덴마크 의료 데이터 GDPR: Datatilsynet 2024 집행 현황
덴마크 Datatilsynet은 2024년 31건의 GDPR 사건을 처리했습니다. 이 중 14건(45%)이 의료 시스템과 관련된 사건이었습니다. 인구 590만 명의 덴마크에서 이 비율은 매우 높습니다. 이는 덴마크가 디지털 의료 분야에서 얼마나 앞서 있는지, 그리고 규제가 얼마나 엄격한지를 보여줍니다.
덴마크 의료 시스템
모든 덴마크 국민은 CPR 번호를 가집니다. 이 번호는 환자 기록, 의약품 등록부, 병원 기록, Statens Serum Institut의 조직 샘플과 연결됩니다. 병원 기록은 1977년까지 거슬러 올라갑니다.
이 시스템 덕분에 덴마크의 의학 연구는 세계 최고 수준을 자랑합니다. 동시에 환자 파일은 매우 민감합니다. 이것이 Datatilsynet이 이 분야에 집중하는 이유입니다.
CPR 번호 문제
CPR 번호는 10자리 ID입니다. 형식은 DDMMYY-XXXX입니다. 마지막 자리는 모듈러스-11 수학으로 계산하는 검증 자릿수입니다.
CPR 번호는 모든 임상 파일에 등장합니다. 의료, 세금, 은행, 선거 기록과 연결됩니다.
Datatilsynet은 환자 기록을 새로운 목적으로 사용하기 전에 반드시 비식별화 작업을 검증하도록 요구합니다. 그러나 일반 NLP 도구의 67%가 CPR 번호의 모듈러스-11 단계를 건너뜁니다. 이 단계를 생략하면 두 가지 문제가 발생합니다.
거짓 양성: 날짜 문자열, 청구서 번호, 참조 코드가 실제 CPR 번호로 표시됩니다. 이로 인해 값비싼 수동 검토가 필요해집니다.
탐지 누락: 자릿수가 바뀐 CPR 번호는 검사를 통과하지 못합니다. 실제 환자 ID가 빠져나가 결과물이 깨끗해 보이지만 실제로는 그렇지 않습니다.
다른 EU ID 유형의 검증 자릿수 규칙이 어떻게 작동하는지는 EU 국가 세금 ID PII 탐지 가이드를 참고하세요.
환자 기록 재활용을 위한 네 가지 규칙
덴마크의 의료 등록부는 최고 수준의 연구를 지원합니다. Datatilsynet의 2024년 재활용 가이드는 네 가지 규칙을 제시합니다.
수행 내용 기록. 제거하거나 변경한 모든 필드를 나열하십시오. 값을 반올림하거나 그룹화하는 방법을 기록하세요. 간단한 정책 메모는 이 기준을 충족하지 못합니다.
테스트 결과 제출. 도구가 CPR 번호 및 기타 덴마크 ID를 탐지했음을 증명하십시오. 주장만으로는 증거가 되지 않습니다.
최소 데이터 수집. 연구에 필요한 것 이상의 개인 데이터를 수집하지 마십시오. 이 규칙은 가명화된 데이터셋에도 적용됩니다.
AI 도구에 대한 DPIA 실시. 덴마크 환자 파일을 처리하는 AI 도구는 모두 DPIA가 필요합니다. Datatilsynet의 표준 양식을 사용하십시오.
코펜하겐의 세 가지 집중 분야
코펜하겐의 의료기술 기업으로는 Leo Pharma, Bavarian Nordic 등 수많은 스타트업이 있습니다. Datatilsynet은 세 가지 위험 분야를 주시하고 있습니다.
AI 학습 데이터셋. 2024년 당국은 실제 CPR 번호가 포함된 파일로 AI 모델을 학습시킨 기업들을 적발했습니다. 어느 기업도 유효한 법적 근거를 보유하지 않았습니다.
해외 이전. 일부 기업이 AI 작업을 위해 미국 클라우드 벤더에 환자 파일을 전송했습니다. 당국은 표준계약조항(SCC)만으로는 충분하지 않다고 밝혔습니다. 유럽 내에 키를 보관하는 암호화 등 기술적 조치가 추가로 필요합니다.
접근 로그. 누가 어떤 파일을 왜 조회했는지 로그로 확인할 수 있어야 합니다. 최소 5년간 보관해야 합니다.
2024년 덴마크 의료 데이터 유출의 56%가 미흡한 비식별화에서 비롯되었습니다. 덴마크어 지원과 CPR 검증 기능을 갖춘 도구를 사용하면 가장 빈번한 실패 원인을 제거할 수 있습니다.
북유럽 집행 현황에 대한 자세한 내용은 스웨덴 IMY GDPR 익명화 가이드를 참고하세요.