, dan moet die bezoeker weten dat hij met een systeem praat en niet met jou. Dat komt naast je AVG-toestemming, niet in plaats daarvan. Eén rustige regel boven het venster is genoeg: "Dit is een geautomatiseerde assistent. Mark leest je bericht daarna zelf." Sinds 2 februari 2025 zijn bovendien bepaalde toepassingen verboden, waaronder software die emoties uit gezicht of stem probeert te lezen. Dat past niet bij somatisch werk en het mag ook niet.

Amerikaanse tools mogen weer, met een kanttekening

Het Gerecht van de Europese Unie heeft op 3 september 2025 het adequaatheidsbesluit achter het EU-US Data Privacy Framework overeind gelaten. Dat betekent dat een Amerikaanse formulier-, agenda- of maildienst gebruikt mag worden, mits die leverancier daadwerkelijk onder dat kader is gecertificeerd. Controleer dat in het register en niet in de marketingtekst van de tool. Hoger beroep is niet uitgesloten, dus bouw je praktijk niet zo dat één uitspraak je hele intake plat legt. Voor gezondheidsgegevens blijft een Europese tool de rustigere keuze.

De bannerlaag op je formulierpagina blijft onder de loep

De Europese privacytoezichthouders houden druk op cookiebanners die keuzes verstoppen. In juli 2026 werd een toezichthouder verplicht een klacht over een banner inhoudelijk te behandelen. Dat gaat niet over de gegevens die iemand in jouw formulier typt, maar over de trackers op diezelfde pagina. Een weigeren-knop die net zo makkelijk is als de akkoord-knop, en geen tracking voordat iemand kiest.

Wat bewust hetzelfde bleef

De lijn van de Autoriteit Persoonsgegevens is niet verschoven: verzamel gezondheidsgegevens alleen als het echt nodig is, stuur ze niet door gewone e-mail, en versleutel wat je bewaart. Google Forms blijft voor inhoudelijke intake een kwetsbare keuze. De bewaartermijn uit de WGBO is nog twintig jaar. Als je dit artikel eerder hebt gebruikt om je formulier in te richten, hoef je daar niets aan te veranderen.