Numéros CPR du Danemark : Guide de conformité RGPD
Mis à jour pour 2026
L'autorité danoise de protection des données, Datatilsynet, a rendu 31 décisions RGPD en 2024. Quatorze concernaient des données de santé. Cette part élevée reflète deux réalités : le Danemark dispose d'un vaste système national de santé, et les lacunes techniques de ce système continuent d'exposer des dossiers de patients.
La règle du chiffre de contrôle pour les numéros CPR
Un numéro CPR est l'identifiant personnel danois. Il comprend 10 chiffres au format JJMMAA-XXXX. Les six premiers chiffres correspondent à la date de naissance. Les quatre derniers contiennent un numéro de séquence et un chiffre de contrôle.
Le chiffre de contrôle utilise une règle modulo 11 :
- Prendre les chiffres 1 à 9.
- Attribuer un poids à chacun : 4, 3, 2, 7, 6, 5, 4, 3, 2.
- Multiplier chaque chiffre par son poids. Additionner tous les résultats.
- Diviser par 11. Retenir le reste.
- Reste 0 → le chiffre de contrôle est 0.
- Reste 1 → le numéro est invalide.
- Reste 2–10 → le chiffre de contrôle est 11 moins le reste.
Cette règle est essentielle pour tout outil qui recherche des numéros CPR dans un texte. Certaines chaînes JJMMAA-XXXX ne peuvent jamais être valides. Les outils qui sautent cette étape signalent des dates, des codes de facture et des numéros de référence comme de vrais identifiants.
La revue 2024 de l'autorité a révélé que 67 % des outils NLP génériques ne font pas cette vérification. Cette lacune est la première défaillance technique citée dans les affaires de santé de l'autorité.
Les cinq registres de santé danois
Le Danemark relie les données de santé à travers cinq registres nationaux. L'identifiant personnel les réunit tous.
- Données de sortie d'hôpital (depuis 1977)
- Base de données des prescriptions (depuis 1995)
- Registre du cancer (depuis 1943)
- Registre des causes de décès (depuis 1970)
- Diagnostics de soins primaires (depuis 1990)
Cela rend la recherche en santé danoise très puissante. Cela crée aussi un risque. Supprimer l'identifiant brut ne suffit pas. Un jeu de données qui conserve encore l'âge, le sexe, le diagnostic et l'année peut re-identifier des personnes — surtout pour des maladies rares.
Le guide 2024 de Datatilsynet sur l'utilisation secondaire des données de santé fixe trois exigences.
Documentation technique de l'anonymisation : Indiquer quels champs ont été supprimés, lesquels ont été généralisés et quel niveau de taille de groupe l'output atteint. Une déclaration de politique ne satisfait pas à cette norme.
Revue externe pour les grands jeux de données : Pour les jeux de données de plus de 5 000 personnes, l'autorité recommande une revue technique indépendante des étapes de dé-identification.
Minimisation des données : Le jeu de données doit correspondre à la question de recherche déclarée. L'autorité a trouvé des cas où des équipes utilisaient des registres nationaux complets alors qu'un échantillon plus petit aurait suffi.
Consultez notre guide de détection des identifiants nationaux européens pour les règles de chiffre de contrôle d'autres formats d'identifiants européens.
Ce que les affaires 2024 ont révélé
Les 14 affaires de santé présentent trois types de défaillances courants.
Partage de données de recherche : Un hôpital envoie un jeu de données patients dé-identifié à un partenaire académique pour l'entraînement d'IA. Le jeu contient des parties de dates de naissance, des codes diagnostiques et des dates de traitement. L'autorité constate que cette combinaison re-identifie les patients atteints de maladies rares.
Services IA tiers : Une entreprise de healthtech envoie des notes de patients à un service IA américain pour la documentation clinique. Les identifiants dans ces notes ne sont pas supprimés au préalable. Aucun mécanisme de transfert valide n'est en place.
Lacunes dans les pipelines OCR : Un assureur traite des formulaires PDF scannés pour des demandes d'invalidité. Son outil OCR convertit les images en texte. Mais il n'effectue pas de test de chiffre de contrôle sur l'output. De nombreux identifiants sont manqués.
L'OCR insère souvent des espaces au milieu des numéros ou décale les tirets. Une simple correspondance de motifs échoue sur ces sorties. La détection doit fonctionner sur le texte OCR, pas seulement sur une entrée propre. Consultez notre guide de détection OCR en santé pour les étapes pratiques avec les documents scannés.
Les trois exigences techniques minimales
Ces trois éléments forment la base de la conformité RGPD en matière de santé au Danemark.
Tests de chiffre de contrôle sur tous les textes : Exécuter la vérification modulo 11 complète sur chaque chaîne candidate. L'appliquer au texte propre et aux sorties OCR.
Détection de noms en danois : Utiliser un modèle entraîné sur des textes danois. Le pipeline spaCy da_core_news est une option. Un modèle anglais générique manque les noms danois et les noms d'organisations.
Documentation de dé-identification : Consigner ce qui a été supprimé, ce qui a été généralisé et la taille de groupe de l'output. L'autorité demande cela sous forme technique, pas comme déclaration de politique.
Pour des données sur le coût financier des incidents de données de santé, consultez notre analyse des coûts de violation de données de santé.