Wat zijn bijzondere persoonsgegevens?
“Er komt gezondheid ter sprake, dus er mag geen AI-notulist bij.” Dat hoor je vaak, en het klopt niet. De spiegelversie ook niet: “Als de cliënt ja zegt, mag alles.”
Bijzondere persoonsgegevens zijn de acht soorten gegevens uit artikel 9 lid 1 AVG, waaronder gezondheid, geloof en seksuele gerichtheid. De wet verbiedt het verwerken ervan, met uitzonderingen die precies voor de zorg en voor werk geschreven zijn. In de zorg is de grond meestal niet toestemming, maar goede zorg: een hulpverlener mag gezondheidsgegevens verwerken “voor zover de verwerking noodzakelijk is met het oog op een goede behandeling of verzorging van de betrokkene” (artikel 30 lid 3 onder a UAVG). Wat telt is wie praat, waarom, en wie daarna het verslag krijgt.
Artikel 9 lid 1 AVG noemt acht soorten gegevens:
- ras of etnische afkomst;
- politieke opvattingen;
- religieuze of levensbeschouwelijke overtuigingen;
- het lidmaatschap van een vakbond;
- genetische gegevens;
- biometrische gegevens om iemand uniek te identificeren;
- gegevens over gezondheid;
- gegevens over iemands seksueel gedrag of seksuele gerichtheid.
In een gesprek zijn dat gewone zinnen: een cliënt die vertelt over haar medicijnen, een medewerker die zegt dat hij in therapie is, iemand die vraagt om een gebedsruimte. Neem je zo’n gesprek op met een AI-notulist als Notuly, dan komen die zinnen in het verslag en in de transcriptie. Of je mag opnemen, staat bij mag ik een gesprek opnemen; hier gaat het om wat er in het gesprek zit.
Per soort gesprek: aan, aan met afspraken, of uit.
Of een AI-notulist aan kan, hangt af van het soort gesprek. Tien gesprekken uit de zorg en HR op een rij, met per rij de grond in de wet.
| Soort gesprek | Stand | Waarom | Wettelijke grond |
|---|---|---|---|
| Teamoverleg of werkoverleg zonder namen van cliënten | aan | Er komen geen bijzondere persoonsgegevens langs. Notuly maakt het verslag zoals van elke vergadering. | Geen bijzondere persoonsgegevens, dus artikel 9 AVG geldt niet. |
| Functionerings- of beoordelingsgesprek | aan | Het gesprek gaat over werk, niet over gezondheid. Zeg vooraf dat je opneemt. Zie het verslag van een beoordelingsgesprek. | Geen bijzondere persoonsgegevens, dus artikel 9 AVG geldt niet. |
| Consult, intake of behandelgesprek met een cliënt | aan met afspraken | Goede zorg is de grond. Vertel de cliënt vooraf dat je opneemt, regel de verwerkersovereenkomst, en lees het verslag zelf na voordat er iets in het dossier gaat. | Artikel 9 lid 2 onder h en lid 3 AVG; artikel 30 lid 3 onder a en lid 4 UAVG; artikel 7:454 en 7:457 BW. |
| MDO waarin cliënten met naam besproken worden | aan met afspraken | Het verslag gaat alleen naar wie bij de behandeling betrokken is. Zie het MDO-verslag. | Artikel 7:457 lid 2 BW; artikel 30 lid 4 UAVG. |
| Verzuimgesprek | aan met afspraken | De medewerker vertelt over zijn klachten. Zet de transcriptie uit, pauzeer zodra het over de ziekte gaat, en zet alleen de werkafspraken in het dossier. Zie een verzuimgesprek vastleggen. | Artikel 30 lid 1 onder b UAVG (re-integratie en begeleiding); artikel 9 lid 2 onder b AVG. |
| Slechtnieuwsgesprek of ontslaggesprek | aan met afspraken | Zeg vooraf dat je opneemt, en stuur het verslag naar jullie allebei. Komt de gezondheid ter sprake, dan geldt de rij hierboven. Zie een slechtnieuwsgesprek vastleggen. | Geen bijzondere persoonsgegevens, tenzij de gezondheid ter sprake komt. |
