Wat is een DPIA?
Een DPIA is een beoordeling vooraf van de risico’s die een verwerking van persoonsgegevens meebrengt voor de rechten en vrijheden van de mensen om wie het gaat. In het Engels heet hij data protection impact assessment, in het Nederlands gegevensbeschermingseffectbeoordeling; de AVG regelt hem in artikel 35. Je doet hem voordat de verwerking begint, en je houdt hem bij zolang ze loopt: de Europese richtsnoeren noemen hem “een continu proces, niet een eenmalige oefening”.
Een DPIA bevat minstens vier onderdelen: een beschrijving van de verwerking en het doel, een oordeel over de noodzaak en de evenredigheid, de risico’s voor de betrokkenen, en de maatregelen ertegen. Bij een AI-notulist beschrijf je dus wat er gebeurt met de opname, de transcriptie en het verslag.
Of je die vier onderdelen moet uitschrijven, hangt af van het risico.
Wanneer moet je een DPIA doen?
Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van de mensen om wie het gaat. Je stelt dat vast langs drie wegen:
- De verwerking staat op de lijst van de Autoriteit Persoonsgegevens. Die lijst noemt zeventien soorten verwerkingen, van cameratoezicht tot de controle van werknemers, en de AP schrijft er zelf bij dat hij niet uitputtend is.
- De verwerking raakt twee of meer van de negen criteria uit de richtsnoeren. Dan moet er “in de meeste gevallen” een DPIA komen; soms is één criterium al genoeg.
- De verwerking staat nergens, maar brengt door de aard, de omvang, de context of het doel toch een hoog risico mee.
Besluit je geen DPIA te doen terwijl de verwerking criteria raakt, dan schrijf je op waarom, met het advies van je functionaris gegevensbescherming erbij. Eén uitzondering staat in de lijst zelf: bij de grootschalige verwerking van gegevens over gezondheid zijn individuele artsen en individuele zorgprofessionals uitgezonderd. Wie met Notuly werkt, krijgt met de verwerkersovereenkomst bijstand bij die afweging.
Hoe dat uitpakt voor een AI-notulist, zie je pas als je de negen criteria een voor een langsloopt.
De 9 criteria voor een DPIA, toegepast op een AI-notulist.
Een AI-notulist raakt bij de invoering in een organisatie twee van de negen criteria: nieuwe technologie, en kwetsbare betrokkenen omdat medewerkers meepraten. In zorg, HR, onderwijs en jeugdzorg komt het criterium gevoelige gegevens er bijna altijd bij. De tabel geeft per criterium het oordeel, de reden uit de richtsnoeren, het feit dat Notuly aanlevert en wat je zelf beslist.
De negen criteria uit de richtsnoeren, naast een AI-notulist (4 november 2026)
-
Criterium 1. Evaluatie of scoretoekenning+Voor een AI-notulist: Nee, tenzij de tool scoort
- Waarom
- Het criterium gaat over profielen en voorspellingen over prestaties, gedrag of gezondheid. Meet een tool spreektijd of stemming, dan raakt hij dit criterium wel.
- Wat Notuly aanlevert
- Notuly gebruikt het gesprek alleen om het verslag te maken en te mailen (verwerkersovereenkomst, artikel 3).
- Wat je zelf beslist
- Of je verslagen gebruikt om mensen te beoordelen.
-
Criterium 2. Geautomatiseerde besluitvorming met rechtsgevolg+Voor een AI-notulist: Nee
- Waarom
- Het gaat om beslissingen over mensen zonder een mens ertussen. Een verslag beslist niets.
- Wat Notuly aanlevert
- Je organisatie controleert de verslagen, want een AI-verslag kan onnauwkeurigheden bevatten (artikel 7.4).
- Wat je zelf beslist
- Dat iemand het verslag nakijkt voordat er iets mee gebeurt.
-
Criterium 3. Stelselmatige monitoring+Voor een AI-notulist: Hangt af
- Waarom
- Stelselmatig betekent onder meer vooraf geregeld en methodisch. Elk overleg standaard opnemen komt in de buurt; per gesprek zelf de opname starten niet.
- Wat Notuly aanlevert
- Bij Notuly start iemand de opname in de app; er schuift geen bot aan in de meeting.
