Zorgpraktijken: de vier risico's, waar elke pagina iets over gezondheid kan verraden
Bijna alles wat een praktijk online verwerkt, zijn gezondheidsgegevens, tot en met welke pagina een patiënt leest en welk tijdslot hij boekt. Dat maakt alle vier de risico's groter, en toezichthouders hebben individuele artsen en tandartsen beboet, niet alleen ziekenhuizen.
de bandbreedte van de boetes die de CNIL, de Franse privacytoezichthouder, sinds 2020 aan individuele artsen en tandartsen gaf, meestal zonder hen bij naam te noemen, voor medische beelden die open online stonden, zwakke beveiliging en patiënten die hun eigen dossier niet kregen.
CNIL, geraadpleegd 8 nov 2026boete van de CNIL voor Hôpital Privé de la Loire in 2026, nadat een aanvaller binnenkwam via een login voor externe gebruikers, onder wie vrijgevestigde artsen, zonder meerfactorauthenticatie.
CNIL, 3 sep 2026in de Britse zorg hadden de Meta Pixel draaien, die gegevens over aandoeningen, afspraken en behandelingen aan Facebook doorgaf, meldde de pers in mei 2023; 17 zeiden dat ze hem hadden verwijderd.
PA via BreakingNews.ie, 28 mei 2023Hoe elk risico er in uw bedrijf uitziet
E-mail uit uw naam
Een patiënt krijgt een e-mail van het adres van uw praktijk: een consult is niet betaald en moet vandaag nog worden voldaan, via een link. U heeft die mail nooit verstuurd. Uw domein heeft geen DMARC-beleid, dus de mailbox van de patiënt had geen instructie om hem te weigeren, en omdat u al afspraakherinneringen mailt, lijkt het routine.
- We vonden geen toezichthouder die een praktijk beboet voor een ontbrekend DMARC-record op zich. Het risico is fraude uit uw naam tegen uw patiënten, laboratoria en collega's, en, als een vervalste mail tot gestolen gegevens leidt, de algemene plicht om gegevens te beveiligen.
- Het Britse National Cyber Security Centre zegt dat SPF, DKIM en DMARC het criminelen moeilijk maken om uw adres te vervalsen, en dat elk domein ze nodig heeft, ook domeinen op Google of Microsoft 365 (NCSC, 7 okt 2019).
- In Frankrijk vragen de CNIL en de Ordre des médecins (de Franse artsenorde) om beveiligde zorgberichtgeving tussen professionals en, als gewone e-mail wordt gebruikt, om een versleutelde bijlage met het wachtwoord via een ander kanaal (CNIL and CNOM, jun 2018).
Tracking vóór toestemming
Uw marketingbureau zet de Meta Pixel op de hele site voor een campagne over implantaten. Die gaat nu af op de pagina over tandvleesziekte, de pagina over kunstgebitten en de afspraakbevestiging, en stuurt Meta het paginaadres, het IP-adres van de bezoeker en, met advanced matching aan, een gehasht e-mailadres en telefoonnummer. Ook als de bezoeker de banner heeft geaccepteerd, zijn dat gezondheidsgegevens die naar een adverteerder gaan.
- Het Hof van Justitie van de EU oordeelde dat gegevens uit websitebezoeken die iets over gezondheid kunnen onthullen, bijzondere persoonsgegevens zijn, ongeacht het opgegeven doel van het verzamelen (Court of Justice of the EU, 4 jul 2023).
- De Zweedse toezichthouder beboette in 2024 twee apotheken met SEK 37 miljoen en SEK 8 miljoen, hoewel hun pixels alleen gegevens stuurden van klanten die marketingcookies hadden geaccepteerd (IMY (Swedish data protection authority), 29 aug 2024; IMY (Swedish data protection authority), 29 aug 2024).
- Er vallen ook kleine boetes: in 2024 gaf de CNIL een opleidingsinstituut voor zorgprofessionals een boete van € 15.000 via haar vereenvoudigde procedure, deels voor de informatie over en de toestemming voor cookies (CNIL, geraadpleegd 8 nov 2026).
Klanten met een beperking
De praktijk stapt over op alleen nog online afspraken, en de telefoon zegt nu: boek online. Een patiënt met een schermlezer komt niet voorbij de datumkiezer, een slechtziende patiënt kan de lichtgrijze tijden bij 200% zoom niet lezen, en de cookiebanner houdt iedereen die een toetsenbord gebruikt gevangen. Ouderen en mensen met een beperking zijn een groot deel van de patiënten van een praktijk, en online boeken is vaak de enige weg naar een afspraak.
