DPIA-template voor zorgpraktijken en zorginstellingen

Tekstrevisie: 15 september 2026. Versie 4.0.
Revisie-ID: D08-PUB-20260915

Tekstdatum: 15 september 2026.

Document 08. Versie 4.0. Onderzoekspeildatum: 15 september 2026.
Ingangsdatum: 15 september 2026

Gegevensbeschermingseffectbeoordeling voor de inzet van Hysio binnen je organisatie. Onderdeel van de juridische set Hysio Zorg v4.0 en de bijstand uit artikel 16 van de Verwerkersovereenkomst.

Deze template bevat leveranciersinformatie en invulonderdelen voor je eigen organisatie. De v4.0-servicenormen die hierin staan, zijn contractuele verplichtingen van Hysio. Deze template is een hulpmiddel voor jouw eigen beoordeling en vervangt die beoordeling niet. Bij de onderdelen waarvoor je aanvullend bewijs nodig hebt, staat vermeld wat je bij Hysio kunt opvragen; beveiligingsgevoelige gegevens worden onder geheimhouding verstrekt.

Je kunt deze template ook als Word-document downloaden: DPIA-template voor zorgpraktijken, versie 4.0. Daarin staan de aankruisvakjes en de plekken waar je zelf tekst invult, zodat je je beoordeling in het document kunt vastleggen. Deze pagina is de geldende tekst; het Word-document volgt haar in hoofdlijnen maar is nog niet op alle punten gelijkgetrokken. Volg bij verschil altijd deze pagina.

Voor wie is deze template?

Deze template is bestemd voor organisaties en zelfstandige beroepsbeoefenaars die Hysio gebruiken voor verwerking van gegevens over patiënten, cliënten, medewerkers of andere betrokkenen. De toepasselijke regels hangen af van de werkzaamheden en rol van je organisatie. Een beroepsprofiel in Hysio bepaalt die rol of bevoegdheid niet.

Hysio levert ingevulde informatie over het platform, de onderzochte functies en de gekozen dienstverlening. Je organisatie beschrijft de eigen doeleinden, grondslagen, bevolking, werkprocessen, apparatuur, ontvangers en beslissingen. Zij maakt de lokale risicoanalyse en neemt het eindbesluit. Als je zelf als verwerker handelt, moet de feitelijke verwerkingsverantwoordelijke bij de beoordeling en besluitvorming worden betrokken.

De template is geen reeds vastgestelde DPIA van je organisatie. De eigen interne Hysio-DPIA vervangt haar evenmin. Andersom ontslaat jouw beoordeling Hysio niet van haar eigen verplichtingen of van het leveren van juiste, toereikende leveranciersinformatie. Ontbrekend bewijs over Hysio hoef je niet zelf te verzinnen of als bevestigd te beschouwen.

Sectie 0: methodologie, scope en DPIA-plicht

0.1 Methodologie en bewijsstatus

De opbouw volgt de vereisten van AVG artikel 35 lid 7: systematische beschrijving, noodzaak en evenredigheid, risico's voor betrokkenen en de maatregelen om die risico's te behandelen. Je kunt een andere geschikte methode gebruiken als dezelfde onderdelen aantoonbaar worden beoordeeld. Leg schaal, uitgangssituatie, beslisregels en eventuele afwijkingen vast.

Deze template gebruikt een eigen kwalitatieve methode. Eerst wordt onderzocht of de verwerking zelf rechtmatig, nodig en evenredig is. Daarna worden risico's van het voorziene gebruik én risico's door fouten, misbruik en uitval beoordeeld. Een gunstige beveiligingsscore maakt een onrechtmatig doel niet rechtmatig.

Leg bij elke feitelijke onderbouwing vast: bron, datum, betrokken dienst en omgeving, onderzochte gegevens en beperkingen. Gebruik de volgende statussen:

Noteer voor maatregelen afzonderlijk: gepland, gedeeltelijk ingevoerd of ingevoerd en op effectiviteit gecontroleerd. Een contractuele verplichting kan betekenis hebben, maar telt niet als bewijs van technische verwijdering, versleuteling of menselijke controle.

De EDPB-consultatietemplate van 10 maart 2026 en de bijbehorende uitleg zijn als aanvullende volledigheidscontrole gebruikt. De geraadpleegde publicatie is een consultatieversie, geen verplicht voorgeschreven formulier. De relevante principes zijn verwerkt in deze Hysio-template; je hoeft niet ook een tweede identiek formulier in te vullen.

Onderzoek ook of de verantwoordelijke of een betrokken verwerker een op grond van AVG artikel 40 goedgekeurde gedragscode naleeft. Artikel 35 lid 8 verlangt dat deze naleving bij de effectbeoordeling naar behoren wordt meegewogen. Leg vast welke activiteiten en partijen onder de goedkeuring vallen en welk bewijs de daadwerkelijke naleving ondersteunt. Een gewone beroepscode, een beveiligingsnorm of een voornemen om zich aan te sluiten is niet vanzelf zo'n goedgekeurde gedragscode.

Goedgekeurde gedragscode: [naam, versie, goedkeuringsbesluit, scope, betrokken partijen en bewijs van naleving; of gemotiveerd niet van toepassing]. Gevolgen voor deze beoordeling: [organisatie vult in].

Eigen methode, aanvullingen en motivatie: [organisatie vult in].

0.2 Afbakening van de beoordeling

De beoordeling omvat de daadwerkelijk gekozen keten: invoer, lokale herstelopslag, upload, transcriptie, tekstverwerking, tijdelijke opslag, bewerking, levering, gebruik in een ander systeem, bewaring en verwijdering. Neem ook ondersteunende verwerking mee, zoals toegang, foutafhandeling, relevante logging, ondersteuning en back-ups.

Beoordeel ten minste de routes die je gebruikt:

• vrije tekst, vragen, cliëntcontext en documenten;
• opnemen of uploaden van audio, segmenteren en transcriberen;
• brongebonden conceptverslagen, samenvattingen en communicatie;
• werkstromen met aanvullende overwegingen, hypotheses, vragen, scores of voorstellen;
• gezamenlijke besprekingen waarin meerdere betrokkenen voorkomen;
• kopiëren, downloaden, delen, koppelingen en automatische teruglevering;
• beëindiging, export, rechtenverzoeken en verwijdering.

Een aangrenzend EPD, cliëntportaal, mailkanaal of ontvangend systeem kan niet buiten de analyse blijven wanneer de risico's van de Hysio-route daarvan afhangen. Gebruik een verwijzing naar een bestaande eigen DPIA waar de verwerking aantoonbaar gelijk is en voeg de verschillen toe.

Een algemene catalogus, ontworpen beroepsprofiel of testomgeving bewijst niet dat een functie beschikbaar of geschikt is voor je organisatie. Leg de geactiveerde en gebruikte versie afzonderlijk vast. De mobiele omgeving krijgt alleen een plaats als haar daadwerkelijke inzet is bevestigd; deze template verklaart geen mobiele productie-uitrol.

Eigen account-, factuur-, website- en bedrijfsverwerkingen van Hysio worden in de Privacyverklaring en de interne Hysio-DPIA onderscheiden. Neem hun raakvlakken met jouw verwerking wel mee, bijvoorbeeld wanneer een supportbericht toch cliëntgegevens bevat.

Eigen scope, uitgesloten onderdelen en reden; gekoppelde beoordelingen: [organisatie vult in].

