Dänemark Gesundheits-DSGVO: Datatilsynet-Durchsetzung 2024
Der dänische Datatilsynet erließ 2024 insgesamt 31 DSGVO-Beschlüsse. Vierzehn davon — 45 % — betrafen medizinische Systeme. Dänemark hat 5,9 Millionen Einwohner. Dieser Anteil ist sehr hoch. Er zeigt, wie weit das Land bei der digitalen Gesundheitsversorgung gegangen ist. Er zeigt auch, wie streng die Anforderungen sind.
Dänemarks Gesundheitssystem
Jede dänische Person hat eine CPR-Nummer. Diese Nummer ist mit der Patientenakte, dem Arzneimittelregister, dem Krankenhausregister und den Gewebeproben am Statens Serum Institut verknüpft. Das Krankenhausregister reicht bis 1977 zurück.
Dieses System macht die dänische Medizinforschung zu einer der besten der Welt. Es bedeutet aber auch, dass Patientendaten sehr sensibel sind. Deshalb hat der Datatilsynet diesen Bereich so stark im Blick.
Das CPR-Nummern-Problem
Die CPR-Nummer ist eine 10-stellige ID. Ihr Format ist TTMMJJ-XXXX. Die letzte Stelle ist eine Prüfziffer. Sie basiert auf Modulus-11-Arithmetik.
CPR-Nummern erscheinen in jeder klinischen Akte. Sie sind mit Gesundheits-, Steuer-, Bank- und Wählerregistern verknüpft.
Der Datatilsynet schreibt vor, dass die Anonymisierung vor jeder Zweitverwendung von Patientenakten geprüft und dokumentiert werden muss. Aber 67 % der gängigen NLP-Tools überspringen den Modulus-11-Schritt. Wenn sie ihn überspringen, entstehen zwei Probleme.
Falsch-Positive: Datumsstrings, Rechnungsnummern und Referenzcodes werden als echte CPR-Nummern markiert. Das führt zu kostspieligen manuellen Prüfungen.
Übersehene IDs: CPR-Nummern mit vertauschten Ziffern scheitern an der Prüfung. Echte Patienten-IDs schlüpfen durch. Die Ausgabe sieht sauber aus, ist es aber nicht.
Unser Leitfaden zur EU-Nationalausweis-Erkennung erklärt, wie Prüfzifferregeln für andere EU-ID-Typen funktionieren.
Vier Regeln für die Zweitnutzung von Patientenakten
Dänemarks medizinische Register fördern erstklassige Forschung. Die Datatilsynet-Leitlinie 2024 zur Zweitnutzung enthält vier Regeln.
Dokumentieren Sie Ihr Vorgehen: Listen Sie jedes entfernte oder geänderte Feld auf. Halten Sie fest, wie Sie Werte gerundet oder gruppiert haben. Eine kurze Richtliniennotiz erfüllt diesen Standard nicht.
Zeigen Sie Ihre Testergebnisse: Beweisen Sie, dass Ihr Tool CPR-Nummern und andere dänische IDs gefunden hat. Eine Behauptung ist kein Beweis.
Begrenzen Sie die Datenmenge: Nehmen Sie nicht mehr personenbezogene Daten, als Ihre Studie braucht. Diese Regel gilt auch für pseudonymisierte Datensätze.
Führen Sie eine DSFA für KI-Tools durch: Jedes KI-Tool, das dänische Patientenakten verarbeitet, benötigt eine Datenschutz-Folgenabschätzung. Verwenden Sie das Standardformular des Datatilsynet.
Drei Schwerpunktbereiche in Kopenhagen
Kopenhagens Medizintechnikfirmen umfassen Leo Pharma, Bavarian Nordic und viele Start-ups. Der Datatilsynet beobachtet drei Risikobereiche.
KI-Trainingsdaten: Die Behörde fand 2024 Firmen, die KI-Modelle mit Akten trainiert hatten, die echte CPR-Nummern enthielten. Keine hatte eine gültige Rechtsgrundlage.
Auslandsübermittlungen: Einige Firmen schickten Patientenakten an US-Cloud-Anbieter für KI-Arbeit. Die Behörde stellte fest, dass SCCs allein nicht ausreichen. Sie benötigen auch technische Maßnahmen — zum Beispiel Verschlüsselung mit in Europa gehaltenen Schlüsseln.
Zugriffsprotokolle: Protokolle müssen zeigen, wer welche Akten warum gelesen hat. Sie müssen mindestens fünf Jahre aufbewahrt werden.
56 % der dänischen Datenschutzverletzungen im medizinischen Bereich 2024 gingen auf schlechte Anonymisierung zurück. CPR-validierte Tools mit dänischer Sprachunterstützung beseitigen den häufigsten Fehler.
Mehr zu nordischen Durchsetzungsmustern finden Sie in unserem IMY Schweden DSGVO-Leitfaden.