DPIA (Vurdering av personvernkonsekvenser)

DPIA (Data Protection Impact Assessment), på norsk kalt vurdering av personvernkonsekvenser, er et krav i GDPR artikkel 35. Du må gjennomføre en DPIA før du tar i bruk ny teknologi som sannsynligvis vil medføre høy risiko for personers rettigheter og friheter.

For fastleger er DPIA aktuelt når du innfører KI-verktøy som behandler pasientdata. Helseopplysninger er en spesiell kategori personopplysninger med strengere krav, og bruk av ny teknologi (som KI) til å behandle slike data utløser normalt DPIA-plikt.

En DPIA skal inneholde en systematisk beskrivelse av behandlingen, en vurdering av nødvendigheten og proporsjonaliteten, en risikovurdering for de registrertes rettigheter, og planlagte tiltak for å håndtere risikoen.

I praksis betyr dette at du bør dokumentere hvilke personopplysninger KI-verktøyet behandler, hvilken risiko behandlingen utgjør for pasientenes personvern, og hvilke tiltak du har satt i verk for å redusere risikoen. Mange legekontor bruker TrinnVis til å gjennomføre slike vurderinger.

Manglende DPIA ved bruk av ChatGPT eller andre generelle språkmodeller med pasientdata er et selvstendig GDPR-brudd, uavhengig av de andre problemene ved slik bruk.

Et legekontor vurderer å innføre et KI-transkriberings-verktøy. Før de starter, gjennomfører kontorlederen en DPIA via TrinnVis. De kartlegger at verktøyet behandler lydopptak med pasientopplysninger, at data lagres i Norge, at leverandøren har databehandleravtale, og at lydopptak slettes automatisk. De vurderer risikoen som akseptabel etter tiltak, dokumenterer vurderingen, og tar verktøyet i bruk.