- De European Accessibility Act (EAA, richtlijn (EU) 2019/882) geldt voor een gesloten lijst van diensten, en zorg staat daar niet op. Micro-ondernemingen die diensten verlenen, met minder dan 10 mensen en niet meer dan € 2 miljoen omzet of balanstotaal, zijn uitgezonderd (EUR-Lex, 17 apr 2019).
- Of online een medische afspraak boeken een e-commercedienst is onder de EAA, staat niet vast. Het Europese consumentenrecht behandelt zorgovereenkomsten apart (EUR-Lex, geraadpleegd 8 nov 2026), en we vonden geen officiële richtsnoeren.
- Gelijkebehandelingswetgeving reikt verder: in het VK geldt de Equality Act 2010 voor iedereen die een dienst aan het publiek verleent (Equality Act 2010, geraadpleegd 8 nov 2026), en de Nederlandse Wgbh/cz noemt de zorg (wetten.overheid.nl, versie van 1 jan 2026).
Betaal- en websitebeveiliging
Uw oude site serveert sommige pagina's nog via gewoon HTTP. Het contactformulier vraagt patiënten hun klachten te beschrijven en stuurt die naar een plugin die niemand heeft bijgewerkt, en de pagina voor de aanbetaling van een particuliere behandeling laadt zes externe scripts. Intussen loggen uw medewerkers op het patiëntsysteem van de kliniek in de buurt in met alleen een wachtwoord.
- In 2020 beboette de CNIL twee artsen met € 3.000 en € 6.000: duizenden medische beelden op hun eigen servers waren onversleuteld bereikbaar via internet, en het datalek was niet gemeld (Le Monde du Droit, 7 jan 2021).
- In 2026 gaf ze Hôpital Privé de la Loire een boete van € 500.000. De aanvaller kwam binnen via de login voor externe gebruikers, onder wie vrijgevestigde artsen, zonder VPN of meerfactorauthenticatie, en met één account was het dossier van elke patiënt te openen (CNIL, 3 sep 2026).
- Een praktijk die kaartbetalingen aanneemt, valt net als elke verkoper onder de regels van de kaartsector, ook als de betaalpagina van de provider zelf is (PCI Security Standards Council, geraadpleegd 8 nov 2026).
Geldt de European Accessibility Act voor u?
Waarschijnlijk niet, voor de meeste praktijken. Zorg is geen van de diensten die de EAA noemt, en kleine praktijken zijn uitgezonderd; de webwinkel van een grotere kliniek of apotheek is een ander verhaal.
Sinds 28 juni 2025 geldt de EAA voor een gesloten lijst van diensten aan consumenten, waaronder e-commercediensten: diensten op afstand, via websites en apps, op verzoek van een consument, met het oog op het sluiten van een consumentenovereenkomst. Zorg staat niet op de lijst. Micro-ondernemingen die diensten verlenen, zijn uitgezonderd: minder dan 10 mensen en niet meer dan € 2 miljoen jaaromzet of balanstotaal (EUR-Lex, 17 apr 2019). Of het online boeken van een medische afspraak als e-commercedienst telt, staat niet vast. Het Europese consumentenrecht sluit zorgovereenkomsten uit van zijn eigen regels (EUR-Lex, geraadpleegd 8 nov 2026), de EAA verwijst niet naar die uitsluiting, en we vonden geen officiële richtsnoeren over medische afspraken.
Waarschijnlijk wel van toepassing
- Een kliniek, groepspraktijk of apotheek met 10 of meer mensen, of boven € 2 miljoen, die producten of betaalde diensten online aan consumenten verkoopt: een apotheekwebshop, huidverzorging of whiteningsets, revalidatiemiddelen, betaalde onlineprogramma's.
Waarschijnlijk niet van toepassing
- Een informatieve praktijkwebsite: het team, openingstijden, routebeschrijving, uitleg over behandelingen.
- Een praktijk met minder dan 10 mensen en niet meer dan € 2 miljoen omzet of balanstotaal, wat die ook online doet.
- Een Britse praktijk, tenzij die in de EU verkoopt.