| Mondelinge melding van een vermoeden van een misstand, bij het meldpunt | aan met afspraken | De wet noemt een opname of een schriftelijke weergave; voor een opname is instemming van de melder vooraf nodig. Notuly levert geen opname, wel het verslag met de transcriptie, en die weergave controleert de melder en tekent hij voor akkoord. | Artikel 2b lid 1, 2 en 3 en artikel 1a lid 3 Wet bescherming klokkenluiders. |
| Gesprek met de vertrouwenspersoon | uit | Het gesprek bestaat om vertrouwelijk te zijn. Elke opname en elk verslag in een mailbox maakt iets wat naar de medewerker herleidbaar is. | Geen wettelijk verbod om op te nemen. Artikel 2 lid 2 onder g Wet bescherming klokkenluiders (een adviseur in vertrouwen); het Huis voor Klokkenluiders over de vertrouwenspersoon. |
| Buiten een verzuimtraject: een medewerker vertelt over zijn gezondheid, geloof of seksuele gerichtheid | uit | De werkgever heeft hier meestal geen uitzondering op het verbod. Leg na afloop alleen de afspraak vast, zonder de reden. | Het verbod van artikel 9 lid 1 AVG; de uitzonderingen voor de werkgever in artikel 30 lid 1 UAVG gaan over aanspraken die van de gezondheid afhangen en over re-integratie. |
| De ander wil niet dat je opneemt, of het gesprek gaat over een crisis | uit | Rust en vertrouwen gaan voor het verslag. Schrijf zelf na afloop op wat nodig is. | Geen wettelijk verbod om op te nemen. Bij een melding is instemming vooraf wel vereist (artikel 2b lid 2 Wet bescherming klokkenluiders). |
Algemene informatie, geen juridisch advies. De wettelijke grond per rij is nagelezen op 4 november 2026.
Mag een AI-notulist aan bij gezondheidsgegevens van cliënten?
Een zorgverlener mag gezondheidsgegevens van een cliënt verwerken voor zover dat nodig is voor een goede behandeling of verzorging, en alleen door mensen die tot geheimhouding verplicht zijn (artikel 30 lid 3 onder a en lid 4 UAVG). De AVG zegt hetzelfde in artikel 9 lid 2 onder h en lid 3: de gegevens worden verwerkt “door of onder de verantwoordelijkheid van een beroepsbeoefenaar” die aan het beroepsgeheim gebonden is.
Het medisch beroepsgeheim staat in artikel 7:457 BW: de hulpverlener zorgt dat anderen dan de patiënt geen inlichtingen krijgen “dan met toestemming van de patiënt”. Wie rechtstreeks bij de behandeling betrokken is, telt daarbij niet als ander (lid 2). Het dossier bijhouden is een tweede plicht: de hulpverlener legt daarin vast wat “voor een goede hulpverlening aan de patiënt noodzakelijk is” (artikel 7:454 lid 1 BW). Het verslag van een opgenomen consult is dus niet vanzelf het dossier; jij kiest wat erin gaat.
Een AI-notulist als Notuly werkt het gesprek uit in opdracht van de zorgorganisatie, en daar hoort een verwerkersovereenkomst bij. Bij Notuly is die beschikbaar vanaf een Team-licentie. Werk je alleen, met Pro, dan kun je de verwerkersovereenkomst op aanvraag krijgen via team@notuly.nl.
Gaat het om een grote groep cliënten, kijk dan ook naar een DPIA: het Besluit lijst verplichte DPIA noemt “Grootschalige verwerkingen van gegevens over gezondheid” (punt 7). Hoe je een tool daarop toetst, staat bij een AI-tool kiezen onder de AVG.
NEN 7510 stelt eisen aan informatiebeveiliging in de zorg. Dat is een norm voor zorgorganisaties, niet voor tools. Onze infrastructuur ondersteunt de maatregelen die NEN 7510 vraagt: encryptie, minimale dataopslag, geen centraal archief. Het verslag komt in je inbox, en wat ervan in het dossier gaat, kies jij. Meer staat bij Notuly in de zorg, en wat er in het verslag van een behandelgesprek hoort bij notuleren als psycholoog.
