GDPR pentru date medicale în Danemarca: aplicarea Datatilsynet în 2024
Datatilsynet din Danemarca a gestionat 31 de cazuri GDPR în 2024. Paisprezece dintre ele — 45% — au implicat sisteme medicale. Danemarca are 5,9 milioane de locuitori. Această pondere este foarte ridicată. Arată cât de departe a mers țara în digitalizarea sănătății. Reflectă și strictețea regulilor aplicabile.
Sistemul de sănătate danez
Fiecare cetățean danez are un număr CPR. Acesta este legat de dosarul medical al persoanei, registrul de medicamente, jurnalul spitalicesc și probele de țesut de la Statens Serum Institut. Jurnalul spitalicesc datează din 1977.
Acest sistem face din cercetarea medicală daneză una dintre cele mai bune din lume. Înseamnă și că fișierele pacienților sunt extrem de sensibile. De aceea Datatilsynet s-a concentrat atât de mult pe acest domeniu.
Problema numărului CPR
Numărul CPR este un identificator din 10 cifre. Formatul său este DDMMYY-XXXX. Ultima cifră este o cifră de control. Funcționează pe baza matematicii modulus-11.
Numerele CPR apar în fiecare fișier clinic. Sunt legate de evidențele de îngrijire, fiscale, bancare și de vot.
Datatilsynet precizează că trebuie verificată eficiența anonimizării înainte de utilizarea dosarelor de pacienți în orice scop nou. Însă 67% dintre instrumentele NLP comune omit pasul modulus-11 pentru numerele CPR. Când omit acest pas, apar două probleme.
Detectări false: Șirurile de date, numerele de facturi și codurile de referință sunt identificate eronat drept numere CPR reale. Aceasta duce la verificări manuale costisitoare.
ID-uri omise: Numerele CPR cu cifre transpuse nu trec verificarea. Astfel, identificatori reali ai pacienților trec nedetectați. Rezultatul pare corect, dar nu este.
Consultați ghidul nostru privind detectarea ID-urilor naționale din UE pentru modul în care regulile cifrelor de control funcționează pentru alte tipuri de ID-uri din UE.
Patru reguli pentru reutilizarea dosarelor pacienților
Registrele medicale daneze contribuie la finanțarea cercetării de top. Ghidul Datatilsynet din 2024 privind reutilizarea stabilește patru reguli.
Documentați ce ați făcut: Listați fiecare câmp pe care l-ați eliminat sau modificat. Notați cum ați rotunjit sau grupat valorile. O notă scurtă de politică nu satisface acest standard.
Prezentați rezultatele testelor: Demonstrați că instrumentul a găsit numerele CPR și alți identificatori danezi. O simplă afirmație nu constituie dovadă.
Limitați datele colectate: Nu preluați mai multe date personale decât are nevoie studiul dumneavoastră. Această regulă se aplică și seturilor pseudonimizate.
Efectuați un DPIA pentru instrumentele AI: Orice instrument AI care procesează fișiere daneze ale pacienților necesită un DPIA. Utilizați formularul standard al Datatilsynet.
Trei domenii de interes în Copenhaga
Firmele med-tech din Copenhaga includ Leo Pharma, Bavarian Nordic și numeroase startup-uri. Datatilsynet monitorizează trei zone de risc.
Seturi de date pentru antrenarea AI: Autoritatea a constatat în 2024 că firme antrenau modele AI pe fișiere cu numere CPR reale. Niciuna nu avea un temei juridic valid.
Transferuri în străinătate: Unele firme au trimis fișiere ale pacienților la furnizori de cloud din SUA pentru activități de AI. Autoritatea a stabilit că Clauzele Contractuale Standard singure nu sunt suficiente. Sunt necesare și măsuri tehnice suplimentare — cum ar fi criptarea cu chei păstrate în Europa.
Jurnale de acces: Jurnalele trebuie să arate cine a accesat ce fișiere și de ce. Păstrați-le cel puțin cinci ani.
56% dintre breșele de date medicale daneze din 2024 au provenit din anonimizare defectuoasă. Utilizarea instrumentelor cu validare CPR și suport pentru limba daneză elimină cea mai frecventă cauză de eșec.
Pentru mai multe informații despre aplicarea în țările nordice, consultați ghidul nostru privind anonimizarea GDPR IMY Suedia.