Ga naar de hoofdinhoud
Praxikon
Gratis check

Gratis template · Word · Nederlands en Engels

Copilot-DPIA-pakket: checklist, vragenlijst en tekstblokken voor Microsoft 365 Copilot

Het Copilot-DPIA-pakket bundelt drie templates waarmee een gemeente of andere overheidsorganisatie de DPIA voor Microsoft 365 Copilot opstelt langs het advies van de Autoriteit Persoonsgegevens (zaak 2025-018225): een checklist per DPIA-onderdeel met de paragraaf uit het advies, een vragenlijst voor IT en leverancier over tenantinstellingen, oversharing, logging, bewaartermijnen, EU Data Boundary, subverwerkers en verwerkersvoorwaarden, en tekstblokken voor noodzaak en evenredigheid en risico's en maatregelen. De AP schrijft zelf dat elke organisatie moet beoordelen of haar verwerking overeenkomt met de beschreven verwerking; het pakket helpt bij die afweging en is geen juridisch advies.

Laatst gecontroleerd tegen de wet
Redactie
, jurist privacy en AI
Versie en template-ID
2.0 · praxikon:template:copilot-dpia-checklist, praxikon:template:copilot-vragenlijst, praxikon:template:copilot-dpia-tekstblokken
Rechtsgrond
Verordening (EU) 2016/679 (AVG); Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744

Voor wie is dit template?

  • Privacy officer of opsteller van de DPIA, namens de verwerkingsverantwoordelijkeInhoud van de DPIA (artikel 35 lid 7 AVG)
  • Functionaris gegevensbescherming (FG)Advies over de DPIA (artikel 35 lid 2 AVG) en het besluit over voorafgaande raadpleging (artikel 36 AVG)
  • CISO, informatiebeveiliger en tenantbeheerBeveiliging en autorisaties (artikel 32 AVG); de randvoorwaarden uit paragraaf 6.1 en 6.3.2 van het AP-advies
  • Informatiemanager en archivarisVerwerkingsregister (artikel 30 AVG), informatiehuishouding en bewaartermijnen (artikel 5 lid 1 onder e AVG)
  • Inkoop en contractmanagementAfspraken met de leverancier als verwerker (artikel 28 AVG) en aanvullende afspraken (AP-advies, par. 6.3.1)

Wat staat erin

DPIA-checklist Microsoft 365 Copilot (Word)

Een DPIA-checklist voor Microsoft 365 Copilot zet per onderdeel van de DPIA (artikel 35 lid 7 AVG) op een rij wat de Autoriteit Persoonsgegevens verwacht voordat een gemeente of andere overheidsorganisatie Copilot gebruikt: de basis op orde, doel en grondslag, noodzaak, juistheid, rechten, de rol van de leverancier, de vier hoge restrisico's en de vijftien maatregelen uit het advies, elk met de paragraaf erbij.

  • De randvoorwaarden die de AP vóór de DPIA verwacht: verwerkingsregister, informatiehuishouding en labelen, autorisaties en de cloudomgeving (hoofdstuk 0)
  • Per DPIA-onderdeel de punten om af te vinken, met de paragraaf uit het AP-advies (hoofdstuk 1 tot en met 6)
  • De vijf randvoorwaarden uit de referentie-DPIA die de AP uitdrukkelijk noemt, waaronder Bing blokkeren en centrale bewaartermijnen (hoofdstuk 6)
  • De vier hoge restrisico's uit de referentie-DPIA met wat de AP per risico vraagt (hoofdstuk 7)
  • De vijftien maatregelen uit hoofdstuk 8 van het advies op één lijst, met een kolom voor het bewijs in uw dossier
  • Afronding: FG-advies, voorafgaande raadpleging, besluit en herziening, plus de raakvlakken met de AI-verordening (hoofdstuk 9 en 10)

Copilot-vragenlijst voor IT en leverancier (Word)

Een vragenlijst voor IT en leverancier haalt de feiten op die de DPIA over Microsoft 365 Copilot nodig heeft: hoe de tenant is ingericht, wie waar bij kan, wat wordt gelogd en bewaard, en wat de leverancier verwerkt, waar en op welke voorwaarden. Elke vraag noemt de paragraaf uit het AP-advies of het AVG-artikel.

