Danske CPR-numre: GDPR-overholdelsesguide
Opdateret til 2026
Danmarks datatilsyn, Datatilsynet, traf 31 GDPR-afgørelser i 2024. Fjorten vedrørte sundhedsdata. Den høje andel afspejler to forhold: Danmark driver et stort nationalt sundhedssystem, og tekniske huller i det system bliver ved med at eksponere patientregistre.
Kontrolcifferreglen for CPR-numre
Et CPR-nummer er Danmarks personlige ID. Det er 10 cifre i formatet DDMMÅÅ-XXXX. De første seks cifre er fødselsdatoen. De sidste fire er en kode plus et kontrolciffer.
Kontrolcifferet bruger en modulus-11-regel:
- Tag cifrene 1 til 9.
- Tildel hver en vægt: 4, 3, 2, 7, 6, 5, 4, 3, 2.
- Gang hvert ciffer med sin vægt. Læg alle resultater sammen.
- Divider med 11. Notér resten.
- Rest 0 → kontrolciffer er 0.
- Rest 1 → nummeret er ugyldigt.
- Rest 2–10 → kontrolciffer er 11 minus resten.
Denne regel er afgørende for ethvert værktøj, der scanner efter CPR-numre. Nogle DDMMÅÅ-XXXX-strenge kan aldrig være gyldige. Værktøjer, der springer dette trin over, markerer datoer, fakturakoder og referencenumre som rigtige ID-numre.
Myndighedens gennemgang fra 2024 viste, at 67% af generiske NLP-værktøjer springer denne kontrol over. Det tekniske svigt er den hyppigste fejl i sundhedssagerne.
Danmarks fem sundhedsregistre
Danmark sammenkæder sundhedsdata på tværs af fem nationale registre. Det personlige ID binder dem alle sammen.
- Landspatientregisteret (fra 1977)
- Lægemiddelstatistikregisteret (fra 1995)
- Cancerregisteret (fra 1943)
- Dødsårsagsregisteret (fra 1970)
- Primærsektorsregisteret (fra 1990)
Det gør dansk sundhedsforskning meget stærk. Det skaber også en risiko. At fjerne det rå ID er ikke nok. Et datasæt, der stadig indeholder alder, køn, diagnose og år, kan re-eksponere personer — især dem med sjældne sygdomme.
Datatilsynets vejledning fra 2024 om sekundær brug af sundhedsdata stiller tre krav.
Dokumentér, hvad du har gjort ved dataene: Angiv, hvilke felter du fjernede, hvilke du rundede eller grupperede, og hvilken gruppestørrelse output opnår. En politiknote opfylder ikke dette krav.
Indhent ekstern gennemgang for store datasæt: For datasæt med mere end 5.000 personer anbefaler myndigheden en uafhængig teknisk gennemgang af de-identifikationstrinene.
Tilpas data til spørgsmålet: Datasættet skal passe til det erklærede forskningsmål. Myndigheden fandt tilfælde, hvor teams brugte fulde nationale registre, når en mindre stikprøve ville have været tilstrækkelig.
Se vores EU-nationale ID-detektionsguide for, hvordan kontrolcifferregler gælder for andre europæiske ID-formater.
Hvad 2024-sagerne viste
De 14 sundhedssager deler tre fælles fejltyper.
Deling af forskningsdata: Et hospital sender et de-identificeret patientdatasæt til en akademisk partner til AI-træning. Sættet indeholder dele af fødselsdato, diagnosekoder og behandlingsdatoer. Myndigheden finder, at denne kombination re-eksponerer patienter med sjældne sygdomme. Usædvanlige diagnoser indsnævrer hurtigt puljen.
Tredjeparts AI-tjenester: En sundhedsteknologivirksomhed sender patientnoter til en amerikansk AI-tjeneste til klinisk journalbehandling. Personlige ID-numre i disse noter fjernes ikke først. Ingen gyldig overførselsmekanisme er på plads.
OCR-pipeline-huller: Et forsikringsselskab behandler scannede PDF-formularer til invaliditetskrav. OCR-værktøjet konverterer billeder til tekst, men kører ikke kontrolciffertest på outputtet. Mange ID-numre overses.
OCR indsætter ofte mellemrum midt i et nummer eller forskyder tankestregen. Simpel mønstermatchning bryder på dette output. Detektion skal fungere på OCR-tekst, ikke kun på ren tekst. Se vores OCR-sundhedsdetektionsguide for trin til håndtering af scannede dokumenter.
Tre tekniske minimumskrav
Disse tre elementer udgør grundlaget for dansk sundheds-GDPR-overholdelse.
Kontrolciftertest på al tekst: Kør den fulde modulus-11-kontrol på alle kandidatstrenge. Anvend den på både ren tekst og OCR-output.
Dansksprogede navnedetektion: Brug en model trænet på dansk tekst. spaCy da_core_news-modellen er én mulighed. En generisk engelsk model overser danske navne og organisationsnavne.
De-identifikationsregistre: Dokumentér, hvad der blev fjernet, hvad der blev grupperet, og outputtets gruppestørrelse. Myndigheden kræver dette i teknisk form, ikke som en politiknote.
For data om omkostningerne ved sundhedsdatahændelser, se vores analyse af bruddomkostninger i sundhedssektoren.