- Wat je zelf beslist
- Wie opneemt, welke gesprekken, en of opnemen ooit verplicht wordt.
-
Criterium 4. Gevoelige gegevens of gegevens van zeer persoonlijke aard+Voor een AI-notulist: Meestal ja, hangt af van het gesprek
- Waarom
- In gesprekken in zorg, HR, onderwijs en jeugdzorg komen bijzondere persoonsgegevens, zoals over gezondheid, bijna altijd langs. Een overleg over roosters bevat ze niet vanzelf. Bij een online meeting noemen de richtsnoeren ook elektronische communicatie die vertrouwelijk moet blijven.
- Wat Notuly aanlevert
- Volgens de verwerkersovereenkomst kan gespreksinhoud bijzondere persoonsgegevens bevatten (artikel 4). Audio binnen een minuut na verwerking gewist.
- Wat je zelf beslist
- Welke gesprekken je niet opneemt.
-
Criterium 5. Op grote schaal verwerkte gegevens+Voor een AI-notulist: Hangt af
- Waarom
- Je weegt het aantal mensen, de hoeveelheid gegevens, de duur en het gebied. Een team van acht is iets anders dan een organisatie van tweeduizend.
- Wat Notuly aanlevert
- Notuly slaat geen gespreksinhoud op: van audio en gespreksinhoud maakt Notuly geen back-ups (artikel 5).
- Wat je zelf beslist
- Hoeveel mensen het gebruiken, en hoe lang de verslagen in de mailboxen blijven.
-
Criterium 6. Matching of samenvoeging van datasets+Voor een AI-notulist: Hangt af
- Waarom
- Het gaat om gegevens uit verschillende bronnen bij elkaar brengen, verder dan iemand redelijkerwijs verwacht. Een tool die alle gesprekken onthoudt of aan een klantsysteem koppelt, raakt dit criterium.
- Wat Notuly aanlevert
- Notuly gebruikt het gesprek niet voor andere doelen en mailt het verslag (artikel 3).
- Wat je zelf beslist
- Of je verslagen in een klantsysteem of dossier zet, en naast welke gegevens.
-
Criterium 7. Gegevens over kwetsbare betrokkenen+Voor een AI-notulist: Ja, zodra medewerkers, cliënten of kinderen meepraten
- Waarom
- De richtsnoeren noemen werknemers, patiënten en kinderen, omdat zij moeilijk nee kunnen zeggen tegen de organisatie.
- Wat Notuly aanlevert
- Je organisatie vertelt de deelnemers dat er wordt opgenomen (artikel 7.2).
- Wat je zelf beslist
- Hoe je dat vertelt, en wat je doet als iemand niet wil.
-
Criterium 8. Nieuwe technologie+Voor een AI-notulist: Ja, bij de eerste invoering
- Waarom
- Een DPIA is volgens de richtsnoeren “bijzonder relevant” als een nieuwe technologie wordt ingevoerd. Spraakherkenning met een taalmodel dat het verslag maakt, is dat voor de meeste organisaties.
- Wat Notuly aanlevert
- Welke partij welke stap doet, met naam en locatie (bijlage 2 van de verwerkersovereenkomst).
- Wat je zelf beslist
- Of je het meetelt; tel je het niet, schrijf dan op waarom.
-
Criterium 9. Een recht of dienst niet kunnen krijgen+Voor een AI-notulist: Nee
- Waarom
- Het gaat om verwerkingen die bepalen of iemand een dienst of een overeenkomst krijgt.
- Wat Notuly aanlevert
- Notuly helpt bij verzoeken van de mensen in het gesprek (artikel 6.5).
- Wat je zelf beslist
- Of een verslag ooit de basis wordt om iemand iets te weigeren.
Tel je de criteria op, dan kom je met collega’s aan tafel op minstens twee: criterium 7 en criterium 8. Volgens de richtsnoeren betekent twee criteria in de meeste gevallen een DPIA, en hoe meer criteria, hoe waarschijnlijker het hoge risico.
Welke categorieën van de AP-lijst een AI-notulist kan raken.
Van de zeventien categorieën op de lijst van de AP kunnen er zeven een AI-notulist raken. Het hangt steeds af van hoe je hem inzet.
