Danmarks GDPR inom hälso- och sjukvård: Datatilsynets tillsyn 2024
Danmarks Datatilsynet handlade 31 GDPR-ärenden 2024. Fjorton av dem — 45 % — gällde medicinska system. Danmark har 5,9 miljoner invånare. Den andelen är mycket hög. Den visar hur långt landet har kommit med digital hälsa. Den visar också hur strikta reglerna är.
Danmarks hälsosystem
Varje dansk person har ett CPR-nummer. Det numret är kopplat till patientjournalen, läkemedelsregistret, sjukhusloggen och vävnadsprover vid Statens Serum Institut. Sjukhusloggen sträcker sig tillbaka till 1977.
Detta system gör dansk medicinsk forskning till en av de bästa i världen. Det innebär också att patientfiler är mycket känsliga. Det är därför Datatilsynet har fokuserat så mycket på detta område.
Problemet med CPR-numret
CPR-numret är ett 10-siffrigt ID. Formatet är DDMMYY-XXXX. Den sista siffran är en kontrollsiffra som bygger på modulus-11-matematik.
CPR-nummer förekommer i alla kliniska filer. De kopplar till vård, skatt, bank och röstlängden.
DataTilsynet kräver att du kontrollerar ditt avidentifieringsarbete innan du använder patientjournaler för något nytt ändamål. Men 67 % av vanliga NLP-verktyg hoppar över modulus-11-steget för CPR-nummer. När de hoppar över det uppstår två problem.
Falska träffar: Datumsträngar, fakturanummer och referenskoder markeras som riktiga CPR-nummer. Det leder till kostsamma manuella kontroller.
Missade ID:n: CPR-nummer med transponerade siffror underkänns av kontrollen. Riktiga patient-ID:n glider igenom. Utdatan ser ren ut men är det inte.
Se vår guide om EU-nationella ID-detektioner för hur kontrollsiffersregler fungerar för andra EU-ID-typer.
Fyra regler för återanvändning av patientjournaler
Danmarks medicinska register bidrar till finansieringen av toppforskning. Datatilsynets vägledning från 2024 om återanvändning anger fyra regler.
Dokumentera vad du gjort: Lista varje fält du tagit bort eller ändrat. Anteckna hur du rundat av eller grupperat värden. En kort policy-anteckning räcker inte.
Visa dina testresultat: Bevisa att ditt verktyg hittade CPR-nummer och andra danska ID:n. Ett påstående är inget bevis.
Begränsa vad du hämtar: Hämta inte mer personuppgifter än vad din studie behöver. Denna regel gäller även för pseudonymiserade dataset.
Gör en DPIA för AI-verktyg: Alla AI-verktyg som behandlar danska patientfiler behöver en DPIA. Använd Datatilsynets standardformulär.
Tre fokusområden i Köpenhamn
Köpenhamns medtech-företag inkluderar Leo Pharma, Bavarian Nordic och många startups. Datatilsynet bevakar tre riskområden.
AI-träningsdata: Myndigheten fann 2024 att företag tränade AI-modeller på filer med levande CPR-nummer. Inget av dem hade en giltig rättslig grund.
Överföringar utomlands: Vissa företag skickade patientfiler till amerikanska molnleverantörer för AI-arbete. Myndigheten sa att standardavtalsklausuler (SCC) ensamt inte räcker. Du behöver också tekniska åtgärder — till exempel kryptering med nycklar som förvaras i Europa.
Åtkomstloggar: Loggar måste visa vem som läste vilka filer och varför. Spara dem i minst fem år.
56 % av danska dataintrång inom sjukvården 2024 berodde på dålig avidentifiering. Verktyg med CPR-validering och stöd för danska minskar den vanligaste felkällan.
För mer om nordisk tillsyn, se vår IMY Sverige GDPR-guide för anonymisering.