De EAA is geen Brits recht. De Equality Act 2010 geldt voor iedereen die een dienst aan het publiek verleent en vereist redelijke aanpassingen (Equality Act 2010, geraadpleegd 8 nov 2026); of de eigen website van een NHS-huisartsenpraktijk ook onder de toegankelijkheidsregels voor de publieke sector valt, werd in onze bronnen niet bevestigd (GOV.UK, bijgewerkt 30 sep 2024).
Onze lezing van de richtlijn en van de richtsnoeren van de toezichthouders, geen juridisch advies. Zit uw situatie dicht bij de grens, vraag dan een advocaat.
Controles die u in een minuut doet
Kan iemand e-mail sturen uit naam van uw praktijk?
Doe de gratis e-mailcheck op het domein van uw praktijk, of de test op internet.nl (internet.nl, geraadpleegd 8 nov 2026); in het VK biedt het NCSC een eigen test. U wilt DMARC op p=quarantine of p=reject.
Wat laadt er voordat de patiënt kiest?
Open uw site in een privévenster en laat de cookiebanner met rust. Druk op F12, open het tabblad Netwerk, laad de pagina opnieuw en typ facebook, google of tiktok in het filter. Alles wat dan verschijnt, is geladen vóór toestemming.
Wat laadt er op afspraak- en behandelpagina's?
Herhaal de check op de afsprakenpagina, de afspraakbevestiging en één pagina over een aandoening. Op een zorgsite is het veilige antwoord daar: niets van een adverteerder, ook niet na toestemming.
Is uw afsprakenplatform gecertificeerd?
Vraag in Frankrijk uw afspraak- en softwareleveranciers om hun HDS-certificaat. Vraag in Nederland om hun NEN 7510-certificaat. Controleer in het VK, als u met NHS-gegevens werkt, uw eigen status in de Data Security and Protection Toolkit.
Vraagt uw contactformulier naar klachten?
Als het een vrij invulveld heeft voor de reden van het bezoek, vraag u dan af of u dat nodig heeft. Zoek daarna uit waar de e-mails van het formulier terechtkomen: een gewone mailbox vol klachten is een opslagplaats van gezondheidsgegevens.
Kan een patiënt boeken zonder muis?
Gebruik op uw afsprakenpagina alleen Tab, Shift+Tab en Enter om een tijdslot te kiezen en te bevestigen. Zoom de browser daarna in tot 200% en probeer het opnieuw.
Slotje en certificaat
Typ http:// en uw domein: u hoort zonder waarschuwing op https:// uit te komen. Klik op het slotje en noteer wanneer het certificaat verloopt.
Is er een tweede factor bij elke login?
Controleer de mailbox van de praktijk, de praktijksoftware en elke login op een systeem van een ziekenhuis of kliniek. De Franse boete van € 500.000 uit 2026 begon bij een login voor externe gebruikers, onder wie vrijgevestigde artsen, zonder tweede factor (CNIL, 3 sep 2026).
Wat ondernemers in deze sector zichzelf voorhouden
Email & Cookie Fix
Beide, voor bedrijven die buiten de toegankelijkheidswet vallen.
Blijvend opgelost: vanaf € 39 per maand
Bevestig het met een echte scan
We lezen alleen wat elke bezoeker en openbare DNS-records laten zien: geen login, geen tests van uw systemen. U krijgt per e-mail een persoonlijk risicorapport met screenshots, een score per risico en vaste prijzen.
De details, voor wie meer wil weten
De pixel had toestemming, en lekte toch
Apoteket, een Zweedse apotheek, gebruikte de Meta Pixel in zijn webwinkel, en alleen voor klanten die marketingcookies hadden geaccepteerd. De pixel stond zelfs niet op de pagina's voor receptgeneesmiddelen. Maar een instelling met de naam automatic advanced matching was door individuele medewerkers aangezet zonder risicobeoordeling, zo meldde het bedrijf zelf aan de toezichthouder. Meer dan twee jaar lang stuurde de pixel Meta gehashte namen, e-mailadressen en telefoonnummers, samen met aankopen zoals soa-tests, anticonceptie en zwangerschapstests. In augustus 2024 stelde de Zweedse privacytoezichthouder een schending vast van de plicht om persoonsgegevens te beveiligen en legde Apoteket een boete op van SEK 37 miljoen, en een tweede onlineapotheek, Apohem, een boete van SEK 8 miljoen voor een vergelijkbaar pixellek (IMY (Swedish data protection authority), 29 aug 2024; IMY (Swedish data protection authority), 29 aug 2024).