- Heimelijk onderzoek: ja, als je opneemt zonder het de deelnemers te vertellen. Of opnemen mag, staat bij mag ik een gesprek opnemen.
- Gezondheidsgegevens: ja bij grootschalige verwerking, met in het besluit als voorbeeld zorginstellingen, maatschappelijke dienstverlening, arbodiensten, re-integratiebedrijven en (speciaal)onderwijsinstellingen. Individuele artsen en individuele zorgprofessionals zijn hier uitgezonderd. Meer over gesprekken in de zorg.
- Samenwerkingsverbanden: de categorie gaat over gemeenten die met andere partijen gevoelige gegevens delen, “bijvoorbeeld in wijkteams”. Of het verslag van zo’n overleg eronder valt, toets je met je jurist. Meer voor overleg bij gemeenten.
- Controle werknemers: ja, als de opnames dienen om medewerkers te volgen.
- Communicatiegegevens: hangt af; de categorie noemt grootschalige verwerking en stelselmatige monitoring van communicatie. Alles in de organisatie opnemen komt dichtbij.
- Profilering, en observatie van gedrag: alleen als de tool mensen beoordeelt of gedrag vastlegt.
- Biometrische gegevens: de categorie gaat over biometrische gegevens “met als doel een natuurlijk persoon te identificeren”. Vraag de leverancier daarom of de sprekerherkenning stemmen gebruikt om te herkennen wie iemand is, of alleen om sprekers uit elkaar te houden.
De andere tien (zwarte lijsten, fraude, creditscores, de financiële situatie, genetische gegevens, camera’s, flexibel cameratoezicht, locatiegegevens, internet of things en het observeren van persoonlijke aspecten via profielen) raken een AI-notulist niet zoals hij voor verslagen wordt gebruikt. Notuly staat ook hier als voorbeeld: Notuly gebruikt het gesprek alleen om het verslag te maken en te mailen.
Wat dat per situatie betekent, staat in de tabel hieronder.
Per situatie: heb je een DPIA nodig voor een AI-notulist?
In bijna elke situatie in een organisatie is het antwoord ja, en het verschil zit in de reden. De tabel zet zes situaties naast elkaar.
| De situatie | DPIA? | Waarom |
|---|---|---|
| Een team van acht, een intern werkoverleg, iedereen weet dat er wordt opgenomen | In de regel ja | Criterium 7 en 8; criterium 4 hangt af van het onderwerp. |
| Een zorgorganisatie, voor cliëntgesprekken of een multidisciplinair overleg (MDO) | Ja | Bij grootschalige verwerking van gegevens over gezondheid staat het op de AP-lijst; anders via criterium 4 en 7. |
| Een gemeente, voor een overleg in het sociaal domein of een wijkteam | Waarschijnlijk ja | Via criterium 4, 7 en 8; of de AP-lijst het verslag van zo’n overleg zelf dekt, laat je je jurist beoordelen. |
| Een zelfstandige zorgverlener of advocaat met eigen cliënten | Toets het zelf | De AP-lijst zondert de individuele zorgprofessional uit bij gezondheidsgegevens op grote schaal; de advocaat staat er niet in. Of de verwerking bij jou criterium 4 en 8 raakt, weeg je zelf. |
| Elk overleg standaard opnemen, of spreektijd meten | Ja | Criterium 1 en 3, en de AP-lijst bij de controle van werknemers en bij communicatiegegevens. |
| Een vertrouwelijk gesprek, zoals over een integriteitsmelding | Neem niet op | Zelf schrijven, of na afloop in de app van Notuly zelf inspreken wat er is afgesproken. Dan staat de ander niet op de opname. |
Twee rijen zijn een lezing van de lijst en geen tekst van de AP: de zorgorganisatie en het wijkteam. Notuly past in elke rij behalve de laatste. Welke gesprekken je beter niet opneemt, staat bij veilig notuleren.
Wat er dan in de DPIA komt, begint bij wat alleen jij kunt beslissen.
Wat je zelf beslist, en wat geen leverancier voor je doet.
Een leverancier kan de DPIA niet voor je doen: de organisatie die bepaalt waarom en hoe het gesprek wordt vastgelegd, zorgt dat hij er komt en blijft er eindverantwoordelijk voor. Dat geldt ook als iemand anders hem schrijft. Deze beslissingen neemt je organisatie zelf:
- De grondslag: op welke grond je het gesprek vastlegt. Dat staat in geen verwerkersovereenkomst, ook niet in die van Notuly.
