Gegevensbeschermingseffectbeoordeling (DPIA)

1. Beschrijving van de verwerking

• Een gebruiker beantwoordt vragen over de teek, de beetplek, de omgeving, eventuele klachten en eerdere tekenbeten. De antwoorden blijven tijdens het invullen op het eigen toestel.
• Pas na uitdrukkelijke toestemming voor deelname aan onderzoek worden de antwoorden en het gegenereerde overzicht beveiligd opgeslagen onder een uniek deelnemernummer.
• Foto's blijven lokaal op het eigen apparaat, tenzij de gebruiker expliciet kiest voor een AI-scan; dan wordt de foto via onze server doorgestuurd naar een externe AI-dienst voor verwerking. Foto's worden niet door ons opgeslagen en niet toegevoegd aan het onderzoeksbestand; ze blijven alleen in het browsergeheugen voor beide rapporten en de pdf tot de wizard wordt gereset of de pagina sluit.
• Naam, adres, geboortedatum, burgerservicenummer en contactgegevens worden niet gevraagd.
• De optionele fotovergelijkingen en informatieassistent gebruiken rechtstreeks Google (verwerker, met verwerkersovereenkomst), via de Gemini API (betaalde dienst), met gemini-3.8-flash, via onze server over een beveiligde verbinding. Foto’s worden alleen na aparte uitdrukkelijke bevestiging verstuurd; de assistent verwerkt uitsluitend de tekst van het gesprek na akkoord. Wij bewaren geen foto’s of gesprekken duurzaam en gebruiken ze zelf niet voor modeltraining. Google (verwerker, met verwerkersovereenkomst): volgens de bevestiging van de beheerder van Dominic Smith Advies is voor de gebruikte betaalde Gemini API de verwerkersovereenkomst (CDPA) geaccepteerd, inclusief de EU-modelcontractbepalingen (SCC’s) voor doorgifte buiten de EER. Deze bevestiging is geen onafhankelijke controle van de accountdocumenten. De overeenkomst voor de afgeschermde werkomgeving bij Google staat los van deze AI-afspraken. Een EU-verwerkingsregio is niet gegarandeerd. Deze afspraken bewijzen op zichzelf geen volledige AVG-naleving. Volgens Googles voorwaarden voor betaalde Gemini API-diensten worden prompts en antwoorden niet gebruikt om Googles producten te verbeteren. Het misbruikbeleid noemt 55 dagen bewaring van prompts, aanvullende context en antwoorden voor veiligheid, het opsporen en voorkomen van beleidsschendingen en vereiste wettelijke of toezichthoudende openbaarmakingen. Gemarkeerde inhoud kan door bevoegde Google-medewerkers worden beoordeeld. Misbruiklogs kunnen worden gebruikt voor modellen die specifiek beleidsschendingen tegengaan; dit is niet hetzelfde als training van algemene AI-modellen. De termijn betreft Googles misbruikcontrole, niet onze lokale foto’s of onze onderzoeksopslag. Toestemming vervangt de overige AVG-verplichtingen niet.

2. Noodzaak en evenredigheid

• Doel: inzicht in tekenbeten, huidreacties en tekenbeetziekten in Nederland, ter aanvulling op openbare cijfers.
• Grondslag: uitdrukkelijke toestemming (artikel 6 lid 1 sub a en artikel 9 lid 2 sub a AVG) in de context van wetenschappelijk onderzoek (artikel 89 AVG).
• Dataminimalisatie: alleen onderzoeksrelevante antwoorden, geen direct identificerende gegevens en geen foto's.
• Het doel kan niet met minder gegevens worden bereikt; zonder de antwoorden over omgeving, tijdstip en klachten heeft de inzending geen onderzoekswaarde.

3. Risico's voor betrokkenen

• Herleidbaarheid: een combinatie van plaats, datum en klachten zou in theorie naar een persoon kunnen wijzen. Ingeschat als laag.
• Onbevoegde toegang tot opgeslagen gezondheidsgegevens. Ingeschat als laag tot middel.
• Onbedoeld medisch vertrouwen: een gebruiker kan de uitkomst zien als diagnose of triage. Ingeschat als middel.
• Onduidelijkheid over toestemming: onduidelijk wat wel en niet wordt opgeslagen. Ingeschat als laag.
• Te lang bewaren van gegevens. Ingeschat als laag.

