Danmarks Datatilsynet er blevet en europæisk leder inden for håndhævelse af sundhedsdata. I 2024 udstedte myndigheden 31 GDPR-beslutninger — hvoraf 14 (45%) direkte involverede sundhedsdatabaser. For et land med 5,9 millioner mennesker afspejler denne håndhævelsesdensitet Danmarks avancerede digitale sundhedsstruktur og krævende tekniske overholdelsesforventninger.
Danmarks Sundhedsdata Infrastruktur
Danmark driver et af verdens mest omfattende nationale sundhedsdatabaser. Hver dansk borger har et CPR-nummer knyttet til elektroniske sundhedsoptegnelser, det nationale receptregister, det nationale patientregister (som sporer alle hospitalskontakter siden 1977) og biobankprøver ved Statens Serum Institut.
Denne integrerede infrastruktur gør danske sundhedsdata blandt de mest værdifulde til forskning — og de mest følsomme for privatlivets fred. Datatilsynets fokus på håndhævelse af sundhedsdata afspejler denne spænding.
CPR-nummer: Den Tekniske Udfordring
CPR-nummeret (Det Centrale Personregister-nummer) er et 10-cifret civilregistreringsnummer i formatet DDMMYY-XXXX. Det sidste ciffer er et kontrolciffer, der valideres ved hjælp af modulus-11 aritmetik.
CPR-nummeret er fundamentet for al dansk offentlig administration: sundhed, beskatning, sociale ydelser, stemmeafgivning, bankvirksomhed. Hvert sundhedsdokument inkluderer det.
Datatilsynet kræver dokumenteret anonymisering validering for sekundær brug af sundhedsdata. Det tekniske problem: 67% af generiske NLP-værktøjer implementerer ikke CPR-nummer modulus-11 validering. Uden kontrolsumvalidering:
Falske positiver: Dato-lignende strenge, fakturanumre og referencekoder bliver flaget som CPR-numre, hvilket kræver kostbar manuel gennemgang.
Falske negativer: Transponerede CPR-numre, der ikke består kontrolsumvalidering, bliver overset — hvilket efterlader reelle patientidentifikatorer i data, der ser rene ud.
Krav til Sekundær Brug af Sundhedsdata
Danmarks sundhedsregisterdata understøtter verdensklasse medicinsk forskning. Datatilsynets vejledning for 2024 om sekundær brug sætter specifikke tekniske krav:
Dokumenterede anonymiseringsprocedurer: Organisationer skal opretholde skriftlig teknisk dokumentation, der præcist beskriver, hvordan de-identifikation udføres — ikke kun resultatet, men de specifikke processer, værktøjer og valideringstrin.
Validering af fuldstændighed: Dokumentationen skal inkludere beviser for, at anonymiseringen blev verificeret. Dette inkluderer testresultater, der viser detektionsdækning for CPR-numre og andre danske sundhedsidentifikatorer.
Minimum nødvendige dataprincip: Forskningsdatasæt, der indeholder mere persondata end forskningsspørgsmålet kræver, overtræder GDPR-proportionalitet, selv når de er pseudonymiseret. Organisationer skal demonstrere, at dataskopet matcher den dokumenterede forskningsformål.
DPIA for AI-systemer: Ethvert AI-system, der behandler danske sundhedsdata, kræver en udfyldt DPIA ved hjælp af Datatilsynets modelramme.
København Sundhedsteknologi: Specifikke Overholdelseskrav
Københavns sundhedsteknologisektor (Leo Pharma, Bavarian Nordic og adskillige digitale sundhedsstartups) står over for håndhævelseskontrol inden for tre områder:
Kliniske AI-værktøjer: AI-diagnostiske værktøjer skal demonstrere overholdelse af GDPR Artikel 22 og dokumenteret anonymisering for træningsdatasæt. Datatilsynet fandt flere virksomheder i 2024, der brugte træningsdatasæt, der indeholdt identificerbare patient CPR-numre uden tilstrækkelig juridisk basis.
Grænseoverskridende overførsler: Flere danske sundhedsteknologivirksomheder har kontraheret amerikanske cloud-udbydere til AI-modeltræning. Datatilsynet kræver Transfer Impact Assessments og fandt, at SCC'er alene ikke var tilstrækkelige for sundhedsdata uden supplerende tekniske foranstaltninger (kryptering med europæisk nøglehåndtering).
Revisionsspor krav: For behandling af sundhedsdata skal adgangslogfiler muliggøre rekonstruktion af, hvilke patientjournaler der blev tilgået, af hvem, og til hvilket dokumenteret formål — opbevaret i mindst 5 år.
56% af danske sundhedsdataovertrædelser i 2024 involverede utilstrækkelig de-identifikation. Organisationer, der bruger CPR-valideret detektion med dansk sprogunderstøttelse, eliminerer den mest almindelige tekniske fejlfunktion i dansk sundheds GDPR-håndhævelse.
Kilder: