Zaprosilo za mnenje glede uporabe telefonskega AI asistenta v zdravstvenih ustanovah

Datum

15.06.2026

Številka

07121-1/2026/581

Kategorije

Informiranje posameznika, Moderne tehnologije, Ocene učinkov v zvezi z varstvom podatkov, Zdravstveni osebni podatki, Umetna inteligenca, Pravne podlage, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis glede uvedbe telefonskega asistenta za vhodne telefonske klice v zdravstvenih ustanovah, vključno z javnimi lekarnami, zdravstvenimi domovi, ambulantami in drugimi izvajalci zdravstvenih storitev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

1.

Vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – mora izpolnjevati vsa pravila varstva osebnih podatkov. Večina komercialno dostopnih orodij UI je trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.

2.

Za obdelavo posebnih vrst osebnih podatkov, kot npr. podatkov o zdravstvenem stanju posameznika, mora biti poleg pravne podlage iz 6. člena Splošne uredbe podana tudi ena izmed izjem iz 9. člena Splošne uredbe.

3.

V skladu z načelom odgovornosti mora upravljavec izkazati ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.

4.

Upravljavec mora v skladu s 13. členom Splošne uredbe posameznike obvestiti o nekaterih pomembnih vidikih obdelave njihovih osebnih podatkov, kot na primer glede identitete upravljavca, namena obdelave, roka hrambe in pravic, ki pripadajo posamezniku.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

V življenjskem ciklu sistema UI lahko poteka ena ali več obdelav osebnih podatkov (na primer v fazi učenja modela UI, testiranja in kasnejše uporabe sistema UI). IP opozarja, da mora vsaka obdelava osebnih podatkov – na primer vnos v orodje UI, hramba, posredovanje – izpolnjevati vsa pravila varstva osebnih podatkov. Temeljiti mora na zakoniti pravni podlagi, zagotovljene morajo biti pravice posameznikov, spoštovana temeljna načela in zagotovljena ustrezna varnost podatkov. Če so izpolnjeni vsi pogoji, potem je lahko obdelava osebnih podatkov dopustna. Kljub temu pa pri tem IP izpostavlja, da je večina komercialno dostopnih orodij UI trenutno problematičnih najmanj iz vidika zagotavljanja varstva pravic posameznikov skladno s Splošno uredbo.

IP dalje opozarja tudi na specifična tveganja pri uporabi sistemov UI, na primer na možnost, da se bo izbrani sistem UI nadalje učil na podatkih, ki jih je zajel z zvočnim posnetkom. Pri tem sta lahko vprašljiva predvsem pravna podlaga ter obseg spoštovanja načela omejitve namena. Če se bo sistem UI lahko učil na zbranih podatkih, se zastavljata tudi vprašanji, ali je podana pravna podlaga za hrambo zvočnih posnetkov in ali obstaja možnost dostopa nepooblaščenih oseb do le-teh. IP ob tem opozarja na spoštovanje načela najmanjšega obsega podatkov, ki od upravljavcev zahteva, da so podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Če podatki niso potrebni za namen, ki ga zasleduje obdelava osebnih podatkov, jih upravljavec za ta namen ne sme obdelovati. Zbiranje in hramba osebnih podatkov »na zalogo« brez jasno določenega namena obdelave, ni dopustna. Nenazadnje pa se pri uporabi tujih komercialnih orodij UI zastavlja tudi vprašanje, ali se osebni podatki prenašajo v tretje države (zunaj EU), za kar je potrebna ločena pravna podlaga.

IP dodatno izpostavlja, da mora biti za obdelavo posebnih vrst osebnih podatkov, kot npr. podatkov o zdravstvenem stanju posameznika, poleg pravne podlage iz 6. člena Splošne uredbe podana tudi ena izmed izjem iz 9. člena Splošne uredbe.

V zvezi z zapisanim IP pojasnjuje, da je v skladom z načelom odgovornosti naloga upravljavca, da izkaže ustrezno pravno podlago za obdelavo osebnih podatkov in uporabo ustreznih mehanizmov za zagotavljanje varstva osebnih podatkov.

Glede preglednosti obdelav osebnih podatkov IP pojasnjuje, da mora upravljavec, kadar pridobi osebne podatke od posameznika, ki se nanj nanašajo, v skladu s 13. členom Splošne uredbe posameznika obvestiti o nekaterih pomembnih vidikih obdelave njegovih osebnih podatkov, na primer glede identitete upravljavca, namena obdelave, roka hrambe in pravic, ki posamezniku pripadajo. Obseg informacij, ki jih mora upravljavec zagotoviti, je naveden v 13. členu Splošne uredbe.