  • Deel 1 voor uw eigen IT of beheerpartij: uitrol en licenties, toegang en oversharing, de vijf randvoorwaarden uit de referentie-DPIA, logging en bewaartermijnen (modules A tot en met E)
  • Deel 2 voor Microsoft of uw licentiepartner: rollen en verwerkersvoorwaarden, Required Service Data, EU Data Boundary en doorgifte, subverwerkers, filters, rechten en incidenten (modules F tot en met K)
  • Per vraag de reden met de paragraaf uit het AP-advies of het AVG-artikel, en een antwoordveld
  • Een interne beoordelingswijzer die elk antwoord vertaalt naar een gevolg voor de DPIA

DPIA-tekstblokken Copilot (Word)

DPIA-tekstblokken voor Microsoft 365 Copilot zijn teksten om aan te passen voor de onderdelen noodzaak en evenredigheid en risico's en maatregelen van een DPIA, opgebouwd langs het advies van de Autoriteit Persoonsgegevens. Ze zijn een startpunt voor de eigen afweging van de verwerkingsverantwoordelijke, geen juridisch advies.

  • Een kader dat de tekst markeert als startpunt en niet als juridisch advies
  • Blok 1: doelen per use case, grondslag, geschiktheid, noodzaak en dataminimalisatie, subsidiariteit, opslagbeperking, evenredigheid en conclusie
  • Blok 2: elf risico's met bron en een maatregeltekst, waaronder de vier hoge restrisico's uit de referentie-DPIA
  • Teksten voor de hoge restrisico's rond Required Service Data, juistheid en menselijke beoordeling, en voor het besluit over voorafgaande raadpleging (artikel 36 AVG)
  • Een lijst met momenten waarop u de DPIA herziet

Zo gebruikt u het template

  1. Begin bij hoofdstuk 0. De AP noemt de basis op orde een randvoorwaarde voor elke inzet van generatieve AI.
  2. Stuur de vragenlijst uit dit pakket naar IT en naar de leverancier, en gebruik de antwoorden voor hoofdstuk 1 tot en met 6.
  3. Vink een punt pas af als u het bewijs kunt aanwijzen, en noteer dat bewijs in de maatregelenlijst van hoofdstuk 8.
  4. Leg de risico's vast in hoofdstuk 7 en gebruik de tekstblokken uit dit pakket voor de onderdelen noodzaak en evenredigheid en risico's en maatregelen.
  5. Vraag het advies van de FG en laat de verwerkingsverantwoordelijke vóór de start besluiten, ook voor een pilot.

Veelgemaakte fouten

  • Het AP-advies overnemen alsof het voor uw organisatie geldt. De AP schrijft zelf dat elke organisatie moet beoordelen of haar verwerking overeenkomt met de beschreven verwerking.
  • Als doel 'het ondersteunen van medewerkers' opschrijven. De AP noemde die omschrijving te vaag en te algemeen; schrijf een doel per use case.
  • Denken dat een pilot geen verwerking is omdat de gegevens al in huis zijn. De AP volgde die redenering niet: ook een pilot moet aan de AVG voldoen.
  • De autorisaties pas opruimen als Copilot al draait. Copilot ziet alles waar de gebruiker bij kan; de AP vraagt dit vooraf.
  • Starten terwijl de leverancier niet zegt welke gegevens hij verzamelt en hoe lang hij ze bewaart. De AP adviseerde dan niet te starten.

Wanneer heeft u een jurist nodig?

  • Er blijft een hoog restrisico over. Na uw maatregelen staat nog een hoog risico open, bijvoorbeeld omdat de leverancier niet duidelijk maakt welke gegevens hij verzamelt en hoe lang hij ze bewaart. Dan raadpleegt de verwerkingsverantwoordelijke vóór de start de AP (artikel 36 lid 1 AVG). De AP adviseerde in dit geval niet te starten (AP-advies, par. 6.3.5 en 6.3.6).
  • Copilot komt in een proces met besluiten over inwoners. Denk aan bezwaar en beroep, vergunningen of uitkeringen. De verwerkingsverantwoordelijke moet borgen dat de menselijke beoordeling doorslaggevend blijft (artikel 22 AVG; AP-advies, par. 6.2.3) en toetsen of de AI-verordening een zwaarder regime meebrengt.
  • De rol van de leverancier is niet helder. Volgens de referentie-DPIA is Microsoft voor sommige verwerkingen verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke stelt per verwerking de rol vast, beoordeelt of die wenselijk is en maakt zo nodig aanvullende afspraken (AP-advies, par. 6.3.1; artikel 28 AVG).

