DPIA-template voor
je praktijk.

0.1 Methodologie

Deze template gebruikt de volgende uitgangspunten:

• AVG art. 35 lid 7 sub a tot en met d voor de systematische beschrijving, de noodzakelijkheids- en evenredigheidstoets, de risicoanalyse en de voorgenomen maatregelen.
• AVG art. 35 lid 1 en lid 3 en het AP-besluit BWBR0042812 voor de beoordeling of een DPIA verplicht is.
• EDPB Guidelines on DPIA, WP248 rev.01 als richtinggevend kader voor hoog-risico-indicatoren en de beoordeling van aard, omvang, context en doeleinden.
• Actuele informatie van de Autoriteit Persoonsgegevens over DPIA's, grootschaligheid in de zorg en voorafgaande raadpleging.
• Een kwalitatieve beoordeling van impact en waarschijnlijkheid voor het inherente risico en het restrisico.

Je praktijk mag aanvullend een gangbare methode gebruiken, zoals ISO/IEC 29134 of de CNIL PIA-methodiek, mits je de gekozen methode, definities, schaal en acceptatiegrens vastlegt. De CNIL-methodiek is een facultatief hulpmiddel en geen door de Autoriteit Persoonsgegevens of EDPB voorgeschreven norm.

De EDPB heeft in 2026 een DPIA-template voor publieke consultatie gepubliceerd. Deze is op de publicatiedatum niet bindend en nog niet als definitieve verplichte methode vastgesteld. Je kunt haar als aanvullende volledigheidscontrole gebruiken.

Gekozen aanvullende methode en motivering: _____________________

0.2 Scope

Deze DPIA dekt, voor zover je praktijk de betreffende functies gebruikt:

• invoer, upload, opslag, structurering en export van patiëntgegevens via het platform;
• transcriptie van consultaudio wanneer je praktijk de audiofunctie activeert;
• verwerking van vrije tekst en transcripties tot bewerkbare conceptverslagen, brieven, samenvattingen en andere administratieve output;
• conceptuele suggesties voor declaratiecodering volgens DCSPH;
• de actieve sub-verwerkersketen die voor deze verwerking wordt ingezet;
• menselijke controle, correctie en overdracht van relevante output naar het eigen patiëntdossier of EPD;
• het platform, dat app.hysio.nl en de bijbehorende mobiele applicaties van Hysio omvat, voor zover de praktijk die gebruikt.

Deze template dekt niet automatisch:

• verwerkingen in het eigen EPD, de mailomgeving, papieren dossiers of andere systemen van je praktijk;
• verwerkingen voor andere doelen dan de doelen die je in §1.3 vastlegt;
• koppelingen of gegevensuitwisselingen die je praktijk zelfstandig met andere partijen inricht;
• klinische besluitvorming, triage, diagnose of behandeling, omdat die buiten het Beoogd Doeleinde van Hysio vallen;
• gegevens waarvoor Hysio zelf verwerkingsverantwoordelijke is, zoals eigen account-, factuur- en beveiligingsgegevens. Daarvoor geldt de Privacyverklaring v3.7.

Breid de scope uit wanneer een aangrenzende verwerking, zoals overdracht naar het EPD of communicatie met een verwijzer, niet zinvol los van het gebruik van Hysio kan worden beoordeeld.

0.3 Wat staat al ingevuld door Hysio als verwerker

Hysio heeft op basis van de op de publicatiedatum beschikbare leveranciers-, contract- en broncode-informatie de volgende onderdelen voor-ingevuld, met de bewijsstatus per maatregel:

• §1.2, de identiteit en contactgegevens van Hysio B.V.;
• §1.4, de categorieën gegevens die het platform technisch kan verwerken;
• §1.6, de actuele retentiesituatie aan Hysio-zijde;
• §1.7, de actieve sub-verwerkers en de status van de inactieve OpenAI-fallback;
• §3.2, de door Hysio opgegeven maatregelen, met onderscheid tussen operationele, contractuele, te verifiëren en geplande maatregelen;
• §6, de bronnen en verwijzingen naar de overige juridische documenten.

