Fiche 12/54 Deel I — Algemene inleiding Gevorderd Gecontroleerd 2026-08-23

Praktijkcasus: Ecosysteem-kwalificatie

De analyse van een concrete casus, zoals een mobiele gezondheidsapp in de cloud, toont de onderlinge samenhang van de begrippen: het identificeren van gegevensstromen, het kwalificeren van verwerkinge

Openen in de interactieve lezer

🧪 Operationele casus ⚖️ Analyse Art. 4, 9, 28

Praktijkcasus: Ecosysteem Gezondheidsapp

⚡ In 30 seconden

Scenario: Een onderneming exploiteert een mobiele gezondheidsapplicatie die hartslag en GPS-data verzamelt via een Europese cloudprovider, met ondersteuning door een extern onderhoudsbureau. De app-uitgever is de verwerkingsverantwoordelijke, de cloudhoster en het IT-bureau zijn verwerkers, en de biometrische/gezondheidsdata vormen bijzondere categorieën (art. 9).

Betrokken partij	AVG-rol	Kernverplichtingen
App-uitgever	Verwerkingsverantwoordelijke (art. 4.7)	Bepaalt doel en middelen, verzamelt uitdrukkelijke toestemming (art. 9 lid 2 sub a), voert DPIA uit.
Cloudhostingprovider	Verwerker (art. 4.8)	Slaat versleutelde data op volgens schriftelijke instructies; sluit verwerkersovereenkomst (art. 28).
Onderhoudsbureau	Subverwerker / Verwerker	Toegang voor debugging; vereist strikte geheimhouding en toegangslogging.

⚡ Kernpunten

Hartslag en slaapcycli zijn gezondheidsgegevens onder artikel 9 lid 1.
IT-leveranciers zonder eigen economisch belang bij de data zijn verwerkers, geen gezamenlijke verantwoordelijken.
Het versleuteld opslaan van data blijft een verwerking die een verwerkersovereenkomst vereist.

⚠️ Veelvoorkomende valkuil

Denken dat encryptie vóór verzending naar AWS of Azure de noodzaak van een verwerkersovereenkomst wegneemt.

🛠️ In de praktijk

Implementeer end-to-end encryptie en sluit standaard een artikel 28 overeenkomst met elke cloudprovider.

⚖️ Officiële bronnen: Art. 4(7), 4(8), 9, 28 AVG · EDPB Richtsnoeren 07/2020 ✓ Juridische controle: 23 augustus 2026