Czego dowiesz się z tego artykułu?

  • Dlaczego publiczny profil lekarza nie jest automatyczną zgodą na trening modelu AI.
  • Jak sprawdzić źródło danych, podstawę z art. 6 i ewentualny wyjątek z art. 9 RODO.
  • Gdzie AI może uporządkować deklaracje dostawcy, a gdzie decyzję zatwierdzają IOD i człowiek.

„Dane są publiczne” nie jest odpowiedzią na pytanie, czy wolno nimi trenować model. Gdy dostawca zbiera profile lekarzy, opinie lub treści witryny, manager potrzebuje śladu pochodzenia każdej kategorii, nie ogólnego zapewnienia o zgodności.

Stan na: 13 lipca 2026 r. UODO 9 lipca omówił projekt wytycznych EROD 03/2026, przyjęty 7 lipca do konsultacji. W placówce AI może porządkować pisemne deklaracje dostawcy, lecz IOD i właściciel procesu oceniają podstawę oraz ryzyko.

Najważniejsze

  • Publiczne nie znaczy dowolne: widoczność profilu w internecie nie jest sama w sobie zgodą na trening AI.
  • Są dwie bramki: przy danych szczególnych kategorii dostawca potrzebuje podstawy z art. 6 oraz wyjątku z art. 9 ust. 2 RODO.
  • Pytaj o konkretny dataset: źródło, datę pobrania, cel, kategorie danych, przejrzystość i obsługę sprzeciwu.
  • Zatrzymaj ocenę zakupową: jeżeli dostawca nie potrafi udokumentować pochodzenia danych, demo nie rozwiązuje problemu.

Najpierw status dokumentu, potem wniosek dla placówki

Guidelines 03/2026 są projektem wytycznych do konsultacji do 30 października 2026 r., a nie ostateczną wersją. EROD wskazuje jednak jasno, że scraping obejmujący zbieranie, porządkowanie lub przechowywanie danych osobowych podlega RODO, a administrator musi ustalić podstawę z art. 6 przed pobraniem lub ponownym użyciem zbioru.

Nazwisko, zdjęcie i specjalizacja lekarza są danymi osobowymi, ale nie muszą być danymi o zdrowiu. Ryzyko art. 9 pojawia się, gdy crawler zabiera także opinie pacjentów, wpisy ujawniające stan zdrowia albo inne dane szczególnych kategorii. Wtedy sama podstawa z art. 6 nie wystarcza; potrzebny jest także właściwy wyjątek z art. 9 ust. 2, oceniony dla konkretnego procesu.

Karta decyzji: paszport jednego źródła

W małej przychodni, taka kontrola powinna poprzedzać pokaz narzędzia. Poproś o jedną wypełnioną kartę dla każdego typu źródła, a nie o pełną dokumentację całego modelu na pierwszym spotkaniu. Metryką gotowości jest odsetek źródeł z kompletnym pochodzeniem i podstawą, nie liczba profili w bazie.

Pole kartyDowód od dostawcyCzerwona flaga
Źródło i czasdomena lub URL, data albo okres pobrania„publiczny internet” bez listy
Cel i zakresfunkcja modelu, kategorie danych i osóbzbieranie wszystkiego „na przyszłość”
Art. 6wskazana podstawa i test konieczności„bo profil był widoczny”
Art. 9wyjątek dla danych szczególnych albo dowód filtrówbrak oceny opinii i treści zdrowotnych
Przejrzystość i sprzeciwinformacja o źródłach, opt-out, usuwaniebrak kanału kontaktu i reakcji

Przykład: wyszukiwarka specjalistów w polskiej przychodni

Przychodnia ocenia moduł, który ma podpowiadać recepcji właściwą specjalizację. Dostawca informuje, że zebrał profile z witryn klinik i portalu opinii. AI porządkuje odpowedzi dostawcy według pól karty. IOD oraz manager zatwierdzają ocenę, a właściciel procesu sprawdza, czy funkcja nie przechodzi w profilowanie lekarzy ani interpretację treści pacjentów. Nie używa się realnych danych pacjenta do demonstracji.

To ma sens, gdy… dostawca pokazuje źródła, cel, podstawę, filtry i ścieżkę sprzeciwu, a człowiek może zatrzymać import lub usunąć kwestionowany rekord.

To nie ma sensu, gdy… odpowiedź kończy się na „to było publiczne”, opinie są kopiowane bez rozróżnienia treści zdrowotnych, a placówka nie wie, kto odpowiada za ponowne użycie zbioru.

Co sprawdzić i wysłać dostawcy jeszcze dziś

Nie pytaj ogólnie, czy rozwiązanie jest zgodne z RODO. Poproś pisemnie o listę kategorii danych pobieranych z internetu oraz jeden paszport źródła z następującymi odpowiedziami:

  1. Z jakich domen i typów stron pochodzą dane o lekarzach?
  2. Jaki konkretny cel ma pobranie i czy istnieje mniej ingerująca metoda?
  3. Jaka jest podstawa z art. 6 i jaki wyjątek z art. 9 stosuje się, jeśli zbiór obejmuje dane szczególnych kategorii?
  4. Jak osoby są informowane, zgłaszają sprzeciw i żądają usunięcia?
  5. Jak dostawca filtruje dane przed treningiem i ogranicza ich odtwarzanie przez model?

Jeśli odpowiedzi nie da się przypisać do źródła, wstrzymaj zakup lub fine-tuning do rozmowy z IOD. To nie jest porada prawna, lecz bramka zakupowa: jej wynik powinien pokazać procent źródeł z udokumentowanym pochodzeniem i podstawą oraz wskazać, kto zatwierdził wyjątki.

Źródła