Databehandleravtale og DPIA for KI-skriveassistent: sjekkliste

Bruker dere et KI-verktøy som tar opp konsultasjonen og lager journalutkast, behandler leverandøren pasientopplysninger på vegne av virksomheten. Da må dere ha en skriftlig databehandleravtale, en risikovurdering etter Normen og som regel en vurdering av personvernkonsekvenser (DPIA). Denne sjekklisten er laget for fastlegekontor, fysioterapiklinikker og andre små virksomheter, med lenker til kildene.

Bakgrunnen for reglene står i GDPR og KI i helsetjenesten. Artikkelen forklarer hva kildene sier, og er ikke juridisk rådgivning.

Er KI-leverandøren en databehandler?

Som regel ja. En databehandler er en ekstern virksomhet som behandler personopplysninger på vegne av den behandlingsansvarlige. Normens faktaark 10 sier at det er nok at leverandøren lagrer opplysningene, og at kravet om avtale også gjelder når opplysningene er kryptert. Helsedirektoratets faktaark om tale-til-utkast sier det samme: Når leverandøren behandler personopplysninger på vegne av virksomheten, er det nødvendig med en databehandleravtale (kapittel 10).

En databehandler skal bare behandle opplysningene etter instruks. Bestemmer leverandøren selv formål og midler i strid med reglene, regnes den som behandlingsansvarlig for den behandlingen (GDPR artikkel 28 nr. 10). For tale-til-utkast har Helsedirektoratet dessuten slått fast at opplysningene ikke kan brukes til å trene modeller med grunnlag i dokumentasjonsplikten (veiledningstjenesten).

Hva må databehandleravtalen inneholde?

GDPR artikkel 28 nr. 3 fastsetter minimumsinnholdet. Avtalen skal beskrive hva behandlingen gjelder og hvor lenge den varer, formålet, typen personopplysninger, hvem opplysningene gjelder, og virksomhetens rettigheter og plikter. I tillegg skal den sikre at leverandøren oppfyller punktene i tabellen:

Normen 5.7 legger til krav:

• Avtalen skal forplikte leverandøren til å følge kravene i Normen som er relevante for avtaleforholdet.
• Leverandøren skal melde avvik uten ugrunnet opphold, slik at virksomheten kan melde til Datatilsynet innen 72 timer.
• Har leverandøren opplysninger fra flere virksomheter, skal de være skilt fra hverandre med tekniske tiltak som brukerne ikke kan overstyre.

Normens faktaark 10 har en fullstendig liste over hva avtalen skal beskrive og regulere, og anbefaler at databehandleravtalen inngår som et kapittel eller vedlegg i den generelle avtalen med leverandøren.

Tillegg for KI-verktøy: dette bør stå svart på hvitt

Minimumskravene dekker ikke alt som er særlig for tale-til-utkast. Sjekk at avtalen eller vedleggene sier:

• Ingen trening. Opptak, transkripsjon og utkast brukes ikke til å trene eller forbedre modeller.
• Slettetider. Når lydopptak, råfil og utkast slettes, også i logger og sikkerhetskopier. Helsedirektoratet sier at de skal slettes senest ved godkjenning i journal.
• Hvor data behandles. Hvilke land, også for underleverandører, support og drift.
• Endringer. Hvordan dere varsles når leverandøren bytter underleverandør eller endrer hvordan data behandles. Faktaarket ber virksomhetene være forberedt på slike endringer.
• Regulatorisk status. Om verktøyet er medisinsk utstyr og har CE-merking. Det hører ikke hjemme i databehandleravtalen, men bør være avklart før dere signerer, se CE-merket klasse I eller IIa.

Underdatabehandlere

Et KI-verktøy bruker ofte flere underleverandører, for eksempel til lagring, tale-til-tekst og språkmodell. GDPR artikkel 28 nr. 2 og 4 og Normen 5.7.4.1 sier:

• Leverandøren kan bare bruke underdatabehandlere med virksomhetens forhåndsgodkjenning, enten særskilt eller generell skriftlig tillatelse.
• Ved generell tillatelse skal virksomheten varsles om planlagte endringer og kunne motsette seg dem.
• Underdatabehandlerne skal ha de samme pliktene som leverandøren, og leverandøren er ansvarlig for at de oppfyller dem.

Be om en oppdatert liste med navn, oppgave og land for hver underleverandør.

Overføring ut av EØS

Behandler leverandøren eller en underleverandør opplysninger utenfor EØS, trengs et overføringsgrunnlag etter GDPR kapittel V, for eksempel en adekvansbeslutning eller standardkontrakter med en vurdering av mottakerlandet. Datatilsynet har en oversikt over land med tilstrekkelig beskyttelsesnivå. Mer om dette i GDPR og KI i helsetjenesten.