0.3 Vooraf ingevulde leveranciersinformatie

De Hysio-informatie staat in §1.2, de routebeschrijving in §1.4, de gegevensinventaris in §1.6, de leveranciers- en doorgifteparagraaf in §1.9, de retentiematrix in §1.10 en het maatregelenoverzicht in §3.3. Zij is gekoppeld aan de v4.0-concepten van de Verwerkersovereenkomst, het Subprocessor Register, de TIA, het Security Policy Pack en de Regeling Datatoegang.

De technische analyse onderscheidt de productieomgeving van de interne test- en ontwikkelomgevingen. Voor de combinatie die jouw organisatie gaat gebruiken is nog een actuele, complete bevestiging nodig van dienstverleners, instellingen, uitgerolde versies en de essentiële maatregelen. Hysio levert deze bevestiging vóór vrijgave van de betreffende route. Een generieke verklaring over het platform vult ontbrekende routegegevens niet in.

0.4 Door je organisatie in te vullen

De velden met [organisatie vult in] betreffen jouw omstandigheden: identiteit en rollen, concrete doelen, grondslagen, schaal, werkstromen, gegevens en ontvangers, lokale maatregelen, eigen risico-inschatting, raadpleging en besluit. Verwijs naar bewijs of bestaande interne documenten en voeg de relevante versie toe.

Maak voor iedere afwijking van leveranciersinformatie onderscheid tussen een eigen aanvullende maatregel en een wijziging van de Hysio-dienstverlening. Een lokaal gekozen kortere termijn werkt pas als je die ook kunt uitvoeren of Hysio de daarvoor benodigde instructie uitvoert. Vraag bij onduidelijkheid feitelijke bijstand via privacy@hysio.nl.

0.5 Trigger-checklist en AP-schaalmatrix

Een DPIA is verplicht wanneer de verwerking waarschijnlijk een hoog risico inhoudt voor rechten en vrijheden, gelet op aard, omvang, context en doeleinden. AVG artikel 35 lid 3 noemt bijzondere gevallen. Het Nederlandse AP-besluit bevat daarnaast specifieke verwerkingen waarvoor een DPIA verplicht is. Toets beide en documenteer de uitkomst vóór de verwerking.

0.5.1 Grootschaligheid in de zorg

Deze matrix volgt de AP-uitleg van 11 december 2018. De AP heeft daarmee haar eerdere uitleg verbreed en de behandeling van apotheken genuanceerd. De getalsgrens is uitleg van de toezichthouder, geen getal uit de AVG en geen algemene vrijstelling voor organisaties onder die grens. Leg ook gegevensvolume, verscheidenheid, duur en geografische reikwijdte vast en onderzoek afwijkende verwerkingen.

De schaaltoets voor jouw organisatie en die voor Hysio als dienstverlener hebben een eigen scope. Tel niet zonder toelichting alle Hysio-klanten bij jouw praktijk op; beschouw de omvang van de leveranciersketen wel bij afhankelijkheid, concentratie en mogelijke gevolgen van incidenten. Een kleine organisatie is geen algemene uitzondering op artikel 35 lid 1.

Eigen aantallen, gegevensvolume, duur, bereik en conclusie: [organisatie vult in].

0.5.2 WP248-criteria en aanvullende Nederlandse triggers

Twee toepasselijke criteria wijzen doorgaans op de noodzaak van een DPIA. Dit is een beoordelingshulp, geen mechanische wettelijke optelsom. Eén criterium kan voldoende zijn. Motiveer een conclusie dat ondanks meerdere criteria geen DPIA nodig is. Doorgifte naar een derde land is geen tiende WP248-criterium, maar hoort wel in de inhoudelijke analyse.

Toets in Nederland daarnaast de precieze omschrijvingen van het AP-besluit. Naast categorie 7 over grootschalige gezondheidsgegevens kunnen onder meer samenwerkingsverbanden in het sociaal domein, controle van werknemers en systematische uitgebreide profilering relevant zijn. Een losse beroepsnaam of de aanwezigheid van AI is niet hetzelfde als voldoen aan alle voorwaarden van zo'n categorie.

Voor de inzet van nieuwe generatieve functies op gezondheidsgegevens kiest deze template als werkadvies: voer de beoordeling uit, ook als de uiteindelijke kwalificatie van de verplichting nog onderzoek vraagt. Daarmee wordt niet verklaard dat iedere klant wettelijk dezelfde DPIA-plicht heeft.

Uitkomst: [ ] verplicht [ ] vrijwillig uitgevoerd [ ] gemotiveerd niet verplicht. Bepalingen, criteria, motivering en FG-advies indien aangewezen: [organisatie vult in].

0.6 Beroepscategorie en toepasselijke regimes

Leg de feitelijke werkzaamheden vast, niet alleen de naam van het geselecteerde profiel. Een beroepsgroep kan onder verschillende regels werken. De tien familiemodules ondersteunen die afbakening, maar vervangen geen beoordeling van een concrete taak.

Werkzaamheden, beroepsbevoegdheid, regime en betrokken familiemodule: [organisatie vult in].

0.7 DPIA-team

0.8 Peildata en versie

Sectie 1: systematische beschrijving van de verwerking

1.1 Identiteit van de Verwerkingsverantwoordelijke

1.2 Identiteit van Hysio

1.3 Feitelijke rolconstellatie

Een behandelpraktijk kan zelf doelen en wezenlijke middelen bepalen. Een medewerker handelt doorgaans onder haar gezag. Een zelfstandige professional kan in de ene opdracht verantwoordelijke en in een andere opdracht onder het gezag van een instelling werkzaam zijn. Een technisch beheerder is door die functie niet bevoegd tot alle dossiers.

Als meerdere partijen doelen en wezenlijke middelen gezamenlijk bepalen, beoordeel je gezamenlijke verantwoordelijkheid en leg je de taakverdeling volgens AVG artikel 26 vast. Het delen van een platform, dezelfde database of een technische koppeling maakt partijen niet op zichzelf gezamenlijk verantwoordelijk. Een ontvangende zorgverlener kan voor de ontvangen gegevens zelfstandig verantwoordelijk zijn.

Beschrijf voor iedere schakel: entiteit, feitelijke rol, doel, instructiebevoegdheid, autorisatie, ontvangers en relevante overeenkomst. Vermijd dat een integratiepartner zich als verantwoordelijke voordoet zonder het benodigde mandaat.

Eigen rolkaart en afspraken: [organisatie vult in].

1.4 Doel, aard en gegevensstroom

Leg ook frequentie, aantallen betrokkenen, gemiddelde en maximale inhoud, landen, locaties, apparaten, beschikbaarheidsbehoefte en eventuele seizoens- of piekbelasting vast. Een technisch verbruiksmaximum vervangt geen noodzakelijkheidstoets.

1.4.1 Stroomschema per geactiveerde route

Gebruik per route het volgende invulmodel en voeg vertakkingen toe:

bron en bevoegde invoerder → apparaat/lokale opslag → beveiligde ontvangst → validatie en autorisatie → gekozen provider → resultaat en opslag → bewerking en controle → bevoegde ontvanger → gebruik in primair dossier → retentie en verwijdering.

Teken daarnaast de fout- en herstelroute, tijdelijke bestanden, logging, ondersteuning, back-ups en de gegevens die bij het uitvallen van een schakel achterblijven. Vermeld op ieder overdrachtspunt welke inhoud meegaat en wie die inhoud mag ontvangen.

Eigen routebeschrijving, systeemnamen en bewijs: [organisatie vult in].

