In een besloten raadsvergadering, een bestuursoverleg van een pensioenfonds of een visitatie in de zorg wordt informatie gedeeld die vertrouwelijk moet blijven. Wie zulke vertrouwelijke vergaderingen laat notuleren, wil er zeker van zijn dat die informatie in goede handen is. Veilige verslaglegging draait om zeven onderdelen: veilige opslag en uitwisseling, beperkte toegang en geheimhouding, aantoonbare certificering, duidelijke afspraken in een verwerkersovereenkomst, heldere bewaartermijnen, zorgvuldig gebruik van AI en een goede aanpak bij incidenten. In dit artikel lees je wat elk onderdeel inhoudt, waarom vooral het delen van documenten aandacht verdient en hoe Notuleerservice dit voor je regelt.
Waarom vraagt verslaglegging om extra zorgvuldigheid?
Verslaglegging vraagt om extra zorgvuldigheid omdat notulen en opnames vaak de meest gevoelige informatie van een organisatie bevatten, in de meest letterlijke vorm. Waar een beleidsnota een afgewogen eindresultaat is, legt een vergaderopname juist het hele gesprek vast: twijfels, namen, persoonlijke situaties en standpunten die nog niet openbaar zijn.
Denk aan een besloten vergadering over een integriteitskwestie, een raad van toezicht die een bestuurderswissel bespreekt of een zorgoverleg waarin cliëntsituaties aan bod komen. In al die gevallen gaat het om persoonsgegevens en bedrijfsgevoelige informatie tegelijk. Daarom hoort zorgvuldigheid bij elke stap van het proces, van de opname tot het definitieve verslag.
Waarom is het veilig delen van documenten zo belangrijk?
Veilig delen is belangrijk omdat een verslag onderweg langs meerdere mensen gaat. De opname gaat naar de notulist, het concept naar de secretaris, de gecorrigeerde versie naar de voorzitter en het definitieve verslag naar de deelnemers en het archief. Als die overdrachten goed geregeld zijn, hoef je je over de vertrouwelijkheid van je verslag geen zorgen te maken.
Het goede nieuws is dat veilig delen vooral een kwestie is van goede gewoontes. Bij datalekken gaat het namelijk vaak niet om hackers, maar om gewone vergissingen, zoals een e-mail die bij de verkeerde ontvanger terechtkomt. Volgens het CBS ging in de eerste helft van 2024 ongeveer 18 procent van de datalekmeldingen bij de Autoriteit Persoonsgegevens over e-mail met persoonsgegevens. Zulke vergissingen zijn met een paar eenvoudige afspraken goed te voorkomen:
- Deel via een beveiligde omgeving in plaats van via e-mail. Dan heeft alleen wie een eigen inlog heeft toegang, en hoef je niet bang te zijn voor een verkeerd aangevulde naam in het adresveld.
- Gebruik bij deellinks een wachtwoord of vervaldatum. Zo blijft een bestand alleen bereikbaar voor wie het nodig heeft, en alleen zolang dat nodig is.
- Houd overzicht over versies. Spreek af waar het concept en het definitieve verslag staan, zodat iedereen met dezelfde versie werkt en oude concepten niet blijven rondgaan.
Dat geldt voor de samenwerking met een notuleerservice, maar net zo goed voor de manier waarop je het verslag daarna binnen je eigen organisatie verspreidt.
.png)
Wat zegt de Cyberbeveiligingswet over leveranciers?
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De wet verplicht organisaties die als essentiële of belangrijke entiteit gelden om passende en evenredige maatregelen te nemen om hun netwerk- en informatiesystemen te beschermen. Het bestuur is eindverantwoordelijk voor die zorgplicht.