Toestemming voor cookies maakte de pixel niet veilig: op een zorgsite kan de pagina die iemand bezoekt zelf al een gezondheidsgegeven zijn.
Wat geldt, per markt
Medisch beroepsgeheim
Elke patiënt heeft recht op vertrouwelijkheid van de informatie over hem, volgens artikel L1110-4 van de Code de la santé publique (Légifrance, versie geldig sinds 4 aug 2021). Het onthullen van geheime informatie wordt bestraft met een jaar gevangenisstraf en € 15.000 boete, volgens artikel 226-13 van de Code pénal (Légifrance, geraadpleegd 8 nov 2026). Voor zover wij weten heeft niemand beslist of een trackingpixel die een consult verraadt het beroepsgeheim schendt.
Online afspraken en hosting
De praktijk blijft verwerkingsverantwoordelijke voor afspraakgegevens, ook als een platform de afspraken regelt; het platform is haar verwerker, onder een overeenkomst die de praktijk moet controleren. Patiëntdossiers of afspraakgegevens die een leverancier host, moeten bij een erkende of gecertificeerde host voor gezondheidsgegevens staan, HDS genoemd (CNIL and CNOM, jun 2018).
Gezondheidsgegevens tussen professionals horen via beveiligde zorgberichtgeving te gaan (MSSanté). Als gewone e-mail wordt gebruikt, versleutel dan de bijlagen en stuur het wachtwoord via een ander kanaal, per telefoon of sms (CNIL and CNOM, jun 2018).
Websites van artsen
Sinds een decreet uit 2020 (artikel R4127-19-1 van de Code de la santé publique) mogen artsen online eerlijke informatie geven over hun vaardigheden en hun praktijk, zonder getuigenissen of vergelijkingen. Volgens de medische verzekeraar MACSF blijft het verboden een vermelding te regelen die een arts bovenaan de zoekresultaten zet, betaald of niet (MACSF, 20 feb 2026).
Besluiten en uitspraken in deze sector
| Markt | Datum | Wie besliste | Tegen | Uitkomst | Waarom | Bron |
|---|---|---|---|---|---|---|
| FR | dec. 2020 | CNIL | Twee vrijgevestigde artsen (niet genoemd) | € 3.000 en € 6.000 | Duizenden medische beelden op hun eigen servers onversleuteld open op internet; het datalek was niet gemeld | Le Monde du Droit |
| FR | apr. 2022 | CNIL | Een maker van laboratoriumsoftware (niet genoemd) | € 1.500.000 | Verplichtingen als verwerker, handelen buiten de instructies van de laboratoria, en beveiliging van de patiëntgegevens die het bewaarde | CNIL |
| FR | mei 2023 | CNIL | Een website over gezondheid en welzijn (niet genoemd) | € 380.000 | Cookies geplaatst zonder toestemming, toestemming voor gezondheidsgegevens uit online tests, en beveiliging | CNIL |
| FR | jan. 2024 | CNIL (vereenvoudigde procedure) | Een tandarts (niet genoemd) | € 5.000 | Gegevensbeveiliging, en het recht van een patiënt op inzage in gezondheidsgegevens niet gerespecteerd | CNIL |
| FR | sep. 2024 | CNIL (vereenvoudigde procedure) | Een opleidingsinstituut voor zorgprofessionals (niet genoemd) | € 15.000 en een bevel tot naleving | Informatie over en toestemming voor cookies, recht op wissing, geen goede verwerkersovereenkomst, en beveiliging | CNIL |
| FR | feb. 2023 t/m feb. 2026 | CNIL (vereenvoudigde procedure) | Minstens negen huisartsen, andere artsen en tandartsen (niet genoemd) | € 3.000 tot € 5.000 per persoon, vaak met een bevel tot naleving | Vooral patiënten die geen inzage in hun medisch dossier kregen, en zorgverleners die de CNIL niet antwoordden | CNIL |
| FR | juli 2026 | CNIL | Hôpital Privé de la Loire | € 500.000 en een bevel om de beveiligingsmaatregelen af te ronden | Een aanvaller kwam binnen via de login voor externe gebruikers, onder wie vrijgevestigde artsen, zonder VPN of meerfactorauthenticatie; 524.867 patiënten getroffen | CNIL |
