1. Algemene informatie
- Naam verwerkingsverantwoordelijke: Kelsey de Haan (Alyden)
- Contactpersoon: Kelsey de Haan - privacy@alyden.nl
- Naam systeem / applicatie: Alyden - webapplicatie voor AI-ondersteunde klinische redenering
- Versie applicatie: Pilotfase (mei 2025)
- Datum DPIA: mei 2025
- Uitvoerder DPIA: Kelsey de Haan
- Volgende review: binnen 60 dagen na livegang
2. Aanleiding en noodzaak DPIA
Op grond van artikel 35 AVG is een DPIA verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is.
Voor Alyden zijn de volgende factoren relevant die een DPIA noodzakelijk maken of sterk aanbevelen:
- Gebruik van AI-technologie (OpenAI) voor het verwerken van klinische informatie.
- Verwerking vindt plaats in een zorgcontext waarbij mogelijk bijzondere persoonsgegevens (gezondheidsgegevens) worden verwerkt.
- Doorgifte van gegevens aan een derde partij buiten de EER (OpenAI, VS).
- De verwerking betreft kwetsbare groepen (zorgprofessionals, patiënten).
Alyden bevindt zich in een pilotfase. Deze DPIA beschrijft de verwerking in de pilotfase en bij livegang op beperkte schaal (individuele zorgprofessionals en kleine teams). Bij significante opschaling of wijziging van de verwerking wordt deze DPIA herzien.
3. Beschrijving van de verwerking
3.1 Doel en werking
Alyden is een webapplicatie die zorgprofessionals en zorgstudenten ondersteunt bij klinische redenering op basis van de ABCDE-methode. Gebruikers voeren klinische bevindingen in, waarna Alyden via de OpenAI API gestructureerde documenten genereert (SBAR, verpleegkundige rapportages, overdrachten e.d.). De gegenereerde outputs zijn adviserend van aard en vervangen geen professioneel klinisch oordeel.
3.2 Betrokken partijen
- Verwerkingsverantwoordelijke: Alyden (Kelsey de Haan)
- Gebruikers: zorgprofessionals, zorgstudenten, medewerkers van zorgorganisaties
- Subverwerkers: OpenAI (VS), Hetzner (DE), Mijndomein (NL)
- Indirect betrokkenen: patiënten wiens klinische informatie door gebruikers kan worden ingevoerd
3.3 Gegevensstromen
- Gebruiker registreert zich → accountgegevens opgeslagen bij Hetzner (EU).
- Gebruiker voert klinische informatie in → ingevoerde tekst wordt via beveiligde API verzonden naar OpenAI (VS) → OpenAI genereert output → output wordt teruggestuurd en opgeslagen bij Hetzner.
- Betalingen verlopen via Stripe (VS) → factuurgegevens worden verwerkt door Stripe.
- E-mailcommunicatie verloopt via Mijndomein (NL).
3.4 Technische omgeving
- Webapplicatie gehost bij Hetzner Online GmbH, Duitsland (EU)
- Database gehost bij Hetzner (EU)
- AI-verwerking via OpenAI API (VS - SCC's / EU-US DPF)
- Verbindingen beveiligd via HTTPS/TLS
- MFA verplicht voor alle gebruikers
- Superadmin-controles: deactiveren gebruiker, wachtwoordreset, 2FA-reset
4. Noodzakelijkheid en proportionaliteit
Alyden verwerkt uitsluitend de gegevens die noodzakelijk zijn voor de levering van de dienst. Er worden geen gegevens verwerkt voor profilering, marketingdoeleinden of AI-training. De verwerking is proportioneel aan het doel: klinische redenering ondersteunen.
De doorgifte aan OpenAI is noodzakelijk voor de kernfunctionaliteit van Alyden. Er zijn momenteel geen praktisch gelijkwaardige alternatieven beschikbaar die volledig binnen de EER opereren en dezelfde functionaliteit bieden. De doorgifte is beperkt tot de klinische invoer die de gebruiker zelf verstrekt, en vindt plaats op basis van SCC's en/of het EU-US Data Privacy Framework.
Gebruikers worden expliciet geïnstrueerd geen direct herleidbare patiëntgegevens in te voeren. De verantwoordelijkheid voor anonimisering ligt bij de gebruiker als zorgprofessional.
5. Risicoanalyse
De volgende risico's zijn geïdentificeerd en beoordeeld. Risiconiveaus zijn bepaald op basis van kans (1-3) en impact (1-3).
R1 - Invoer van herleidbare patiëntgegevens door gebruikers
Risico: Gebruikers voeren ondanks instructies direct herleidbare patiëntgegevens in (naam, BSN, geboortedatum). Deze gegevens worden vervolgens doorgestuurd naar OpenAI buiten de EER.
