Wat Solys bewaart, wat het wist: het dossier voor de DPO
Voordat een ziekenhuis Solys bij echte patiënten gebruikt, moet het precies weten welke gegevens circuleren, waar, en hoe lang. Deze pagina geeft het antwoord zonder afronden, in de volgorde waarin een functionaris voor gegevensbescherming (DPO) zijn vragen stelt. U kunt ze hem zo doorsturen.
- De audio wordt gewist zodra hij getranscribeerd is; de nota en de transcriptie uiterlijk na 24 uur.
- Verwerking en hosting in de Europese Unie; de dictees trainen geen enkel model.
- Een filter haalt de identificatiegegevens weg vóór de opmaak, maar een uitgesproken naam gaat er in de audio aan voorbij.
- Het ziekenhuis blijft verwerkingsverantwoordelijke: zijn schriftelijk akkoord gaat aan het eerste echte gebruik vooraf.
Welke gegevens komen in Solys?
Eén ding: wat de arts dicteert, na zijn zaalronde. Solys maakt geen verbinding met software van het ziekenhuis en leest er niets in. Het neemt de raadpleging, de patiënt en de kamer niet op: de arts spreekt alleen, tegen de machine. De afspraak met de arts is geen enkele identiteit te dicteren: de kamer of het bed volstaat om bij het plakken het juiste dossier terug te vinden.
De weg van een dictee, stap voor stap
| Stap | Wat er gebeurt | Levensduur |
|---|---|---|
| 1. Audio | Opgenomen in de browser, in stukken naar de server gestuurd, getranscribeerd door de transcriptiedienst | Gewist zodra hij getranscribeerd is |
| 2. Filter | Elk getranscribeerd stuk wordt gefilterd: namen, geboortedata, nummers (waaronder het rijksregisternummer) worden weggehaald; het scherm waarschuwt de arts | — |
| 3. Opmaak | De gefilterde transcriptie wordt opgemaakt door een taalmodel dat in Frankrijk gehost wordt, volgens het profiel van de dienst | De dictees dienen om geen enkel model te trainen |
| 4. Nota | Getoond aan de arts, die nakijkt en elk vak in het dossier van de patiënt kopieert | Gewist bij het sluiten van de sessie, uiterlijk na 24 uur |
En als er per vergissing een naam wordt uitgesproken?
De filter werkt op de tekst, dus na de transcriptie. Als de arts een naam uitspreekt, gaat die naam in de audio naar de transcriptiedienst voordat hij gefilterd wordt. De transcriptieleverancier hoort dus bij de perimeter die u aan de DPO meldt.
Geen enkele automatische filter is perfect. Daarom blijft de gebruiksregel eenvoudig: nooit een identiteit dicteren, de kamer volstaat. Als achteraf een identificatiegegeven zou worden opgemerkt, voorziet een procedure de onmiddellijke verwijdering van het betrokken dictee.
Waarom een nota zonder naam een persoonsgegeven blijft
De AVG onderscheidt geanonimiseerde gegevens, waarmee niemand meer te identificeren is, en gepseudonimiseerde gegevens, waaruit de rechtstreekse identiteit is gehaald maar die nog aan een persoon gekoppeld kunnen worden. Overweging 26 is duidelijk: gepseudonimiseerde gegevens blijven persoonsgegevens1. Een nota die de toestand beschrijft van een patiënt van een bepaalde dienst, op een bepaalde dag, kan door het ziekenhuis aan hem gekoppeld worden: ze valt in die categorie.
Het is ook een gegeven over de gezondheid, dat artikel 9 van de AVG bij de bijzondere categorieën van persoonsgegevens rekent1. Praktisch gevolg: de filter verkleint het risico, hij maakt het gebruik niet vrij. Er is een kader nodig.
Wie is waarvoor verantwoordelijk?
- Het ziekenhuis is verwerkingsverantwoordelijke. Het zijn zijn patiënten en zijn dossiers; niet de arts alleen, en niet Solys.
- Solys treedt op als verwerker, op instructie van het ziekenhuis, in het kader van een verwerkersovereenkomst in de zin van artikel 28 van de AVG1.
- De leveranciers van Solys zijn subverwerkers, allemaal Europees. Hun lijst met namen wordt samen met het contract aan de DPO bezorgd.
Afhankelijk van de analyse van het ziekenhuis kan een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35) gevraagd worden. De nodige technische elementen worden op verzoek aan de DPO bezorgd.
Wat na 24 uur bewaard blijft
Niets klinisch. Wat overblijft, en waarom:
- Het formaatprofiel van de dienst: zijn vakken, zijn etiketten, zijn afkortingen. Een beschrijving van een manier van schrijven, zonder enige informatie over een patiënt.
- De geleerde woordenschat: paren « afkorting ↔ uitschrijving » (ETT ↔ échographie transthoracique), nooit de zin waarin ze voorkwamen.
- Gebruiksmetingen zonder inhoud: de datum en de duur van een dictee, bijvoorbeeld. Nooit de tekst.
- Een logboek van de toegangen, dat alleen technische identificatoren bevat, nooit tekst.
Ook de back-ups bevatten niets klinisch.
De vragen die een DPO stelt, en onze antwoorden
| Vraag | Antwoord |
|---|---|
| Waar staan de servers? | In Duitsland. Opmaak in Frankrijk. |
| Bewaartermijn van de audio? | Gewist zodra hij getranscribeerd is. |
| Bewaartermijn van de nota's? | Sluiten van de sessie, hoogstens 24 uur. |
| Gegevens gebruikt om een model te trainen? | Nee. |
| Toegang tot het patiëntendossier van het ziekenhuis? | Geen. De arts kopieert en plakt zelf. |
| Automatisch schrijven in het dossier? | Nooit. De arts valideert alles. |
| Aanmelden van de artsen? | Code van zes cijfers per e-mail, zonder wachtwoord. |
Voor de werking aan de kant van de arts, zie het dicteren van de zaalronde en meerdere patiënten in één keer dicteren.
Veelgestelde vragen
Zijn de gegevens van Solys geanonimiseerd?
Nee. De identificatiegegevens worden door een filter weggehaald, maar een klinische nota over een patiënt blijft een gepseudonimiseerd gegeven, dus een persoonsgegeven in de zin van de AVG. Daarom is het akkoord van het ziekenhuis nodig.
Waar worden de gegevens van Solys verwerkt?
Uitsluitend in de Europese Unie: opmaak in Frankrijk, hosting in Duitsland.
Hoe lang bewaart Solys een dictee?
De audio wordt gewist zodra hij getranscribeerd is. De transcriptie en de nota worden gewist bij het sluiten van de sessie, en uiterlijk na 24 uur.
Wat gebeurt er als een arts de naam van een patiënt zegt?
De naam gaat in de audio naar de transcriptiedienst, daarna haalt de filter hem uit de tekst vóór de opmaak en vóór elke opslag. Omdat de filter niet onfeilbaar is, luidt de afspraak nooit een identiteit te dicteren: de kamer volstaat.
Wie moet Solys in een ziekenhuis toestaan?
Het ziekenhuis, als verwerkingsverantwoordelijke, via een schriftelijk akkoord van zijn DPO of zijn directie, vóór het eerste dictee bij echte patiënten.
Bronnen
- Verordening (EU) 2016/679 van 27 april 2016 (AVG), overweging 26 en artikelen 4, 9, 28 en 35. eur-lex.europa.eu
Door Klaas Sabbe, oprichter van Solys · bijgewerkt op . Een fout, een aanvulling? Schrijf ons: solys@solyshealth.com.