1. Achtergrond
Het uitvoeren van een Data Protection Impact Assessment (DPIA, ook wel Gegevensbeschermings-effectbeoordeling of GEB) is verplicht bij verwerkingen die naar verwachting een hoog risico voor betrokkenen opleveren (AVG artikel 35). Het inzetten van AI in het sociaal domein, met betrokkenen die zich in een afhankelijkheidspositie bevinden, valt vaak onder deze plicht.
Deze DPIA beschrijft de inzet van Notore in het werkproces van een WMO-consulent bij een gemeente. Notore wordt door de WMO-consulent gebruikt om gespreksaantekeningen om te zetten in gestructureerde verslagen.
2. Beschrijving van de verwerking
2.1 Procesflow
- WMO-consulent voert keukentafelgesprek met cliënt
- Consulent maakt aantekeningen tijdens of direct na het gesprek — bewust zonder NAW-gegevens of BSN. Termen als "cliënt" en "betrokkene" worden gebruikt
- Aantekeningen worden in Notore geplakt
- Notore voert een server-side PII-blokkade uit; bij detectie van persoonsgegevens wordt de invoer geweigerd
- Aantekeningen worden via een beveiligde verbinding naar Anthropic gestuurd voor AI-verwerking
- De AI genereert een gestructureerd WMO-verslag op basis van een door de gemeente goedgekeurd sjabloon
- Consulent reviewt en bewerkt het verslag, keurt het goed, en kopieert het naar het primaire registratiesysteem van de gemeente
2.2 Persoonsgegevens
Door de PII-blokkade aan de inputzijde komen er geen direct identificerende persoonsgegevens in Notore terecht. Wel kunnen indirect-identificerende contextuele gegevens aanwezig zijn:
- Beschrijving van fysieke beperkingen
- Beschrijving van sociale context (geanonimiseerd)
- Woonsituatie (zonder adres)
- Voorzieningen-context
Deze gegevens kunnen, in combinatie met externe data, indirect herleidbaar zijn tot een individu. Daarom behandelen wij ze als persoonsgegevens en gelden alle AVG-waarborgen.
2.3 Rechtsgrond
De inzet van Notore door de WMO-consulent valt onder de rechtsgrond "noodzakelijk voor de uitvoering van een wettelijke taak" (AVG artikel 6 lid 1 sub e) — de uitvoering van de WMO 2015 door gemeenten.
3. Noodzakelijkheid en evenredigheid
3.1 Noodzakelijkheid
De inzet van Notore vervangt geen gegevensverwerking — het optimaliseert alleen de verslaglegging die de gemeente al verricht. Zonder Notore worden dezelfde gegevens handmatig door de consulent in een verslag verwerkt. Notore vermindert het risico op fouten en de tijdsdruk waaronder verslagen worden geschreven.
3.2 Evenredigheid
- Notore verwerkt minder identificerende data dan een handmatig geschreven verslag (PII-blokkade)
- De AI-verwerking vindt binnen de EU plaats
- Geen training op klantdata bij Anthropic — contractueel vastgelegd
- Mens-in-the-loop: de consulent blijft eindverantwoordelijk
- Audit-log waarborgt traceerbaarheid
4. Geïdentificeerde risico's en maatregelen
| Risico | Waarschijnlijkheid | Impact | Maatregel |
|---|---|---|---|
| PII lekt naar AI-provider | Laag | Hoog | Server-side PII-blokkade, niet omzeilbaar. Consulent-training over anonimiseren. |
| AI-output bevat onjuistheden | Middel | Middel | Verplichte review door consulent vóór gebruik. Schema-validatie van output. |
| Cross-tenant data-toegang | Zeer laag | Zeer hoog | Row-level security op database. Externe pen-tests (gepland Sprint 5). |
| Onbevoegde toegang door medewerker | Laag | Hoog | Rolgebaseerde toegang, audit-log, sessie-expiratie, MFA voor admins. |
| Anthropic-uitval blokkeert werk | Laag | Laag | Geen verslag-data verloren — input blijft beschikbaar. Handmatig alternatief mogelijk. |
| Datalek bij Notore | Laag | Hoog | Datalek-procedure, 24-uurs melding, AP-melding bij hoog risico binnen 72u. |
| AI-model-drift verandert output | Middel | Laag | Gepind model-versie. Versiewijziging is bewuste actie, niet automatisch. |
5. Rechten van betrokkenen
Cliënten van de WMO behouden alle AVG-rechten ten opzichte van de gemeente. Notore ondersteunt:
- De gemeente kan op verzoek alle Notore-verslagen van een specifieke cliënt exporteren
- De gemeente kan alle Notore-verslagen van een cliënt verwijderen (recht op vergetelheid)
- De gemeente heeft via het audit-log inzage in alle wijzigingen aan een verslag
Betrokkenen wenden zich voor uitoefening van hun rechten tot de gemeente (de verwerkingsverantwoordelijke), niet rechtstreeks tot Notore.
6. Restrisico en advies
Na alle maatregelen blijft een laag restrisico bestaan, met name:
- Onvoorziene bugs in de RLS-isolatie (laag waarschijnlijkheid, hoge impact)
- Onbedoelde context-onthulling in vrije tekst die de PII-regex niet vangt (middel waarschijnlijkheid, lage impact)
Wij beoordelen het restrisico als acceptabel mits de gemeente:
- Een eigen DPIA-aanvulling maakt voor organisatie-specifieke aspecten
- Consulenten traint in correcte anonimisering vóór invoer
- De Notore DPA ondertekent
- Periodieke evaluatie inplant (jaarlijks)
7. Conclusie
De inzet van Notore in het WMO-werkproces is bij naleving van bovenstaande maatregelen AVG-conform en levert per saldo een vermindering van het privacy-risico op ten opzichte van het volledig handmatige proces (omdat de PII-blokkade beperkt wat in het verslag terechtkomt).
8. Volgende stap voor jouw gemeente
Wij delen deze DPIA graag in bewerkbaar formaat (Word of Markdown) met jouw DPO/FG. Mail hallo@notore.nl met onderwerp "DPIA WMO" en de naam van je gemeente.
Voor juridische of compliance-vragen, of als je een ondertekend exemplaar van dit document nodig hebt: stuur een mail. We reageren binnen 2 werkdagen.
hallo@notore.nl →