Een product dat bij de Amerikaanse grens stopt

Op 23 juli kon een gewone ChatGPT-gebruiker in de Verenigde Staten voor het eerst een ziekenhuisdossier en een activiteitsmeter in hetzelfde chatvenster leggen. OpenAI begon Health uit te rollen naar ingelogde gebruikers vanaf 18 jaar op web en iOS, over de niveaus Free, Go, Plus en Pro. De functie koppelt elektronische medische dossiers en Apple Health, samen met diensten als Function, MyFitnessPal, Weight Watchers, AllTrails, Instacart en Peloton, en kan laboratoriumuitslagen over de tijd vergelijken, samenvatten wat er sinds een afspraak veranderde en patronen in slaap en beweging herkennen.

Waarom dit telt: de privacyvoorwaarden zijn ongewoon expliciet. Gesprekken zijn versleuteld tijdens verzending en in rust, gekoppelde gezondheidsinformatie krijgt extra versleuteling, en OpenAI stelt dat gekoppelde dossiers, gegevens uit Apple Health en de gesprekken die deze gebruiken niet dienen om de basismodellen te trainen of advertenties te richten, ongeacht welke trainingsinstelling een gebruiker heeft gekozen. Standaard vraagt de assistent toestemming voordat hij een gekoppeld dossier gebruikt om een antwoord persoonlijk te maken.

Dat alles is niet het interessante deel. Het interessante deel is de kaart. De functie bestaat in de Verenigde Staten en nergens anders, zonder aangekondigde Europese datum en zonder tijdpad voor Android. Een bedrijf dat in honderd landen tegelijk uitrolt koos hier één rechtsgebied, en dat is een uitspraak over recht en niet over techniek.

Twee stelsels die verschillende dingen beschermen

De Amerikaanse wet over vertrouwelijkheid in de zorg bindt een omschreven lijst van partijen: zorgaanbieders, zorgverzekeraars, verrekenkantoren en de bedrijven die namens hen werken. Het is een regel over bewaarders. Wanneer een patiënt zijn recht uitoefent om een kopie van het eigen dossier te krijgen en die kopie ergens anders heen brengt, verlaat de kopie de kring van gereguleerde bewaarders, en het ontvangende bedrijf is gebonden aan wat het in zijn eigen voorwaarden heeft beloofd en niet aan de wet. OpenAI is geen zorgaanbieder, geen verzekeraar en geen opdrachtnemer van die partijen, en valt dus al naar zijn opzet buiten die kring.

De Europese positie is structureel anders. Gegevens over gezondheid zijn een bijzondere categorie op grond van artikel 9 van de Algemene verordening gegevensbescherming, en het verwerkingsverbod volgt de gegevens en niet de organisatie die ze houdt. Een verwerker in Dublin, een start-up in Lissabon en een ziekenhuis in München beginnen bij dezelfde regel, en elk van hen heeft een specifieke grondslag nodig voordat er überhaupt verwerkt mag worden. In het Amerikaanse model is bescherming een eigenschap van de houder. In het Europese model is bescherming een eigenschap van het dossier.

Ja, maar: de Europese positie is voor de enkele persoon niet vanzelf de betere. Een patiënt in Rotterdam die zijn eigen gegevens echt wil samenbrengen stuit op wrijving die een Amerikaanse gebruiker niet kent, en wrijving heeft haar eigen prijs in zorg en gemak. Het gaat er niet om welk stelsel vriendelijker is. Het gaat erom dat zij de plicht bij verschillende partijen leggen, en een ondernemer moet weten welke partij hij is.

Wat te regelen voordat dit uw personeel bereikt

Bepaal nu of gezondheidsinformatie überhaupt in een assistent mag komen die uw organisatie afneemt. Rapporten van de bedrijfsarts, verzuimregistraties, beoordelingen bij werkhervatting, correspondentie met verzekeraars en exports uit gezondheidsapps zijn in Europese zin allemaal gezondheidsgegevens, en zij bereiken gewone kantoorhulpmiddelen veel vaker dan de meeste beleidsstukken toegeven. Benoem welke hulpmiddelen die mogen ontvangen en welke niet, in taal die een leidinggevende kan toepassen zonder de juridische afdeling te bellen.

Leg een grondslag uit artikel 9 vast en rond de effectbeoordeling af vóór de uitrol in plaats van na een incident. Grootschalige verwerking van bijzondere categorieën is een van de gevallen waarin een beoordeling wordt verwacht, en haar vroeg schrijven is de goedkoopste vorm van dat werk. Zij levert bovendien precies het document op waar een toezichthouder als eerste om vraagt, waardoor een zwaar verzoek een administratieve handeling wordt.

Beschouw toestemming van werknemers als niet beschikbaar. De gegevensbeschermingsautoriteiten in de Unie houden een constante lijn aan: een werknemer kan een werkgever niet vrijelijk weigeren, waardoor toestemming een zwakke grondslag is voor alles wat op het werk met gezondheid te maken heeft. Bouw op een andere grondslag, leg vast waarom u die koos en laat het hulpmiddel binnen die keuze werken. Wie dit regelt voordat een product Europa bereikt, kiest de voorwaarden. Wie het daarna regelt, aanvaardt die van een ander.

Lees hierna: Uw bedrijfspagina krijgt deze nieuwe badge niet  |  Google heropent je account met een gezichtsvideo