4. Maatregelen

• Opslag uitsluitend na uitdrukkelijke toestemming, onder een uniek deelnemernummer, zonder naam of contactgegevens.
• Versleutelde verzending en opslag; toegang alleen na beveiligd inloggen door de bevoegde beheerder; toegangsregels op databaseniveau.
• IP-adressen uitsluitend gehasht en alleen voor misbruikbeperking; automatische verwijdering binnen 24 uur.
• Foto's worden niet door ons opgeslagen, niet toegevoegd aan het onderzoeksbestand en alleen bij een expliciete AI-scan naar een externe AI-dienst gestuurd; bij reset van de wizard of sluiten van de pagina verdwijnen ze uit het geheugen.
• Neutrale formuleringen: geen diagnose, geen urgentiebepaling, geen behandeladvies; duidelijke AI-melding volgens artikel 50 van de AI-verordening.
• Intrekken van deelname met het deelnemernummer en de intrekcode via de opt-out, of via het contactformulier met handmatige controle, met bevestiging en verwijdering.
• Automatische opschoning: onderzoeksinzendingen en registraties na 5 jaar, technische logs na 30 dagen, privacyverzoeken na 3 jaar.
• Klachten en bezwaren worden op verzoek in een apart, afgeschermd privacyregister vastgelegd, zodat afhandeling aantoonbaar is.

5. Restrisico en conclusie

Google (verwerker, met verwerkersovereenkomst) verzorgt de hosting en de afgeschermde bronadministratie voor onderzoeksinzendingen, registraties, contactberichten, privacyverzoeken en tekenbeettellingen. Onderzoeksgegevens worden alleen na afzonderlijke uitdrukkelijke toestemming gepseudonimiseerd opgeslagen, zonder foto's, namen of e-mailadressen. Contactberichten en privacyverzoeken kunnen wel naam en contactgegevens bevatten. Alleen de bevoegde beheerder kan deze gegevens na beveiligd inloggen teruglezen. Wekelijks wordt een versleutelde reservekopie van de brongegevens bij Google (verwerker, met verwerkersovereenkomst) bewaard. De wachtzin is alleen bij de beheerder bekend. Contactberichten en privacyverzoeken in de back-up kunnen naam en contactgegevens bevatten. De laatste twaalf back-ups worden bewaard (ongeveer drie maanden); oudere worden automatisch verwijderd. Intrekken kan via de opt-out onder Help met uw deelnamenummer en intrekcode. Reeds gemaakte versleutelde back-ups verlopen volgens deze bewaartermijn; intrekkingsmarkeringen moeten voorkomen dat verwijderde deelnames bij herstel opnieuw actief worden.

De beheerder bevestigt betaald Gemini API-gebruik en acceptatie van de CDPA met SCC’s. Googles gepubliceerde misbruikbeleid beschrijft 55 dagen bewaring. De bevestiging is geen onafhankelijke inzage in de accountdocumenten; verwerking uitsluitend binnen de EU is niet gegarandeerd. De interne beoordeling blijft voorlopig: deze afspraken alleen stellen geen definitief laag restrisico of de noodzaak van voorafgaande raadpleging (artikel 36 AVG) vast. De uitgever moet de contractstukken bewaren en de feitelijke verwerking en overige dienstverleners blijven beoordelen.

Nieuwe functionaliteit met gezondheidsgegevens, uitwisseling met zorgverleners of een grotere schaal van deelname leidt tot een nieuwe beoordeling vóór ingebruikname.

6. Klaar voor EHDS en HDAB

• De onderzoeksgegevens worden gestructureerd en met eenduidige velden opgeslagen, gescheiden van direct herleidbare gegevens, zodat aansluiting op de Europese ruimte voor gezondheidsgegevens (EHDS, verordening (EU) 2025/327) mogelijk blijft.
• Secundair gebruik gebeurt alleen op basis van uitdrukkelijke toestemming; deelnemers kunnen die toestemming op elk moment intrekken met hun deelnemernummer en intrekcode.
• Er vindt op dit moment geen uitwisseling plaats met zorgverleners, zorgsystemen, een gezondheidsdata-toegangsinstantie of een onderzoeksinfrastructuur.
• Bij een toekomstige aansluiting op EHDS of een Nederlandse toegangsinstantie voor gezondheidsgegevens (HDAB) worden vooraf verwerkersafspraken, een geactualiseerde DPIA en een openbare toelichting toegevoegd.

7. Contact

Vragen over deze beoordeling of over uw gegevens? Gebruik het contactformulier onder Help. Het privacy-aanspreekpunt is de bevoegde beheerder van Dominic Smith Advies; dit is geen externe persoon of extern bedrijf. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens of bij de privacytoezichthouder in uw eigen land.