1.5 Familie- en Werkstroominventaris

1.5.1 Beroepsfamilie

Selecteer de werkelijk gebruikte contexten: [ ] Paramedie [ ] Huisarts [ ] Specialist [ ] Mentale Zorg [ ] Verpleegzorg [ ] Mondzorg [ ] Geboortezorg [ ] Jeugd & Sociaal Werk [ ] Arbeid & Gezondheid [ ] Andere zorgprofessional. Algemene werkstromen worden aan hun concrete gebruik gekoppeld.

1.5.2 Functiechecklist

Maak voor iedere gebruikte werkstroom een record met onderstaande velden. Je mag gemeenschappelijke onderdelen hergebruiken, mits de overeenkomst is gemotiveerd en iedere afwijking wordt onderzocht.

Verschillen die je niet mag wegmiddelen: een werkstroom kan brongebonden verslagdelen combineren met eigen aanvullende overwegingen. Sommige onderzochte intake- en onderzoeksfuncties laten bovendien een eigen werkhypothese in de analyse en samenvatting toe. Het weglaten van het afzonderlijke blok Hysio Aanvullend uit een uitvoerformaat bewijst daarom niet dat alle zelfstandig gegenereerde inhoud is uitgesloten.

Wanneer een uitvoerformaat waarschuwingen, bronverwijzingen, ontbrekende onderzoeksdelen of onzekerheid weglaat, moet de ontvangende professional toch over de noodzakelijke context beschikken. Test dat vóór gebruik. Een werkende gegevensoverdracht is nog geen inhoudelijk veilige overdracht.

Een DPIA geeft geen MDR-kwalificatie, medische validatie of AI Act-vrijgave. Onderzoek invloed op diagnose, behandeling, triage, functioneren, score, codering en toegang tot diensten in samenhang met de betreffende positiedocumenten. Een label als concept en menselijke controle geven geen automatische wettelijke vrijstelling.

1.6 Categorieën gegevens

Werkelijk gebruikte categorieën, rechtvaardiging en weggelaten gegevens: [organisatie vult in].

1.6.1 Cliëntcontext

Leg vast welke achtergrondinformatie aan een Sessie wordt toegevoegd en hoe relevantie, juistheid en actualiteit worden gecontroleerd. Onderscheid bekende feiten, een vermoeden, een historische situatie en informatie over een andere persoon. Afwezigheid van informatie betekent niet automatisch afwezigheid van een klacht, risico of behandeling.

Het beleid verlangt dat gegevens en onzekerheden niet ongefundeerd worden aangevuld of als vaststaand worden gepresenteerd. De naleving moet per werkstroom worden onderzocht. Een invoerinstructie of schema bewijst niet dat iedere generatie en export deze grens bewaart.

1.7 Categorieën betrokkenen

Beschrijf patiënten of cliënten, minderjarigen, personen met verminderde beslisvaardigheid, vertegenwoordigers, familieleden, andere aanwezigen, medewerkers en professionele ontvangers. Beoordeel per groep afhankelijkheid, machtsverhouding, taal, digitale toegankelijkheid en mogelijkheid om bezwaar of andere rechten uit te oefenen.

Een gecombineerde bespreking kan meerdere cliënten betreffen. Selecteer bij overname naar één dossier alleen de relevante rechtmatig te delen gegevens. Een volledige vergaderingsexport is uitsluitend passend voor een ontvanger die tot de volledige inhoud bevoegd is.

Eigen groepen en bijzondere kwetsbaarheid: [organisatie vult in].

1.8 Ontvangers en externe routes

Geef voor iedere ontvanger de identiteit of duidelijk omschreven categorie, rol, doel, benodigde inhoud, grondslag, geheimhouding, land, beveiliging en bewaartermijn op. Een beheer-, betaal- of contractrol geeft geen vanzelfsprekende toegang tot cliëntinhoud.

Bronrechten, gegevensbeschermingsgrondslag en bevoegdheid van de ontvanger moeten al vóór iedere verstrekking zijn geregeld. Professionele inhoudscontrole vóór definitieve vaststelling is een aanvullende stap. Een vooraf geautoriseerde automatische conceptlevering aan een afgeschermde werkvoorraad is alleen passend als zij de benodigde context bewaart en niet ongemerkt leidt tot een vastgesteld dossier, beslissing of cliëntbericht.

Eigen ontvangersmatrix en geteste terugleverroute: [organisatie vult in].

1.9 Dienstverleners, doorgiften en OpenAI-poort

Onderstaande tabel geeft per dienst aan wat je voor je eigen beoordeling vastlegt. De juridische entiteiten, landen en doorgiftewaarborgen staan in Bijlage 3 van de Verwerkersovereenkomst; die opgave is leidend en wordt bijgewerkt zodra er iets verandert. Neem de daar genoemde entiteiten over in je eigen verwerkingsregister.

Een Europese opslaglocatie bewijst niet dat toegang of doorgifte vanuit andere landen is uitgesloten. Een doorgiftewaarborg maakt een anderszins verboden of onnodige verwerking niet toegestaan. Een adequaatheidsbesluit en een passend instrument uit AVG artikel 46 vragen een verschillende beoordeling. Waar het gekozen instrument dat vergt, worden ook het recht en de praktijk in het bestemmingsland en aanvullende maatregelen onderzocht. Het TIA-dossier beschrijft die routes.

De v4.0-keuze is dat een providerroute voor gezondheidsgegevens pas wordt vrijgegeven na controle van de werkelijke dienstvoorwaarden, rol, instructie, retentie, doorgifte en instellingen. Het invullen van deze template verleent geen tijdelijke uitzondering op een providerverbod.

1.9.1 Negen cumulatieve voorwaarden voor OpenAI

Volgens artikel 11.7 van de Verwerkersovereenkomst moeten vóór de eerste betrokken verwerking alle volgende voorwaarden zijn vervuld:

1. 1. De voorgenomen inschakeling is ten minste dertig dagen vooraf rechtstreeks aangekondigd.
2. 2. De klant heeft het overeengekomen bezwaar-, oplossings- en beëindigingsrecht.
3. 3. Bijlage 3 en het Subprocessor Register vermelden de juiste actieve status.
4. 4. Een geldige verwerkersovereenkomst dekt de dienst en verwerking.
5. 5. De toepasselijke doorgiftewaarborg is vastgesteld en gedocumenteerd.
6. 6. De routebeoordeling is bijgewerkt, met een TIA voor zover het instrument die beoordeling verlangt.
7. 7. Modeltraining op Klantdata is contractueel uitgesloten.
8. 8. Passende retentie- en accountinstellingen zijn geactiveerd, getest en vastgelegd.
9. 9. De interne juridische beoordeling voor de concrete inzet is afgerond.

Dit is een contractuele voorafgaande procedure. Zij bewijst niet dat in de huidige omgeving alle controles technisch worden afgedwongen. De algemene voorwaarden voor andere providerwijzigingen blijven eveneens gelden. Neem nieuwe informatie op in deze DPIA voordat de betrokken verwerking start.

Gecontroleerde registerversie, actieve route en doorgiftebewijs: Hysio moet deze voor de betreffende release leveren. Eigen beoordeling en eventuele aanvullende maatregelen: [organisatie vult in].

1.10 Bewaartermijnen en verwijdering

De onderstaande termijnen zijn de gekozen v4.0-normen uit Bijlage 1 van de Verwerkersovereenkomst. Voor de gebruikte omgeving moet de daadwerkelijke uitvoering nog worden bevestigd. De aangetroffen oudere audioverwijderroute en lokale opslag hanteren deels andere termijnen. Deze normtabel is geen verklaring dat de verkorte termijnen al overal werken.

