SMS-bevestiging in de zorg — NEN 7510 + AVG slim aanpakken

Waarom dit artikel

Patiënten verwachten een digitale bevestiging na een telefonische afspraak. Lange tijd was WhatsApp Business het voor de hand liggende kanaal — laagdrempelig, end-to-end versleuteld, hoge open rate. Toch kiezen wij voor SMS via Twilio EU als standaard-bevestigingskanaal voor de zorg. Hier is het waarom, plus hoe je het NEN 7510- en AVG-conform inricht.

De vier echte verschillen tussen SMS en WhatsApp Business

1. Sub-processor-keten. SMS via Twilio EU loopt door één EU-verwerker (Twilio Ireland). WhatsApp Business voegt Meta toe aan de keten — een US-onderneming. SCC en DPF lossen dat op papier op, maar bij audits levert het extra vragen op.
2. Versleuteling. WhatsApp Business is E2EE. SMS is dat niet — operators kunnen technisch meelezen. Daarom: nooit PHI in een SMS. Alleen afspraak-metadata (datum, tijd, praktijknaam, behandelaar). De E2EE-belofte van WhatsApp wordt vaak overschat omdat de meeste praktijken er tóch alleen afspraak-info in zetten — dezelfde data die ook via SMS prima kan.
3. Bewaartermijn. WhatsApp Business bewaart conversaties standaard op Meta-servers; uitschakelen vereist API-config. SMS-content kan via Twilio API direct na verzending leeggemaakt worden — wij bewaren alleen verzonden/afgeleverd-status plus hash.
4. Opt-in. WhatsApp Business vereist een 24-uurs conversation-window of Message Template. SMS heeft geen window-regels — enkel een eenmalige opt-in tijdens de call, gelogd in onze audit-trail.

Onze NEN 7510 + AVG-conforme SMS-aanpak

• Twilio EU edge: api.eu1.twilio.com gepind, NL geo-nummer als sender-ID, DPA en SCC 2021/914 actief.
• Non-PHI body: alleen datum, tijd, naam praktijk en behandelaar. Géén klacht, diagnose, medicatie, BSN of polisnummer in het bericht. Eén regel disclaimer: “Voor medische vragen: bel ons. Wij verwerken geen medische info per SMS.”
• Expliciete opt-in: tijdens de call vraagt de bot “Mag ik u een SMS-bevestiging sturen op dit nummer?”. Antwoord wordt vastgelegd in de tamper-evident audit-chain met timestamp en HMAC-hash.
• Korte retentie: bericht-body niet bewaard in onze DB. Wij houden alleen status (verzonden/afgeleverd/bounce) plus hash voor 30 dagen, daarna alleen het feit dat een bericht gestuurd is (zonder inhoud).
• Eén-richtings communicatie: patiënt verzet of annuleert via terugbellen of patiëntportaal — niet via SMS-reply. Dat voorkomt dat medische info in een inbound thread terechtkomt die we als verwerker dan moeten loggen.

Wat mag wél via SMS

• Afspraak-bevestiging: datum, tijd, behandelaar, locatie
• 24-uurs herinnering met dezelfde data
• Recall na X maanden: “Tijd voor uw periodieke controle”
• Wachtlijst-aanbod: “Vrij slot vandaag om 15:00 — bel om te claimen”

Wat NIET via SMS (en niet via WhatsApp)

• Diagnose, klacht of medicatie-info
• BSN, polisnummer, geboortedatum los van naam
• Uitslagen (lab, beeldvorming, screening)
• Verschillende patiënten in één thread vermengen

Wanneer dan wél WhatsApp Business?

WhatsApp Business blijft een legitieme optie als een praktijk expliciet kiest voor 2-way patient-communicatie (bijvoorbeeld recall-flows waar patiënten zelf snel willen reageren). In dat geval ondersteunen wij dat als opt-in integratie per tenant — met eigen DPA en WhatsApp Business goedkeuring per praktijk. Standaard staat SMS aan.

Praktisch voor uw praktijk

Als u net start: SMS aan, WhatsApp uit. Veiligste compliance-pad, simpelste audit-story, geen extra Meta-provisioning. Verzendkosten liggen in NL rond €0,03–€0,07 per bericht — verwaarloosbaar tegenover wat een gemiste afspraak kost (€50–€225).