Gegevensbeschermingseffectbeoordeling (DPIA)

1. Beschrijving van de verwerking

• Een gebruiker beantwoordt vragen over de teek, de beetplek, de omgeving, eventuele klachten en eerdere tekenbeten. De antwoorden blijven tijdens het invullen op het eigen toestel.
• Pas na uitdrukkelijke toestemming voor deelname aan onderzoek worden de antwoorden en het gegenereerde overzicht beveiligd opgeslagen onder een uniek deelnemernummer.
• Foto's blijven lokaal op het eigen apparaat, tenzij de gebruiker expliciet kiest voor een AI-scan; dan wordt de foto via onze server doorgestuurd naar een externe AI-dienst voor verwerking. Foto's worden niet door ons opgeslagen en niet toegevoegd aan het onderzoeksbestand; ze blijven alleen in het browsergeheugen voor beide rapporten en de pdf tot de wizard wordt gereset of de pagina sluit.
• Naam, adres, geboortedatum, burgerservicenummer en contactgegevens worden niet gevraagd.
• Verwerkersovereenkomst en subverwerkers: de AI-scan loopt via de Lovable AI Gateway. Volgens de publieke toelichting van Lovable is voor deze werkruimte geen aparte verwerkersovereenkomst van toepassing; de gebruiksvoorwaarden en privacyverklaring van Lovable zijn leidend. De openbare subverwerkerslijst op trust.lovable.dev/subprocessors noemt volgens Lovable alle modelproviders die aanvragen kunnen verwerken, met hun locatie; volgens dezelfde toelichting mogen deze partijen de inhoud niet voor training gebruiken. Voor deze werkruimte is modeltraining uitgeschakeld. De modelproviders zijn subverwerkers en staan met hun locatie in de openbare subverwerkerslijst op trust.lovable.dev/subprocessors. Bewaartermijnen, verwerkingslanden en doorgifte buiten de EER zijn hiermee nog niet onafhankelijk geverifieerd; toestemming van de gebruiker vervangt geen verwerkersafspraken of geldige doorgiftewaarborgen.

2. Noodzaak en evenredigheid

• Doel: inzicht in tekenbeten, huidreacties en tekenbeetziekten in Nederland, ter aanvulling op openbare cijfers.
• Grondslag: uitdrukkelijke toestemming (artikel 6 lid 1 sub a en artikel 9 lid 2 sub a AVG) in de context van wetenschappelijk onderzoek (artikel 89 AVG).
• Dataminimalisatie: alleen onderzoeksrelevante antwoorden, geen direct identificerende gegevens en geen foto's.
• Het doel kan niet met minder gegevens worden bereikt; zonder de antwoorden over omgeving, tijdstip en klachten heeft de inzending geen onderzoekswaarde.

3. Risico's voor betrokkenen

• Herleidbaarheid: een combinatie van plaats, datum en klachten zou in theorie naar een persoon kunnen wijzen. Ingeschat als laag.
• Onbevoegde toegang tot opgeslagen gezondheidsgegevens. Ingeschat als laag tot middel.
• Onbedoeld medisch vertrouwen: een gebruiker kan de uitkomst zien als diagnose of triage. Ingeschat als middel.
• Onduidelijkheid over toestemming: onduidelijk wat wel en niet wordt opgeslagen. Ingeschat als laag.
• Te lang bewaren van gegevens. Ingeschat als laag.

4. Maatregelen

• Opslag uitsluitend na uitdrukkelijke toestemming, onder een uniek deelnemernummer, zonder naam of contactgegevens.
• Versleutelde verzending en opslag; toegang alleen na beveiligd inloggen door de bevoegde beheerder; toegangsregels op databaseniveau.
• IP-adressen uitsluitend gehasht en alleen voor misbruikbeperking; automatische verwijdering binnen 24 uur.
• Foto's worden niet door ons opgeslagen, niet toegevoegd aan het onderzoeksbestand en alleen bij een expliciete AI-scan naar een externe AI-dienst gestuurd; bij reset van de wizard of sluiten van de pagina verdwijnen ze uit het geheugen.
• Neutrale formuleringen: geen diagnose, geen urgentiebepaling, geen behandeladvies; duidelijke AI-melding volgens artikel 50 van de AI-verordening.
• Intrekken van deelname met het deelnemernummer en de intrekcode via de opt-out, of via het contactformulier met handmatige controle, met bevestiging en verwijdering.
• Automatische opschoning: onderzoeksinzendingen en registraties na 5 jaar, technische logs na 30 dagen, privacyverzoeken na 3 jaar.
• Klachten en bezwaren worden op verzoek in een apart, afgeschermd privacyregister vastgelegd, zodat afhandeling aantoonbaar is.