1.10.1 Actieve verwerking

Pas een kortere termijn toe wanneer het doel is vervallen of een rechtmatige instructie dit vergt. Een wettelijke uitzondering wordt per gegevenslaag, doel, bevoegdheid en termijn vastgelegd. Zij rechtvaardigt geen onbeperkte bewaring van een volledige Sessie.

Controleer behalve de klok ook de uitvoering: alle kopieën en bijlagen, mislukte taken, nieuwe pogingen, bewerkte output, browsergegevens, providerkopieën en herstel uit back-ups. Een verborgen item, weergavefilter of soft-delete is geen definitieve verwijdering. Tel een niet-bevestigde maatregel niet als gerealiseerde risicobeperking.

Eigen noodzakelijke termijn per doel, overeengekomen afwijkingen en uitvoeringsbewijs: [organisatie vult in].

1.10.2 Beëindiging en gegevensverzoeken

De Regeling Datatoegang voorziet in een beperkte continuïteitsperiode van drie maanden voor raadpleging, export en afwikkeling. Zij verlengt niet automatisch een eerder verstreken bewaartermijn van audio, uploads of andere gegevens. Alleen nog rechtmatig aanwezige gegevens kunnen worden teruggegeven.

Een tijdig verzoek wordt ook bij het naderen van het einde van die periode behoorlijk afgehandeld. Registreer ontvangst, geverifieerde scope, aflevering, eventuele gebreken en de daarop volgende verwijdering. Een onbetaalde factuur is geen algemene grond om gegevensrechten of de overeengekomen eindoverdracht te blokkeren. Gewone export-, overstap- en rechtenverzoeken kunnen verschillende termijnen en regels hebben; volg de toepasselijke route uit de Regeling en de Verwerkersovereenkomst.

Veiligstellen van het primaire dossier begint tijdens gebruik. Wacht niet tot beëindiging met het overbrengen van noodzakelijke gecontroleerde informatie. Test de volledigheid van de overdracht; een geslaagde export van één Sessie bewijst geen volledige account- of dossierscope.

1.10.3 Dossierbewaring van je organisatie

Wanneer de WGBO van toepassing is, geldt voor het dossier in beginsel twintig jaar vanaf de laatste wijziging, of langer voor zover de zorg van een goed hulpverlener dat redelijkerwijs verlangt. Vernietiging op verzoek en de wettelijke uitzonderingen moeten afzonderlijk worden beoordeeld. Er geldt geen algemene regel dat voor ieder minderjarigendossier de termijn pas op achttienjarige leeftijd begint.

Voor andere regimes, bijvoorbeeld jeugdhulp, maatschappelijke ondersteuning, arbeid, verplichte zorg, archivering of veterinaire werkzaamheden, stel je de toepasselijke bewaarbepaling per documentsoort vast. Een fiscale plicht voor facturen of een wettelijke logtermijn is geen grond om alle tijdelijke zorginhoud even lang te bewaren. Hysio is geen vervanging voor het enige primaire dossier of iedere sectorale archiefvoorziening.

Eigen bewaartabel, vernietigingsprocedure en primaire dossierlocatie: [organisatie vult in].

Sectie 2: noodzaak, rechtmatigheid en evenredigheid

2.1 Grondslagketen per doel

Leg voor ieder afzonderlijk doel een grondslag uit AVG artikel 6 vast. Beoordeel daarnaast een uitzondering uit artikel 9 wanneer bijzondere persoonsgegevens worden verwerkt en het toepasselijke regime voor strafrechtelijke gegevens onder artikel 10. Een beroepsgeheim, verwerkersovereenkomst of artikel 9-uitzondering vervangt de artikel 6-grondslag niet.

Voor verwerking die objectief nodig is voor een behandelingsovereenkomst kan artikel 6 lid 1 onder b relevant zijn. Voor het wettelijk vereiste dossier kan artikel 6 lid 1 onder c in samenhang met BW artikel 7:454 relevant zijn. De dossierplicht verplicht niet tot audio, AI of iedere aangeboden werkstroom. Bij gezondheidsgegevens kan artikel 9 lid 2 onder h met lid 3 en UAVG artikel 30 relevant zijn binnen de toepasselijke zorg-, taak- en geheimhoudingsvoorwaarden. Pas deze route niet automatisch toe op iedere coach, werkgever, gemeente of andere opdrachtgever.

Een publiekrechtelijke taak verlangt de toepasselijke wettelijke basis. Bij een gerechtvaardigd belang leg je doel, noodzaak en belangenafweging vast, en beoordeel je of deze grondslag in die hoedanigheid beschikbaar is. Als toestemming de grondslag is, moet zij vrij, specifiek, geïnformeerd, aantoonbaar en intrekbaar zijn. Voor bijzondere gegevens is waar die route wordt gebruikt uitdrukkelijke toestemming nodig. De afhankelijke positie van patiënten of werknemers vraagt daarbij aandacht.

Een doelwijziging, bijvoorbeeld onderzoek, evaluatie van medewerkers of modelverbetering, volgt niet stilzwijgend uit toestemming tot behandeling of uit het contract met Hysio. Onderzoek de nieuwe verwerking afzonderlijk. De gekozen verwerkersinstructie sluit training op Klantdata en algemene productverbetering met zorginhoud uit; de leveranciersvoorwaarden en instellingen moeten dat ondersteunen.

2.2 Doelbinding per functie

Beschrijf wat de gekozen functie moet bereiken en hoe je vaststelt dat zij daarvoor geschikt is. Een algemene verwachting van tijdwinst bewijst niet dat alle gegevens noodzakelijk zijn of dat de uitkomst voldoende betrouwbaar is. Gebruik geschikte testgevallen, professionele beoordelingscriteria en controle van fouten en ontbrekende informatie.

Maak onderscheid tussen bronweergave, selectie, interpretatie en nieuwe voorstellen. Een gewenste hypothese kan volgens ontwerp worden gegenereerd en toch een risico voor de betrokkene veroorzaken, bijvoorbeeld door verankering van een vermoeden in het dossier. Dat risico valt ook binnen de DPIA als er geen technische fout optreedt.

Beoordeel misbruik en voorzienbaar gebruik buiten de afgesproken functie. Een verbod in een contract is een maatregel, maar maakt een feitelijk mogelijk en voorzienbaar schadelijk gebruik niet irrelevant. Koppel de functionele begrenzing aan instructies, autorisaties, opleiding en zo nodig technische beperkingen.

Doel, geschiktheidsbewijs, toegestane en uitgesloten handelingen per functie: [organisatie vult in].

2.3 Dataminimalisatie

Gebruik alleen gegevens die nodig zijn voor de gekozen taak en ontvanger. Beoordeel vóór verzending of een beperkte passage, samenvatting of pseudoniem volstaat. Controleer ook bestandsnamen, bijlagen, metadata, vrije feedback en achtergrondgesprekken. Het vervangen van een naam laat de overige herleidbaarheid onverlet.

Voor BSN-gebruik stel je een wettelijke bevoegdheid en noodzaak vast. De technische mogelijkheid om een BSN in vrije tekst in te voeren is geen rechtvaardiging. Een AGB- of BIG-nummer heeft een andere functie en wordt niet automatisch onder dezelfde regels gebracht.

Gegevens over derden kunnen voor de zorg of ondersteuning nodig zijn, maar worden niet onbeperkt meegenomen omdat zij in een bron staan. Beoordeel noodzaak, geheimhouding, informatieplicht en eventuele beperking ter bescherming van anderen. Toestemming van iedere genoemde derde is niet zonder meer de enige mogelijke grondslag.

