Personvernkonsekvensvurdering (DPIA) – underlag for klinikker
Hva dette er
Når en klinikk tar i bruk MedAid på sine pasienter, krever personvernforordningen (GDPR artikkel 35) at klinikken gjennomfører en personvernkonsekvensvurdering, ofte kalt DPIA. Klinikken er dataansvarlig og må selv ta beslutningen og signere. MedAid er databehandler og skal gi klinikken all informasjon den trenger for å gjøre vurderingen (GDPR artikkel 28 nr. 3 bokstav f og Normens veileder for leverandører).
Denne siden gir deg det underlaget. Dokumentet følger Helsedirektoratets mal for personvernkonsekvensvurdering (HITR 1243:2022). Alle deler som handler om hvordan MedAid fungerer er ferdig utfylt. Delene som bare klinikken kan svare på er markert og står tomme.
Last ned
- MedAid – DPIA-underlag, versjon 0.4 (Word, .docx) – utfylt mal med behandlingsoversikt (A11) og vedlegg: dataflyt, sikkerhetstiltak, underleverandører og åpne tiltak.
- Helsedirektoratets originale mal og veiledning – hvis klinikken heller vil bruke sin egen kopi av malen.
Slik bruker klinikken dokumentet
- Les gjennom del B (beskrivelse av behandlingen) og del D (vurdering) og kontroller at beskrivelsen stemmer med hvordan klinikken faktisk bruker MedAid.
- Fyll ut punktene som er merket «Fylles ut av dataansvarlig»: A1–A4 (klinikkens navn, rolle og beskrivelse), A6–A7 (deltakere og personvernombud), C2–C5 (behovsvurdering og beslutning) og del E (innspill og ledelsens beslutning).
- Har klinikken personvernombud, skal ombudet uttale seg før leder beslutter (punkt C2–C3 og E3).
- Leder signerer punkt E5 og E6 og setter dato for neste gjennomgang. Vi anbefaler årlig gjennomgang, og ny gjennomgang hver gang MedAid varsler om endring av KI-modell, lagringssted eller underleverandør.
- Oppbevar det signerte dokumentet i klinikkens internkontroll. Send gjerne en kopi til oss, så kan vi varsle dere direkte ved endringer.
Merk at Normen krever at klinikken gjør sin egen vurdering. Det er ikke nok å legge MedAids vurdering til grunn uten å ta stilling til den. Underlaget er laget for at dette skal kunne gjøres på kort tid, men det erstatter ikke klinikkens beslutning.
Underleverandører i kortform
Fullstendig liste med roller, land og avtalegrunnlag står i vedlegg 3 i dokumentet.
| Leverandør | Brukes til | Hvor data behandles |
|---|---|---|
| Microsoft Azure – Azure OpenAI | Transkripsjon av lyd og generering av utkast | Ressurs i Sverige (Sweden Central). Språkmodeller behandles i EU-datasonen; transkripsjon kan behandles i annen Microsoft-geografi (se dokumentet, T17). |
| Microsoft Azure – App Service, Container Instances, Cosmos DB for MongoDB, Blob Storage, AI Search, Cache for Redis, Key Vault, Log Analytics | Drift, lagring, søk, logger | Norge (Norway East) |
| Microsoft Azure – Static Web Apps | Levering av nettsiden | Nederland (West Europe) |
| Microsoft Azure – Communication Services | Videokonsultasjon og e-post | Datalokasjon Norge |
| Microsoft Azure – Document Intelligence | Tekstuthenting fra opplastede dokumenter | Norge (Norway East) |
| Criipto | BankID-innlogging for helsepersonell | EU/EØS |
| Vipps MobilePay | Innlogging for pasienter på faste skjemalenker og «Mine sider» (bare en pseudonym ID, ingen helseopplysninger; Vipps er selvstendig behandlingsansvarlig for innloggingen) | Norge/EU |
| Stripe | Betaling av abonnement (ingen pasientdata) | USA/EU – kun kundedata for legen/klinikken |
Spørsmål
Spørsmål om dokumentet, om databehandleravtale eller om sikkerhetsdokumentasjon sendes til post@medaid.no.