- Welke gesprekken: het werkoverleg wel, het gesprek over een integriteitsmelding niet, of andersom. Notuly neemt alleen op als iemand in de app de opname start.
- Vertellen dat je opneemt: bij Notuly schuift er geen bot aan in de meeting, dus ziet niemand een melding. Wie het de deelnemers vertelt, is je organisatie; hoe, staat in deelnemers vertellen dat je opneemt.
- Wie het verslag krijgt: de gebruiker kiest de ontvangers. Met ‘Verstuur alleen naar jezelf’ komt het verslag eerst alleen in de eigen inbox, in elk plan; zie het verslag eerst zelf lezen.
- De transcriptie: die komt standaard mee als .txt-bestand, met de letterlijke woorden van iedereen in het gesprek, en de gebruiker kan hem uitzetten; zie de transcriptie.
- De mening van de medewerkers: de AVG vraagt van je organisatie dat ze de betrokkenen of hun vertegenwoordigers naar hun mening vraagt als dat passend is, en de richtsnoeren noemen “een vraag aan de personeelsvertegenwoordigers” als voorbeeld. Hoe je de ondernemingsraad daarbij betrekt, staat bij de ondernemingsraad en het verslag en bij een AI-notulist invoeren.
De bewaarvraag in je DPIA gaat over je eigen mailbox.
De bewaartermijn die je in je DPIA beschrijft, is bij Notuly die van je eigen mailbox. Zodra het verslag verstuurd is, blijft er niets achter: geen opname, geen transcriptie, geen verslag. Daarna staat het verslag alleen nog bij de ontvangers, in hun eigen mailbox, met de transcriptie als bijlage.
Je inbox is je archief. Bij Notuly blijft niets achter. Beschrijf dus hoe lang verslagen in de mailboxen blijven, en wie ze daar kan lezen.
Eén ding staat wel even bij de gebruiker zelf: een opname zonder verbinding blijft hooguit veertien dagen op zijn toestel, totdat hij verwerkt is. Ook dat hoort in je beschrijving; zie opnemen zonder verbinding.
Met die beslissingen erbij kun je de DPIA zelf invullen.
Wat moet er in een DPIA voor een AI-notulist?
In een DPIA staan minstens vier onderdelen, en bij twee daarvan levert de leverancier het meeste aan: de beschrijving en de maatregelen. De tabel laat per onderdeel zien wat Notuly aanlevert en wat jij invult.
| Onderdeel | Wat het vraagt | Wat Notuly aanlevert | Wat jij invult |
|---|---|---|---|
| Beschrijving | Wat er gebeurt, met welke gegevens en waarvoor | De doelen: opnemen, transcriberen, het verslag maken met de samenvatting, de besluiten en de actiepunten, en het mailen. De gegevens: stemgegevens, namen voor zover ze in het gesprek genoemd worden, de e-mailadressen van de ontvangers en de gespreksinhoud. De partijen, met naam en locatie, staan in bijlage 2 van de verwerkersovereenkomst. | Welke gesprekken, wie opneemt, wie het verslag krijgt. |
| Noodzaak en evenredigheid | Of de verwerking nodig is, en of het lichter kan | Niets: dit is je eigen afweging. | Waarom een verslag van dit gesprek nodig is, en waarom opnemen beter past dan zelf schrijven. |
| Risico’s | Wat er mis kan gaan voor de mensen in het gesprek | De criteria-toets hierboven als begin, en bij een datalek: Notuly informeert zakelijke klanten binnen 48 uur en meldt het binnen 72 uur aan de Autoriteit Persoonsgegevens. | De kans en de ernst per risico. |
| Maatregelen | Wat de risico’s kleiner maakt | Onderweg versleuteld met TLS 1.2 of hoger, in rust met AES-256; multifactorauthenticatie op alle beheeraccounts en toegang op need-to-know; de hostingpartij gecertificeerd volgens ISO/IEC 27001:2022; Notuly bewaart geen gespreksinhoud; gesprekken zijn geen trainingsdata en geen handelswaar. | Wat je zelf regelt: vertellen, de ontvangers, de transcriptie, het bewaren. |
De partijen die je gesprek verwerken, staan met naam en locatie in bijlage 2 van de verwerkersovereenkomst. Volgens die overeenkomst gebeurt alle verwerking binnen de Europese Economische Ruimte, en bewaren de partijen die gespreksinhoud verwerken die niet. Een betaaldienst verwerkt alleen betaalgegevens, geen gesprekken; de actuele lijst vraag je op via team@notuly.nl.
