Kort antwoord: zet op de laatste werkdag een automatisch antwoord aan, verwijder de mailbox uiterlijk na een maand (in uitzonderlijke gevallen na drie maanden) en gebruik nooit een doorstuuradres. Dit geldt niet alleen voor medewerkers in loondienst, maar ook voor zelfstandige collega's die met een mailadres van je praktijk werkten.
Als een medewerker of collega vertrekt uit je praktijk, denk je meteen aan het afscheid, de overdracht van cliënten en de laatste administratie. De mailbox van die persoon staat vaak niet bovenaan je lijst. Toch kijkt de Gegevensbeschermingsautoriteit (GBA) daar al jaren scherp naar. Recente uitspraken uit 2026 laten zien dat de boetes kunnen oplopen tot meer dan 160.000 euro, ook voor kleine organisaties met maar een paar medewerkers.
Waarom dit ook in de geestelijke gezondheidszorg meespeelt
Bij Konnektit hoor ik dit geregeld terug van leden die met een team werken: als iemand de praktijk wordt er gebruik gemaakt van een doorstuuradres voor de mailbox. Dit systeem wordt dan vaak nog maandenlang gebruikt, soms uit angst om iets van een cliënt te missen, soms gewoon omdat niemand eraan denkt tot iemand het weer tegenkomt bij het opruimen van de praktijkmail.
Wat veel praktijkhouders niet weten, is dat een mailbox met een naam erin altijd persoonsgegevens bevat, ook als die mailbox eigenlijk van de praktijk is. Zolang die mailbox blijft bestaan na iemands vertrek, worden er nog gegevens verwerkt, zelfs als je zelf niets leest of doorstuurt.
Wat zegt de GBA precies
De GBA hanteert vijf kernregels rond de mailbox van een vertrekkende medewerker:
- zet uiterlijk op de laatste werkdag een automatisch antwoordbericht aan
- houd de mailbox maximaal een maand actief, met een uiterste grens van drie maanden als je dat kan onderbouwen
- verstuur vanuit die mailbox geen mails meer naar cliënten of externe contacten, tenzij de vertrekkende medewerker daar zelf mee instemt
- informeer medewerkers vooraf over wat er met hun mailbox gebeurt als ze vertrekken
- verwijder het mailadres en de mailbox volledig na die periode
Deze regels staan ook toegelicht op de website van de Gegevensbeschermingsautoriteit zelf. Drie recente beslissingen, van 22 april, 23 april en 12 mei 2026, bevestigen deze regels opnieuw, met boetes van 8.500 euro en meer dan 160.000 euro tot gevolg.
Wat de uitspraken van 2026 extra laten zien
Een paar nuances uit die uitspraken zijn goed om te kennen, zeker als je met cliëntgevoelige informatie werkt.
Een doorstuuradres of alias is geen alternatief voor een automatisch antwoord. Als je inkomende mails van een vertrokken medewerker laat doorsturen naar jezelf of een collega, krijg je toegang tot de volledige inbox, ook tot berichten die niets met de praktijk te maken hebben.
Informatie die je nodig hebt voor de continuïteit van cliëntendossiers, haal je best op vóór het vertrek, en liefst samen met de vertrekkende medewerker. Achteraf in een mailbox zoeken zonder toestemming mag niet, zelfs niet bij lopende cliëntafspraken.
Verwijderen moet ook echt verwijderen zijn, niet alleen uit je actieve mailomgeving maar ook uit back-ups.
Een clausule in je interne beleid dat mailboxen jarenlang mag bewaren, bijvoorbeeld met verwijzing naar fiscale bewaartermijnen, biedt geen geldige rechtsgrond. In een van de zaken sprak de GBA zelfs over minachting voor de GDPR-regels toen een organisatie dit als argument gebruikte.
De verantwoordelijkheid ligt altijd bij jou als praktijkhouder, ook als je met zelfstandige collega's werkt.
Wat betekent dit voor jouw praktijk
Een paar stappen die je kan volgen wanneer een medewerker vertrekt uit je praktijk:
- zet op de laatste werkdag een automatisch antwoord aan met een alternatief contactpunt
- gebruik geen alias of doorstuuradres
- haal cliëntinformatie op vóór het vertrek, bij voorkeur samen met de vertrekkende medewerker
- verwijder de mailbox uiterlijk na een maand, of na drie maanden als je dat kan motiveren, en verwijder ook uit back-ups
- leg in je interne afsprakenkader of samenwerkingsovereenkomst vast wat er met de mailbox gebeurt bij vertrek
- check je huidige beleid op verwijzingen naar lange bewaartermijnen van mailboxen, want die bieden geen rechtsgrond
Dit voorkomt niet alleen een boete. Het geeft ook vertrekkende medewerkers het gevoel dat hun privacy serieus wordt genomen, en dat hoort wat mij betreft bij een praktijk waar zorgvuldigheid centraal staat.
Veelgestelde vragen
Hoe lang mag ik de mailbox van een vertrokken medewerker actief houden?
In principe maximaal een maand. Alleen met een goede onderbouwing, bijvoorbeeld bij een medewerker met een grote verantwoordelijkheid, kan dit oplopen tot drie maanden.
Mag ik mails van een vertrokken medewerker automatisch doorsturen naar een collega?
Nee. Een doorstuuradres of alias geeft toegang tot de volledige inbox, ook tot privéberichten. Alleen een automatisch antwoordbericht is toegestaan.
Geldt dit ook voor zelfstandige collega's?
Ja. Zodra iemand met een mailadres van je praktijk werkte, gelden dezelfde regels, ongeacht of die persoon in loondienst was of als zelfstandige meewerkte.
Mag ik cliëntinformatie uit de mailbox halen nadat iemand vertrokken is?
Dat kan enkel met toestemming van de vertrokken medewerker en bij voorkeur in diens aanwezigheid. Haal belangrijke informatie daarom liever op vóór het vertrek.
Dit artikel is gebaseerd op openbare beslissingen van de Gegevensbeschermingsautoriteit en algemene informatie. Het vervangt geen juridisch advies op maat. Twijfel je over jouw specifieke situatie, leg dit dan voor aan onze juriste tijdens ons vragenuurtje gezondheidsrecht. De data waarop deze online meetings plaatsvinden vindt je in onze kalender via deze link.
© 7 juli 2026 – Sonja Delbeecke - alle rechten voorbehouden