Controleer vóór goedkeuring of de Verwerkersovereenkomst, het Subprocessor Register en de technische status nog actueel zijn.

0.4 Wat moet je praktijk zelf invullen

Je praktijk vult en beoordeelt ten minste:

• §1.1, identiteit, contactpersoon en eventuele FG;
• §1.3, de daadwerkelijk gebruikte functies, doelen, gegevensstromen, omvang, frequentie en ontvangers;
• §1.5, de concrete categorieën betrokkenen en eventuele extra kwetsbaarheid;
• §2.1 tot en met §2.6, de grondslagen, noodzakelijkheid, evenredigheid, alternatieven en menselijke beoordeling per doel;
• §3.1 tot en met §3.4, de praktijkspecifieke risico's, scores, maatregelen en acceptatie van restrisico;
• §4.1 en §4.2, de beoordeling of voorafgaande raadpleging van de Autoriteit Persoonsgegevens nodig is;
• §4.3, het standpunt van betrokkenen of de gemotiveerde beslissing waarom dit niet passend is;
• §4.4, het advies van de FG wanneer een FG is aangewezen;
• §4.5, de formele goedkeuring door de praktijkleiding;
• §5, de eigenaar, triggers en datum voor herbeoordeling.

0.5 Trigger-checklist DPIA-plicht

De tabel is een hulpmiddel. De wettelijke hoofdvraag blijft of de voorgenomen verwerking gelet op aard, omvang, context en doeleinden waarschijnlijk een hoog risico oplevert.

Het voldoen aan twee WP248-criteria wijst er in de regel op dat een DPIA nodig is, maar vormt geen automatische optelsom en vervangt AVG art. 35 lid 1 niet. Ook één criterium kan in een concrete situatie voldoende zijn. Leg de motivering vast wanneer je ondanks meerdere relevante criteria concludeert dat geen DPIA verplicht is.

Gebruik van Hysio raakt in ieder geval gevoelige gezondheidsgegevens. Afhankelijk van je patiëntenpopulatie en inrichting kunnen ook kwetsbaarheid en innovatief technologiegebruik relevant zijn. Daarom is een DPIA in veel praktijksituaties prudent en kan zij verplicht zijn. Bij grootschalige verwerking van gezondheidsgegevens is de DPIA verplicht.

Doorgiften of mogelijke toegang vanuit een derde land zijn geen zelfstandig WP248-criterium, maar moeten wel worden betrokken bij de risicoanalyse en doorgiftewaarborgen.

Conclusie DPIA-plicht praktijk: [ ] verplicht [ ] vrijwillig uitgevoerd [ ] niet verplicht
Motivering: _____________________

0.6 Projectteam DPIA

0.7 Evaluatieperiode

• Start DPIA: _______
• Feitelijke peildatum van de beschreven verwerking: _______
• Datum waarop leveranciers- en maatregelinformatie is gecontroleerd: _______
• Datum afronding en goedkeuring: _______
• Geplande herbeoordeling: _______
• Tussentijdse herbeoordeling bij een wijziging als bedoeld in §5: [ ] procedure ingericht

2.1 Rechtmatigheidsgrondslag

Je praktijk legt voor ieder afzonderlijk verwerkingsdoel vast:

1. welke grondslag uit AVG art. 6 lid 1 van toepassing is;
2. welke uitzondering op AVG art. 9 lid 1 van toepassing is wanneer gezondheidsgegevens worden verwerkt;
3. waarom de verwerking noodzakelijk is voor dat concrete doel;
4. welke wettelijke bepaling, overeenkomst of belangenafweging de keuze ondersteunt.

