ChatGPT a devenit un instrument la îndemână pentru un e-mail, un rezumat sau o formulare mai clară. Întrebarea serioasă apare când în fereastra de chat ajung date medicale despre pacient: o anamneză, rezultatele unei investigații, o scrisoare medicală de reformulat. Într-un cont personal, acest lucru riscă să încalce atât GDPR (în română, RGPD), cât și legislația română privind confidențialitatea datelor pacientului. Mai jos explicăm de ce, pe baza textelor oficiale, și cum arată o variantă conformă.
Acest articol oferă informații generale și nu constituie consultanță juridică. Pentru situația concretă a clinicii dumneavoastră, discutați cu un avocat sau cu responsabilul cu protecția datelor.
De ce sunt datele pacienților o „categorie specială”?
GDPR definește datele privind sănătatea drept date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea ei de sănătate (art. 4 pct. 15). Considerentul 35 arată cât de largă este noțiunea: include informațiile colectate la înscrierea pentru servicii medicale, rezultatele testelor și ale examinărilor și chiar un număr atribuit pacientului pentru identificarea lui în scopuri medicale.
Articolul 9 interzice, ca regulă, prelucrarea acestor date. Activitatea medicală curentă se sprijină, de regulă, pe excepția de la alineatul (2) litera (h): stabilirea unui diagnostic, furnizarea de asistență medicală sau a unui tratament. Iar alineatul (3) adaugă o condiție: datele trebuie prelucrate de un profesionist supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia.
Legea drepturilor pacientului nr. 46/2003 adaugă regulile românești:
- toate informațiile privind starea pacientului, rezultatele investigațiilor, diagnosticul, prognosticul, tratamentul și datele personale sunt confidențiale chiar și după decesul acestuia (art. 21);
- informațiile confidențiale pot fi furnizate numai dacă pacientul își dă consimțământul explicit sau dacă legea o cere în mod expres (art. 22);
- consimțământul nu mai este obligatoriu când informațiile sunt necesare altor furnizori de servicii medicale acreditați, implicați în tratamentul pacientului (art. 23).
Un serviciu de chat de uz general nu este un furnizor de servicii medicale implicat în tratamentul pacientului.
Cine răspunde pentru date: operatorul și persoana împuternicită
Operatorul este cel care stabilește scopurile și mijloacele prelucrării (art. 4 pct. 7). În practică, operatorul este de regulă clinica sau cabinetul medical. Persoana împuternicită de operator este cea care prelucrează datele în numele operatorului (art. 4 pct. 8), de exemplu un furnizor de software.
Articolul 28 stabilește condițiile. Operatorul poate folosi doar persoane împuternicite care oferă garanții suficiente (alin. 1), iar relația trebuie reglementată printr-un contract scris, inclusiv în format electronic (alin. 3 și 9). Contractul prevede, printre altele, că furnizorul:
- prelucrează datele doar pe baza instrucțiunilor documentate ale operatorului;
- se asigură că persoanele care au acces la date s-au angajat să respecte confidențialitatea;
- aplică măsurile de securitate cerute de art. 32;
- nu apelează la alți subcontractanți fără autorizarea scrisă a operatorului;
- șterge sau returnează datele la încetarea serviciului, la alegerea operatorului;
- permite audituri și inspecții din partea operatorului.
Contractul este obligatoriu: lipsa lui încalcă, în sine, art. 28 și lasă clinica fără garanțiile de mai sus. Dacă furnizorul folosește datele în scopuri proprii, ca operator, datele pacientului ajung, de fapt, la un terț.
Ce spun termenii ChatGPT pentru contul personal?
Potrivit paginilor publicate de OpenAI (consultate în octombrie 2026), pentru serviciile destinate persoanelor fizice, cum este ChatGPT, compania poate folosi conținutul utilizatorului pentru antrenarea modelelor. Utilizatorul poate refuza din Settings > Data controls, dezactivând opțiunea „Improve the model for everyone” (denumirile din interfața în limba engleză). Chiar și după dezactivare, dacă trimiteți feedback la un răspuns, de exemplu cu butoanele de apreciere, întreaga conversație asociată poate fi folosită pentru antrenare. Conversațiile temporare nu sunt folosite pentru antrenare cât timp rămân temporare.
Politica de confidențialitate a OpenAI pentru Europa indică OpenAI Ireland Limited drept operator pentru datele descrise în politică, în cazul utilizatorilor din Spațiul Economic European. Tot acolo se precizează că politica nu se aplică conținutului prelucrat în numele clienților ofertelor de business, care este guvernat de contractele cu acești clienți. Separat, OpenAI menționează posibilitatea unui acord de prelucrare a datelor (DPA) pentru ChatGPT Business, ChatGPT Enterprise și API, oferte pentru care datele nu sunt folosite implicit la antrenare.
