Taushetsplikt er en lovfestet plikt til å hindre at andre får kjennskap til personlige opplysninger du får vite om gjennom jobben din. Den gjelder blant annet helsepersonell, advokater og ansatte i offentlig forvaltning. For helsepersonell står hovedregelen i helsepersonelloven § 21. Plikten beskytter opplysninger som kan knyttes til en bestemt person. Fjernes alt som peker på personen, er det juridisk sett ingen hemmelighet igjen å beskytte. Nettopp der oppstår et hull som mange ikke kjenner til når de begynner å bruke KI-verktøy.
Et eksempel fra hverdagen
Fastlege Ingrid Berg (et oppdiktet eksempel) dikterer en epikrise inn i et KI-verktøy for å spare tid. Teksten inneholder pasientens navn, fødselsnummer, diagnosen diabetes type 2, dosering av medisiner og utviklingen i blodprøvene det siste halvåret.
Alt dette er omfattet av taushetsplikten. Om Ingrid i det hele tatt kunne dele epikrisen med verktøyet, er ett spørsmål. Men det finnes et annet spørsmål som sjelden blir stilt: hva skjer med teksten etterpå?
Hvis vilkårene for verktøyet gir leverandøren rett til å bruke innholdet til egne formål, kan navn og fødselsnummer fjernes. Det som står igjen, diagnosen, dosen og utviklingen, er ikke lenger knyttet til en person. Juridisk sett er det da ikke lenger en pasientopplysning, men data. Og data kan lovlig samles, lisensieres og selges.
Hvem har taushetsplikt, og hva sier loven?
Taushetsplikt finnes i mange lover. De viktigste for fagfolk:
- Helsepersonell. Helsepersonelloven § 21 sier at helsepersonell skal hindre at andre får adgang eller kjennskap til opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold de får vite om i egenskap av å være helsepersonell. Det gjelder leger, sykepleiere, psykologer, tannleger og annet helsepersonell.
- Ansatte i offentlig forvaltning. Forvaltningsloven § 13 gir taushetsplikt om noens personlige forhold for alle som utfører tjeneste eller arbeid for et forvaltningsorgan.
- Advokater. Advokater har en streng taushetsplikt om det klienten betror dem, regulert i regelverket for advokater.
Tre ting er verdt å merke seg:
- Plikten er aktiv. For helsepersonell holder det ikke å tie. Du skal hindre at andre får tilgang, for eksempel ved å låse skjermen og bruke sikre systemer.
- Det finnes unntak. Det viktigste er samtykke: taushetsplikten er ikke til hinder for at opplysninger deles i den utstrekning pasienten samtykker (helsepersonelloven § 22). I tillegg finnes lovbestemte opplysningsplikter.
- Brudd får konsekvenser. Statens helsetilsyn kan blant annet gi advarsel eller kalle tilbake autorisasjonen. Brudd på lovbestemt taushetsplikt kan også straffes etter straffeloven § 209, med bot eller fengsel inntil ett år.
Taushetsplikt og personvern er ikke det samme. Personvernforordningen (GDPR), som gjelder i Norge gjennom personopplysningsloven, regulerer behandling av personopplysninger. Taushetsplikten er en yrkesplikt. Men begge bygger på samme hengsel: opplysningen må kunne knyttes til en person. Les mer i Hva er GDPR?.
Dette er generell informasjon, ikke juridisk rådgivning.
Hva taushetsplikten ikke beskytter
Taushetsplikten verner det identifiserbare: navnet, fødselsnummeret, saksnummeret. Den verner ikke det opplysningen er verdt.
- Anonymiserte data faller utenfor. Personvernforordningen gjelder ikke for anonyme opplysninger, altså opplysninger som ikke lenger kan knyttes til en identifiserbar person (fortalepunkt 26). Når ingen kan identifiseres, er det i praksis ingen hemmelighet igjen å bevare. Diagnosen, dosen, kontraktsklausulen og forhandlingsresultatet blir en vare.
- Vilkårene kan gi leverandøren en lisens. Mange tjenester tar i vilkårene en bred rett til å bruke, kopiere og gjenbruke det du laster opp, ikke bare for å levere tjenesten til deg. Ingenting blir stjålet. Du har sagt ja.
