Is voor Loes AI altijd een verwerkersovereenkomst nodig?

Nee, niet uitsluitend omdat het een AI-dienst is. Artikel 28 AVG vraagt om een schriftelijke overeenkomst wanneer een leverancier persoonsgegevens namens de verwerkingsverantwoordelijke verwerkt. Het bedrijf moet eerst vaststellen welke gegevens de dienst ontvangt en wie doel en middelen bepaalt. Zonder die feiten is een definitief oordeel over de rol van Loes niet mogelijk.[1][2]

Welke persoonsgegevens moet een bedrijf vóór gebruik in kaart brengen?

Begin bij de werkelijke invoer die medewerkers willen delen: bijvoorbeeld een cliëntvraag, contactgegevens of interne notities. Noteer per werkproces wie de informatie invoert en wat de leverancier ermee doet. Dit is een inventarisatie voor de rolverdeling en het beveiligingsrisico, geen bewering dat Loes zelf bepaalde gegevens standaard verzamelt. De passende maatregelen hangen van de feitelijke verwerking af.[2][3]

Wie is verantwoordelijk voor het doel van de verwerking?

De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Een verwerker handelt namens die partij en volgens haar instructies. Kijk dus naar het gebruik door het bedrijf én de feitelijke zeggenschap van de leverancier. Een contracttitel alleen bepaalt de rol niet. De EDPB legt uit dat ook een subverwerker onder instructies van de verwerker kan handelen.[2]

Wat moet in een overeenkomst met een verwerker staan?

Artikel 28 vraagt onder meer afspraken over gedocumenteerde instructies, geheimhouding, beveiliging, subverwerkers, wissen of teruggeven van gegevens en audits. Controleer of de tekst het concrete gebruik van Loes dekt, in plaats van alleen een algemene bijlage te bewaren. Als een leverancier geen verwerker is in deze relatie, moet het bedrijf die andere rol eerst juist vastleggen.[1][2]

Is een leverancier buiten de EER automatisch verboden?

Nee. Een doorgifte buiten de EER vraagt wel een afzonderlijke toets onder hoofdstuk V AVG. De EDPB beschrijft passende waarborgen, waaronder standaardcontractbepalingen waar geen adequaatheidsbesluit geldt. Eerst moet duidelijk zijn of er werkelijk een doorgifte plaatsvindt en naar welke partij en plaats. Zonder die feiten mag het bedrijf geen doorgifte veronderstellen of uitsluiten.[4]

Welke beveiliging moet vóór ingebruikname worden gecontroleerd?

Artikel 32 verlangt technische en organisatorische maatregelen die passen bij het risico. Vraag welke toegang medewerkers en leverancier krijgen, hoe gegevens worden beschermd en hoe het bedrijf verwijdering kan laten uitvoeren. Een vaste lijst met maatregelen is geen bewijs dat ze bij deze gegevens en dit gebruik passen. Leg de gekozen maatregelen en de resterende vragen vast.[3]

Wanneer is voor gebruik van Loes AI een DPIA nodig?

Een DPIA is nodig als de voorgenomen verwerking van persoonsgegevens waarschijnlijk een hoog risico voor mensen oplevert. Dat volgt uit de uitleg van de EDPB; het gebruik van Loes AI veroorzaakt die verplichting niet automatisch. Beoordeel daarom de werkelijke gegevens, het doel en de gevolgen van de gekozen taak vóór ingebruikname. Leg vast waarom de verwerking wel of niet waarschijnlijk een hoog risico oplevert.[3]

Loes AI en de AVG: welke afspraken controleer je vooraf?

Snel antwoord: Voordat een bedrijf Loes AI gebruikt, brengt het de beoogde persoonsgegevens en rollen in kaart. Als Loes namens het bedrijf verwerkt, is een schriftelijke verwerkersovereenkomst nodig met afspraken over instructies, geheimhouding, subverwerkers en verwijdering. Controleer daarnaast passende beveiliging en eventuele doorgifte buiten de EER. De inrichting bepaalt de afspraken.¹^,2^,3^,4

Samenvatting als mindmap

Loes AI en de AVG: welke afspraken controleer je vooraf?
│
├─ Breng gegevens in kaart
│   ├─ Noteer de werkelijke invoer en uitvoer
│   └─ Scheid taken met en zonder persoonsgegevens
│
├─ Bepaal de rollen
│   ├─ Wie kiest doel en middelen?
│   └─ Wie handelt volgens instructies?
│
├─ Toets de afspraken
│   ├─ Artikel 28: contract en subverwerkers
│   └─ Artikel 32: beveiliging passend bij risico
│
└─ Leg het besluit vast
    ├─ Onderzoek doorgifte buiten de EER
    └─ Start pas na beantwoording van open vragen

