Bijzondere persoonsgegevens en AI: de regels voor gezondheidsdata

Gezondheidsgegevens zijn bijzondere persoonsgegevens: een categorie die de wetgever extra beschermt, samen met gegevens over ras, geloof, politieke opvattingen en seksuele gerichtheid. Voor deze categorie geldt in artikel 9 AVG een verwerkingsverbod: je mag ze in principe niet verwerken, tenzij je je op een wettelijke uitzondering kunt beroepen [1][2]. Zet je AI in op gesprekken waarin gezondheid ter sprake komt — een intake, een MDO, een begeleidingsverslag — dan verandert dat verbod niet. Sterker: omdat een AI-transcriptie letterlijk elk woord vastlegt en gesprekken vaak op grote schaal verwerkt, wordt het risico groter en blijft een gegevensbeschermingseffectbeoordeling (DPIA) vrijwel altijd verplicht [4][6]. De regels laten zich samenvatten in drie stappen: zorg voor een geldige grondslag én een uitzondering op het verbod, verwerk zo min mogelijk gegevens, en houd een mens eindverantwoordelijk. Hieronder werken we dat concreet uit voor AI-verslagen.

Dit artikel is zorgvuldig samengesteld en van bronnen voorzien, maar is geen juridisch advies. Leg beleidskeuzes altijd voor aan je eigen jurist, FG of DPO.

Wat zijn bijzondere persoonsgegevens?

Bijzondere persoonsgegevens zijn een aparte, extra beschermde categorie in de AVG. Artikel 9 lid 1 noemt ze uitputtend: gegevens over ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische en biometrische gegevens voor identificatie, gezondheidsgegevens, en gegevens over iemands seksueel gedrag of seksuele gerichtheid [2].

Onder gezondheidsgegevens valt volgens de Autoriteit Persoonsgegevens alle informatie over de fysieke of mentale gezondheid van een persoon: diagnoses, behandelingen, medicatie, een verwijzing, maar ook een terloopse opmerking dat iemand in behandeling is of medicijnen slikt [1]. In een gesprek hoeft dat geen medisch dossier te zijn — één zin over iemands welzijn maakt de opname al tot een verwerking van bijzondere persoonsgegevens.

Een verbod met uitzonderingen

Het uitgangspunt van artikel 9 is streng: je mág bijzondere persoonsgegevens niet verwerken. Dat verbod vervalt alleen als je je op een van de wettelijke uitzonderingen in lid 2 kunt beroepen én je daarnaast een gewone verwerkingsgrondslag uit artikel 6 hebt [1][2]. Twee uitzonderingen zijn in de praktijk het belangrijkst:

• Uitdrukkelijke toestemming (lid 2 sub a): de betrokkene geeft ondubbelzinnige, specifieke toestemming voor welbepaalde doeleinden. Die toestemming moet vrij, geïnformeerd en aantoonbaar zijn — en intrekbaar [2].
• Zorgverlening en behandeling (lid 2 sub h): verwerking die noodzakelijk is voor medische diagnose, het verstrekken van gezondheidszorg of behandeling. Deze grond geldt alleen als de gegevens worden verwerkt onder de verantwoordelijkheid van iemand met een beroepsgeheim [2].

Voor zorgverleners voegt de Uitvoeringswet AVG hier voorwaarden aan toe, waaronder de geheimhoudingsplicht en een verwerkersovereenkomst met leveranciers die namens jou gegevens verwerken [3]. Kies je een AI-leverancier die de data naar zijn eigen cloud stuurt, dan is die leverancier verwerker en heb je zo'n overeenkomst nodig — plus zekerheid dat het beroepsgeheim niet wordt doorbroken.

Waarom AI het verbod extra scherp maakt

AI verandert de juridische regels niet, maar wel de feitelijke risico's. Een menselijke notulist vat samen en filtert; een AI-transcriptie legt elk woord letterlijk vast, inclusief de zijopmerkingen over gezondheid die vroeger nooit op papier kwamen. Daarmee neemt de hoeveelheid bijzondere persoonsgegevens die je verwerkt structureel toe.