Concluzia practică: dezactivarea antrenării reduce o parte din risc, dar nu transformă, prin ea însăși, contul personal într-un serviciu care prelucrează datele în numele clinicii, pe baza contractului cerut de art. 28.
Ce riscă medicul și clinica?
Riscul vine din mai multe direcții:
- GDPR. Încălcarea principiilor de bază ale prelucrării și a condițiilor de la art. 9 poate fi sancționată cu amenzi de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală la nivel mondial, iar încălcarea obligațiilor operatorului și ale persoanei împuternicite, inclusiv cele de la art. 28, cu până la 10 milioane de euro sau 2% (art. 83 alin. 5 și 4). Acestea sunt plafoane maxime; regulamentul cere ca fiecare amendă să fie eficace, proporțională și disuasivă (art. 83 alin. 1).
- Legea 46/2003. Nerespectarea de către personalul medico-sanitar a confidențialității datelor despre pacient atrage, după caz, răspunderea disciplinară, contravențională sau penală (art. 37).
- Încălcarea securității datelor. GDPR include aici divulgarea neautorizată a datelor și accesul neautorizat la acestea (art. 4 pct. 12). Copierea datelor unui pacient într-un serviciu fără contract poate fi considerată o astfel de divulgare. Când are loc o încălcare a securității datelor, operatorul trebuie, de regulă, să notifice autoritatea de supraveghere fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care a aflat (art. 33).
În România, autoritatea care primește plângerile privind RGPD și notificările de breșă este ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal). Pe pagina sa de plângeri, ANSPDCP îndrumă persoana vizată să se adreseze mai întâi operatorului, care are la dispoziție cel mult o lună pentru răspuns.
„Dar dacă scot numele pacientului?”
Considerentul 26 al GDPR spune că datele pseudonimizate, adică cele care pot fi atribuite unei persoane prin informații suplimentare, trebuie considerate informații despre o persoană identificabilă. Pentru clinică, care știe cine este pacientul, ele rămân date cu caracter personal. Doar informațiile cu adevărat anonime ies din sfera regulamentului. Pentru a decide dacă o persoană este identificabilă se iau în calcul toate mijloacele pe care este probabil, în mod rezonabil, să le folosească cineva, ținând seama de costuri, timp și tehnologia disponibilă.
Într-un text clinic, combinația dintre vârstă, localitate, data consultației, profesie și un diagnostic rar poate fi suficientă pentru identificare. Iar un număr atribuit pacientului în scopuri medicale este, el însuși, dată privind sănătatea (considerentul 35). Principiul de urmat este minimizarea datelor: se prelucrează doar ce este adecvat, relevant și necesar scopului (art. 5 alin. 1 lit. c). Pentru texte care nu conțin date despre pacienți, de pildă un anunț pentru sala de așteptare, problemele discutate aici nu se pun.
Cum arată o configurare conformă în clinică
Orice instrument care primește date de pacienți ar trebui să îndeplinească, cel puțin, aceste condiții:
- Contract de prelucrare a datelor (DPA) semnat cu clinica, cu elementele de la art. 28: instrucțiuni documentate, confidențialitate, securitate, subcontractanți aprobați, ștergere sau returnare la final, audit.
- Măsuri de securitate adecvate riscului, de exemplu pseudonimizarea și criptarea datelor (art. 32).
- Acces pe roluri: fiecare membru al echipei vede doar ce îi este necesar.
- Minimizarea datelor: se prelucrează doar ce este necesar scopului (art. 5).
- Informarea pacienților, inclusiv despre destinatarii sau categoriile de destinatari ai datelor (art. 13).
- O procedură internă pentru incidente, astfel încât notificarea în termen să fie posibilă (art. 33).
Unde se încadrează Soma
Soma este asistentul inteligent al clinicii, construit pentru documentarea consultațiilor. Lucrează în baza unui contract de prelucrare a datelor încheiat cu clinica: clinica rămâne operator, iar Soma prelucrează datele în numele ei. În timpul consultației, Soma ascultă, înțelege și reține ce se spune, apoi scrie raportul în formatul clinicii. Medicul verifică raportul, îl corectează dacă este cazul și îl semnează; nimic nu pleacă din clinică nesemnat. Accesul este pe roluri, iar clinicile primesc un model de notă de informare pentru pacienți.
Dacă doriți să vedeți cum lucrează Soma într-o consultație și cum se încadrează în regulile clinicii dumneavoastră, programați o demonstrație. Vă arătăm totul pe date fictive și răspundem la întrebările despre contractul de prelucrare.