Invoerregels, controles, uitzonderingen en verantwoordelijke: [organisatie vult in].

2.4 Audio: afzonderlijke noodzakelijkheidstoets

Beoordeel opname en bewaring na transcriptie afzonderlijk. De behandelingsovereenkomst en het belang van goede verslaglegging maken een volledige opname niet automatisch noodzakelijk. Leg vast welk probleem audio oplost, wie hoorbaar is, hoe lang wordt opgenomen, wie kan luisteren en waarom een minder ingrijpend alternatief niet volstaat.

De gekozen gebruiksnorm is voorafgaande begrijpelijke informatie en specifieke, aantoonbare instemming met een optionele consultopname, met een werkbaar alternatief bij weigering. Leg afzonderlijk vast welke AVG-grondslag en, waar nodig, artikel 9-uitzondering de verwerking dragen. Instemming met opnemen is niet automatisch toestemming voor elk verder doel. Toestemming voor een geneeskundige verrichting onder BW artikel 7:450 is evenmin een algemene opnamegrondslag.

Een niet-opnemenroute moet daadwerkelijk bruikbaar zijn. Weigering van optionele audio mag niet ongemerkt tot weigering van noodzakelijke zorg leiden. In een bijzondere situatie waarin opname op een andere wettelijke taak berust, onderzoek je die uitzondering afzonderlijk en presenteer je haar niet als vrije toestemming.

Gebruik de beknopte norm voor verwijdering na een bruikbaar transcript uit §1.10. Een concrete, vooraf vastgelegde hersteluitzondering kan alleen de noodzakelijke selectie betreffen. De gewone hersteluitzondering uit de Verwerkersovereenkomst wordt iedere zeven dagen herbeoordeeld en eindigt uiterlijk dertig dagen na oorspronkelijke ontvangst. Algemene kwaliteitscontrole is geen onbeperkt bewaar- of luisterdoel.

Voor artsen is daarnaast het KNMG-praktijkadvies van 9 april 2026 over AI-verslaglegging relevant. Het verlangt toestemming voor opname, schrijft voor dat de opname niet extern wordt opgeslagen en verlangt vernietiging zodra een transcript, verslag of schriftelijke notitie bestaat. Dit beroepsadvies mag niet worden vervangen door alleen een algemeen beroep op toestemming of de contractuele bovengrens van 24 uur. Die bovengrens geeft geen recht om een overbodige opname nog 24 uur te bewaren.

De toepassing van dit advies op Hysio's externe verwerkings- en opslagketen, lokale kopieën en eventuele herstelbewaring is nog niet afgerond. Hysio geeft de betreffende opnameroute voor artsen pas vrij nadat de feitelijke inrichting en een onderbouwde professionele beoordeling met elkaar in overeenstemming zijn gebracht. Een kortere termijn of een route zonder audio kan daarvoor nodig zijn. Het advies wordt niet voorgesteld als een afzonderlijk algemeen wettelijk verbod op iedere vorm van externe verwerking.

2.5 Alternatieven en privacy by design

Behoud een open vergelijking. Vul vooraf geen conclusie in dat lokale verwerking, handmatig werken of een andere leverancier slechter is. Onderzoek functionele geschiktheid, nauwkeurigheid, gegevensvolume, locatie en toegang, leveranciersketen, beveiliging, kosten, beheercapaciteit, continuïteit en gevolgen voor betrokkenen.

Concludeer per doel of de gekozen inrichting geschikt, nodig en evenredig is. Noteer ook gevolgen als de verwerking precies werkt zoals ontworpen: ontstaat nieuwe gevoelige informatie, extra zichtbaarheid binnen een organisatie, een gevoel van voortdurende registratie of afhankelijkheid van een leverancier? Een gunstige uitkomst voor de organisatie alleen is onvoldoende.

2.6 Declaratie, codering en administratieve stelsels

Onderscheid een uit de bron overgenomen code, een berekende score, een kandidaatcode en een inhoudelijke classificatie. Laat de bevoegde professional de juistheid, bronversie, toepasselijke regels en ontvanger controleren. Een voorgestelde code is geen bewezen diagnose of garantie op vergoeding.

Beschrijf waarom de gegevens noodzakelijk zijn voor de concrete declaratie of rapportage. Een zorgverzekerings- of contractuele declaratieregel is geen algemene opdracht om de volledige bron of alle medische gegevens te verstrekken. Beoordeel welke inhoud de ontvanger daadwerkelijk nodig heeft.

Controleer ook rechten op meetinstrumenten, richtlijnen en codestelsels. Een openbare bron of professionele toegang geeft niet automatisch toestemming voor ieder commercieel hergebruik. Een onzekerheid over gebruiksrechten wordt vóór het betrokken gebruik opgelost; een disclaimer of menselijke controle vervangt die toestemming niet.

Gebruikte stelsels, versies, rechten, controle en minimale verstrekking: [organisatie vult in].

2.7 Betekenisvolle menselijke controle en AVG artikel 22

De gekozen gebruiksgrens verlangt dat een bevoegde professional de relevante bron en output beoordeelt, afwijkingen kan herkennen en de inhoud kan corrigeren of verwerpen. Zorg voor voldoende tijd, deskundigheid, informatie en beslisruimte. Alleen klikken op bevestigen of routinematig overnemen is geen betekenisvolle tussenkomst.

Deze beoordeling vindt plaats vóór vaststelling in het primaire dossier, een professionele beslissing, declaratie of cliëntcommunicatie. Een vooraf geautoriseerde automatische levering van een herkenbaar concept aan een afgeschermde werkvoorraad is niet hetzelfde als definitieve aanvaarding. Leg vast waar de controle in de keten plaatsvindt en hoe het ontvangende systeem onbedoelde vaststelling voorkomt.

Voor gegevens die al vóór deze inhoudscontrole worden overgedragen, moeten grondslag, noodzakelijkheid, bronrechten en ontvangerbevoegdheid vooraf kloppen. Het conceptkarakter verruimt die voorwaarden niet.

Onderzoek de werkelijke invloed op besluiten die rechtsgevolgen hebben of iemand vergelijkbaar wezenlijk treffen. Als menselijke beoordeling ontbreekt of slechts formeel is, moet de toepasselijkheid van AVG artikel 22 opnieuw worden onderzocht, inclusief eventuele uitzonderingen en waarborgen. De enkele aanwezigheid van een professional sluit artikel 22, MDR of AI Act-verplichtingen niet uit.

Controleprocedure, bevoegde functies, afwijsmogelijkheid, bewaard bewijs en ontvangende systeemstatus: [organisatie vult in].

2.8 Jeugd, gezag en vertegenwoordiging

Leeftijd, wilsbekwaamheid, gezag, opdracht en het concrete recht worden afzonderlijk vastgesteld. Een begeleidende volwassene, ouder, accountbeheerder of betaler is niet automatisch bevoegd tot iedere beslissing of alle gegevens. Leid gezag of toestemming niet uit een profielnaam of familievermelding af.

Voor behandeling en dossier gelden waar toepasselijk de bijzondere WGBO-regels. Onderscheid onder meer de positie beneden twaalf jaar, de gedeelde positie van twaalf- tot vijftienjarigen en de zelfstandige positie vanaf zestien jaar, met de wettelijke uitzonderingen en de beoordeling van wilsbekwaamheid. Toegang tot gegevens van derden vraagt een eigen afweging.