Wat mag bij HR, en waarom?
Een werkgever mag gegevens over de gezondheid van een medewerker verwerken voor zover dat nodig is voor twee dingen: “een goede uitvoering van wettelijke voorschriften, pensioenregelingen of collectieve arbeidsovereenkomsten” met aanspraken die van de gezondheid afhangen, en “de re-integratie of begeleiding van werknemers” bij ziekte of arbeidsongeschiktheid (artikel 30 lid 1 onder a en b UAVG). Buiten die twee doelen heeft een werkgever voor gezondheid, geloof of seksuele gerichtheid meestal geen uitzondering op het verbod van artikel 9.
Laila is HR-adviseur bij een zorgorganisatie en voert drie gesprekken in een week. Het functioneringsgesprek gaat over werk: Notuly mag aan. In het verzuimgesprek vertelt de medewerker over zijn klachten: Notuly aan met afspraken, met de transcriptie uit, de opname gepauzeerd zodra het over de ziekte gaat, en alleen de werkafspraken naar het dossier. Wat er precies wel en niet in dat verslag hoort, staat bij een verzuimgesprek vastleggen.
In het derde gesprek vertelt een medewerker dat hij moslim is en vraagt hij of hij op vrijdag zijn pauze kan verschuiven voor het gebed. Dat valt buiten elk verzuimtraject, en de reden hoeft nergens te staan. Laila laat Notuly uit en mailt na afloop alleen de afspraak: op vrijdag pauze van 13.00 tot 13.45 uur.
Mag een AI-notulist aan bij een integriteitsmelding?
Bij een mondelinge melding bij het meldpunt noemt de Wet bescherming klokkenluiders de opname zelf als manier om vast te leggen, met instemming van de melder vooraf; bij het gesprek met de vertrouwenspersoon laat je een AI-notulist beter uit. Dezelfde zaak, twee gesprekken, twee standen.
| Het meldpunt | De vertrouwenspersoon |
|---|---|
| Ontvangt de melding van een vermoeden van een misstand. | Adviseert de medewerker, in vertrouwen, over wat hij kan doen. |
| De werkgever registreert een mondelinge melding met “een opname van het gesprek in een duurzame en opvraagbare vorm” of met “een volledige en nauwkeurige schriftelijke weergave van het gesprek” (artikel 2b lid 1). | De vertrouwenspersoon bespreekt “niets over het gesprek” met de werkgever “wat herleidbaar is naar de medewerker” zonder diens instemming (Huis voor Klokkenluiders). |
| Voor een opname is “voorafgaand instemming van de melder vereist” (artikel 2b lid 2). De melder mag de weergave “controleren, corrigeren en voor akkoord tekenen” (lid 3). | De wet legt vast dat een werknemer “een adviseur in vertrouwen” kan raadplegen (artikel 2 lid 2 onder g). |
| Stand: aan met afspraken. | Stand: uit. |
De identiteit van de melder wordt “niet bekend gemaakt zonder diens instemming” (artikel 1a lid 3).
Bij Notuly blijft er geen opname over. Audio binnen een minuut na verwerking gewist. Wat overblijft is het verslag met de transcriptie, als schriftelijke weergave die de melder daarna kan controleren.
Of die transcriptie bij jouw meldprocedure volstaat als “volledige en nauwkeurige schriftelijke weergave”, leg je voor aan wie de procedure beheert. Met “Verstuur alleen naar jezelf” komt het verslag eerst alleen bij jou, en gaat het pas verder als de melder heeft nagelezen.
Wie mag het verslag lezen?
Een verslag met gevoelige gegevens over een cliënt of medewerker leest alleen wie het voor zijn taak nodig heeft. Bij gezondheidsgegevens in de zorg zijn dat de mensen die tot geheimhouding verplicht zijn (artikel 30 lid 4 UAVG), en bij een melding blijft de identiteit van de melder bij wie hem moet kennen (artikel 1a lid 3 Wet bescherming klokkenluiders).
- Over een cliënt: de behandelaars die rechtstreeks bij de behandeling betrokken zijn, voor zover het nodig is voor hun werk (artikel 7:457 lid 2 BW).