Veelgestelde vragen

Wat zei de AP over Microsoft 365 Copilot?

In haar advies op de voorafgaande raadpleging van een gemeente (zaak 2025-018225) concludeerde de AP dat de voorgenomen inzet van Copilot zonder aanvullende maatregelen inbreuk zou maken op de AVG. Zij noemt maatregelen voor elk generatief AI-systeem en aanvullende maatregelen voor Copilot, en adviseert niet te starten voordat die zijn genomen.

Geldt het advies ook voor mijn gemeente?

Niet automatisch. Het advies ging over de verwerking die één gemeente beschreef. De AP schrijft dat andere gemeenten en overheidsorganisaties zelf moeten beoordelen of hun verwerking overeenkomt en een eigen afweging moeten maken. Wel geeft het advies een gedetailleerd beeld van wat de toezichthouder verwacht.

Moet ik de AP vooraf raadplegen?

Alleen als uit uw DPIA blijkt dat na maatregelen een hoog risico overblijft (artikel 36 lid 1 AVG). Blijven de risico's rond Required Service Data en bewaartermijnen open, dan adviseerde de AP in dit geval niet te starten.

Is Microsoft 365 Copilot een hoog-risicosysteem onder de AI-verordening?

Als algemene assistent meestal niet. Zet u Copilot in voor een doel uit bijlage III, zoals de beoordeling van aanspraken op uitkeringen, dan toetst u apart of dat gebruik een hoog-risicosysteem oplevert. De plicht om maatregelen te nemen voor AI-geletterdheid (artikel 4) geldt wel.

Mag ik de checklist aanpassen en delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Wat is Required Service Data?

Volgens de referentie-DPIA, zoals de AP die beschrijft, de verzamelnaam die Microsoft gebruikt voor de gegevens die naar Microsoft worden gestuurd bij het gebruik van onlinediensten zoals Copilot. Het kan om inhoud en om diagnostische gegevens gaan. Het gebrek aan transparantie hierover is een van de vier hoge restrisico's.

Waarom vragen naar oversharing?

Copilot kan alles gebruiken waar de gebruiker toegang toe heeft. Zijn autorisaties te ruim, dan verwerkt Copilot meer persoonsgegevens dan nodig. De AP vraagt daarom eerst de autorisatiestructuur te onderzoeken en te beperken tot het noodzakelijke.

Wat doe ik als de leverancier vragen niet beantwoordt?

Leg vast welke vragen open blijven en weeg dat in de DPIA. Gaat het om de inhoud en bewaartermijnen van Required Service Data, dan adviseerde de AP niet te starten voordat er voldoende transparantie is. Een leverancier die niet meewerkt aan de maatregelen kan niet worden ingeschakeld.

Zijn deze tekstblokken juridisch advies?

Nee. Ze zijn een startpunt dat u aanpast aan uw eigen verwerking. De verwerkingsverantwoordelijke blijft zelf verantwoordelijk voor de afweging in de DPIA.

Wat is het verschil tussen noodzaak en evenredigheid?

Bij noodzaak gaat het om de vraag of de verwerking en elke categorie gegevens nodig zijn voor het doel, en of het doel niet met minder ingrijpende middelen kan worden bereikt. Bij evenredigheid weegt u het belang van de organisatie tegen de inbreuk op de belangen van betrokkenen.

Wanneer moet ik de DPIA herzien?

Als de verwerking in de praktijk wezenlijk afwijkt van wat in de DPIA staat, bijvoorbeeld door nieuwe functies, agents, bronnen of meer gebruikers. Volgens de AP beoordeelt u dan opnieuw en raadpleegt u zo nodig opnieuw.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, Copilot-DPIA-pakket: checklist, vragenlijst en tekstblokken voor Microsoft 365 Copilot, versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/copilot-dpia

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597