5. Restrisico en conclusie

Onderzoekskopie in Nextcloud: de gepseudonimiseerde onderzoekskopie staat in Nextcloud Tables bij Cloud of the North (Groningen, Nederland, EU), in een tabel die alleen via een apart app-wachtwoord van de beheerder wordt beschreven. Cloud of the North is volgens haar eigen toelichting een onafhankelijk, in Groningen gevestigd samenwerkingsverband; Nextcloud is open source software die zelf gehost wordt in plaats van op een Amerikaans cloudplatform; de servers staan fysiek in Groningen. Voor deze Nextcloud-omgeving is geen afzonderlijke verwerkersovereenkomst (artikel 28 AVG) beschikbaar. De rol van Cloud of the North, de toepasselijke privacyafspraken en de toegang tot de gegevens zijn daarom afzonderlijk beoordeeld en gedocumenteerd; de opslag van persoonsgegevens bij deze dienst geldt als openstaand aandachtspunt in deze beoordeling. Het ontbreken van een serviceovereenkomst (SLA) betekent mogelijke uitval zonder gegarandeerde hersteltijd; dit is aanvaardbaar omdat Nextcloud geen bronadministratie is en uitval geen verlies van brongegevens veroorzaakt. De kopie bevat geen foto's en zo weinig mogelijk identificerende velden, de hoofdopslag blijft de afgeschermde database, en intrekking via de opt-out zoekt de rij op deelnamenummer en wist die. Het app-wachtwoord geeft toegang tot het beheerdersaccount; een apart account met alleen toegang tot deze tabel is een aanbevolen verbetering. Wekelijks wordt een versleutelde reservekopie (back-up) van de brongegevens uit Lovable Cloud bewaard in een afgeschermde Nextcloud-map; die is versleuteld met een wachtzin die alleen de beheerder heeft, zodat het bestand ook voor de hostingpartij onleesbaar is. De back-up kan contactberichten met een naam of e-mailadres bevatten; de laatste twaalf back-ups worden bewaard (ongeveer drie maanden) en oudere worden automatisch gewist. Omdat een versleutelde back-up niet rijsgewijs te wissen is, verdwijnt een ingetrokken rij uit reeds gemaakte back-ups pas zodra die back-up verloopt; dit restrisico is aanvaardbaar gezien de versleuteling en de beperkte bewaartermijn. Deze keuze wordt heroverwogen bij elke herziening van deze beoordeling en uiterlijk op 7 oktober 2027.

De interne beoordeling is voorlopig zolang externe bewaartermijnen en doorgifte niet zijn geverifieerd; het trainingsverbod van de modelproviders berust op de publieke toelichting van Lovable. Een definitief laag restrisico en de noodzaak van voorafgaande raadpleging (artikel 36 AVG) kunnen daarom niet op basis van dit document worden vastgesteld. De uitgever moet de beoordeling afronden met de contractuele bewijsstukken.

Nieuwe functionaliteit met gezondheidsgegevens, uitwisseling met zorgverleners of een grotere schaal van deelname leidt tot een nieuwe beoordeling vóór ingebruikname.

6. Klaar voor EHDS en HDAB

• De onderzoeksgegevens worden gestructureerd en met eenduidige velden opgeslagen, gescheiden van direct herleidbare gegevens, zodat aansluiting op de Europese ruimte voor gezondheidsgegevens (EHDS, verordening (EU) 2025/327) mogelijk blijft.
• Secundair gebruik gebeurt alleen op basis van uitdrukkelijke toestemming; deelnemers kunnen die toestemming op elk moment intrekken met hun deelnemernummer en intrekcode.
• Er vindt op dit moment geen uitwisseling plaats met zorgverleners, zorgsystemen, een gezondheidsdata-toegangsinstantie of een onderzoeksinfrastructuur.
• Bij een toekomstige aansluiting op EHDS of een Nederlandse toegangsinstantie voor gezondheidsgegevens (HDAB) worden vooraf verwerkersafspraken, een geactualiseerde DPIA en een openbare toelichting toegevoegd.

7. Contact

Vragen over deze beoordeling of over uw gegevens? Gebruik het contactformulier onder Help. Het privacy-aanspreekpunt is de bevoegde beheerder van Dominic Smith Advies; dit is geen externe persoon of extern bedrijf. U kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens of bij de privacytoezichthouder in uw eigen land.