Z narzędzia AI w gabinecie możesz korzystać zgodnie z RODO, jeśli dostawca przetwarza dane na podstawie umowy powierzenia, przechowuje je w Europejskim Obszarze Gospodarczym, nie trenuje na nich modeli, a pacjent wie, że jego dane są przetwarzane w takim narzędziu. Same dane o zdrowiu wymagają szczególnej ostrożności.
Artykuł ma charakter informacyjny i nie jest poradą prawną.
Kto jest kim w świetle RODO?
| Rola | Kto ją pełni | Co z tego wynika |
|---|---|---|
| Administrator | Ty, jako terapeuta lub placówka | Decydujesz o celach przetwarzania i odpowiadasz za zgodność z RODO. |
| Podmiot przetwarzający | Dostawca narzędzia, np. TG Technologies Sp. z o.o. | Przetwarza dane wyłącznie na Twoje polecenie, na podstawie umowy powierzenia (art. 28 RODO). |
| Dalsze podmioty przetwarzające | Dostawcy infrastruktury i modeli AI | Muszą być wymienieni w umowie powierzenia i związani tymi samymi obowiązkami. |
Lista kontrolna przed wyborem narzędzia
- Umowa powierzenia (DPA). Czy dostawca zawiera ją z Tobą i wymienia podprocesorów?
- Lokalizacja danych. Czy dane są przechowywane i przetwarzane w EOG, a nie tylko „zgodnie z RODO”?
- Trenowanie modeli. Czy umowy wykluczają wykorzystywanie Twoich danych do trenowania modeli?
- Minimalizacja. Czy narzędzie ogranicza dane, które trafiają do modelu, np. pseudonimizuje imiona i adresy?
- Bezpieczeństwo. Czy dane są szyfrowane podczas przesyłania i przechowywania, a logowanie jest chronione?
- Usuwanie. Czy możesz usunąć nagranie, wizytę lub całego pacjenta i wiesz, w jakim terminie dane znikają z kopii zapasowych?
Jak TherapyGuide spełnia te wymagania?
- Działamy jako podmiot przetwarzający na podstawie umowy powierzenia (DPA), która wymienia podprocesorów.
- Dane przetwarzamy w EOG, w centrach danych AWS i Google Cloud we Frankfurcie, a usługi AI działają w regionach europejskich.
- Korzystamy z Agent Platform w Google Cloud na warunkach, w których Google zobowiązuje się nie wykorzystywać danych klientów do trenowania modeli — więcej o treningu modeli.
- Imiona, nazwy miejsc pracy i adresy w transkrypcji zastępujemy oznaczeniami [PERSON], [ORGANIZATION] i [ADDRESS].
- Szyfrujemy dane podczas przesyłania (TLS) i przechowywania (AES-256). Logujesz się kodem e-mail lub kluczem dostępu.
- Dane pacjenta usuwamy trwale w ciągu 14 dni od ich usunięcia w aplikacji — zasady usuwania danych.
Czy potrzebuję oceny skutków (DPIA)?
Art. 35 RODO wymaga oceny skutków dla ochrony danych przy przetwarzaniu, które może powodować wysokie ryzyko, m.in. przy danych o zdrowiu na dużą skalę. Motyw 91 RODO wskazuje, że przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego pracownika służby zdrowia nie powinno być uznawane za przetwarzanie na dużą skalę. W większej placówce ocena skutków może być potrzebna, dlatego warto ją uzgodnić z inspektorem ochrony danych.
Co powiedzieć pacjentowi?
Pacjent powinien wiedzieć, że jego dane są przetwarzane w narzędziu AI, w jakim celu i gdzie. Przy nagrywaniu sesji potrzebna jest też jego świadoma zgoda. Przykładową klauzulę znajdziesz w artykule czy można nagrywać sesję terapeutyczną.
A co z ogólnymi czatami AI?
Wklejanie transkrypcji do ogólnego czatu AI rzadko spełnia powyższe warunki: w planach konsumenckich zwykle nie ma umowy powierzenia, a rozmowy mogą służyć do ulepszania modeli. Porównanie znajdziesz w artykule TherapyGuide czy ChatGPT.
Potrzebujesz pomocy? Napisz do nas