GDPR в здравоохранении Дании: правоприменение Datatilsynet в 2024 году
Датский Datatilsynet рассмотрел 31 дело по GDPR в 2024 году. Четырнадцать из них — 45% — касались медицинских информационных систем. В Дании проживает 5,9 миллиона человек. Столь высокая доля медицинских дел отражает уровень цифровизации здравоохранения в стране и строгость требований регулятора.
Устройство датской медицины
Каждый гражданин Дании имеет номер CPR. Он связывает пациента с медицинской картой, регистром лекарственных препаратов, журналом госпитализаций и биологическими образцами в Государственном институте сывороток (Statens Serum Institut). Журнал госпитализаций ведётся с 1977 года.
Эта система позволяет проводить медицинские исследования мирового уровня. Вместе с тем она означает, что данные пациентов крайне чувствительны. Именно поэтому Datatilsynet уделяет особое внимание этой сфере.
Проблема номера CPR
Номер CPR — это 10-значный идентификатор. Формат: ДДММГГ-ХXXX. Последняя цифра является контрольной и рассчитывается по алгоритму модуля 11.
Номера CPR присутствуют в каждой клинической записи и связывают пациента с данными о лечении, налоговой, банковской и избирательной информацией.
Datatilsynet требует проверять качество деидентификации перед любым повторным использованием медицинских данных. Однако 67% распространённых NLP-инструментов не выполняют проверку по модулю 11 для номеров CPR. Это приводит к двум типам ошибок.
Ложные срабатывания: даты, номера счетов и ссылочные коды распознаются как действительные номера CPR, что влечёт за собой дорогостоящую ручную проверку.
Пропущенные идентификаторы: номера CPR с переставленными цифрами не проходят контрольную проверку, и реальные данные пациентов остаются незамеченными. Результат выглядит чистым, но таковым не является.
См. наш справочник по обнаружению национальных идентификаторов ЕС о принципах работы контрольных алгоритмов для других типов идентификаторов.
Четыре правила повторного использования медицинских данных
Датские медицинские регистры поддерживают масштабные исследования. Руководство Datatilsynet 2024 года о повторном использовании данных устанавливает четыре требования.
Документируйте действия: перечислите каждое удалённое или изменённое поле, укажите, как были округлены или сгруппированы значения. Краткой справки недостаточно.
Представьте результаты тестирования: докажите, что ваш инструмент обнаружил номера CPR и другие датские идентификаторы. Голословных утверждений недостаточно.
Минимизируйте объём данных: не запрашивайте больше персональных данных, чем требует исследование. Это правило распространяется и на псевдонимизированные наборы данных.
Проводите ОВВД для ИИ-инструментов: любой ИИ-инструмент, обрабатывающий датские данные пациентов, требует оценки воздействия на защиту данных (DPIA). Используйте стандартную форму Datatilsynet.
Три зоны риска в Копенгагене
Среди копенгагенских медтех-компаний — Leo Pharma, Bavarian Nordic и многочисленные стартапы. Datatilsynet сосредоточился на трёх зонах риска.
Обучающие наборы для ИИ: в 2024 году регулятор выявил компании, обучавшие ИИ-модели на файлах с действующими номерами CPR без надлежащего правового основания.
Трансграничные передачи: ряд компаний передавал данные пациентов американским облачным провайдерам для ИИ-обработки. Регулятор указал, что одних стандартных договорных положений (SCC) недостаточно — необходимы технические меры, в частности шифрование с ключами, хранящимися в Европе.
Журналы доступа: журналы должны отражать, кто и когда обращался к каким файлам и с какой целью. Срок хранения — не менее пяти лет.
56% нарушений безопасности датских медицинских данных в 2024 году были вызваны ненадлежащей деидентификацией. Использование инструментов с поддержкой проверки CPR и датскоязычной обработки текста позволяет устранить наиболее распространённые уязвимости.
О правоприменительной практике в Северных странах см. наш справочник по анонимизации под GDPR: Швеция (IMY).