Voor verwerking die objectief noodzakelijk is voor de uitvoering van de behandelingsovereenkomst kan AVG art. 6 lid 1 sub b relevant zijn. Voor het aanleggen en bewaren van het patiëntdossier kan AVG art. 6 lid 1 sub c in samenhang met BW art. 7:454 relevant zijn. Deze bepalingen zijn geen algemene grondslag voor iedere optionele functie. De Wgbo verplicht bijvoorbeeld niet tot het opnemen van consultaudio of het gebruik van Hysio.

Voor gezondheidsgegevens beoordeelt je praktijk daarnaast AVG art. 9 lid 2 sub h, art. 9 lid 3, UAVG art. 30 lid 3 sub a en de geheimhoudingswaarborg van UAVG art. 30 lid 4. Voor BIG-geregistreerde fysiotherapeuten geldt tevens Wet BIG art. 88.

Wanneer je praktijk toestemming als grondslag kiest, moet zij voldoen aan AVG art. 4 punt 11 en art. 7. Voor gezondheidsgegevens moet toestemming bovendien uitdrukkelijk zijn in de zin van AVG art. 9 lid 2 sub a. De patiënt moet een werkelijke vrije keuze hebben, toestemming moet aantoonbaar zijn en intrekking moet mogelijk zijn. Bij optionele consultaudio moet weigering of intrekking zonder nadelige gevolgen voor de behandeling mogelijk zijn; bied een text-only of handmatig alternatief. Toestemming voor een geneeskundige behandeling onder BW art. 7:450 is niet automatisch toestemming voor iedere gegevensverwerking of audio-opname.

Hysio bepaalt als verwerker geen zelfstandige grondslag voor de patiëntverwerking, maar verwerkt op gedocumenteerde instructie van je praktijk.

2.2 Noodzakelijkheidstoets per verwerkingsdoel

Beoordeel noodzakelijkheid per doel en niet voor Hysio als geheel. Een besparing van administratietijd kan relevant zijn, maar toont zonder verdere onderbouwing niet aan dat iedere gegevenscategorie of functie noodzakelijk is.

2.3 Evenredigheidstoets

Audio-keuze praktijk:

• Gekozen maximale bewaartermijn: _____ dagen, maximaal 90 dagen.
• Doel en noodzaak van bewaring na transcriptie: _____________________
• Bevoegde personen met toegang: _____________________
• Overwogen kortere termijn of verwijdering na transcriptie: _____________________
• Overwogen text-only alternatief: _____________________
• Wordt toestemming gebruikt als grondslag? [ ] Nee [ ] Ja, onderbouwing vrije en uitdrukkelijke toestemming: _____________________
• Wijze en moment van patiëntinformatie: _____________________

2.4 Alternatieve-middelen-analyse

Vergelijk minimaal de volgende alternatieven op functionaliteit, nauwkeurigheid, gegevensvolume, sub-verwerkersketen, locatie, beveiliging, administratieve belasting, kosten en gevolgen voor betrokkenen. Vul de beoordeling zelf in en bewaar de geraadpleegde informatie.

Waarom is de gekozen inrichting de minst ingrijpende werkbare optie voor ieder doel?
_____________________

2.5 Menselijke beoordeling en AVG art. 22

Hysio neemt geen autonome klinische beslissing en is niet bedoeld voor uitsluitend geautomatiseerde besluitvorming. Output, waaronder een DCSPH-suggestie, is een bewerkbaar concept.

Menselijke tussenkomst is alleen betekenisvol wanneer een bevoegde fysiotherapeut:

• de invoer en output inhoudelijk kan beoordelen;
• voldoende informatie, tijd en deskundigheid heeft;
• de output kan wijzigen, afwijzen of opnieuw laten opstellen;
• niet structureel wordt aangemoedigd om output zonder controle over te nemen;
• de uiteindelijke professionele beslissing zelf neemt.