Gegevens die naar Loes AI gaan

Een overeenkomst kiezen voordat de gegevensstroom bekend is, draait de beoordeling om. Neem daarom één gepland gebruik als vertrekpunt. Een fysiotherapiepraktijk kan bijvoorbeeld willen nagaan of medewerkers cliëntgegevens, contactgegevens of alleen algemene administratieve vragen zouden invoeren. Dat is een onderzoeksvraag, geen aanname over wat Loes AI technisch doet. De praktijk moet de werkelijke invoer en uitvoer vastleggen voordat zij toegang geeft.²^,3

Schrijf per taak op wie een bericht opstelt, welke persoonsgegevens erin kunnen staan, wie het antwoord ziet en of de informatie verder wordt gedeeld. Dezelfde dienst kan voor twee taken een ander risico opleveren. Een algemene vraag over openingstijden bevat mogelijk geen cliëntgegevens. Een conceptantwoord over een individuele behandeling kan dat wel. Juist dit verschil bepaalt welke contractuele en technische controle nodig is.²^,3

Vraag bij de invoer	Wat de praktijk vastlegt	Waarom het verschil maakt
Welke personen komen voor?	Cliënten, medewerkers of contactpersonen	De betrokkenen en risico's verschillen
Welke gegevens worden gedeeld?	Werkelijke categorieën, geen productaanname	De beveiliging moet bij de verwerking passen
Wie ziet de uitvoer?	Medewerker, leverancier of derde	De toegang en instructies moeten duidelijk zijn

Dit overzicht hoort bij de feitelijke werkwijze. Het is geen lijst die automatisch alle functies van een leverancier beschrijft. Vraag een verantwoordelijke medewerker om de gekozen taak te demonstreren met niet-herleidbare testgegevens. Pas daarna kan het bedrijf een bruikbare gegevensstroom tekenen.²^,3

Wie bepaalt doel en middelen?

De EDPB beschrijft de verwerkingsverantwoordelijke als de partij die het doel en de middelen van de verwerking bepaalt. Een verwerker handelt namens die partij volgens haar instructies. Het bedrijf moet daarom kijken wie beslist waarom persoonsgegevens in deze taak worden gebruikt, welke informatie nodig is en hoe de verwerking plaatsvindt. De naam van een contract of dienst beslist die vraag niet zelfstandig.²

De leverancier kan voor een bepaalde taak verwerker zijn, maar dat mag niet worden aangenomen zonder de feitelijke dienstvoorwaarden en werkwijze te lezen. Het bedrijf kan ook zelf verwerkingsverantwoordelijke zijn voor de keuze om cliëntgegevens in een hulpmiddel te gebruiken. Deze rollen hebben verschillende verplichtingen. Bij meerdere partijen moet de praktijk hun werkelijke beslissingsruimte per verwerking beoordelen, niet één etiket voor de hele zakelijke relatie plakken.²

Feitelijke vraag	Wijst op doelbepaling	Wijst op verwerking in opdracht
Wie kiest waarom gegevens worden gebruikt?	Partij bepaalt het doel	Partij voert het gekozen doel uit
Wie geeft instructies over de taak?	Partij bepaalt de grenzen	Partij volgt gedocumenteerde instructies
Wie schakelt een volgende partij in?	Moet toestemming of regeling beoordelen	Heeft toestemming volgens de overeenkomst nodig

Het resultaat is een rolnotitie per taak. Daarin staat welke feiten zijn gecontroleerd, welke stukken nog ontbreken en wie de uitkomst heeft goedgekeurd. Een mondelinge verkoopuitleg is niet genoeg om het verschil tussen verantwoordelijke en verwerker te kunnen onderbouwen.²

Wanneer is artikel 28 nodig?