Helsedirektoratets standard databehandleravtale

Helsedirektoratet har en standard databehandleravtale med veileder for helse- og omsorgssektoren, og ønsker at virksomhetene bruker den når avtalen omfatter helseopplysninger. Avtaleteksten ligger fast, og tilpasninger gjøres i vedleggene. Malen ble sist endret faglig 1. desember 2022, og avsnittet om overføring til utlandet viser foreløpig til Datatilsynet etter Schrems II-dommen.

Leverandøren vil ofte tilby sin egen avtale. Det er vanlig, men sammenlikn den med standardavtalen og kravene over. Mangler noe, kan det avtales i et vedlegg.

Risikovurdering etter Normen

Normen 3.4 krever risikovurdering før dere etablerer eller endrer en behandling av helseopplysninger, eller tar i bruk et nytt informasjonssystem. Vurderingen skal blant annet kartlegge systemene, mulige hendelser og sårbarheter, sannsynlighet og konsekvens, og hvor avhengige dere er av andre virksomheter, for eksempel leverandøren. Er risikoen uakseptabel, skal det lages en plan med tiltak, frist og ansvarlig, forankret i ledelsen.

Eksempler på hendelser å vurdere for tale-til-utkast:

Normen har også en veileder for små helsevirksomheter med eksempler på risikoscenarioer og en sjekkliste for sikkerhet.

Når må dere gjennomføre en DPIA?

GDPR artikkel 35 krever en DPIA før behandlingen starter når den sannsynligvis gir høy risiko for de registrerte. Tre kilder hjelper vurderingen:

• Datatilsynets liste over behandlinger som alltid krever DPIA, omfatter blant annet behandling med innovativ teknologi kombinert med minst ett annet kriterium, for eksempel særlige kategorier personopplysninger.
• Kriteriene fra EUs personvernmyndigheter (Artikkel 29-gruppen): Er to av ni kriterier oppfylt, kan den behandlingsansvarlige i de fleste tilfeller anta at en DPIA trengs. Særlige kategorier personopplysninger og innovativ bruk av ny teknologi er to av kriteriene (Datatilsynet).
• Normen 3.5 nevner ny teknologi og helseopplysninger i stor skala som eksempler på høy risiko (Normen 3.5).

For tale-til-utkast taler dette for å gjennomføre en DPIA. Konkluderer dere med at den ikke trengs, bør begrunnelsen dokumenteres. Ved tvil anbefaler Datatilsynet å gjennomføre den (Datatilsynet).

Dere trenger ikke starte fra null. Leverandøren skal bistå med nødvendig informasjon (artikkel 28 nr. 3 bokstav f), og Datatilsynet skriver at én DPIA kan brukes for flere behandlinger som likner hverandre. Ansvaret ligger likevel hos virksomheten. Er risikoen fortsatt høy etter tiltakene, må dere be om forhåndsdrøftelse med Datatilsynet før dere starter (GDPR artikkel 36).

Kort mal for DPIA

Malen følger minimumskravene i GDPR artikkel 35 nr. 7 og Normen 3.5. Skriv kort og konkret.

1. Beskrivelse av behandlingen. Hvilket verktøy og hvilken leverandør. Hvilke opplysninger: lyd, transkripsjon, utkast og ferdig notat. Hvem det gjelder: pasienter, pårørende og ansatte. Hvordan opplysningene flyter, hvor de lagres, hvor lenge, og hvilke underleverandører og land som er involvert.
2. Formål og behandlingsgrunnlag. Journalføring etter helsepersonelloven §§ 39 og 40, jf. GDPR artikkel 6 og artikkel 9 nr. 2 bokstav h.
3. Nødvendighet og forholdsmessighet. Hvorfor verktøyet trengs, hvordan opplysningene begrenses og slettes, og hvilke samtaler dere ikke bruker det i.
4. Risiko for pasientene. Konfidensialitet (lekkasje, uvedkommende tilgang), riktighet (feil eller utelatelser i journalen, feil pasient), tilgjengelighet, overføring ut av EØS, og at opptak kan få pasienter til å holde tilbake informasjon.
5. Tiltak. Databehandleravtale, tilgangsstyring, opplæring, rutine for gjennomlesing, pasientinformasjon og rutine for reservasjon, slettetider og avvikshåndtering.
6. Involvering. Personvernombudet, hvis dere har et. Synspunkter fra pasienter eller deres representanter når det er relevant.
7. Konklusjon. Gjenværende risiko, hvem som har godkjent, og når vurderingen skal gjøres på nytt, for eksempel ved bytte av verktøy eller større endringer hos leverandøren.

Datatilsynet har en mer utførlig veiledning og sjekkliste for DPIA.

Sjekklisten samlet

Når dere vurderer leverandører, se etter at databehandleravtalen og opplysninger om databehandlingen er lette å finne. Skrift.md har for eksempel databehandleravtale, beskriver databehandlingen på siden om datasikkerhet og oppgir: Data behandles i EU og brukes ikke til trening av KI-modeller. Pris og CE-status for flere verktøy finner du i oversikten over KI-journalverktøy i Norge.