Tavshedspligt er en lovbestemt pligt til ikke at videregive fortrolige oplysninger om andre, som du får kendskab til gennem dit arbejde. Den gælder blandt andet sundhedspersoner, advokater og ansatte i det offentlige. For sundhedspersoner står reglen i sundhedsloven § 40, og for offentligt ansatte er brud strafbart efter straffeloven § 152. Pligten beskytter oplysninger, der kan knyttes til en bestemt person. Fjernes alt, der peger på personen, er der juridisk set ingen hemmelighed tilbage. Netop dér opstår et hul, som mange overser, når de tager AI-værktøjer i brug.
Et eksempel fra hverdagen
Praktiserende læge Mette Lund (et opdigtet eksempel) dikterer en epikrise ind i et AI-værktøj for at spare tid. Teksten indeholder patientens navn, CPR-nummer, diagnosen type 2-diabetes, medicindoser og udviklingen i blodprøverne det seneste halve år.
Alt dette er omfattet af tavshedspligten. Om Mette overhovedet måtte dele epikrisen med værktøjet, er ét spørgsmål. Men der er et andet spørgsmål, som sjældent bliver stillet: hvad sker der med teksten bagefter?
Hvis værktøjets vilkår giver udbyderen ret til at bruge indholdet til egne formål, kan navn og CPR-nummer fjernes. Det, der er tilbage, diagnosen, dosen og forløbet, er ikke længere knyttet til en person. Juridisk set er det ikke længere en patientoplysning, men data. Og data kan lovligt samles, licenseres og sælges.
Hvem har tavshedspligt, og hvad siger loven?
Tavshedspligt findes i flere love. De vigtigste for fagfolk:
- Sundhedspersoner. Efter sundhedsloven § 40 har en patient krav på, at sundhedspersoner iagttager tavshed om det, de under udøvelsen af deres erhverv erfarer eller får formodning om angående helbredsforhold og andre fortrolige oplysninger. Det gælder læger, sygeplejersker, tandlæger, psykologer og andre sundhedspersoner.
- Offentligt ansatte. Den, der virker i offentlig tjeneste eller hverv, og som uberettiget videregiver eller udnytter fortrolige oplysninger, kan straffes efter straffeloven § 152 med bøde eller fængsel indtil 6 måneder. Forvaltningsloven indeholder desuden regler om tavshedspligt i den offentlige forvaltning.
- Advokater. Advokater har en streng tavshedspligt om det, klienten betror dem, efter de regler der gælder for advokatstanden.
Tre ting er værd at hæfte sig ved:
- Pligten gælder både det, du ved, og det, du formoder. Sundhedsloven dækker også oplysninger, sundhedspersonen "får formodning om".
- Der er undtagelser. Den vigtigste er samtykke: oplysninger kan videregives, når patienten har givet samtykke. Derudover findes lovbestemte oplysningspligter.
- Brud har konsekvenser. Ud over straf kan brud få betydning for autorisationen og føre til erstatningskrav.
Tavshedspligt og databeskyttelse er ikke det samme. Databeskyttelsesforordningen (GDPR) og databeskyttelsesloven regulerer behandling af personoplysninger, mens tavshedspligten er en erhvervspligt. Men begge hviler på samme hængsel: oplysningen skal kunne knyttes til en person. Læs mere i Hvad er GDPR?.
Dette er generel information, ikke juridisk rådgivning.
Hvad tavshedspligten ikke beskytter
Tavshedspligten værner om det identificerbare: navnet, CPR-nummeret, sagsnummeret. Den værner ikke om det, oplysningen er værd.
- Anonymiserede data falder udenfor. Databeskyttelsesreglerne gælder ikke for anonyme oplysninger, altså oplysninger der ikke længere kan knyttes til en identificerbar person (betragtning 26 i GDPR). Når ingen kan identificeres, er der i praksis ingen hemmelighed tilbage at bevare. Diagnosen, dosen, kontraktklausulen og forhandlingsresultatet bliver en vare.
- Vilkårene kan give udbyderen en licens. Mange tjenester tager i deres vilkår en bred ret til at bruge, kopiere og genbruge det, du uploader, ikke kun for at levere tjenesten til dig. Intet bliver stjålet. Du har sagt ja.