De algemene UAVG-regels zijn per september 2026 gewijzigd. Maak bij gegevensbeschermingsrechten onderscheid tussen vertegenwoordiging beneden twaalf jaar, de positie van kind én vertegenwoordiger van twaalf tot zestien jaar en zelfstandige uitoefening vanaf zestien jaar. De regels voor op toestemming gebaseerde verwerking en intrekking zijn niet identiek aan die voor rechtenverzoeken. Curatele, bewind en mentorschap vragen beoordeling van de concrete bevoegdheid en taak. Een bijzondere wettelijke regeling kan voorgaan.

2.9 Wvggz, Wzd en documenten met bijzondere rechtsgevolgen

De wettelijk bevoegde actoren behouden hun eigen rollen bij verplichte en onvrijwillige zorg. Een concepttekst van Hysio beslist geen zorgmachtiging, crisismaatregel, ernstig nadeel, onvrijwillige zorg of wettelijke stappenplanuitkomst.

Beoordeel een medische verklaring of andere rapportage met wettelijke eisen aan onafhankelijkheid, deskundigheid en besluitvorming afzonderlijk. Leg actor, bron, verplichte inhoud, beoordeling, ondertekening, eventuele inzage en wederhoor, ontvanger en gevolgen vast. Een generieke beschikbaarheid van een werkstroom is hiervoor geen vrijgave.

Voorkom dat automatische levering leidt tot een als definitief aangemerkt document of een procedurele beslissing zonder de vereiste beoordeling. Beoordeel daarnaast productkwalificatie, AI Act en de privacyrisico's van de precieze functie. Neem slechts de werkelijk benodigde persoonsgegevens op.

Documentcategorie, wettelijke rol, vereiste controle en besluit over inzet: [organisatie vult in].

2.10 Werkgeversschot, keuring en rapportage aan derden

Scheid medische informatie van de functionele informatie die een werkgever of andere opdrachtgever rechtmatig mag ontvangen. Deel geen diagnose, testuitslag of medische privégegevens met een werkgever uitsluitend omdat deze opdrachtgever of betaler is. De bevoegde professional bepaalt de toegestane minimale terugkoppeling vanuit de concrete rol en wettelijke regeling.

Voor verzekeraar, gemeente, jeugdbescherming, rechterlijke actor of een andere derde wordt dezelfde concrete toets uitgevoerd. Toestemming in een afhankelijke arbeidsverhouding is niet vanzelfsprekend vrij.

Wanneer personeelsgegevens naar een Amerikaanse ontvanger gaan en het Data Privacy Framework als waarborg wordt gebruikt, moet de specifieke dekking voor die gegevens en verwerking zijn onderzocht. De ontvanger moet weten dat de overdracht zulke gegevens omvat. Een gewone vermelding van een actieve certificering beantwoordt deze vraag niet. Het TIA- en leveranciersdossier van Hysio bevat hiervoor een afzonderlijke bewijsafhankelijkheid.

2.11 Veterinaire variant

Onderscheid diergegevens, persoonsgegevens van eigenaar of houder, gegevens van medewerkers en eventuele informatie over andere mensen. Humane gezondheidsgegevens die toevallig in de bron staan, houden hun eigen bescherming. Gegevens over een dier zijn niet vanzelf persoonsgegevens, maar kunnen door hun koppeling informatie over een persoon opleveren.

Pas humane WGBO-, Wet BIG-, Wkkgz- of artikel 9-aannames niet automatisch toe op diergeneeskundige werkzaamheden. Bepaal de toepasselijke veterinaire beroeps-, dossier- en andere regels afzonderlijk en leg de relatie met de eigenarencommunicatie vast.

Gegevenslaag, doel, grondslag waar nodig, bewaartermijn en ontvanger: [organisatie vult in].

2.12 Transparantie, rechten en raadpleegbaarheid

Informeer betrokkenen begrijpelijk en tijdig over de relevante verwerking: doel, verantwoordelijke, gegevens, AI- en audio-inzet waar relevant, ontvangers, doorgifte, termijn, rechten en contactroute. Gebruik passende taal en vorm. Een algemeen informatieblad is niet voldoende als het de gekozen bijzondere functie of ontvanger niet beschrijft.

Richt een uitvoerbare route in voor inzage, correctie, verwijdering, beperking, bezwaar en waar toepasselijk overdraagbaarheid. Niet ieder recht geldt op dezelfde grondslag of zonder uitzondering. Onderscheid een commerciële accountexport, overstappen en het recht van een individuele betrokkene. Een accountbeheerder heeft geen onbeperkt recht op alle cliëntinhoud.

Controleer identiteit en bevoegdheid proportioneel. Vraag niet standaard meer gezondheidsgegevens of een volledige identiteitskopie dan nodig. Selecteer relevante oorspronkelijke en bewerkte informatie en noodzakelijke metadata; alleen het laatste zichtbare concept kan onvoldoende zijn. Bescherm rechten van anderen en motiveer een eventuele beperking.

Voor AVG-verzoeken geldt in beginsel reactie binnen één maand, met alleen de toepasselijke wettelijke verlenging en tijdige uitleg. De gewone commerciële exportplanning verlengt deze termijn niet. De eerste kopie en gewone rechtsuitoefening zijn in beginsel kosteloos; uitzonderingen worden alleen toegepast wanneer de wettelijke voorwaarden werkelijk gelden. Beoordeel daarnaast bijzondere dossierregels.

Informatievoorziening, verzoekenprocedure, uitvoerders, termijnen en tests: [organisatie vult in].

Sectie 3: risico's en maatregelen

3.1 Waarderingsmethode

Beoordeel gevolgen voor mensen, zoals gezondheidsschade, verlies van vertrouwelijkheid, discriminatie, onjuiste beslissingen, sociale of financiële schade en belemmering van rechten. Een financieel of reputatierisico voor de organisatie is niet de maatstaf voor de betrokkene.

Gebruik de volgende vier niveaus en motiveer ze per scenario:

De vermenigvuldiging van impact en waarschijnlijkheid helpt prioriteren: 1 tot en met 3 laag, 4 tot en met 7 midden, 8 tot en met 11 hoog en 12 tot en met 16 zeer hoog. Deze rekenregel is geen juridische beslisregel. Beoordeel bij impact 4 altijd afzonderlijk of de mogelijke schade ook bij een lage kans onaanvaardbaar blijft. Verlaag een ernstig risico niet door alleen naar het product van twee cijfers te kijken. Motiveer iedere afwijking en onzekerheid; onbekend is geen kans 1.

Beoordeel elk risico in drie toestanden:

1. 1. Referentierisico zonder de te beoordelen beperkende maatregelen. Noteer welke normale procesvoorwaarden wel zijn aangenomen. Dit maakt de uitgangssituatie reproduceerbaar.
2. 2. Huidig restrisico. Alleen de werkelijk ingevoerde en voldoende onderbouwde maatregelen tellen mee voor de gebruikte omgeving en route. Geef aan wat gedeeltelijke invoering wel en niet afdekt.
3. 3. Verwacht restrisico na aanvullende maatregelen. Dit is een voorwaardelijke prognose. Vermeld maatregel, eigenaar, termijn, test en vereiste uitkomst. Gebruik haar niet als bewijs dat de huidige verwerking al voldoende is beschermd.

Een maatregel moet het concrete scenario beïnvloeden. Verwijdering van audio herstelt bijvoorbeeld geen verkeerde sprekerstoewijzing in een al vastgesteld dossier. Een AI-label vervangt geen professionele beoordeling. Een overeenkomst sluit het risico van een feitelijk onjuiste configuratie niet uit.

