GDPR Data Kesihatan Denmark: Penguatkuasaan Datatilsynet 2024
Datatilsynet Denmark mengeluarkan 31 kes GDPR pada 2024. Empat belas daripadanya — 45% — melibatkan sistem perubatan. Denmark mempunyai 5.9 juta penduduk. Bahagian tersebut sangat tinggi. Ia menunjukkan sejauh mana negara itu telah melaksanakan kesihatan digital. Ia juga menunjukkan betapa ketatnya peraturan yang dikuatkuasakan.
Sistem Kesihatan Denmark
Setiap rakyat Denmark mempunyai nombor CPR. Nombor itu dikaitkan dengan rekod pesakit, daftar ubat-ubatan, log hospital, dan sampel tisu di Statens Serum Institut. Log hospital bermula dari tahun 1977.
Sistem ini menjadikan penyelidikan perubatan Denmark antara yang terbaik di dunia. Ia juga bermakna fail pesakit amat sensitif. Itulah sebabnya Datatilsynet memberi tumpuan besar kepada bidang ini.
Masalah Nombor CPR
Nombor CPR ialah ID 10 digit. Formatnya ialah DDMMYY-XXXX. Digit terakhir ialah digit semak. Ia menggunakan matematik modulus-11.
Nombor CPR muncul dalam setiap fail klinikal. Ia dikaitkan dengan rekod penjagaan, cukai, bank, dan pengundian.
Datatilsynet menyatakan anda mesti menyemak kerja penyah-pengenalan sebelum menggunakan rekod pesakit untuk sebarang tujuan baru. Tetapi 67% alat NLP biasa melangkau langkah modulus-11 untuk nombor CPR. Apabila langkah ini dilangkau, dua perkara berlaku.
Padanan palsu: Rentetan tarikh, nombor bil, dan kod rujukan dianggap sebagai nombor CPR sebenar. Ini menyebabkan pemeriksaan manual yang mahal.
ID yang terlepas: Nombor CPR dengan digit yang terbaling gagal semakan. Jadi ID pesakit sebenar terlepas. Output kelihatan bersih tetapi sebenarnya tidak.
Lihat panduan pengesanan ID nasional EU kami untuk cara peraturan digit semak berfungsi bagi jenis ID EU yang lain.
Empat Peraturan Penggunaan Semula Rekod Pesakit
Daftar perubatan Denmark membantu membiayai penyelidikan terkemuka. Panduan 2024 Datatilsynet mengenai penggunaan semula menetapkan empat peraturan.
Dokumentasikan apa yang anda lakukan: Senaraikan setiap medan yang anda buang atau ubah. Catat cara anda membulatkan atau mengumpulkan nilai. Nota polisi ringkas tidak memenuhi syarat ini.
Tunjukkan keputusan ujian: Buktikan bahawa alat anda mengesan nombor CPR dan ID Denmark yang lain. Dakwaan bukan bukti.
Hadkan apa yang anda ambil: Jangan tarik lebih banyak data peribadi daripada yang diperlukan kajian anda. Peraturan ini terpakai walaupun untuk set yang dipseudonymkan.
Lakukan DPIA untuk alat AI: Mana-mana alat AI yang memproses fail pesakit Denmark memerlukan DPIA. Gunakan borang standard Datatilsynet.
Tiga Bidang Tumpuan di Copenhagen
Syarikat med-tech di Copenhagen termasuk Leo Pharma, Bavarian Nordic, dan banyak syarikat permulaan. Datatilsynet memantau tiga bidang risiko.
Set latihan AI: Pihak berkuasa mendapati syarikat pada 2024 yang melatih model AI pada fail yang mengandungi nombor CPR sebenar. Tiada satu pun mempunyai asas undang-undang yang sah.
Pemindahan ke luar negara: Beberapa syarikat menghantar fail pesakit kepada vendor awan AS untuk kerja AI. Pihak berkuasa menyatakan SCC sahaja tidak mencukupi. Anda juga memerlukan langkah teknikal — seperti penyulitan dengan kunci yang dipegang di Eropah.
Log akses: Log mesti menunjukkan siapa yang membaca fail yang mana dan mengapa. Simpan sekurang-kurangnya lima tahun.
56% pelanggaran data perubatan Denmark pada 2024 berpunca daripada penyah-pengenalan yang lemah. Menggunakan alat yang disahkan CPR dengan sokongan bahasa Denmark menghapuskan kegagalan yang paling biasa.
Untuk maklumat lanjut mengenai penguatkuasaan Nordic, lihat panduan anonymisasi GDPR IMY Sweden kami.