- Pseudonymiseret er ikke anonymiseret. At udskifte navnet med en kode gør oplysningerne pseudonymiserede, og de er stadig personoplysninger. Forskellen forklarer vi i Pseudonymisering og anonymisering.
- Genidentifikation er billig. Forskeren Latanya Sweeney viste, at omkring 87 procent af amerikanerne kan identificeres ud fra postnummer, fødselsdato og køn. Et studie i Nature Communications (2019) fandt, at 99,98 procent kunne genidentificeres ud fra 15 egenskaber. Med AI sker den slags sammenkobling hurtigt og i stor skala.
Køberne af sådanne data er ikke lyssky. Det er lægemiddelproducenter, forsikringsselskaber, datamæglere og AI-udviklere på et åbent marked med kataloger og abonnementer. Hvordan en journal eller en kontrakt kan ende dér, viser vi trin for trin på Data Trail, med kilder på Lovligt at sælge.
Hvad det betyder, når du bruger AI-værktøjer
Fem spørgsmål, du kan stille til ethvert værktøj, før du lægger fortrolige oplysninger ind:
- Tager udbyderen en licens til at bruge dit indhold til egne formål, også i anonymiseret form?
- Er udbyderen databehandler, der kun handler efter dine instrukser, med en databehandleraftale efter GDPR artikel 28?
- Trænes modeller på det, du skriver, og kan du slå det fra?
- Hvad sker der ved opkøb eller konkurs? Data regnes som et aktiv og kan følge med.
- Hvor opbevares data, og hvor længe hos de AI-modeller, der bruges?
Husk også, at selve adgangen til at videregive oplysninger, for eksempel patientens samtykke, ligger hos dig som fagperson. Det kan værktøjet ikke give dig.
Wysor er bygget, så dit indhold aldrig ender på det marked. Wysor er databehandler og handler kun efter dine instrukser. Vi tager ingen licens til at genbruge dit indhold, vi træner aldrig på det, og vi sælger det aldrig, hverken anonymiseret eller ej. Forpligtelserne står i kontrakten og binder også den, der en dag måtte eje Wysor. Data er krypteret under overførsel og opbevaring og hostes i EU, og alle tilsluttede AI-modeludbydere kører med nul datalagring: forespørgslen behandles og slettes derefter. Du bruger flere modeller, som GPT, Claude og Gemini, i ét arbejdsområde.
Ofte stillede spørgsmål
Hvad betyder tavshedspligt? Tavshedspligt betyder, at du ikke må videregive fortrolige oplysninger om andre, som du får kendskab til gennem dit arbejde. Pligten følger af lov, for eksempel sundhedsloven, straffeloven og reglerne for advokater.
Hvem har tavshedspligt? Blandt andre sundhedspersoner, advokater og alle, der arbejder i offentlig tjeneste. Mange privatansatte har også tavshedspligt via deres ansættelseskontrakt, selv om den så ikke altid er lovbestemt.
Hvad betyder tavshedspligt for sundhedspersoner? Sundhedspersoner skal iagttage tavshed om patientens helbredsforhold og andre fortrolige oplysninger (sundhedsloven § 40). Oplysninger kan videregives, når patienten samtykker, eller når loven giver ret eller pligt til det.
Gælder tavshedspligten, efter jeg er stoppet? Ja. Tavshedspligten ophører ikke, når ansættelsen eller behandlingen slutter. Det, du fik at vide i din rolle, er stadig fortroligt.
Bryder jeg tavshedspligten, hvis jeg bruger ChatGPT? Det afhænger af, hvad du lægger ind, og på hvilket grundlag. OpenAI oplyser, at forbrugerversionen af ChatGPT kan bruge samtaler til modeltræning, medmindre du fravælger det, mens erhvervs- og API-adgang som standard ikke bruges til træning. Identificerbare patient- eller klientoplysninger bør kun ind i værktøjer, hvor du har et retligt grundlag og en databehandleraftale på plads.
Læs mere
- Hvad er GDPR? Forklaret enkelt
- Pseudonymisering og anonymisering: forskellen forklaret enkelt
- Hvad er en databehandleraftale?
- Medicinsk AI i Danmark
- Data Trail: sådan bliver en journal til en vare
Har du spørgsmål om, hvordan Wysor håndterer fortrolige oplysninger? Skriv til [email protected] eller brug kontaktformularen i appen.
