Voicebot w klinice. Gdzie zaczyna się art. 9 RODO

Podstawa z art. 6 dotyczy zgodności przetwarzania danych osobowych. Gdy proces obejmuje dane o zdrowiu, potrzebny jest jeszcze właściwy warunek z art. 9 ust. 2. Zgoda nie jest automatyczną odpowiedzią, a art. 9 ust. 2 lit. h nie działa bez spełnienia jego warunków i odpowiedniej podstawy w prawie Unii albo państwa członkowskiego.

Art. 9 ust. 3 wiąże literę h z przetwarzaniem przez osobę objętą tajemnicą zawodową, na jej odpowiedzialność albo przez inną osobę podlegającą obowiązkowi zachowania tajemnicy na podstawie prawa. Klinikę powinien tu wspierać jej prawnik i inspektor ochrony danych, jeżeli został wyznaczony.

Jedna rozmowa może mieć kilka celów. Rezerwacja świadczenia, nagranie do kontroli jakości, analiza transkryptów i późniejszy marketing nie powinny być wrzucane do jednego worka. Dla każdego celu ustal osobno niezbędność, podstawę, odbiorców i czas przechowywania.

Schemat powinien objąć telefonię, elementy rozpoznawania i syntezy mowy, model rozmowy, panel, system kliniki, kopie zapasowe, dzienniki techniczne i kanał potwierdzeń. Przy każdym miejscu zapisz kategorie danych, kraj lub region przetwarzania, dostęp, retencję i sposób usunięcia.

Klinika zwykle ustala cel i środki podstawowe, więc jest administratorem. Dostawca może działać jako podmiot przetwarzający, jeżeli wykonuje udokumentowane polecenia kliniki. Jeżeli którakolwiek strona używa danych do własnego celu, role trzeba ocenić ponownie. Samo wpisanie słowa „procesor” do umowy nie rozwiązuje problemu.

Lista podprocesorów ma odpowiadać rzeczywistemu przepływowi. Potrzebna jest także procedura informowania o planowanej zmianie i możliwość wniesienia sprzeciwu zgodnie z art. 28. Klient dostaje właściwą listę w dokumentacji projektu.

Agent może prowadzić rozmowę bez przechowywania pliku audio. Jeśli klinika chce nagrywać, musi wskazać konkretny cel, podstawę, odbiorców i retencję oraz poinformować pacjenta. Nagranie do obsługi skargi i nagranie używane do rozwijania modelu to dwa różne cele.

Nie ma uniwersalnej reguły „7 dni audio i 30 dni transkryptu”. Okres wynika z celu i obowiązków kliniki. Dane robocze używane tylko do wykonania rezerwacji mogą mieć krótszy cykl niż dokumentacja, którą placówka ma obowiązek prowadzić na podstawie przepisów medycznych.

Usuń z transkryptu to, czego zespół nie potrzebuje. W analizie jakości często wystarczy powód przekazania, wynik techniczny i zanonimizowany fragment. Pełna treść rozmowy nie powinna automatycznie trafiać do każdego raportu.

Jeżeli odbierze.ai działa jako podmiot przetwarzający, umowa z art. 28 opisuje przedmiot i czas przetwarzania, jego charakter i cel, rodzaje danych, kategorie osób oraz prawa i obowiązki administratora. Obejmuje też poufność osób upoważnionych, bezpieczeństwo, podprocesorów, pomoc przy prawach osób i naruszeniach, audyt oraz usunięcie lub zwrot danych po zakończeniu usługi.

Art. 33 ust. 2 wymaga, żeby podmiot przetwarzający zgłosił administratorowi naruszenie bez zbędnej zwłoki po jego stwierdzeniu. Nie należy przedstawiać wymyślonych 24 godzin jako wymogu RODO. Szczegółowy termin operacyjny może być ostrzejszy, jeśli strony świadomie wpiszą go do umowy.

Zabezpieczenia dobiera się do ryzyka. W praktyce sprawdza się rozdział uprawnień, uwierzytelnianie, dzienniki dostępu, szyfrowanie tam, gdzie jest odpowiednie, test odtworzenia, procedura incydentu i kontrola eksportów. Sama deklaracja „hosting w UE” nie zastępuje tych pytań.

UODO wyjaśnia, że DPIA nie jest wymagana dla każdej operacji, ale administrator zawsze powinien wykonać ocenę wstępną. Pełna ocena jest obowiązkowa, gdy planowane przetwarzanie może z dużym prawdopodobieństwem powodować wysokie ryzyko dla praw lub wolności osób.

W klinice zwróć uwagę na szczególne kategorie danych, skalę, osoby zależne od świadczącego usługę, innowacyjne użycie technologii, łączenie źródeł i ewentualne decyzje o istotnym skutku. UODO wskazuje, że co do zasady spełnienie co najmniej dwóch kryteriów z wykazu przemawia za DPIA, ale administrator ocenia pełny kontekst.

Wynik screeningu zapisz nawet wtedy, gdy decyzja brzmi „pełna DPIA nie jest wymagana”. Jeżeli jest wymagana, obowiązek spoczywa na klinice jako administratorze. Dostawca przekazuje informacje techniczne i pomaga, ale nie przejmuje odpowiedzialności administratora.

Komunikat o AI powinien paść najpóźniej przy pierwszej interakcji. Proste otwarcie brzmi: „Dzień dobry, tu głosowy asystent AI kliniki X”. Jeżeli rozmowa jest nagrywana, informacja o nagrywaniu musi odpowiadać rzeczywistej konfiguracji i zatwierdzonej podstawie.

Informacja z art. 13 albo 14 RODO ma inne zadanie. Powinna wskazywać administratora, cele, podstawy, odbiorców, retencję, prawa i pozostałe wymagane elementy. W kanale głosowym można zaprojektować informację warstwową, ale pełna treść musi być łatwo dostępna, a rozwiązanie powinno zostać ocenione dla konkretnego procesu.

Nie doklejaj pięciominutowej formuły do każdego połączenia. Najpierw ustal, które informacje trzeba przekazać w danym momencie, a które można zawrzeć w pełnej informacji dostępnej na stronie lub w wiadomości po rozmowie.

Agent rejestracyjny nie interpretuje wyników, nie dobiera leczenia i nie ocenia, czy objawy są pilne. Jeśli rozmówca zgłasza bezpośrednie zagrożenie życia lub prosi o pomoc nagłą, agent używa zatwierdzonego przez klinikę komunikatu i kieruje do numeru alarmowego zamiast prowadzić wywiad.

Przetestuj próbę uzyskania wyniku przez osobę trzecią, zmianę danych medycznych, prośbę o diagnozę, rozmowę dotyczącą dziecka, brak możliwości potwierdzenia tożsamości i żądanie kontaktu z człowiekiem. Dla każdego przypadku ma istnieć bezpieczny koniec, nie improwizowana odpowiedź.

Po starcie sprawdzaj błędne ujawnienia, zbędnie zebrane dane, nieskuteczne przekazania oraz zgodność faktycznej retencji z dokumentacją. Częstotliwość przeglądu zależy od wolumenu i ryzyka. Zmiana celu, integracji albo zakresu danych uruchamia ponowną ocenę.