3.2 Zorgbrede risicomatrix

De identificaties R1 tot en met R28 blijven terugvindbaar uit v3.9.9. De omschrijving is waar nodig geactualiseerd. Voor iedere toepasselijke rij wordt het beoordelingsrecord onder de tabel ingevuld; neem geen rij zonder motivering als niet van toepassing aan.

Beoordelingsrecord, herhalen per risico:

3.3 Technische en organisatorische maatregelen van Hysio

Hieronder staan de maatregelen die Hysio treft, met per onderwerp wat je voor je eigen beoordeling bij Hysio kunt opvragen. De contractuele basis staat in Bijlage 2 van de Verwerkersovereenkomst. Beveiligingsgevoelige gegevens verstrekt Hysio onder passende geheimhouding, zonder een noodzakelijke controle onmogelijk te maken. Vraag de opgave altijd op voor de omgeving en de datum die voor jouw organisatie gelden, en leg die datum in je beoordeling vast.

Hysio claimt geen NEN 7510- of ISO 27001-certificering. Waar zorgwetgeving bepaalde beveiligings- of loggingnormen voorschrijft, moet de toepasselijkheid en de juiste aangewezen editie worden vastgesteld. Voldoen aan een wettelijke norm, een onafhankelijke beoordeling en certificering zijn verschillende zaken. Een toekomstige certificeringsplanning vervangt geen huidige verplichting.

3.3.1 Controleblad Hysio-maatregelen

Leg per gebruikte HM-maatregel vast: document en versie, omgeving, datum, bewijssoort, wat is getest, wat niet is getest, bevinding, herstelactie en oordeel over toepasbaarheid. Een onbekende maatregel blijft onbekend totdat passend bewijs beschikbaar is. Bij tegenstrijdigheid vraagt Hysio de relevante route opnieuw te beoordelen.

3.3.2 Nog in te voeren maatregelen

Een nieuwe of aangescherpte maatregel wordt als apart actiepunt opgenomen. Vermeld gewenste werking, reikwijdte, eigenaar en toetsbaar resultaat. De gekozen korte retentietermijnen, complete export, ketencontrole en passende gebruikersbeveiliging zijn voorbeelden waarbij de feitelijke uitvoering voor de gebruikte omgeving moet aansluiten op de documentbelofte.

3.4 Maatregelen van je organisatie

3.5 Restrisico en besluitregels

Een hoog restrisico wordt niet gesloten met alleen een handtekening van de leiding. Onderzoek extra maatregelen, een minder ingrijpende inrichting of afzien van de betreffende verwerking. Wanneer het hoge risico niet voldoende kan worden beperkt en je de verwerking toch voorneemt, volg je de voorafgaande raadpleging van artikel 36.

Een lage rekenscore ontslaat je niet van de afzonderlijke toets van rechtmatigheid, noodzaak, zeer ernstige mogelijke schade en rechten. Een onbekende essentiële providerroute, onbevoegde verstrekking of strijd met toepasselijke dienstvoorwaarden wordt niet opgelost door een risicogetal te verlagen.

Samenvattend oordeel over noodzaak, evenredigheid, huidig restrisico en resterende voorwaarden: [organisatie vult in].

Sectie 4: raadpleging, advies en formele vaststelling

4.1 Voorafgaande raadpleging van de Autoriteit Persoonsgegevens

Als na de beoordeling geen voldoende maatregelen beschikbaar zijn om het hoge risico te beperken, raadpleegt de verantwoordelijke de AP vóór de betrokken verwerking. Start die verwerking niet tijdens de raadpleging. Onderzoek ook een eventuele bijzondere nationale plicht tot raadpleging of toestemming.

De aanvraag bevat de DPIA, doeleinden en middelen, verantwoordelijkheden van betrokken partijen, maatregelen en waarborgen, FG-contact indien toepasselijk en gevraagde aanvullende informatie. Hysio levert de benodigde informatie binnen haar rol en beschikbare kennis. Je organisatie is verantwoordelijk voor indiening en besluitvorming.

Artikel 36 lid 2 noemt voor het daar bedoelde schriftelijke advies maximaal acht weken, met een mogelijke verlenging van zes weken wegens complexiteit. De termijn kan worden opgeschort in afwachting van gevraagde informatie. Een verlopen termijn, ontvangstbevestiging of gewone reactie is geen automatische goedkeuring. Verwerk het inhoudelijke advies en eventuele maatregelen of bevoegdheidsuitoefening van de AP en beoordeel de verwerking opnieuw.

4.2 Standpunt van betrokkenen

Vraag waar passend betrokkenen of hun vertegenwoordigers naar hun mening over de voorgenomen verwerking. Leg methode, groep, privacywaarborgen, uitkomst en de gevolgen voor je keuzes vast. Houd rekening met commerciële of algemene belangen en beveiliging. Als je geen standpunt vraagt, motiveer concreet waarom dat niet passend of mogelijk is.

Het verstrekken van een informatieblad of het verkrijgen van toestemming is op zichzelf geen raadpleging over de effecten van de verwerking. Als je van ontvangen opvattingen afwijkt, leg je de reden vast.

Passendheidsafweging, methode, bevindingen en verwerking: [organisatie vult in].

4.3 Advies van de FG

Als een FG is aangewezen, wordt diens advies ingewonnen. De FG adviseert onafhankelijk en houdt toezicht op de uitvoering; de verantwoordelijke blijft de besluitvormer. Leg advies, gevolgde maatregelen en gemotiveerde afwijkingen vast.

Beoordeel afzonderlijk of een FG verplicht is, onder meer bij een overheidsorgaan of bepaalde grootschalige kernactiviteiten. Een kleine organisatie of het ontbreken van een interne functietitel beantwoordt die vraag niet. Een verplichte aanstelling kan niet worden vervangen door een roadmap. Vermijd belangenconflicten bij de persoon die onafhankelijk toezicht moet houden.

Aanstellingsbeoordeling, contact, advies en verwerking: [organisatie vult in].

4.4 Externe juridische en professionele toets

Vraag gericht advies waar de concrete toepassing of risico's dat nodig maken. Benoem de precieze vraag, functie, gegevensstroom, documentversie, aannames en gewenste uitkomst. Een externe beoordeling van een oude set of beperkte productscope geldt niet automatisch voor nieuwe functies.

Een juridische lezing door AI en een technische test zijn geen onafhankelijke externe audit, medische validatie of certificering. Leg de daadwerkelijk ontvangen beoordeling en haar scope vast. Los zelfstandig te beantwoorden bronvragen op; gebruik een algemene verwijzing naar een adviseur niet als vervanging voor de eigen analyse.

Externe opdracht, ontvangen oordeel, beperkingen en opvolging indien van toepassing: [organisatie vult in].

4.5 Formele goedkeuring

Een voorwaardelijk besluit geeft geen toestemming om de afhankelijke verwerking alvast met echte persoonsgegevens te starten. Onafhankelijke, reeds voldoende beoordeelde routes kunnen een eigen besluit krijgen. Een onopgelost kerngebrek in een gedeelde voorziening kan meerdere routes raken.

Sectie 5: herbeoordeling en wijzigingsbeheer

Controleer de beoordeling ten minste wanneer het risico verandert. Als werkbeleid wordt een jaarlijkse actualiteitscontrole geadviseerd, naast beoordeling vóór wezenlijke wijzigingen. De jaarlijkse frequentie is geen algemene wettelijke termijn uit artikel 35.