Glede obveznosti priprave ocene učinkov IP pojasnjuje, da je v skladu s 35. členom Splošne uredbe ocena učinkov obvezna, če bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Upravljavci jo pripravijo zlasti v primeru:

a)

sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo;

b)

obsežne obdelave občutljivih podatkov ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški, ali

c)

obsežnega sistematičnega spremljanja javno dostopnega območja.

IP je že pripravil seznam obdelav, za katere je ocena učinkov obvezna. Glede na kriterije, ki sprožijo obveznost priprave ocene učinka, na primer masovno zbiranje podatkov, kombiniranje podatkov iz različnih podatkovnih zbirk, analitika na podlagi masovnih podatkov, inovativna raba novih tehnologij, obstaja velika verjetnost, da bo vsaj obdelava osebnih podatkov pri razvoju sistemov UI zahtevala pripravo ocene učinka. Več o varstvu osebnih podatkov na področju umetne inteligence si lahko preberete na spletni strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/umetna-inteligenca-in-varstvo-osebnih-podatkov.

Kar zadeva vprašanja glede zvočnega snemanja telefonskih klicev, v katerih se sklicujete na določbe Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22, 18/23 – ZDU-1O in 40/25 – ZInfV-1, v nadaljevanju: ZEKom-2), IP pojasnjuje, da ni pristojen za nadzor nad izvrševanjem 214. člena ZEKom-2, ki med drugim ureja tudi pogoje za zakonito snemanje telefonskih pogovorov. Zato tudi ni pristojen za dajanje mnenj glede uporabe tega člena. Za nadzor nad 214. členom ZEKom-2 je pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS). Zato vam predlagamo, da se za mnenje obrnete na AKOS.

Dodatno IP opozarja tudi na obveznosti na podlagi novega Akta o umetni inteligenci (Uredba (EU) 2024/1689 Evropskega parlamenta in Sveta z dne 13. junija 2024 o določitvi harmoniziranih pravil o umetni inteligenci in spremembi uredb (ES) št. 300/2008, (EU) št. 167/2013, (EU) št. 168/2013, (EU) 2018/858, (EU) 2018/1139 in (EU) 2019/2144 ter direktiv 2014/90/EU, (EU) 2016/797 in (EU) 2020/1828, v nadaljevanju: Akt o UI).

Skladno s točko 5(d) Priloge III v povezavi z drugim odstavkom 6. člena Akta o UI so kot visoko tvegani sistemi UI razvrščeni sistemi UI za ocenjevanje in razvrščanje nujnih klicev fizičnih oseb ali za napotitev služb za ukrepanje ob nesrečah, vključno s policijo, gasilci in medicinsko pomočjo, ali določanje prednosti pri njihovi napotitvi, ter sistemi za nujno zdravstveno triažo pacientov. V primeru, da bi bilo sistem UI mogoče razvrstiti kot visoko tvegan v skladu z navedeno točko, je treba zagotoviti, da je njegovo delovanje skladno z določbami Oddelkov II in III v Poglavju III Akta o UI, ki urejata obveznosti, ki veljajo za visoko tvegane sisteme, kot npr. vodenje tehnične dokumentacije, zagotavljanje transparentnosti in vpeljava človeškega nadzora. Za nadzor nad izvajanjem obveznosti po tč. 5(d) Priloge III je pristojna AKOS.

Ponudniki sistemov UI morajo skladno s prvim odstavkom 50. člena Akta o umetni inteligenci poleg tega tudi zagotoviti, da so sistemi UI, ki so namenjeni neposredni interakciji s fizičnimi osebami, zasnovani in razviti tako, da so zadevne fizične osebe obveščene, da so v interakciji s sistemom UI, razen če je to očitno z vidika razmeroma dobro obveščene, pozorne in preudarne fizične osebe ob upoštevanju okoliščin in konteksta uporabe. Za nadzor nad izvajanjem obveznosti iz te določbe je prav tako pristojna AKOS.

V upanju, da ste prejeli odgovore na vaša vprašanja vas lepo pozdravljamo,

dr. Jelena Virant Burnik

Informacijska pooblaščenka