Wanneer je praktijk output zonder betekenisvolle beoordeling gebruikt voor een beslissing met rechtsgevolg of een vergelijkbaar aanmerkelijk gevolg, moet zij de beoordeling onder AVG art. 22 en deze DPIA opnieuw uitvoeren. Het contractuele reviewvereiste alleen is niet voldoende wanneer de feitelijke werkwijze neerkomt op automatisch overnemen.

Praktijkprocedure voor menselijke beoordeling: _____________________
Wie mag output definitief goedkeuren: _____________________
Hoe wordt correctie of afwijzing vastgelegd: _____________________

2.6 Declaratiecodering en gegevensverstrekking

Een DCSPH-coderingsuggestie is uitsluitend concept-output. De fysiotherapeut controleert zelf de toepasselijke code en beslist welke gegevens aan een zorgverzekeraar of andere ontvanger worden verstrekt.

Zorgverzekeringswet art. 87 kan relevant zijn wanneer een zorgaanbieder verzekerde zorg op grond van een overeenkomst rechtstreeks bij de zorgverzekeraar declareert. Die bepaling staat alleen verstrekking toe van persoonsgegevens die noodzakelijk zijn voor de uitvoering van de zorgverzekering of de wet. Zij vormt geen algemene verplichting om Hysio te gebruiken, schrijft geen specifieke Hysio-functie voor en bewijst niet zonder nadere toets dat iedere DCSPH-code of ieder onderliggend gezondheidsgegeven moet worden verstrekt.

Je praktijk legt daarom vast:

• welke declaratie- of contractuele regels daadwerkelijk van toepassing zijn;
• welke gegevens en code voor de concrete declaratie noodzakelijk zijn;
• welke gegevens vóór verstrekking kunnen worden weggelaten;
• wie de conceptcode controleert en autoriseert;
• hoe een foutieve suggestie wordt gecorrigeerd voordat zij een dossier of declaratie bereikt.

Toepasselijke declaratieregeling en onderbouwing: _____________________
Controle- en autorisatieprocedure: _____________________

4.1 Art. 36 prior-consultation-decision-tree

Gebruik de volgende beslisroute:

Stap 1: Blijft na uitsluitend aantoonbaar operationele en daadwerkelijk toegepaste
maatregelen een hoog restrisico bestaan?

  Nee
  -> Leg de motivering vast in §3.4.
  -> Voltooi de raadplegingen en goedkeuring in §4.3 tot en met §4.5.
  -> Start pas nadat alle als voorwaarde aangemerkte maatregelen zijn ingevoerd.

  Ja
  -> Stap 2: Kan het hoge restrisico vóór de start met aanvullende maatregelen
     worden verlaagd?

     Ja
     -> Voer de maatregelen eerst in.
     -> Herhaal de scoring van §3.3.
     -> Ga terug naar stap 1.

     Nee
     -> Voorafgaande raadpleging van de Autoriteit Persoonsgegevens is verplicht
        op grond van AVG art. 36 lid 1.
     -> Start de voorgenomen verwerking niet zolang de raadpleging loopt.
     -> Verwerk het advies en eventuele maatregelen van de AP.
     -> Beoordeel het restrisico opnieuw.
     -> Een reactie van de AP is niet zonder meer een goedkeuring.

AVG art. 36 lid 2 noemt een termijn van maximaal acht weken voor schriftelijk advies, met een mogelijke verlenging van zes weken vanwege de complexiteit. Houd rekening met aanvullende vragen en een langere praktische doorlooptijd.

4.2 Procedure indien art. 36-raadpleging vereist

De praktijk dient de aanvraag in. Hysio levert binnen haar rol als verwerker de informatie waarover zij beschikt en die redelijkerwijs nodig is voor de raadpleging.

4.3 Standpunt betrokkenen (AVG art. 35 lid 9)

AVG art. 35 lid 9 bepaalt dat de verwerkingsverantwoordelijke in voorkomend geval betrokkenen of hun vertegenwoordigers naar hun mening vraagt over de voorgenomen verwerking, met inachtneming van de bescherming van commerciële of algemene belangen of de beveiliging van de verwerking.