Wanneer een leverancier namens het bedrijf persoonsgegevens verwerkt, verlangt artikel 28 AVG een schriftelijke verwerkersovereenkomst. De Autoriteit Persoonsgegevens noemt deze overeenkomst verplicht voor die verhouding. De toets bestaat dus uit twee delen: worden persoonsgegevens verwerkt, en gebeurt dat namens de verantwoordelijke? Pas als die onderdelen helder zijn, kan de praktijk vaststellen welke overeenkomst nodig is.¹^,2

De overeenkomst moet aansluiten op de concrete taak. Een standaarddocument waarin alleen de partijen staan, vertelt nog niets over de instructies voor cliëntgegevens of de bestemming van gegevens na afloop. Controleer of de beschreven diensten en gegevens overeenkomen met wat medewerkers werkelijk willen doen. Als een onderdeel van de dienst een andere rol heeft, moet dat apart worden beoordeeld in plaats van stilzwijgend onder dezelfde overeenkomst te vallen.¹^,2

Instructies en geheimhouding

Artikel 28 vraagt onder meer dat de verwerker persoonsgegevens alleen volgens gedocumenteerde instructies verwerkt. De overeenkomst moet ook geheimhouding regelen voor personen die bij de gegevens kunnen. Voor een kleine praktijk betekent dit dat een medewerker niet alleen moet weten welk scherm hij mag openen, maar ook welke gegevens hij volgens het bedrijf wel en niet aan de dienst mag geven.¹^,2

Leg de toegestane taak en grenzen in gewone taal vast. Bijvoorbeeld: welke categorie berichten mogen worden verwerkt, wie mag het systeem gebruiken en wie mag antwoorden overnemen? Deze interne instructie is geen vervanging voor de overeenkomst met de leverancier. Zij helpt het bedrijf controleren of de beloofde verwerking en de dagelijkse werkwijze overeenkomen. Een contract over algemene gegevensverwerking kan een onverwachte toepassing door medewerkers niet op zichzelf voorkomen.²

De verwerker mag een subverwerker alleen inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke. Bij algemene toestemming moet het bedrijf een reële mogelijkheid hebben bezwaar te maken. Vraag daarom welke partijen in de keten staan, hoe nieuwe partijen worden gemeld en hoe het bezwaar werkt. De verwerker moet ook met de subverwerker een bindende overeenkomst sluiten die dezelfde bescherming biedt.²

De EDPB noemt ook afspraken over audits en het wissen of teruggeven van gegevens. Vraag wat de leverancier bij beëindiging moet doen en welke informatie het bedrijf kan krijgen om naleving te toetsen. Dat zijn contractuele vragen die vooraf moeten worden beantwoord; een toegangsknop na ingebruikname kan de ontbrekende afspraak niet achteraf herstellen.²

Beveiliging en verwijdering

Artikel 32 AVG verplicht verantwoordelijken en verwerkers tot passende technische en organisatorische maatregelen voor het risico. De EDPB noemt vertrouwelijkheid, integriteit en beschikbaarheid als onderdelen van gegevensbeveiliging. De praktijk moet dus niet vragen of Loes AI “veilig” is in het algemeen, maar welke maatregelen de feitelijke gegevensstroom beschermen en welk risico overblijft.³

Begin bij toegang: welke medewerkers hebben een account, wie beheert rechten en wie kan uitvoer of gespreksgeschiedenis zien? Controleer daarnaast hoe een fout, verloren toegang of onbedoelde wijziging zou worden opgemerkt. Die vragen volgen uit het risico voor de betrokkenen, niet uit een marketingkenmerk van de dienst. Een kleine hoeveelheid gegevens kan nog steeds gevoelig zijn als de context dat is.³

Gebruik de risicobeoordeling om deze maatregelen concreet te toetsen; de EDPB noemt ze als voorbeelden, niet als vaste afvinklijst.³

Toegangsbeheer: beperk accounts en rechten tot de medewerkers die de gekozen taak uitvoeren; controleer wie toegang wijzigt.³
Back-ups: vraag welke gegevens worden veiliggesteld en hoe herstel na verlies wordt beproefd.³
Toegangsregistratie: controleer of handelingen traceerbaar zijn en wie afwijkingen onderzoekt.³
Versleuteling: vraag welke gegevens tijdens opslag en overdracht worden versleuteld en welk risico overblijft.³

Verwijdering verdient een eigen afspraak. Artikel 28 noemt wissen of teruggeven van persoonsgegevens na afloop, naar keuze van de verantwoordelijke, behoudens een wettelijke bewaarplicht. De praktijk moet vóór de start kunnen aangeven welke gegevens bij beëindiging onder die afspraak vallen en wie de uitvoering bevestigt. Zonder zicht op de werkelijke bewaarlocaties is een algemene zin over “verwijderen” moeilijk te toetsen.²

Doorgifte buiten de EER

Een buitenlandse leverancier, server of subverwerker kan een doorgifte buiten de Europese Economische Ruimte betekenen. Het bedrijf moet eerst vaststellen of zo'n doorgifte voor de gekozen taak daadwerkelijk plaatsvindt. De locatie mag niet uit een merknaam of taal worden afgeleid. Vraag de keten, betrokken landen en toegangsroute op. Zonder die feiten kan de praktijk noch een doorgifte bevestigen noch er een uitsluiten.⁴

