Datatilsynets udtalelse om behandlingsgrundlag for AI-løsning inden for sundheds- og omsorgsområdet: Udvikling OK, drift kræver klarere hjemmel

Københavns Kommune har anmodet Datatilsynet om en vurdering af, om kommunen har tilstrækkelig hjemmel til at udvikle, drive og gentræne en AI-løsning. Denne AI-løsning skal kunne identificere borgere, der har behov for vedligeholdende træning og rehabiliterende indsats. Datatilsynet har afgrænset sin vurdering til spørgsmålet om behandlingsgrundlaget og har ikke vurderet andre databeskyttelsesretlige eller sundhedsretlige aspekter.

Kommunen ønsker at bruge AI-løsningen som et beslutningsstøtteværktøj for sagsbehandlere i sundheds- og omsorgsforvaltningen. Formålet er at fastholde borgernes funktionsniveau så længe som muligt ved at sikre, at de rettidigt får den rette træning eller rehabilitering. Algoritmen skal trænes på kommunens egne oplysninger fra historiske sager, herunder personoplysninger fra patientjournaler, visitationssager og oplysninger nødvendige for at udføre den tildelte ydelse.

De behandlede personoplysninger omfatter bl.a. personnummer, alder, køn, oplysninger om tilbud om genoptræning, hjælpemidler og genoptræningsforløb. Datatilsynet vurderer, at både træning og drift af AI-løsningen vil indebære behandling af personoplysninger og særlige kategorier af personoplysninger, herunder helbredsoplysninger.

Kommunens argumenter

• AI-løsningen skal understøtte visitatorers faglige vurdering.
• Algoritmen skal trænes på kommunens egne oplysninger.
• Formålet er at sikre, at borgerne rettidigt får den rette vedligeholdende træning eller rehabiliterende indsats.

Datatilsynets vurdering

• Databeskyttelsesforordningens artikel 6, stk. 1, litra e, om offentlig myndighedsudøvelse, er et relevant grundlag for behandlingen af personoplysninger.
• Behandling af særlige kategorier af personoplysninger kan ske efter databeskyttelsesforordningens artikel 9, stk. 2, litra g.
• Begge bestemmelser forudsætter et supplerende nationalt retsgrundlag.
• Kravet til klarheden af det supplerende retsgrundlag afhænger af, hvor indgribende behandlingen af personoplysninger er for borgeren.

Datatilsynet vurderer, at servicelovens bestemmelser om kommunens forpligtelse til at træffe afgørelse om træning og rehabiliterende indsats kan udgøre et tilstrækkeligt retsgrundlag for udvikling og gentræning af AI-løsningen, men ikke for driften af løsningen.

Afgørelse

Datatilsynet vurderer, at Københavns Kommune har et tilstrækkeligt behandlingsgrundlag for udvikling og gentræning af en AI-løsning til at identificere borgere med behov for vedligeholdende træning og rehabiliterende indsats. Dog er det Datatilsynets vurdering, at det eksisterende retsgrundlag ikke er tilstrækkeligt klart til at understøtte driften af løsningen.