Sundhedsdata og GDPR i Danmark: Datatilsynets håndhævelse i 2024
Datatilsynet behandlede 31 GDPR-sager i 2024. Fjorten af dem — 45 % — vedrørte medicinske systemer. Danmark har 5,9 millioner indbyggere. Den andel er meget høj. Den afspejler, hvor langt landet er kommet med digital sundhed. Den viser også, hvor strenge reglerne er.
Det danske sundhedssystem
Alle danskere har et CPR-nummer. Det nummer er knyttet til patientjournalen, lægemiddelregistret, landspatientregistret og vævsprøver hos Statens Serum Institut. Landspatientregistret går tilbage til 1977.
Dette system gør dansk medicinsk forskning til noget af det bedste i verden. Det betyder også, at patientoplysninger er særdeles følsomme. Det er derfor, Datatilsynet har lagt så stor vægt på dette område.
Problemet med CPR-nummeret
CPR-nummeret er et 10-cifret ID. Formatet er DDMMÅÅ-XXXX. Det sidste ciffer er et kontrolciffer baseret på modulus-11-beregning.
CPR-numre optræder i alle kliniske filer. De er koblet til sundheds-, skatte-, bank- og valgregistre.
Datatilsynet kræver, at man kontrollerer sin anonymiseringsproces, inden patientoplysninger bruges til nye formål. Men 67 % af almindelige NLP-værktøjer springer modulus-11-trinnet over for CPR-numre. Når de gør det, opstår der to problemer.
Falske fund: Datostrenge, fakturanumre og referencekoder registreres som ægte CPR-numre. Det medfører dyre manuelle kontroller.
Oversete ID'er: CPR-numre med ombyttede cifre fejler kontrollen. Rigtige patient-ID'er slipper igennem. Resultatet ser rent ud, men er det ikke.
Se vores guide til registrering af EU-nationale ID-numre for, hvordan kontrolcifferregler fungerer for andre EU-ID-typer.
Fire regler for genbrug af patientoplysninger
Danmarks medicinske registre bidrager til fremragende forskning. Datatilsynets vejledning om genbrug fra 2024 opstiller fire regler.
Dokumentér hvad du har gjort: Angiv alle felter, du har fjernet eller ændret. Notér hvordan du har afrundet eller grupperet værdier. En kort politiknote opfylder ikke dette krav.
Vis dine testresultater: Dokumentér, at dit værktøj fandt CPR-numre og andre danske ID-numre. Et mundtligt løfte er ikke dokumentation.
Begræns hvad du henter: Tag ikke mere persondata, end din undersøgelse kræver. Reglen gælder selv for pseudonymiserede datasæt.
Gennemfør DPIA for AI-værktøjer: Ethvert AI-værktøj, der behandler danske patientfiler, kræver en DPIA. Brug Datatilsynets standardformular.
Tre fokusområder i København
Københavns med-tech-virksomheder tæller Leo Pharma, Bavarian Nordic og mange startups. Datatilsynet overvåger tre risikoområder.
Træningsdata til AI: Myndigheden konstaterede i 2024, at virksomheder trænede AI-modeller på filer med aktive CPR-numre. Ingen havde et gyldigt retsgrundlag.
Overførsler til udlandet: Nogle virksomheder sendte patientfiler til amerikanske cloud-udbydere til AI-arbejde. Myndigheden fastslog, at SCC'er alene ikke er tilstrækkeligt. Tekniske foranstaltninger er også påkrævet — som kryptering med nøgler opbevaret i Europa.
Adgangslogge: Logge skal vise, hvem der læste hvilke filer og hvornår. De skal opbevares i mindst fem år.
56 % af databrud med danske sundhedsoplysninger i 2024 skyldtes utilstrækkelig anonymisering. Brug af CPR-validerede værktøjer med dansksproglig understøttelse eliminerer den hyppigste fejlkilde.
For mere om nordisk håndhævelse, se vores guide om IMY Sveriges GDPR-anonymisering.