Santé et RGPD au Danemark : enforcement Datatilsynet 2024
Le Datatilsynet danois a rendu 31 décisions RGPD en 2024. Quatorze d'entre elles — 45 % — concernaient des systèmes médicaux. Le Danemark compte 5,9 millions d'habitants. Cette proportion est très élevée. Elle montre à quel point le pays a développé le numérique en santé. Elle montre aussi la rigueur des exigences techniques.
Le système de santé au Danemark
Chaque citoyen danois possède un numéro CPR. Ce numéro est lié au dossier patient, au registre des médicaments, au registre hospitalier et aux échantillons biologiques de Statens Serum Institut. Le registre hospitalier remonte à 1977.
Ce système fait de la recherche médicale danoise l'une des meilleures au monde. Il signifie aussi que les dossiers patients sont très sensibles. C'est pourquoi le Datatilsynet se concentre autant sur ce domaine.
Le problème du numéro CPR
Le numéro CPR est un identifiant à 10 chiffres. Son format est JJMMAA-XXXX. Le dernier chiffre est une clé de contrôle. Elle repose sur l'arithmétique modulo 11.
Les numéros CPR apparaissent dans chaque document clinique. Ils sont liés aux dossiers de soins, fiscaux, bancaires et électoraux.
Le Datatilsynet exige que la dépersonnalisation soit vérifiée et documentée avant toute réutilisation de dossiers patients. Or 67 % des outils NLP courants ignorent l'étape modulo 11. Quand ils la sautent, deux problèmes apparaissent.
Faux positifs : Des chaînes de dates, des numéros de facture et des codes de référence sont signalés comme de vrais numéros CPR. Cela entraîne des vérifications manuelles coûteuses.
Identifiants manqués : Les numéros CPR avec des chiffres inversés échouent au contrôle. De vrais identifiants patients passent à travers les mailles. Le résultat semble propre mais ne l'est pas.
Notre guide de détection des identifiants nationaux européens explique comment les règles de clé de contrôle s'appliquent aux autres types d'identifiants UE.
Quatre règles pour la réutilisation des dossiers patients
Les registres médicaux danois soutiennent une recherche de haut niveau. Le guide 2024 du Datatilsynet sur la réutilisation fixe quatre règles.
Documentez votre méthode : Listez chaque champ supprimé ou modifié. Notez comment vous avez arrondi ou regroupé les valeurs. Une simple note de politique ne suffit pas.
Montrez vos résultats de tests : Prouvez que votre outil a détecté les numéros CPR et autres identifiants danois. Une affirmation ne vaut pas une preuve.
Limitez le périmètre : Ne collectez pas plus de données personnelles que votre étude n'en a besoin. Cette règle vaut aussi pour les données pseudonymisées.
Réalisez une AIPD pour les outils IA : Tout outil IA qui traite des dossiers patients danois nécessite une analyse d'impact. Utilisez le formulaire standard du Datatilsynet.
Trois domaines surveillés à Copenhague
Le secteur med-tech de Copenhague comprend Leo Pharma, Bavarian Nordic et de nombreuses start-ups. Le Datatilsynet surveille trois zones de risque.
Jeux de données d'entraînement IA : L'autorité a trouvé en 2024 des entreprises qui avaient entraîné des modèles IA sur des dossiers contenant de vrais numéros CPR. Aucune n'avait de base légale valide.
Transferts à l'étranger : Certaines entreprises ont envoyé des dossiers patients à des fournisseurs cloud américains pour des travaux d'IA. L'autorité a jugé que les CCT seules ne suffisent pas. Des mesures techniques supplémentaires sont nécessaires — par exemple un chiffrement avec des clés détenues en Europe.
Journaux d'accès : Les journaux doivent indiquer qui a consulté quels dossiers et pour quelle raison. Ils doivent être conservés au moins cinq ans.
56 % des violations de données médicales au Danemark en 2024 étaient dues à une mauvaise dépersonnalisation. Des outils validés CPR avec support de la langue danoise éliminent la défaillance technique la plus courante.
Pour en savoir plus sur l'enforcement nordique, consultez notre guide RGPD IMY Suède.