Saúde e RGPD na Dinamarca: execução do Datatilsynet em 2024
O Datatilsynet dinamarquês emitiu 31 decisões ao abrigo do RGPD em 2024. Catorze delas — 45 % — envolviam sistemas médicos. A Dinamarca tem 5,9 milhões de habitantes. Essa proporção é muito alta. Ela mostra até onde o país avançou na digitalização da saúde. Mostra também quão exigentes são os requisitos técnicos.
O sistema de saúde da Dinamarca
Cada cidadão dinamarquês tem um número CPR. Esse número está ligado ao seu processo clínico, ao registo de medicamentos, ao registo hospitalar e às amostras biológicas do Statens Serum Institut. O registo hospitalar remonta a 1977.
Este sistema torna a investigação médica dinamarquesa uma das melhores do mundo. Significa também que os processos de doentes são muito sensíveis. É por isso que o Datatilsynet tem dado tanta atenção a esta área.
O problema do número CPR
O número CPR é um identificador com 10 dígitos. O seu formato é DDMMAA-XXXX. O último dígito é um dígito de controlo. É calculado por aritmética módulo 11.
Os números CPR aparecem em todos os documentos clínicos. Estão ligados a registos de saúde, fiscais, bancários e eleitorais.
O Datatilsynet exige que a anonimização seja verificada e documentada antes de qualquer utilização secundária de processos de doentes. Mas 67 % das ferramentas NLP genéricas não aplicam o passo de módulo 11. Quando o omitem, surgem dois problemas.
Falsos positivos: Cadeias de datas, números de fatura e códigos de referência são assinalados como números CPR reais. Isso gera revisões manuais dispendiosas.
Identificadores omitidos: Números CPR com dígitos trocados falham o controlo. Identificadores reais de doentes passam despercebidos. O resultado parece limpo, mas não está.
O nosso guia de deteção de identificadores nacionais da UE explica como as regras de dígito de controlo funcionam para outros tipos de identificadores europeus.
Quatro regras para reutilização de processos de doentes
Os registos médicos dinamarqueses sustentam investigação de primeiro nível. A orientação de 2024 do Datatilsynet sobre reutilização estabelece quatro regras.
Documente o seu processo: Liste cada campo removido ou alterado. Indique como arredondou ou agrupou os valores. Uma nota de política simples não cumpre este requisito.
Apresente os seus resultados de teste: Prove que a sua ferramenta detetou números CPR e outros identificadores dinamarqueses. Uma afirmação não é prova.
Limite o âmbito: Não recolha mais dados pessoais do que o seu estudo necessita. Esta regra aplica-se mesmo a conjuntos pseudonimizados.
Realize uma AIPD para ferramentas de IA: Qualquer ferramenta de IA que processe processos de doentes dinamarqueses precisa de uma avaliação de impacto. Use o formulário padrão do Datatilsynet.
Três áreas de foco em Copenhaga
O setor med-tech de Copenhaga inclui a Leo Pharma, a Bavarian Nordic e muitas startups. O Datatilsynet observa três áreas de risco.
Conjuntos de treino de IA: A autoridade encontrou em 2024 empresas que treinaram modelos de IA com processos que continham números CPR reais. Nenhuma tinha base jurídica válida.
Transferências para o estrangeiro: Algumas empresas enviaram processos de doentes para fornecedores de nuvem dos EUA para trabalhos de IA. A autoridade concluiu que as CCE por si só não são suficientes. São também necessárias medidas técnicas — como encriptação com chaves detidas na Europa.
Registos de acesso: Os registos devem indicar quem acedeu a quais processos e por quê. Devem ser conservados durante pelo menos cinco anos.
56 % das violações de dados médicos na Dinamarca em 2024 resultaram de anonimização deficiente. Ferramentas validadas para CPR com suporte em dinamarquês eliminam a falha técnica mais comum.
Para saber mais sobre a execução nórdica, consulte o nosso guia RGPD do IMY Suécia.