Een van de tien maatregelen die het Nationaal Cyber Security Centrum (NCSC) onder de zorgplicht noemt, is het beveiligen van de toeleveringsketen. Organisaties zijn vaak afhankelijk van de diensten van leveranciers, en dus nemen ze ook die leveranciers mee in hun beveiliging. Valt jouw organisatie onder de Cbw, dan is het prettig om te werken met een notuleerservice die haar informatiebeveiliging aantoonbaar op orde heeft. Ook als je organisatie er niet onder valt, is dat waardevol: de AVG stelt al langer eisen aan iedere partij die namens jou persoonsgegevens verwerkt.
De 7 onderdelen van veilige verslaglegging
Hieronder lees je per onderdeel wat veilige verslaglegging inhoudt.
- Veilige opslag en uitwisseling van bestanden: Veilige verslaglegging begint bij de vraag waar opnames en documenten staan en hoe ze worden uitgewisseld. Opslag binnen Nederland of de Europese Unie en uitwisseling via een beveiligde omgeving met een eigen account zijn veiliger dan e-mailbijlagen of een gratis deeldienst. Bij Notuleerservice upload je opnames daarom met je eigen account in een beveiligde omgeving, en de AI Notulist verwerkt gegevens op eigen servers in Nederland.
- Beperkte toegang en geheimhouding: Een vertrouwelijk verslag hoort alleen te worden gezien door de mensen die eraan werken. Volgens de Autoriteit Persoonsgegevens hoort in een verwerkersovereenkomst te staan dat medewerkers van de verwerker een geheimhoudingsplicht hebben.
- Aantoonbare certificering: ISO 27001 is de internationale norm voor informatiebeveiliging. Een organisatie met deze certificering heeft haar beveiliging systematisch ingericht en laat die periodiek toetsen door een externe auditor. Zorgvuldigheid is dan niet alleen een belofte, maar wordt ook gecontroleerd. Notuleerservice is ISO-gecertificeerd en wordt jaarlijks geauditeerd voor ISO 27001 en ISO 9001. De teams worden daarnaast ieder kwartaal getoetst op informatieveiligheid.
- Duidelijke afspraken in een verwerkersovereenkomst: Een verwerkersovereenkomst is een contract waarin je vastlegt hoe een externe partij namens jou persoonsgegevens verwerkt. Volgens artikel 28 van de AVG is zo'n overeenkomst verplicht zodra een leverancier persoonsgegevens voor je verwerkt, en dat is bij notuleren en transcriberen vrijwel altijd het geval. Volgens de Autoriteit Persoonsgegevens staan er onder meer afspraken in over beveiligingsmaatregelen, geheimhouding, het inschakelen van subverwerkers, hulp bij datalekken en het verwijderen of teruggeven van gegevens na afloop.
- Heldere bewaartermijnen: Een opname hoeft niet langer bewaard te worden dan nodig is om het verslag op te leveren en eventuele correcties te verwerken. Dat staat los van je eigen bewaarplicht: als organisatie moet je definitieve notulen soms jarenlang bewaren, bijvoorbeeld onder de Archiefwet. Meer daarover lees je in ons artikel Archiefwet 2027: wat betekent dit voor je notulen?
- Zorgvuldig gebruik van AI: Steeds meer verslaglegging wordt ondersteund door spraakherkenning en AI. Dat werkt goed, zolang duidelijk is waar de verwerking plaatsvindt en wat er met je gegevens gebeurt. Bij gratis of generieke AI-tools vindt de verwerking soms buiten Europa plaats, en is niet altijd uitgesloten dat je gegevens worden gebruikt om AI-modellen te trainen. De AI Notulist van Notuleerservice verwerkt gegevens op eigen servers in Nederland, en je houdt zelf de regie over de inhoud en het eindresultaat. In ons artikel EU AI Act: wat betekent dit vanaf 2 augustus voor jouw organisatie? lees je welke transparantieverplichtingen er gelden bij AI-gebruik.
- Een goede aanpak bij incidenten: Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan of in verkeerde handen komen. Als organisatie meld je een datalek met risico's binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG). Een verwerker moet een datalek daarom zonder onredelijke vertraging aan jou doorgeven, zodat je die termijn kunt halen.
