GDPR og helsedata i Danmark: Datatilsynets handhevelse 2024
Datatilsynet i Danmark avgjorde 31 GDPR-saker i 2024. Fjorten av dem - 45 % - gjaldt medisinske systemer. Danmark har 5,9 millioner innbyggere. Den andelen er svart hoy. Den viser hvor langt landet har kommet med digital helse. Den viser ogsa hvor strenge reglene er.
Danmarks helsesystem
Alle danske statsborgere har et CPR-nummer. Det nummeret er knyttet til pasientjournalen, legemiddelregisteret, sykehusloggen og vevsprovene ved Statens Serum Institut. Sykehusloggen strekker seg tilbake til 1977.
Dette systemet gjor dansk medisinsk forskning til noe av det beste i verden. Det betyr ogsa at pasientfiler er svart sensitive. Det er derfor Datatilsynet har prioritert dette omradet sa sterkt.
Problemet med CPR-nummeret
CPR-nummeret er et 10-sifret ID. Formatet er DDMMYY-XXXX. Det siste sifferet er et kontrollsiffer. Det beregnes med modulus-11-matematikk.
CPR-numre finnes i alle kliniske filer. De er knyttet til helsetjenester, skatt, bank og valg.
Datatilsynet sier at du ma kontrollere anonymiseringsarbeidet ditt for du bruker pasientjournaler til et nytt formal. Men 67 % av vanlige NLP-verktoy hopper over modulus-11-trinnet for CPR-numre. Nar de hopper over det, gar to ting galt.
Falske treff: Datostrenger, fakturanumre og referansekoder blir merket som ekte CPR-numre. Det forer til kostbar manuell kontroll.
Tapte ID-er: CPR-numre med ombyttede sifre bestyr ikke kontrollsjekken. Dermed slipper ekte pasient-ID-er gjennom. Resultatet ser rent ut, men er det ikke.
Se vart veiledning for oppdagelse av nasjonale EU-ID-er for hvordan kontrollsiffer-regler fungerer for andre EU-ID-typer.
Fire regler for gjenbruk av pasientjournaler
Danmarks medisinske registre bidrar til topp forskning. Datatilsynets retningslinjer fra 2024 om gjenbruk setter opp fire regler.
Dokumenter hva du gjorde: List opp hvert felt du fjernet eller endret. Noter hvordan du avrundet eller gruppert verdier. Et kort policynotat holder ikke.
Vis testresultatene dine: Bevis at verktoyene dine oppdaget CPR-numre og andre danske ID-er. En pastand er ikke bevis.
Begrens hva du henter ut: Ikke hent mer personopplysninger enn studien din trenger. Denne regelen gjelder ogsa for pseudonymiserte datasett.
Gjennomfor DPIA for KI-verktoy: Ethvert KI-verktoy som behandler danske pasientfiler, trenger en DPIA. Bruk Datatilsynets standardskjema.
Tre risikoomrader i Kobenhavn
Kobenhanns medtek-selskaper omfatter Leo Pharma, Bavarian Nordic og mange oppstartsbedrifter. Datatilsynet folger med pa tre risikoomrader.
KI-treningssett: Myndigheten avdekte i 2024 selskaper som trente KI-modeller pa filer med levende CPR-numre. Ingen hadde gyldig rettslig grunnlag.
Overforing til utlandet: Noen selskaper sendte pasientfiler til amerikanske skyleverandorer for KI-arbeid. Myndigheten sa at SCC-er alene ikke er nok. Du trenger ogsa tekniske tiltak - for eksempel kryptering med nokler lagret i Europa.
Tilgangslogger: Logger ma vise hvem som leste hvilke filer og hvorfor. Oppbevar dem i minst fem ar.
56 % av danske brudd pa helsedata i 2024 skyldes darlig de-identifisering. Verktoy med CPR-validering og dansk sprakstotte fjerner den vanligste kilden til svikt.
For mer om nordisk handhevelse, se var veiledning om GDPR-anonymisering hos IMY i Sverige.