- Over een medewerker: de leidinggevende en HR voor de werkafspraken; wat over zijn gezondheid gaat, hoort niet in een verslag dat rondgaat.
- Over een melder: wie de melding behandelt, en verder niemand zonder zijn instemming.
Bij Notuly bepaal jij wie het verslag krijgt. Laat je de ontvangers leeg en kies je “Verstuur alleen naar jezelf”, dan komt het verslag eerst alleen in je eigen inbox, in elk plan, en stuur je het daarna zelf door; zo werkt het verslag eerst zelf lezen. Een instelling waarmee de beheerder dat voor de hele organisatie vastzet, bestaat nog niet. Na het versturen staat het verslag in de mailbox, onder de bewaarregels van je eigen organisatie.
Negen vragen voordat je de opname start.
De regels voor het verwerken van bijzondere persoonsgegevens komen voor een gesprek neer op negen vragen. De eerste vijf stel je vóór het gesprek, de laatste vier erna.
- Komen er bijzondere persoonsgegevens langs? Kijk naar de acht soorten uit artikel 9 lid 1 AVG.
- Wie is verantwoordelijk voor de verwerking? Meestal je organisatie, niet jij als persoon en niet de tool.
- Welke uitzondering geldt? In de zorg goede zorg, bij HR de aanspraken of de re-integratie; geldt er geen, dan staat de notulist uit.
- Waar verwerkt de leverancier het gesprek, wat blijft er bij hem achter, en is er een verwerkersovereenkomst? Bij Notuly is die beschikbaar vanaf een Team-licentie.
- Weet de ander dat je opneemt, en wil hij het? Notuly stuurt de andere deelnemers geen melding dat er wordt opgenomen. Vertel het ze zelf. Hoe je dat zegt, staat bij de deelnemers vertellen.
- Moet de transcriptie mee? Bij Notuly gaat hij standaard mee; hoe je de transcriptie uitzet, staat in de hulp.
- Wie krijgt het verslag? Alleen wie het nodig heeft.
- Wat gaat naar het dossier, en wat niet? Het verslag is niet vanzelf het dossier.
- Is er een DPIA nodig? Bij een grootschalige verwerking van gezondheidsgegevens wel (Besluit lijst verplichte DPIA, punt 7).
Vraag 4 beantwoordt de leverancier: waar het gesprek verwerkt wordt, wat er achterblijft en of er een verwerkersovereenkomst is. De rest beantwoord jij.
Zo gaat Notuly met een gevoelig gesprek om.
Notuly is dé AI-notulist voor elk gesprek. Discreet fysiek, hybride en online. Jij voert het gesprek, Notuly maakt het verslag.
Binnen tien minuten staat het verslag in je inbox. Zo beantwoordt Notuly vraag 4 uit de checklist.
Alle verwerking verloopt via Nederlandse servers, in Amsterdam, en data verlaat de EU niet. De hele AI-stap draait op onze eigen modellen, op servers in Amsterdam. Gesprekken zijn geen trainingsdata en geen handelswaar.
Audio binnen een minuut na verwerking gewist. Zodra het verslag verstuurd is, blijft er niets achter: geen opname, geen transcriptie, geen verslag. Het verslag staat in je eigen mailbox; daar zoek je terug.
Van audio en gespreksinhoud maakt Notuly geen back-ups. Onderweg is je data versleuteld met TLS 1.2 of hoger, in rust met AES-256.
Wij werken conform ISO-normen. Onze dataservers draaien in een ISO 27001-gecertificeerd datacenter in Amsterdam. De ISO 27001-audit van Notuly loopt.
De verwerkersovereenkomst (AVG artikel 28) is beschikbaar vanaf een Team-licentie; je vraagt hem op zoals beschreven bij de verwerkersovereenkomst opvragen. De bedragen staan op de prijzenpagina.
Voor het gevoelige deel van een gesprek heb je drie mogelijkheden. Pauzeren onderbreekt de opname: het gesprek loopt door, Notuly luistert even niet (een opname pauzeren). De transcriptie gaat standaard mee, en je kunt hem uitzetten. En met “Verstuur alleen naar jezelf” lees je het verslag eerst zelf.