Kans: Hoog (3) - Dit is het meest waarschijnlijke risico gezien de zorgcontext en gewoonten van zorgprofessionals. Impact: Hoog (3) - Schending van medisch beroepsgeheim, mogelijke AVG-overtreding, reputatieschade. Risiconiveau: HOOG.
Maatregelen: Expliciete instructie in gebruiksvoorwaarden en privacyverklaring. Disclaimer in de applicatie bij het invoerscherm. Gebruikers verklaren bij registratie de richtlijn na te leven. Alyden behoudt zich het recht voor accounts te blokkeren bij vermoeden van misbruik. OpenAI abuse-monitoring logs worden maximaal 30 dagen bewaard.
Restrisico: GEMIDDELD - Technische preventie is niet volledig mogelijk. Restrisico ligt bij gedrag van de gebruiker. Geaccepteerd mits bovenstaande maatregelen actief zijn.
R2 - Doorgifte persoonsgegevens aan OpenAI buiten de EER
Risico: Klinische invoer wordt verwerkt door OpenAI in de Verenigde Staten. Bij ontoereikende waarborgen kan dit leiden tot onrechtmatige doorgifte buiten de EER.
Kans: Laag (1) - OpenAI hanteert SCC's en is gecertificeerd onder het EU-US DPF. De doorgifte is gedocumenteerd. Impact: Hoog (3) - Onrechtmatige doorgifte van (bijzondere) persoonsgegevens heeft ernstige juridische gevolgen. Risiconiveau: GEMIDDELD.
Maatregelen: Doorgifte op basis van Standard Contractual Clauses (SCC's) conform art. 46 AVG. OpenAI gecertificeerd onder EU-US Data Privacy Framework. Volgens de documentatie van OpenAI worden API-gegevens standaard niet gebruikt voor modeltraining (per 1 maart 2023). Verwerkersovereenkomst met OpenAI in voorbereiding. EU-endpoint van OpenAI wordt overwogen voor toekomstige implementatie.
Restrisico: LAAG - Doorgifte is gedocumenteerd en voorzien van passende waarborgen. Restrisico geaccepteerd.
R3 - Datalek bij Hetzner of OpenAI
Risico: Een beveiligingsincident bij Hetzner (hosting/database) of OpenAI leidt tot ongeautoriseerde toegang tot persoonsgegevens van gebruikers of klinische invoer.
Kans: Laag (1) - Hetzner en OpenAI zijn professionele, gecertificeerde partijen met uitgebreide beveiligingsmaatregelen. Impact: Hoog (3) - Bij een datalek met (bijzondere) persoonsgegevens gelden meldplichten en kan reputatieschade optreden. Risiconiveau: GEMIDDELD.
Maatregelen: Hetzner hosted in gecertificeerde EU-datacenters. Contractuele verplichtingen via verwerkersovereenkomsten. Alyden heeft een gedocumenteerde datalekprocedure (melding binnen 24 uur aan organisaties). Back-upbeleid aanwezig. Alyden monitort beveiligingsincidenten en houdt een intern register bij.
Restrisico: LAAG - Risico ligt buiten directe invloedssfeer Alyden. Contractuele en procedurele maatregelen zijn getroffen. Restrisico geaccepteerd.
R4 - Ongeautoriseerde toegang tot accounts
Risico: Een account wordt overgenomen door een onbevoegde derde, bijvoorbeeld via gestolen inloggegevens of misbruik van een vertrouwd apparaat (30-dagen MFA-onthoudoptie).
Kans: Laag (1) - MFA is verplicht voor alle gebruikers. De 30-dagen onthoudoptie beperkt het risico tot verlies/diefstal van een vertrouwd apparaat. Impact: Gemiddeld (2) — Toegang tot klinische outputs van de gebruiker; geen toegang tot andere gebruikers. Risiconiveau: LAAG.
Maatregelen: MFA verplicht voor alle gebruikers. 30-dagen onthoudoptie beperkt tot vertrouwde apparaten. Superadmin kan gebruiker deactiveren, wachtwoord resetten en 2FA resetten. Gebruikers kunnen zelf wachtwoordreset aanvragen. Sessie-invalidatie mogelijk via superadmin.
Restrisico: LAAG - Risico is beheersbaar met bestaande maatregelen. Restrisico geaccepteerd.
R5 - Toegang organisatiebeheerder tot outputs medewerkers
Risico: Een organisatiebeheerder heeft toegang tot gegenereerde outputs van medewerkers en gebruikt dit voor onbedoelde doeleinden (controle, beoordeling).
