Czy wirtualna recepcja AI w gabinecie lekarskim jest zgodna z RODO

Przychodnie i gabinety tracą pacjentów na nieodebranych telefonach, zwłaszcza w godzinach szczytu i po zamknięciu rejestracji. Agent głosowy AI rozwiązuje ten problem, ale od razu pojawia się pytanie: czy w placówce, która przetwarza dane zdrowotne, można takie narzędzie legalnie stosować?

Krótko: tak, ale zgodność z RODO nie jest cechą samego produktu. To efekt tego, jak placówka i dostawca skonfigurują proces, umowy i zakres danych. Poniżej znajdziesz konkretne punkty, które trzeba sprawdzić przy wdrażaniu recepcji AI w gabinecie pod kątem RODO.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Ostateczną ocenę warto skonsultować z inspektorem ochrony danych (IOD) lub prawnikiem.

Jakie dane przetwarza recepcja AI

Zanim przejdziemy do przepisów, ustal, co faktycznie trafia do systemu. Typowa rozmowa z wirtualną recepcją obejmuje:

• imię i nazwisko dzwoniącego,
• numer telefonu,
• preferowany termin i rodzaj wizyty (np. specjalizacja lekarza),
• czasem informacje o dolegliwościach, jeśli pacjent sam o nich wspomni,
• nagranie głosu i transkrypcję rozmowy, jeśli są zapisywane.

Dane identyfikacyjne i kontaktowe to zwykłe dane osobowe. Informacja, że dana osoba umawia się do konkretnego specjalisty, a tym bardziej opis objawów, może już być daną dotyczącą zdrowia, czyli szczególną kategorią z art. 9 RODO. Dlatego cały proces warto projektować tak, jakby dane zdrowotne mogły się w nim pojawić.

Podstawa prawna przetwarzania

Przetwarzanie danych zwykłych wymaga podstawy z art. 6 RODO. Przy umawianiu wizyty będzie to najczęściej podjęcie działań na żądanie osoby przed zawarciem umowy (art. 6 ust. 1 lit. b) lub prawnie uzasadniony interes administratora.

Dla danych zdrowotnych potrzebna jest dodatkowo przesłanka z art. 9 ust. 2. W placówkach medycznych zwykle wskazuje się lit. h, czyli przetwarzanie niezbędne do celów medycyny profilaktycznej, diagnozy lub zapewnienia opieki zdrowotnej, przez podmiot zobowiązany do zachowania tajemnicy zawodowej. W praktyce umawianie wizyt uznaje się za element organizacji udzielania świadczeń. Warto jednak, żeby IOD potwierdził to w dokumentacji placówki.

Jeśli planujesz dodatkowe cele, np. analizę nagrań do doskonalenia jakości, to osobna kwestia i może wymagać innej podstawy lub zgody.

Administrator i podmiot przetwarzający

W tym modelu to gabinet jest administratorem danych, a dostawca platformy AI działa jako podmiot przetwarzający. Z tego wynika kilka obowiązków:

• Umowa powierzenia (art. 28 RODO). Musi być podpisana przed startem. Powinna określać zakres, cel, czas przetwarzania, środki bezpieczeństwa i zasady korzystania z podwykonawców.
• Lista podprocesorów. Agent głosowy to zwykle łańcuch usług: telefonia, rozpoznawanie mowy, model językowy, hosting. Zapytaj dostawcę, kto uczestniczy w przetwarzaniu i gdzie.
• Instrukcje administratora. Dostawca nie może używać danych pacjentów do własnych celów. Sprawdź w umowie, czy rozmowy nie służą do trenowania modeli.
• Usuwanie i zwrot danych po zakończeniu współpracy.

Lokalizacja danych i transfery poza UE

Dane zdrowotne wymagają szczególnej ostrożności przy transferach do państw trzecich. Jeśli dane trafiają poza Europejski Obszar Gospodarczy, potrzebna jest podstawa z rozdziału V RODO, np. decyzja stwierdzająca odpowiedni stopień ochrony lub standardowe klauzule umowne, wraz z oceną ryzyka.

Najprostsza droga to wybór dostawcy, który przetwarza dane w UE. BrosBots przetwarza dane w Unii Europejskiej, co upraszcza ocenę tego punktu. Mimo to przy każdym dostawcy dopytaj o całą ścieżkę danych, łącznie z podprocesorami, bo to ona decyduje o ryzyku, a nie sama deklaracja o lokalizacji serwerów.

Obowiązek informacyjny i nagrywanie rozmów

Pacjent musi wiedzieć, że rozmawia z systemem automatycznym i co dzieje się z jego danymi. Dobra praktyka to krótki komunikat na początku rozmowy, np.:

„Dzień dobry, tu wirtualna asystentka przychodni. Rozmowa może być zapisywana w celu umówienia wizyty. Więcej informacji na stronie przychodni."

Do tego potrzebujesz:

• klauzuli informacyjnej (art. 13 i 14 RODO) dostępnej na stronie i w polityce prywatności, z opisem udziału agenta AI,
• jasnej decyzji, czy rozmowy są nagrywane, jak długo i w jakim celu,
• określonego czasu przechowywania. Jeśli nagranie nie jest potrzebne, lepiej go nie zapisywać, a zostawić tylko wynik rozmowy (np. zapisaną wizytę).

Minimalizacja danych w praktyce

Zasada minimalizacji (art. 5 ust. 1 lit. c) to najlepsze narzędzie do ograniczenia ryzyka. Dobrze skonfigurowany agent nie powinien zbierać więcej, niż potrzeba do celu.

Zakres rozmowy

Ustal w scenariuszu, o co agent pyta, a czego nie. Do umówienia wizyty zwykle wystarczą: imię i nazwisko, numer telefonu, rodzaj wizyty, termin. Agent nie musi dopytywać o objawy, wyniki badań ani diagnozy. Jeśli pacjent zacznie opisywać problemy zdrowotne, agent może uprzejmie skierować rozmowę na ustalenie terminu lub przekazać ją do człowieka.

Przekazanie do człowieka

Pytania kliniczne, nagłe przypadki i sytuacje niestandardowe powinny trafiać do pracownika rejestracji lub personelu medycznego. BrosBots umożliwia przekazanie rozmowy do człowieka, a integracja z centralami (np. Daktela przez SIP) pozwala zrobić to w ramach istniejącej infrastruktury telefonicznej. Warto wpisać do scenariusza jasne reguły: słowa-klucze alarmowe, brak pewności agenta, prośba pacjenta o kontakt z osobą.

Agent odpowiadający z bazy wiedzy powinien też bazować wyłącznie na informacjach ogólnych (godziny, cennik, przygotowanie do badań, lokalizacja), bez udzielania porad medycznych.

Bezpieczeństwo i ocena skutków (DPIA)

Art. 32 RODO wymaga środków technicznych i organizacyjnych adekwatnych do ryzyka. Przy danych zdrowotnych sprawdź u dostawcy:

• szyfrowanie danych w tranzycie i w spoczynku,
• kontrolę dostępu i logowanie działań w panelu,
• procedurę zgłaszania naruszeń ochrony danych (24-72 godziny na reakcję administratora wymagają szybkiego informowania przez dostawcę),
• zasady usuwania nagrań i transkrypcji.

Warto też rozważyć ocenę skutków dla ochrony danych (DPIA, art. 35). Przetwarzanie danych zdrowotnych z użyciem nowych technologii często spełnia przesłanki, by ją przeprowadzić. Nawet jeśli ostatecznie uznasz, że nie jest obowiązkowa, udokumentowana analiza ryzyka to dobra ochrona na wypadek kontroli.

Nie zapomnij o aktualizacji rejestru czynności przetwarzania (art. 30) i o nadaniu uprawnień tylko tym pracownikom, którzy faktycznie potrzebują dostępu do nagrań czy transkrypcji.

Zautomatyzowane decyzje (art. 22)

Art. 22 RODO dotyczy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę. Agent umawiający wizytę zwykle takiej decyzji nie podejmuje: nie ocenia stanu zdrowia ani nie odmawia świadczenia. Granica robi się cieńsza, jeśli agent miałby np. kwalifikować pacjentów według pilności klinicznej. Takie funkcje wymagają osobnej analizy i nadzoru człowieka.

Lista kontrolna przed wdrożeniem

1. Zdefiniuj cel i zakres rozmów agenta (umawianie, informacje ogólne, oddzwanianie).
2. Podpisz umowę powierzenia i zweryfikuj podprocesorów.