Gabinet przetwarza dane szczególnej kategorii od zawsze: stan zdrowia, wywiad, przebyte zabiegi. Nagranie rozmowy dokłada do tego głos pacjenta, a narzędzie AI dokłada dostawcę, który te dane widzi. Poniżej to, co realnie trzeba zrobić.
Kto jest administratorem, a kto tylko przetwarza
Administrator decyduje o celach i sposobach przetwarzania. W gabinecie to Ty. Podmiot przetwarzający to dostawca, który robi coś z danymi na Twoje polecenie i nie ma prawa użyć ich do własnych celów. Tak działa dostawca oprogramowania do dokumentacji.
W praktyce to gabinet odpowiada za żądania pacjentów, obowiązek informacyjny i podstawę prawną. Dostawca ma Ci to ułatwić, nie zrobi tego za Ciebie.
Na jakiej podstawie nagrywać wizytę
Nagranie rozmowy z pacjentem to jednocześnie dane o zdrowiu i głos, czyli materiał wrażliwy z art. 9 RODO. Sam fakt prowadzenia leczenia nie wystarcza jako podstawa do nagrywania. Najczystszą podstawą jest wyraźna zgoda pacjenta, która musi być:
- dobrowolna, czyli odmowa nie może oznaczać odmowy leczenia,
- świadoma, czyli pacjent wie, co będzie nagrywane i po co,
- wyraźna, nie domniemana z milczenia,
- możliwa do wycofania w każdej chwili.
Zgodę warto zbierać na piśmie, choćby jednym oświadczeniem dołączonym do dokumentacji.
Zgoda na leczenie, zgoda na nagrywanie i zgoda na przetwarzanie przez AI to trzy osobne rzeczy. Jedno oświadczenie może objąć wszystkie, ale musi je wymieniać osobno.
Co powiedzieć pacjentowi
Obowiązek informacyjny obejmuje: że wizyta jest nagrywana i po co, co dzieje się z nagraniem, że dane zostały powierzone dostawcy narzędzia, jak długo są przechowywane, jakie prawa przysługują pacjentowi, oraz że w przygotowaniu dokumentacji bierze udział system AI (to już wymóg AI Act). Najprościej połączyć to w jednym oświadczeniu razem ze zgodą.
Minimalizacja: mniej danych, mniej ryzyka
Trzy pytania do dostawcy: czy nagranie jest przechowywane (jeśli służy tylko do transkrypcji, nie ma powodu, żeby zostawało), czy identyfikatory pacjenta trafiają do modelu AI (dobre narzędzie usuwa je z tekstu wcześniej), i czy da się prowadzić dokumentację bez wpisywania danych pacjenta do systemu dostawcy (własny identyfikator wystarczy).
Umowa powierzenia z dostawcą
Korzystanie z narzędzia bez umowy powierzenia (art. 28 RODO) to naruszenie samo w sobie. Umowa musi określać przedmiot i cel przetwarzania, obowiązki dostawcy (bezpieczeństwo, poufność, pomoc przy prawach pacjentów) oraz zasady korzystania z podwykonawców.
Żądanie pacjenta krok po kroku
- Ustal, czego dotyczy: dostęp, kopia, sprostowanie, usunięcie, wycofanie zgody.
- Sprawdź, czy nie koliduje z obowiązkiem ustawowym. Dokumentacji medycznej co do zasady nie usuwa się na żądanie.
- Wykonaj to w narzędziu: dobry dostawca daje eksport i usunięcie z poziomu aplikacji.
- Odpowiedz w terminie miesiąca.
Jak to wygląda w Stomoris
- nagrania nie przechowujemy, dźwięk służy wyłącznie do transkrypcji,
- z transkrypcji wycinamy identyfikatory pacjenta, zanim tekst trafi do modelu językowego,
- dane trzymamy w Unii Europejskiej,
- eksport danych pacjenta i usunięcie wizyty robisz sam, z aplikacji,
- umowa powierzenia jest integralną częścią Regulaminu, publicznie dostępna.
Szczegóły opisaliśmy na stronie Bezpieczeństwo i zgodność.
Podsumowanie
Cztery kroki: zbierz wyraźną zgodę na nagrywanie, poinformuj pacjenta też o udziale AI, podpisz umowę powierzenia z dostawcą, wybierz narzędzie, które zbiera jak najmniej danych. Reszta to porządek w dokumentacji, który i tak prowadzisz.
Pytania, które padają najczęściej
Czy można nagrywać wizytę stomatologiczną?
Tak, o ile gabinet ma podstawę prawną i poinformuje o tym pacjenta. Głos i informacje o zdrowiu to dane szczególnej kategorii z art. 9 RODO, więc w praktyce najczęściej opiera się to na wyraźnej zgodzie pacjenta.
Kto jest administratorem danych pacjenta, gdy gabinet korzysta z narzędzia AI?
Administratorem pozostaje gabinet lub lekarz. Dostawca narzędzia jest podmiotem przetwarzającym i działa wyłącznie na udokumentowane polecenie gabinetu, na podstawie umowy powierzenia z art. 28 RODO.
O czym trzeba poinformować pacjenta przy korzystaniu z AI w dokumentacji?
O tym, że wizyta jest nagrywana i w jakim celu, że dane zostały powierzone dostawcy narzędzia, jak długo są przechowywane, jakie prawa przysługują pacjentowi, oraz o korzystaniu z systemu sztucznej inteligencji.