- Pseudonymisert er ikke anonymisert. Å bytte navnet ut med en kode gjør opplysningene pseudonymiserte, og de er fortsatt personopplysninger. Forskjellen forklarer vi i Pseudonymisering og anonymisering.
- Reidentifisering er billig. Forskeren Latanya Sweeney viste at rundt 87 prosent av amerikanerne kan identifiseres ut fra postnummer, fødselsdato og kjønn. En studie i Nature Communications (2019) fant at 99,98 prosent kunne reidentifiseres fra 15 egenskaper. Med KI går slik sammenstilling raskt og i stor skala.
Kjøperne av slike data er ikke lyssky. Det er legemiddelprodusenter, forsikringsselskaper, dataformidlere og KI-utviklere, i et åpent marked med kataloger og abonnementer. Hvordan en journal eller en kontrakt kan ende der, viser vi steg for steg på Data Trail, med kilder på Lovlig å selge.
Hva dette betyr når du bruker KI-verktøy
Fem spørsmål du kan stille til ethvert verktøy før du legger inn taushetsbelagte opplysninger:
- Tar leverandøren en lisens til å bruke innholdet ditt til egne formål, også i anonymisert form?
- Er leverandøren databehandler som bare handler på dine instrukser, med en databehandleravtale etter GDPR artikkel 28?
- Trenes modeller på det du skriver, og kan du slå det av?
- Hva skjer ved oppkjøp eller konkurs? Data regnes som en eiendel og kan følge med.
- Hvor lagres data, og hvor lenge hos KI-modellene som brukes?
Husk også at selve adgangen til å dele opplysninger, for eksempel pasientens samtykke, ligger hos deg som fagperson. Verktøyet kan ikke gi den.
Wysor er bygget slik at innholdet ditt aldri havner i det markedet. Wysor er databehandler og handler bare på dine instrukser. Vi tar ingen lisens til å gjenbruke innholdet ditt, vi trener aldri på det og vi selger det aldri, verken anonymisert eller ikke. Disse forpliktelsene står i kontrakten og binder også den som en gang måtte eie Wysor. Data er kryptert under overføring og lagring og driftes i EU, og alle tilkoblede KI-modellleverandører kjører med null datalagring: forespørselen behandles og slettes deretter. Du bruker flere modeller, som GPT, Claude og Gemini, i ett arbeidsområde.
Vanlige spørsmål
Hva betyr taushetsplikt? Taushetsplikt betyr at du ikke kan dele personlige opplysninger du får vite om gjennom jobben, og at du skal hindre at andre får tilgang til dem. Plikten følger av lov, for eksempel helsepersonelloven, forvaltningsloven og reglene for advokater.
Hvem har taushetsplikt? Blant andre helsepersonell, advokater, prester og alle som arbeider for et offentlig forvaltningsorgan. Mange får også taushetsplikt gjennom arbeidsavtalen, selv om den da ikke alltid er lovfestet.
Hva innebærer taushetsplikt for helsepersonell? Helsepersonell skal hindre at andre får kjennskap til opplysninger om pasientens helse og andre personlige forhold (helsepersonelloven § 21). Opplysninger kan deles når pasienten samtykker, eller når loven gir rett eller plikt til det.
Gjelder taushetsplikten etter at jeg har sluttet? Ja. Taushetsplikten opphører ikke når arbeidsforholdet eller behandlingen avsluttes. Det du fikk vite i rollen, er fortsatt taushetsbelagt.
Bryter jeg taushetsplikten hvis jeg bruker ChatGPT? Det avhenger av hva du legger inn og på hvilket grunnlag. OpenAI oppgir at forbrukerversjonen av ChatGPT kan bruke samtaler til modelltrening med mindre du reserverer deg, mens bedrifts- og API-tilgang ikke brukes til trening som standard. Identifiserbare pasient- eller klientopplysninger bør bare inn i verktøy der du har et rettslig grunnlag og en databehandleravtale på plass.
Les mer
- Hva er GDPR? Enkelt forklart
- Pseudonymisering og anonymisering: forskjellen forklart enkelt
- Hva er en databehandleravtale?
- Medisinsk KI for norske leger
- Data Trail: slik blir en journal til en vare
Har du spørsmål om hvordan Wysor håndterer taushetsbelagte opplysninger? Skriv til [email protected] eller bruk kontaktskjemaet i appen.