Voor een werkelijke doorgifte geldt hoofdstuk V AVG. De EDPB beschrijft passende waarborgen onder artikel 46, waaronder standaardcontractbepalingen wanneer er geen adequaatheidsbesluit is. Dat is geen vinkje dat elke doorgifte automatisch rechtmatig maakt. De praktijk moet de toepasselijke route en documenten voor de concrete ontvanger beoordelen en vastleggen. Ook een subverwerker buiten de EER hoort in die beoordeling.²^,4

Bij gebruik van standaardcontractbepalingen hoort een beoordeling van de concrete doorgifte: documenteer de omstandigheden, de wetgeving en praktijk van het land van bestemming en de aanvullende waarborgen die persoonsgegevens beschermen. De EDPB noemt dit een transfer impact assessment. Controleer of buitenlandse regels de werking van de gekozen waarborgen aantasten en welke extra maatregelen dan nodig zijn; een ondertekend modelcontract alleen sluit die vraag niet af.⁴

Deze stap komt na de gegevensinventaris en roltoets. Als medewerkers geen persoonsgegevens met de dienst delen, is de analyse anders dan wanneer cliëntgegevens in opdrachten terechtkomen. Een bedrijf moet de conclusie koppelen aan de afgesproken taak, zodat een latere uitbreiding opnieuw kan worden beoordeeld.²^,4

Besluit vóór ingebruikname

Maak één besluitblad met de taak, gegevenscategorieën, rolverdeling, contractstukken, subverwerkers, beveiligingsvragen, verwijderafspraken en mogelijke doorgifte. Zet er een eigenaar en datum bij. Noteer ook welke leveranciersinformatie nog niet is ontvangen. Dit blad maakt zichtbaar waarom het bedrijf wel of nog niet start. Het vervangt de overeenkomst niet, maar verbindt de losse controles aan een concrete beslissing.¹^,2^,3^,4

Voor de fysiotherapiepraktijk kan de uitkomst zijn dat alleen een proef met niet-herleidbare gegevens is toegestaan totdat de keten en overeenkomst zijn opgehelderd. Dat is een bestuurlijke keuze voor dit voorbeeld, geen universele AVG-regel. Een andere taak kan een andere uitkomst hebben. De beslisser moet precies weten welke onzekerheid nog openstaat en welke gebeurtenis een nieuwe toets vereist.²^,3

Wie de achtergrond wil begrijpen, kan lezen over verantwoordelijke en verwerker, de verwerkersovereenkomst voor kleine bedrijven, AI-governance naast privacyregels en de werking van de AVG buiten de EU.

Grenzen van deze beoordeling

De aangehaalde bronnen beschrijven de AVG-plichten, maar geven geen volledig technisch of contractueel beeld van Loes AI. Dit artikel kan daarom niet verklaren welke gegevens Loes standaard opslaat, waar zij staan of welke subverwerkers de dienst op dit moment inzet. Voor die feiten zijn actuele leveranciersstukken en de beoogde configuratie nodig. Een bedrijf hoort die informatie op te vragen in plaats van uit de algemene wetstekst een productfeit af te leiden.¹^,2^,3^,4

De beoordeling zegt ook niet dat een ondertekende overeenkomst iedere toepassing veilig maakt. Artikel 32 vraagt passende maatregelen voor het werkelijke risico, en hoofdstuk V vraagt een afzonderlijke toets bij een doorgifte. De praktijk moet opnieuw kijken zodra medewerkers andere gegevens invoeren, een partij in de keten verandert of het doel van de taak verschuift.³^,4

Bepaal eerst de feitelijke gegevensstroom; pas daarna volgt de juiste AVG-afspraak.

In woorden vertakt de boom zo: bepaal of persoonsgegevens worden gedeeld, stel vast wie doel en middelen kiest, sluit bij verwerking in opdracht de juiste overeenkomst, controleer beveiliging en eventuele doorgifte, en leg pas dan het besluit over ingebruikname vast.

Wat nu te doen

Kies één voorgenomen Loes-taak en verzamel de actuele contractstukken en gegevensstroom. Laat de verantwoordelijke medewerker de open vragen ondertekenen voordat echte persoonsgegevens worden ingevoerd. Gebruik GDPR Accountability Documentation voor de volgende stap in de documentatie op basis van de eigen antwoorden van het bedrijf.