Een patiëntinformatieblad is informatieverstrekking en geldt op zichzelf niet als het vragen naar een standpunt. Als je geen standpunt vraagt, motiveer je concreet waarom dat in jouw situatie niet passend of mogelijk is. Leg ook vast welke alternatieve signalen of ervaringen van patiënten zijn betrokken. Wijkt het besluit af van het ontvangen standpunt, documenteer dan waarom.

4.4 FG / DPO-raadpleging

Als je praktijk een FG heeft aangewezen, moet diens advies over de DPIA worden ingewonnen op grond van AVG art. 35 lid 2. De FG adviseert en houdt toezicht, maar de praktijk blijft verantwoordelijk voor het besluit. Het ontbreken van een FG noteer je pas nadat de toepasselijkheid van AVG art. 37 afzonderlijk is beoordeeld.

4.5 Goedkeuring praktijkleiding

De praktijkleiding keurt de DPIA pas goed nadat de risicoanalyse, noodzakelijke verificaties, raadplegingen en voorwaardelijke maatregelen zijn afgerond. Deze goedkeuring vervangt geen voorafgaande raadpleging wanneer AVG art. 36 van toepassing is.

Wettelijke bronnen:

• AVG, in het bijzonder art. 5, 6, 9, 13, 22, 25, 28, 32, 33, 34, 35, 36, 37 en 44 tot en met 49.
• UAVG art. 30 voor verwerking van gezondheidsgegevens.
• Wgbo, BW Boek 7 titel 7 afdeling 5, in het bijzonder art. 7:446, 7:448, 7:450, 7:454, 7:455, 7:456, 7:457 en 7:464.
• Wet BIG art. 88, beroepsgeheim.
• Wkkgz art. 9, intern systeem voor veilig melden van incidenten, en art. 11, melding van calamiteiten aan de IGJ.
• Wabb en Wabvpz, voor zover het concrete gebruik van BSN of een zorginformatiesysteem daaronder valt.
• AP-besluit lijst verplichte DPIA, BWBR0042812.
• Verordening (EU) 2023/2854, Data Act, in het bijzonder art. 23 tot en met 31. Dit is een aangrenzend exit- en datacontinuïteitskader en geen zelfstandige DPIA-trigger.
• Verordening (EU) 2025/327, EHDS, met gefaseerde toepassing. Neem de EHDS mee zodra concrete toepasselijke verplichtingen of nieuwe gegevensstromen ontstaan.

Guidance en methodiek:

• WP29 Guidelines on Data Protection Impact Assessment, WP248 rev.01, zoals onderschreven door de EDPB.
• AP-informatie over DPIA's, de aanvraag voor voorafgaande raadpleging en grootschalige verwerking van gezondheidsgegevens.
• De EDPB DPIA Template 2026 kan als aanvullende structuurhulp worden gebruikt. Per publicatiedatum betreft dit een consultatieversie die nog moet worden gefinaliseerd. Het gebruik is niet verplicht.
• De CNIL PIA-methodiek kan uitsluitend als facultatieve kwalitatieve risicomethodiek dienen.

Hysio-cross-references:

• Algemene Voorwaarden v3.7
• Privacyverklaring v3.7
• Verwerkersovereenkomst v3.7
• MDR Positiedocument v3.7
• AI Act Transparantieverklaring v3.7
• Disclaimer v3.7
• Regeling Datatoegang v3.7
• Het actuele Subprocessor Register, de relevante TIA en aanvullende TOM-informatie zijn op verzoek beschikbaar via Hysio.

NEN 7510, NEN 7513 en ISO/IEC 27001 kunnen als referentiekader voor maatregelen worden gebruikt. Hysio is niet NEN 7510- of ISO 27001-gecertificeerd.