Heropen de relevante onderdelen bij wijziging van:

• doel, omvang, beroepscontext, betrokkenen of gegevenscategorie;
• werkstroom, prompt, model, cliëntcontext of inhoudelijke invloed;
• provider, voorwaarden, regio, retentie, toegang of doorgiftewaarborg;
• accountrollen, technische integratie, postback of ontvangend systeem;
• lokale opslag, browsergedrag, apparaat of mobiele toegang;
• verwijdering, export, primaire dossiervoering of continuïteit;
• feitelijke menselijke controle of de mate waarin output een besluit bepaalt;
• incident, klacht, auditbevinding of relevante wet- en regelgeving.

Een nieuw beleidsdocument bewijst niet dat de bijbehorende maatregel is ingevoerd. Een gewijzigde juridische tijdlijn is aanleiding om de gevolgen voor de concrete verwerking te onderzoeken. De Data Act en EHDS worden meegenomen voor zover zij de gebruikte gegevensstromen, rechten, exit of risico's raken; hun bestaan is geen zelfstandig DPIA-criterium.

Sectie 6: afrondingschecklist en bronnen

6.1 Volledigheidscheck

• [ ] Scope, rollen, team, peildatum en gebruikte versies zijn vastgelegd.
• [ ] Eventuele naleving van een goedgekeurde artikel 40-gedragscode is overeenkomstig artikel 35 lid 8 meegewogen; goedkeuring, scope en naleving zijn onderbouwd.
• [ ] Iedere gebruikte werkstroom en uitvoerroute is afzonderlijk gekoppeld aan de beoordeling.
• [ ] Gegevens, doelen, ontvangers, landen en de volledige levensloop zijn beschreven.
• [ ] Artikel 6, artikel 9 of 10 waar relevant, beroepsgeheim en bijzondere bevoegdheden zijn beoordeeld.
• [ ] Noodzaak, werkbare alternatieven en evenredigheid zijn onderbouwd.
• [ ] Gevolgen van de ontworpen verwerking en gevolgen van fouten of misbruik zijn beide onderzocht.
• [ ] Menselijke controle, conceptlevering en definitieve vaststelling zijn concreet ingericht.
• [ ] Retentie, lokale opslag, providerkopieën, exit en back-upherstel zijn niet uitsluitend op beleidsbeloften gebaseerd.
• [ ] Toepasselijk beroepsadvies over opname en verslaglegging is verwerkt; de bijzondere artsenroute is alleen opgenomen als haar vrijgavevoorwaarden zijn vervuld.
• [ ] Risico's hebben onderbouwde scores, een ernstige-gevolgentoets en een afzonderlijke huidige en verwachte toestand.
• [ ] Essentiële maatregelen zijn bewezen ingevoerd of vormen een expliciete voorwaarde vóór gebruik.
• [ ] Betrokkenen, FG en eventuele externe beoordelaar zijn passend betrokken en hun inbreng is verwerkt.
• [ ] Artikel 36 en bijzondere raadplegingsplichten zijn beoordeeld.
• [ ] Besluit, beperkingen, voorwaarden, eigenaars en herbeoordeling zijn vastgelegd.
• [ ] Publiek gedeelde informatie bevat geen onnodige persoonsgegevens of beveiligingsgevoelige details.

6.2 Primaire bronnen

De toepasselijke versie en onderdelen worden bij vaststelling van je eigen DPIA opnieuw gecontroleerd. Dit overzicht maakt wetgeving en aanvullende uitleg herkenbaar:

• AVG, onder meer artikelen 5, 6, 9, 10, 12 tot en met 22, 25, 28, 32 tot en met 39 en hoofdstuk V.
• UAVG, waaronder de actuele regels voor vertegenwoordiging, gezondheidsgegevens en identificatienummers.
• WGBO in Boek 7 BW, artikelen 7:446 tot en met 7:468 voor zover toepasselijk; daarnaast de relevante bijzondere sectorwet.
• AP-besluit verplichte DPIA's, Staatscourant 2019, 64418.
• AP-uitleg van 11 december 2018 over grootschaligheid voor alle zorgaanbieders, inclusief de uitbreiding naar overige zorgaanbieders en de nuancering voor apotheken.
• WP248 rev.01, herpublicatie door de CNIL, aanvullende uitleg over de DPIA, geen afzonderlijke wet.
• EDPB-consultatietemplate 2026 en de bijbehorende uitleg, gebruikt als niet-verplichte structuurcontrole.
• Bijzondere bewaartermijn voor zorgloggegevens, Staatscourant 2019, 38007, uitsluitend binnen het daarin bedoelde wettelijke bereik.
• AI Act, MDR, Data Act en EHDS, voor de concrete samenhang met functies, gegevensstromen en toepassingsdata.

6.3 Hysio-bronnen

Gebruik de voor jouw dienstverlening overeengekomen, actuele versies van de Algemene Voorwaarden, Privacyverklaring, Verwerkersovereenkomst met alle bijlagen, MDR-positiedocument, AI Act Transparantieverklaring, Disclaimer en Regeling Datatoegang. Voeg waar relevant de familiemodule, het Subprocessor Register, de TIA-informatie, het Security Policy Pack en de cliëntinformatie toe.

De versieaanduiding v4.0 maakt een nog niet vrijgegeven concept niet operationeel of contractueel van kracht. Noteer welke versie werkelijk geldt en welke toekomstige wijziging je beoordeelt.

6.4 Ondersteuning vanuit Hysio

Hysio verleent, rekening houdend met de aard van de verwerking en beschikbare informatie, bijstand bij de DPIA en eventuele voorafgaande raadpleging volgens AVG artikel 28 lid 3 onder f en artikel 16 van de Verwerkersovereenkomst. Zij kan feitelijke informatie aanvullen, onjuistheden over haar dienstverlening corrigeren, bewijs toelichten en relevante documenten onder passende geheimhouding beschikbaar stellen.

Hysio neemt de grondslagen, lokale feiten, risicowaardering of goedkeuring van je organisatie niet stilzwijgend over. De verantwoordelijkheid van Hysio voor haar eigen informatie en verplichtingen blijft bestaan. Gewone verplichte of overeengekomen bijstand mag niet als optioneel maatwerk worden hernoemd of door een kostengeschil worden vertraagd. Voor werkelijk aanvullende werkzaamheden is vooraf een concrete schriftelijke afspraak nodig binnen de kostenregels van de Verwerkersovereenkomst en de Regeling Datatoegang.

Versie en wijzigingsoverzicht

Versie 4.0, opgesteld op 8 september 2026. Deze versie bouwt voort op de daadwerkelijk verstuurde mei-template v1.1, de v3.7-cyclus en de zorgbrede v3.9.9-template. De opbouw en bruikbare analyses blijven behouden; wijzigingen betreffen met name de werkelijke functieruimte, rollen, leveranciers, retentie, bewijsstatus, vertegenwoordiging, uitvoerketen en risico- en besluitmethodiek. Deze versie verwerkt de latere AP-schaaluitleg, goedgekeurde gedragscodes en het KNMG-advies over opnames.

Dit document is niet gepubliceerd en vervangt nog geen overeengekomen of gepubliceerde versie. De afzonderlijke documentgeschiedenis en het masterchangelog leggen de wijzigingen vast. Een ingevulde klant-DPIA krijgt daarnaast een eigen versie, besluitvormer en herbeoordelingsdatum.

Hysio B.V., De Aak 11, 7908 EL Hoogeveen. KvK 98649744. privacy@hysio.nl.