Deense zorgdata en AVG: Datatilsynet 2024
Denemarken's Datatilsynet nam in 2024 31 AVG-zaken. Veertien daarvan — 45% — betroffen medische systemen. Denemarken heeft 5,9 miljoen inwoners. Dat aandeel is zeer hoog en weerspiegelt zowel de vergevorderde digitalisering van de gezondheidszorg als de strengheid van de regelgeving.
Het Deense gezondheidssysteem
Elke Deen heeft een CPR-nummer. Dat nummer is gekoppeld aan hun patiëntendossier, het geneesmiddelenregister, het ziekenhuisregister en weefselmonsters bij het Statens Serum Institut. Het ziekenhuisregister gaat terug tot 1977.
Dit systeem maakt Deens medisch onderzoek tot het beste ter wereld. Het betekent ook dat patiëntendossiers uiterst gevoelig zijn — vandaar de scherpe handhavingsfocus van Datatilsynet op dit gebied.
Het CPR-nummerprobleem
Het CPR-nummer is een 10-cijferig ID met het formaat DDMMJJ-XXXX. Het laatste cijfer is een controlecijfer op basis van modulus-11-wiskunde.
CPR-nummers staan in elk klinisch dossier en zijn gekoppeld aan zorg-, belasting-, bank- en stemregistraties.
Datatilsynet stelt dat de-identificatiewerk moet worden geverifieerd vóór hergebruik van patiëntgegevens voor enig nieuw doel. Toch slaat 67% van de gangbare NLP-tools de modulus-11-stap over bij CPR-nummers. Twee problemen zijn het gevolg.
Vals-positieven: Datumreeksen, factuurnummers en referentiecodes worden als echte CPR-nummers aangemerkt, wat kostbare handmatige controles vereist.
Gemiste ID's: CPR-nummers met omgewisselde cijfers falen de controle, waardoor echte patiënt-ID's ongemerkt passeren. De uitvoer ziet er schoon uit, maar is het niet.
Zie onze EU-nationaal ID-detectiegids voor hoe controlecijferregels werken bij andere EU-ID-typen.
Vier regels voor hergebruik van patiëntgegevens
Denemarken's medische registers ondersteunen toponderzoek. De 2024-richtsnoeren van Datatilsynet voor hergebruik stellen vier regels.
Documenteer uw aanpak: Beschrijf elk verwijderd of gewijzigd veld en noteer hoe waarden zijn afgerond of gegroepeerd. Een korte beleidsnota voldoet hier niet aan.
Toon testresultaten: Bewijs dat uw tool CPR-nummers en andere Deense ID's heeft gevonden. Een bewering is geen bewijs.
Beperk wat u ophaalt: Neem niet meer persoonsgegevens op dan uw studie vereist. Deze regel geldt ook voor gepseudonymiseerde datasets.
Voer een DPIA uit voor AI-tools: Elke AI-tool die Deense patiëntdossiers verwerkt, heeft een DPIA nodig. Gebruik het standaardformulier van Datatilsynet.
Drie aandachtsgebieden in Kopenhagen
Kopenhagen's medtech-sector omvat Leo Pharma, Bavarian Nordic en talrijke startups. Datatilsynet houdt drie risicogebieden nauw in de gaten.
AI-trainingssets: De autoriteit vond in 2024 bedrijven die AI-modellen trainden op bestanden met live CPR-nummers zonder geldige rechtsgrondslag.
Internationale overdrachten: Sommige bedrijven stuurden patiëntdossiers naar Amerikaanse cloudleveranciers voor AI-werkzaamheden. De autoriteit stelde dat alleen standaardcontractbepalingen (SCB's) niet volstaan — ook technische maatregelen zoals versleuteling met in Europa bewaarde sleutels zijn vereist.
Toegangslogboeken: Logboeken moeten tonen wie welke bestanden heeft ingezien en waarom. Ze dienen minimaal vijf jaar bewaard te worden.
56% van de Deense medische datalekken in 2024 was het gevolg van gebrekkige de-identificatie. Het gebruik van CPR-gevalideerde tools met Deenstalige ondersteuning elimineert de meest voorkomende oorzaak.
Voor meer over Noordse handhaving, zie onze IMY Zweden AVG-anonimiseringsgids.