| UK | dec. 2019 | ICO | Doorstep Dispensaree, een apotheek die verzorgingshuizen bevoorraadt | £ 275.000 en een handhavingsbevel (volgens berichtgeving) | Ongeveer 500.000 documenten met namen, NHS-nummers en medische informatie in onafgesloten containers op een binnenplaats aan de achterkant | The Pharmaceutical Journal |
| UK | mrt. 2025 | ICO | Advanced Computer Software Group, een IT-leverancier van de NHS | £ 3.076.320, aanvaard zonder beroep (volgens berichtgeving) | Ransomware kwam in 2022 binnen via een klantaccount zonder meerfactorauthenticatie; NHS 111 verstoord en gegevens van 79.404 mensen buitgemaakt | Tech Monitor |
| NL | feb. 2021 | Autoriteit Persoonsgegevens | OLVG, een Amsterdams ziekenhuis | € 440.000, geen beroep ingesteld (volgens berichtgeving) | Van 2018 tot 2020 te weinig maatregelen om te voorkomen dat onbevoegde medewerkers medische dossiers inzagen, en te weinig controle op wie welk dossier inzag | NOS |
| EU | juli 2023 | Hof van Justitie van de EU (C-252/21) | Meta Platforms e.a. tegen Bundeskartellamt | Uitspraak over de uitlegging | Gegevens uit bezoeken aan websites en apps die iets over gezondheid kunnen onthullen, zijn bijzondere persoonsgegevens, ongeacht het opgegeven doel | Court of Justice of the EU |
| EU | okt. 2024 | Hof van Justitie van de EU (C-21/23, Lindenapotheke) | Een geschil tussen twee apothekers in Duitsland | Uitspraak over de uitlegging | Wat klanten invullen bij het online bestellen van apotheekgebonden geneesmiddelen, zijn gezondheidsgegevens, ook zonder recept | Court of Justice of the EU |
| EU | aug. 2024 | IMY, de Zweedse privacytoezichthouder | Apoteket AB, een apotheek | SEK 37 miljoen | De Meta Pixel met advanced matching stuurde gevoelige aankopen en gehashte contactgegevens naar Meta, alleen voor klanten die marketingcookies hadden geaccepteerd; toch een tekortkoming in de beveiliging | IMY (Swedish data protection authority) |
| EU | aug. 2024 | IMY, de Zweedse privacytoezichthouder | Apohem AB, een onlineapotheek | SEK 8 miljoen | De Meta Pixel stuurde meer contact- en aankoopgegevens dan bedoeld, voor klanten die marketingcookies hadden geaccepteerd; een tekortkoming in de beveiliging | IMY (Swedish data protection authority) |
Vragen die het stellen waard zijn
Uw antwoorden blijven op deze pagina. Bij elk antwoord ziet u waarom het ertoe doet.
Laden advertentietags (Meta Pixel, Google Ads, TikTok) op uw pagina's over aandoeningen, behandelingen of afspraken?
Hoe maken patiënten een afspraak?
Hoe stuurt u uitslagen, brieven of documenten naar patiënten en collega's?
Is een tweede factor (een code, een app of een pas) nodig om in te loggen op uw mailbox, uw praktijksoftware en elk systeem van een ziekenhuis of kliniek?
Hoe groot is de praktijk, en verkoopt ze iets online aan patiënten?
antwoorden wijzen op iets wat het oplossen waard is.
De volledige zelftest geeft een score voor alle vier de risico's en stelt uw lijst voor de komende 30 dagen op.
Geen juridisch advies. Een advocaat zou moeten bevestigen: of een trackingpixel die een consult verraadt het Franse medisch beroepsgeheim schendt; of betaalde zoekadvertenties of retargeting van een Franse arts onder het verbod op betaalde voorrangsvermelding vallen, een punt dat we alleen in een secundaire bron vonden, de medische verzekeraar MACSF, en wat de vergelijkbare regels zijn voor tandartsen, fysiotherapeuten en apothekers; of online een medische afspraak boeken een e-commercedienst is onder de European Accessibility Act voor praktijken boven de drempels voor micro-ondernemingen, per land; of de eigen website van een NHS-huisartsenpraktijk onder de toegankelijkheidsregels voor de publieke sector valt; hoe ver de Nederlandse wet gelijke behandeling reikt voor een praktijkwebsite; en, voor apotheken die online verkopen, de nationale regels voor vergunning, logo en hosting.