Dania: numery CPR i zgodność z RODO
Zaktualizowano na 2026 rok
Duński organ nadzorczy — Datatilsynet — wydał 31 decyzji na gruncie RODO w 2024 roku. Czternaście z nich dotyczyło danych medycznych. Ten wysoki udział wynika z dwóch faktów: Dania posiada rozbudowany krajowy system ochrony zdrowia, a luki techniczne w tym systemie systematycznie prowadzą do ujawniania danych pacjentów.
Reguła cyfry kontrolnej dla numerów CPR
Numer CPR to duński krajowy numer identyfikacyjny — 10 cyfr w formacie DDMMRR-XXXX. Pierwsze sześć cyfr to data urodzenia, ostatnie cztery to kod i cyfra kontrolna.
Cyfra kontrolna jest weryfikowana metodą modulus-11:
- Pobierz cyfry od 1 do 9.
- Przypisz każdej wagę: 4, 3, 2, 7, 6, 5, 4, 3, 2.
- Pomnóż każdą cyfrę przez jej wagę i zsumuj wyniki.
- Podziel przez 11 i zanotuj resztę.
- Reszta 0 → cyfra kontrolna wynosi 0.
- Reszta 1 → numer jest nieprawidłowy.
- Reszta 2–10 → cyfra kontrolna = 11 minus reszta.
Reguła ta ma kluczowe znaczenie dla narzędzi skanujących numery CPR. Niektóre ciągi DDMMRR-XXXX nigdy nie mogą być prawidłowymi numerami CPR. Narzędzia pomijające ten krok oznaczają daty, kody faktur i numery referencyjne jako prawdziwe identyfikatory.
Przegląd organu z 2024 roku wykazał, że 67% narzędzi NLP ogólnego przeznaczenia pomija tę weryfikację. To najczęstsza awaria techniczna w sprawach dotyczących ochrony zdrowia.
Pięć duńskich rejestrów zdrowotnych
Dania łączy dane zdrowotne w pięciu krajowych rejestrach. Identyfikator osobowy łączy wszystkie pięć.
- Dane o wypisach ze szpitali (od 1977 r.)
- Dane o receptach (od 1995 r.)
- Rejestr nowotworów (od 1943 r.)
- Rejestr przyczyn zgonów (od 1970 r.)
- Diagnozowanie w podstawowej opiece zdrowotnej (od 1990 r.)
Dzięki temu duńskie badania medyczne mają wyjątkową wartość. Jednocześnie niosą ze sobą ryzyko: usunięcie surowego identyfikatora nie wystarczy. Zbiór zawierający wiek, płeć, rozpoznanie i rok może ponownie ujawnić tożsamość osoby — zwłaszcza chorej na rzadką chorobę.
Wytyczne Datatilsynet z 2024 roku dotyczące wtórnego wykorzystania danych medycznych stawiają trzy wymagania.
Dokumentuj wykonane operacje: Opisz, które pola zostały usunięte, które zaokrąglone lub zgrupowane oraz jaki rozmiar grupy osiąga wynikowy zbiór. Notatka polityczna nie spełnia tego standardu.
Zewnętrzny przegląd dla dużych zbiorów: W przypadku zbiorów obejmujących ponad 5 000 osób organ zaleca niezależną techniczną weryfikację procesu de-identyfikacji.
Dopasuj dane do pytania badawczego: Zbiór musi być adekwatny do zadeklarowanego celu badawczego. Organ wykrył przypadki, w których zespoły korzystały z pełnych rejestrów krajowych, choć wystarczyłaby mniejsza próba.
Zob. nasz przewodnik po wykrywaniu europejskich numerów ID, w którym omawiamy zastosowanie reguł cyfr kontrolnych do identyfikatorów z innych krajów europejskich.
Co wykazały sprawy z 2024 roku
Czternaście spraw z sektora ochrony zdrowia dzieli trzy wspólne typy naruszeń.
Udostępnianie danych badawczych: Szpital przesyła zanonimizowany zbiór danych pacjentów do partnera akademickiego w celu uczenia modeli AI. Zbiór zawiera elementy daty urodzenia, kody diagnostyczne i daty leczenia. Organ stwierdza, że ta kombinacja ujawnia tożsamość pacjentów z rzadkimi chorobami — rzadkie rozpoznania szybko zawężają pulę możliwych osób.
Usługi AI podmiotów trzecich: Firma z sektora zdrowia przesyła notatki lekarskie do usługi AI z USA w celu opracowania dokumentacji klinicznej. Identyfikatory osobowe zawarte w tych notatkach nie zostają usunięte przed transferem. Brak ważnej podstawy transferu.
Luki w procesie OCR: Ubezpieczyciel przetwarza zeskanowane formularze PDF dotyczące roszczeń z tytułu niepełnosprawności. Narzędzie OCR konwertuje obrazy na tekst, ale nie przeprowadza weryfikacji cyfr kontrolnych na wyjściu. Wiele numerów ID zostaje pominiętych.
OCR często wstawia spacje w środku numeru lub przesuwa myślnik. Proste dopasowanie wzorca zawodzi na takich danych. Wykrywanie musi działać na tekście po OCR, a nie tylko na czystych danych wejściowych. Zob. nasz przewodnik po wykrywaniu danych osobowych w dokumentach medycznych przetwarzanych przez OCR.
Trzy niezbędne wymogi techniczne
Te trzy elementy stanowią podstawę technicznej zgodności z RODO w duńskiej służbie zdrowia.
Weryfikacja cyfr kontrolnych dla całego tekstu: Przeprowadź pełną weryfikację modulus-11 dla każdego kandydującego ciągu — zarówno na czystym tekście, jak i na wynikach OCR.
Wykrywanie imion i nazwisk w języku duńskim: Użyj modelu uczonego na duńskich tekstach — jedną z opcji jest model spaCy da_core_news. Generyczny model angielski nie rozpoznaje duńskich imion i nazw organizacji.
Dokumentacja de-identyfikacji: Opisz, co zostało usunięte, co zgrupowane i jaki rozmiar grupy osiąga wynikowy zbiór. Organ wymaga tej informacji w postaci technicznej, nie jako ogólna deklaracja polityki.
Informacje na temat kosztów incydentów z danymi medycznymi znajdziesz w naszej analizie kosztów naruszeń danych w ochronie zdrowia.