Daar komt schaal bij. Een team dat elk gesprek automatisch laat transcriberen en samenvatten, verwerkt al snel op grote schaal bijzondere persoonsgegevens. De Autoriteit Persoonsgegevens houdt expliciet toezicht op AI en algoritmes waarbij persoonsgegevens worden gebruikt, en wijst op extra risico's als bevooroordeeldheid en onterechte gevolgtrekkingen bij nieuwe technologie [4][5]. Twee principes worden dan doorslaggevend: verwerk zo min mogelijk, en bewaar zo kort mogelijk. Dat is precies waarom audio wissen na verwerking geen detail is maar de kern van dataminimalisatie.

De DPIA blijft verplicht

Een hardnekkig misverstand is dat slimme technische maatregelen — lokale verwerking, encryptie — de DPIA-plicht laten vervallen. Dat is niet zo. Artikel 35 AVG verplicht een gegevensbeschermingseffectbeoordeling (DPIA) wanneer een verwerking waarschijnlijk een hoog risico oplevert, en noemt twee situaties die hier bijna altijd spelen: grootschalige verwerking van bijzondere persoonsgegevens en systematische, geautomatiseerde beoordeling van personen [6]. AI-verslagen op gezondheidsgesprekken raken beide.

De DPIA is geen formaliteit maar je bewijs dat je de risico's hebt doordacht: welke gegevens, welke grondslag, welke uitzondering, welke maatregelen. Goede technische keuzes maken de uitkomst gunstiger, maar ze vervangen de beoordeling niet. Wil je weten hoe de EU AI Act hier bovenop komt, lees dan wat de AI Act over transcriptie en samenvatting zegt.

Zes eisen voor AI met gezondheidsdata

Als je AI inzet op gesprekken waarin gezondheid ter sprake komt, is dit de praktische checklist:

1. Grondslag én uitzondering. Leg vast op welke artikel 6-grondslag én welke artikel 9-uitzondering je je baseert (meestal zorgverlening/behandeling of uitdrukkelijke toestemming) [1][2].
2. Toestemming vooraf, aantoonbaar. Vraag toestemming vóór de opname en leg die vast, zodat je later kunt aantonen dat de betrokkene wist wat er gebeurde.
3. Dataminimalisatie. Verwerk alleen wat nodig is en bewaar niet langer dan nodig — wis ruwe audio zodra het verslag klaar is [1].
4. Beroepsgeheim en verwerkersovereenkomst. Zorg dat de verwerking onder een geheimhoudingsplicht valt en sluit een verwerkersovereenkomst met elke externe leverancier [3].
5. Beveiliging. Bescherm de gegevens met passende technische maatregelen; hoe minder de data reist, hoe kleiner het aanvalsoppervlak.
6. Menselijke controle. Laat een AI-verslag nooit ongecontroleerd doorgaan — een mens beoordeelt en keurt goed, zeker bij bijzondere gegevens [5].

Hoe lokale verwerking het risico verkleint

De strengste manier om aan deze eisen te voldoen is de gegevens simpelweg niet de organisatie te laten verlaten. Bij Verbinn draaien transcriptie en verslag op één Mac in je eigen pand (de Kern); er gaat geen woord naar een externe cloud, wat het aantal partijen dat bijzondere persoonsgegevens ziet terugbrengt tot nul externe verwerkers. Elk verslag blijft bovendien een concept tot een mens het reviewt en goedkeurt, en de audio wordt na goedkeuring gewist. Zo sluit de techniek aan bij minimalisatie, beroepsgeheim en menselijke controle. Wat het níet doet: de DPIA-plicht laten vervallen of certificering vervangen — die verantwoordelijkheid blijft bij jouw organisatie. Verbinn is ontworpen om die keuzes te ondersteunen en controleerbaar te maken, niet om ze over te nemen.