Een AVG-proof inschrijfformulier vraagt alleen de gegevens die je echt nodig hebt om de cursus te geven, te factureren en eventueel te certificeren. Die verwerk je op basis van de overeenkomst met de deelnemer, zonder aparte toestemming. Voor extra's, zoals een nieuwsbrief, vraag je wel toestemming. Medische gegevens vraag je liefst helemaal niet, en een BSN nooit.
Welke regels gelden voor een inschrijfformulier?
Voor elk gegeven dat je vraagt heb je een doel en een grondslag nodig, en je vraagt niet meer dan nodig is voor dat doel. Dat heet dataminimalisatie. Daarnaast vertel je deelnemers in een privacyverklaring wat je met hun gegevens doet, hoe lang je ze bewaart en met wie je ze deelt.
De AVG kent zes grondslagen. De Autoriteit Persoonsgegevens zet ze op een rij: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitale belangen, algemeen belang en gerechtvaardigd belang. Voor een cursusaanbieder zijn er drie belangrijk:
| Grondslag | Wanneer gebruik je hem | Voorbeeld |
|---|---|---|
| Uitvoering van een overeenkomst | Gegevens die nodig zijn om de cursus te leveren | Naam, e-mail, factuuradres |
| Wettelijke verplichting | Gegevens die je moet bewaren voor de wet | Facturen voor de Belastingdienst |
| Toestemming | Alles wat niet nodig is voor de cursus | Nieuwsbrief, foto's op social media |
Toestemming of noodzaak: wat is het verschil?
Een veelgemaakte fout is overal een vinkje "ik geef toestemming" bij zetten. Dat is niet nodig, en vaak zelfs onhandig. Gegevens die je nodig hebt om de cursus te leveren, verwerk je op basis van de overeenkomst. Toestemming gebruik je alleen voor dingen die de deelnemer ook kan weigeren zonder dat de inschrijving misgaat.
De Autoriteit Persoonsgegevens noemt het uitdrukkelijk een misverstand dat je voor elke verwerking toestemming nodig hebt. Toestemming kan ook op elk moment worden ingetrokken, en dan moet je stoppen. Dat past niet bij een factuur die je zeven jaar moet bewaren.
Vraag je wel toestemming, dan gelden deze eisen:
- Los van de inschrijving. De cursus mag niet afhangen van het vinkje voor de nieuwsbrief.
- Niet vooraf aangevinkt. De deelnemer moet zelf actief kiezen.
- Specifiek. Eén vinkje per doel, met een korte uitleg wat het betekent.
- Aantoonbaar. Je moet later kunnen laten zien wie wanneer toestemming gaf.
Welke gegevens mag je vragen?
Je mag de gegevens vragen die je nodig hebt voor het doel van de cursus. Wat dat is, verschilt per cursus. Een open workshop vraagt minder dan een geaccrediteerde nascholing waarvoor je punten moet doorgeven. Kijk daarom per cursus welke velden nodig zijn, in plaats van één groot formulier voor alles.
Een praktische veldenlijst:
| Veld | Nodig voor | Verplicht? |
|---|---|---|
| Voornaam, achternaam | Deelnemerslijst, certificaat | Ja |
| E-mailadres | Bevestiging, herinnering, certificaat | Ja |
| Telefoonnummer | Bericht bij last-minute wijziging | Aan te raden |
| Factuuradres | Factuur | Ja, als er betaald wordt |
| Organisatie, inkoopnummer | Factuur op naam van werkgever | Alleen bij betalen op rekening |
| Geboortedatum | Certificaat of register dat het vraagt | Alleen als dat zo is |
| BIG- of registratienummer | Accreditatiepunten doorgeven | Alleen bij geaccrediteerde cursus |
| Functie | Juiste niveau of doelgroep | Alleen als het verschil maakt |
| Dieetwensen | Lunch bij meerdaagse cursus | Optioneel |
| Nieuwsbrief | Marketing | Optioneel, met toestemming |
Twijfel je over een veld, vraag je dan af: wat gebeurt er als ik het niet weet? Als het antwoord "niets" is, laat je het weg.
Mag je een BIG-nummer of BSN vragen?
Een BIG-nummer mag je vragen als je het nodig hebt, bijvoorbeeld om de aanwezigheid door te geven aan een register voor accreditatiepunten. Een BSN mag je als cursusaanbieder vrijwel nooit vragen. Het BIG-nummer is een gewoon persoonsgegeven, het BSN is wettelijk beschermd.
Volgens de Autoriteit Persoonsgegevens mogen organisaties buiten de overheid het BSN alleen gebruiken als een specifieke wet dat toestaat. Toestemming van de deelnemer helpt niet. Voor accreditatie heb je het BSN ook niet nodig: registers als het Kwaliteitsregister V&V werken met het BIG-nummer of een eigen registratienummer. Meer daarover lees je in het artikel over accreditatie voor zorgopleiders.
Vraag een BIG-nummer alleen bij cursussen waarvoor je echt punten doorgeeft, en niet standaard op elk formulier.
Hoe ga je om met medische informatie?
Gezondheidsgegevens zijn bijzondere persoonsgegevens. Die mag je in principe niet verwerken, tenzij een uitzondering uit artikel 9 van de AVG van toepassing is, zoals uitdrukkelijke toestemming. De Autoriteit Persoonsgegevens wijst erop dat je dan zowel een uitzondering op dat verbod als een gewone grondslag nodig hebt.
Bij BHV-, EHBO- of sportcursussen wil een docent soms weten of iemand een blessure of beperking heeft. Een veilige aanpak:
- Vraag het niet standaard op het formulier.
- Zet in de bevestiging: "Is er iets waar de docent rekening mee moet houden? Laat het hem vooraf of bij de start weten."
- Wil je het toch vastleggen, maak het veld dan optioneel, leg uit waarvoor het is, vraag uitdrukkelijke toestemming en verwijder het na de cursus.
- Geef alleen de docent toegang, niet het hele team.
Een vrij tekstveld "opmerkingen" is ook een risico. Deelnemers schrijven daar soms medische informatie in. Kijk zulke velden na en schoon ze op.
Hoe lang bewaar je gegevens?
De AVG noemt geen vaste bewaartermijnen. Je bewaart gegevens niet langer dan nodig is voor het doel waarvoor je ze verzamelde. Andere wetten kunnen wel een minimale termijn opleggen, zoals de fiscale bewaarplicht. Leg je termijnen vast in je privacyverklaring en houd je eraan.
Gangbare termijnen voor een cursusaanbieder:
| Gegevens | Termijn | Waarom |
|---|---|---|
| Facturen en betalingen | 7 jaar | Fiscale bewaarplicht |
| Presentie bij geaccrediteerde scholing | Volgens het reglement van het register | Sommige registers schrijven een termijn voor, zoals vijf jaar |
| Certificaten | Zolang het certificaat geldig is plus een redelijke marge | Deelnemer en werkgever willen het kunnen controleren |
| Wachtlijst en belangstelling | Tot de cursus voorbij is, of tot de deelnemer afhaakt | Geen doel meer daarna |
| Medische opmerkingen | Tot na de cursus | Alleen nodig tijdens de les |
| Nieuwsbrief | Tot de deelnemer zich afmeldt | Toestemming ingetrokken |
Heb je een verwerkersovereenkomst nodig?
Ja, als een ander bedrijf persoonsgegevens voor jou verwerkt, zoals je cursussoftware, je mailprogramma of je hostingpartij. Jij bepaalt waarvoor de gegevens worden gebruikt, de leverancier verwerkt ze in jouw opdracht. Artikel 28 van de AVG verplicht dan een verwerkersovereenkomst, en beide partijen zijn aansprakelijk als die ontbreekt.
De Autoriteit Persoonsgegevens noemt wat er minimaal in moet: onderwerp en duur, aard en doel, welke soorten gegevens en welke betrokkenen, en dat de verwerker je direct waarschuwt bij een datalek. Let ook op wat er gebeurt met de gegevens als je stopt met het pakket.
Geef je deelnemersgegevens door aan een register of beroepsvereniging, dan is die partij meestal zelf verantwoordelijk. Daarvoor is geen verwerkersovereenkomst nodig, maar je vermeldt het wel in je privacyverklaring.
Hoe regel je dit in Lamna?
In Lamna stel je per cursus zelf in welke velden het inschrijfformulier vraagt. Een BIG-nummer zet je alleen op de geaccrediteerde cursussen, een inkoopnummer alleen als de werkgever op rekening betaalt. Toestemmingen, zoals voor een nieuwsbrief, staan los van de inschrijving en zijn niet vooraf aangevinkt.
Je team werkt met rollen en rechten, zodat een docent ziet wat hij nodig heeft en de rest niet. Elke wijziging staat in het logboek. Lamna is een Nederlands product en je sluit met ons een verwerkersovereenkomst af. Werk je in de zorg of geef je BHV-trainingen, kijk dan ook op de pagina voor zorg, BHV en EHBO. Wat het kost, zie je op de prijzenpagina.