Zoek je een model om in te vullen, dan is het Model DPIA Rijksdienst van het Kenniscentrum voor beleid en regelgeving een goed begin: zeventien punten in vier delen (beschrijving, rechtmatigheid, risico’s en maatregelen). Het is gemaakt voor de rijksoverheid, en organisaties mogen het aanvullen met eigen onderdelen. De feiten van Notuly in de voorbeeldtabel hierboven passen in het eerste en het laatste deel.
Wie de DPIA uiteindelijk schrijft, en wat de leverancier daarbij moet doen, staat in de AVG.
Wie doet de DPIA, en wat doet de leverancier?
De DPIA is van de verwerkingsverantwoordelijke: de organisatie die beslist waarom en hoe het gesprek wordt vastgelegd. Heeft je organisatie een functionaris gegevensbescherming, dan vraag je die om advies, en dat advies komt in de DPIA. De leverancier is verwerker, en een verwerker helpt en geeft de informatie die je nodig hebt.
Een analyse van de leverancier vervangt je eigen DPIA niet, al mag je je erop baseren. Bij Notuly staat die hulp in de verwerkersovereenkomst, en die is beschikbaar vanaf een Team-licentie. Notuly helpt daarin bij de beveiliging, bij datalekken en bij de DPIA, geeft alle informatie om de afspraken te controleren, en maakt een audit mogelijk. Waar je verder op let voordat je met een leverancier tekent, staat bij een AI-tool toetsen aan de AVG.
Verandert de lijst van partijen, dan hoort de eigenaar van de Notuly-omgeving dat vooraf per e-mail, en heeft je organisatie veertien dagen om bezwaar te maken. Bij Enterprise is een verwerkersovereenkomst op maat mogelijk. Hoe je hem opvraagt, staat in de verwerkersovereenkomst opvragen; wat erin hoort, op de verwerkersovereenkomst; de technische gegevens voor je IT-afdeling in netwerk en gegevens.
Wanneer Notuly niet past, ook na de DPIA.
Soms is het antwoord na de DPIA: niet opnemen, of nog niet. Vier situaties:
- Een hoog restrisico dat blijft: laat de DPIA een hoog risico zien dat je met maatregelen niet kleiner krijgt, dan raadpleeg je eerst de Autoriteit Persoonsgegevens, voordat je met welke tool dan ook begint.
- Een gesprek dat je beter niet opneemt: een integriteitsmelding, een vertrouwelijk gesprek over een medewerker. Wil je toch een verslag, spreek dan na afloop in de app van Notuly zelf in wat er is afgesproken.
- Opnemen zonder dat de deelnemers het weten: dat staat als heimelijk onderzoek op de lijst van de AP, en daar is Notuly niet voor.
- Geen Team-licentie: met Starter of Pro is er geen verwerkersovereenkomst, en dus ook geen bijstand bij de DPIA. Voor een organisatie begint het bij Team.
Over certificering: de ISO 27001-audit van Notuly loopt. Wat er nu is, staat in de tabel met maatregelen hierboven.
Zo zet je Notuly in na de DPIA.
Neem het team van acht uit het voorbeeld. De DPIA is af, de functionaris gegevensbescherming heeft geadviseerd, en de ondernemingsraad weet ervan.
- De beheerder neemt Team, vraagt de verwerkersovereenkomst op en legt hem bij de DPIA.
- Bij het eerste werkoverleg zegt de voorzitter dat Notuly meeluistert, en wie het verslag krijgt.
- Iemand start de opname in de app. Binnen tien minuten staat het verslag in de inbox van de ontvangers, met de besluiten en de actiepunten erin.
Wat Team kost per licentie, staat bij de prijzen. Na een paar weken kijk je of de DPIA nog klopt: verandert er iets aan de verwerking, dan werk je hem bij.