Kans: Gemiddeld (2) - Functionaliteit bestaat, maar is bedoeld voor beheersdoeleinden. Impact: Gemiddeld (2) - Mogelijk privacy-inbreuk op medewerkers; niet op patiënten direct. Risiconiveau: GEMIDDELD.
Maatregelen: Toegang organisatiebeheerder is gedocumenteerd in privacyverklaring en gebruiksvoorwaarden. Verwerkersovereenkomst legt verantwoordelijkheid bij de organisatie. Organisatie is zelf verwerkingsverantwoordelijke voor gebruik binnen eigen account. Medewerkers zijn via gebruiksvoorwaarden geïnformeerd over mogelijke beheerstoegang.
Restrisico: LAAG - Verantwoordelijkheid is contractueel belegd bij de organisatie. Restrisico geaccepteerd.
R6 - Onjuiste of misleidende AI-output (hallucination)
Risico: De AI genereert klinische output die feitelijk onjuist, incompleet of misleidend is. Een gebruiker neemt deze output over zonder kritische verificatie, wat leidt tot onjuiste overdracht of documentatie.
Kans: Gemiddeld (2) - AI-modellen kunnen onjuiste of onvolledige output genereren, met name bij ambigue of onvolledige invoer. Impact: Hoog (3) - Onjuiste klinische overdracht kan leiden tot verkeerde behandelbeslissingen en patiëntschade. Risiconiveau: HOOG.
Maatregelen: Alle outputs zijn expliciet adviserend van aard; dit is vastgelegd in gebruiksvoorwaarden en privacyverklaring. Disclaimer zichtbaar in de UI en op elke gegenereerde output: "Controleer altijd de klinische context. De behandelend professional blijft verantwoordelijk." Gebruikers verklaren bij registratie dat outputs niet autonoom worden toegepast. Geen geautomatiseerde besluitvorming in de zin van artikel 22 AVG. Alyden is niet ontworpen of bedoeld als medisch hulpmiddel (MDR). Professionele verificatie is een expliciete verplichting in de gebruiksvoorwaarden.
Restrisico: GEMIDDELD - Het risico op onjuiste AI-output kan niet volledig worden geëlimineerd. Restrisico is geaccepteerd op basis van de verplichte professionele verificatie en expliciete disclaimer. Dit risico wordt opnieuw beoordeeld bij opschaling.
6. Conclusie en besluit
Op basis van deze DPIA wordt geconcludeerd dat de verwerking van persoonsgegevens door Alyden bij livegang op beperkte schaal kan plaatsvinden, mits de volgende maatregelen zijn getroffen en actief blijven:
- MFA is verplicht en actief voor alle gebruikers.
- Gebruikers zijn geïnstrueerd en hebben verklaard uitsluitend geanonimiseerde klinische informatie in te voeren.
- Doorgifte aan OpenAI is gedocumenteerd en voorzien van passende waarborgen (SCC's / EU-US DPF).
- Datalekprocedure is gedocumenteerd en operationeel.
- Verwerkersovereenkomst met OpenAI is in voorbereiding.
- Verwerkingsregister is actueel en beschikbaar.
De hoogste restrisico's betreffen het onbedoeld invoeren van herleidbare patiëntgegevens door gebruikers (R1) en het mogelijk opvolgen van onjuiste AI-output zonder professionele verificatie (R6). Dit risico kan niet volledig technisch worden gemitigeerd en is afhankelijk van het gedrag van de gebruiker. Deze risico's worden geaccepteerd op basis van de getroffen contractuele, procedurele en technische maatregelen, en worden bij opschaling opnieuw beoordeeld.
Raadpleging van de Autoriteit Persoonsgegevens is op basis van deze DPIA niet noodzakelijk geacht. De geïdentificeerde risico's zijn afdoende gemitigeerd voor de huidige schaal. Bij significante uitbreiding van de verwerking (grotere zorginstellingen, verwerking van meer bijzondere persoonsgegevens) wordt een herziene DPIA uitgevoerd en wordt raadpleging van de AP opnieuw beoordeeld.
7. Openstaande actiepunten
- Verwerkersovereenkomst OpenAI: In voorbereiding - prioriteit vóór livegang
- EU-endpoint OpenAI activeren: Overwegen bij opschaling
- DPIA herzien bij opschaling: Bij toevoeging grote zorginstellingen of nieuwe verwerkingen
- Periodieke review verwerkingsregister: Jaarlijks of bij wijzigingen
- Intern datalekregister bijhouden: Actief vanaf livegang
Ondertekening
Aldus vastgesteld door de verwerkingsverantwoordelijke:
Naam: Kelsey de Haan
Functie: Verwerkingsverantwoordelijke / eigenaar Alyden
Datum: 25-05-2026
Handtekening: