DPIA (Vurdering av personvernkonsekvenser)

DPIA (Data Protection Impact Assessment) er en vurdering av konsekvenser for de registrertes rettigheter og friheter etter GDPR artikkel 35. Den skal gjennomføres før behandling som sannsynligvis medfører høy risiko.

Sjekk først Datatilsynets liste over behandlinger som alltid krever DPIA. Listen omfatter blant annet innovativ teknologi sammen med minst ett annet risikokriterium, som helseopplysninger. KI med pasientdata vil derfor ofte omfattes. En liten praksis er ikke generelt fritatt.

Vurderingen beskriver behandlingen, nødvendighet og forholdsmessighet, risiko for pasientene og tiltak som håndterer risikoen. Behandlingsansvarlig beholder ansvaret selv om leverandør eller rådgiver bistår. En eksisterende vurdering kan brukes for tilstrekkelig lik behandling, med nødvendige lokale tilpasninger.

Ved gjenværende høy risiko som ikke kan reduseres tilstrekkelig, kreves forhåndsdrøftelse med Datatilsynet. Vurderingen må gjennomgås når risikoen endrer seg. Den erstatter ikke øvrige krav til lovlig behandling.

Et legekontor planlegger KI-transkribering. Det kartlegger hvilke tjenester som mottar lyd og tekst, vurderer nødvendighet og risiko, og undersøker dokumentasjon for tilgang og sletting. Kontoret avklarer tiltak og eventuell forhåndsdrøftelse før oppstart.