GDPR sa Pangangalagang Pangkalusugan ng Denmark: Pagpapatupad ng Datatilsynet 2024
Naglabas ang Datatilsynet ng Denmark ng 31 kaso sa GDPR noong 2024. Labing-apat sa mga ito — 45% — ay may kaugnayan sa mga sistema ng medikal. Mayroon itong 5.9 milyong mamamayan ang Denmark. Napakataas ng bahaging ito. Ipinapakita nito kung gaano kalayo ang narating ng bansa sa digital na kalusugan. Ipinapakita rin nito kung gaano kahigpit ang mga panuntunan.
Sistemang Pangkalusugan ng Denmark
Bawat mamamayan ng Denmark ay may CPR number. Ang numerong iyon ay nakatali sa kanilang rekord ng pasyente, rehistro ng gamot, talaan ng ospital, at mga sample ng tisyu sa Statens Serum Institut. Ang talaan ng ospital ay bumabalik pa noong 1977.
Angсистемang ito ang nagpapagaling ng medikal na pananaliksik ng Denmark bilang isa sa pinakamahusay sa mundo. Nangangahulugan din ito na ang mga file ng pasyente ay lubhang sensitibo. Kaya naman napaka-pokus ng Datatilsynet sa larangang ito.
Ang Problema sa CPR Number
Ang CPR number ay isang 10-digit na ID. Ang anyo nito ay DDMMYY-XXXX. Ang huling digit ay isang check digit. Gumagana ito sa pamamagitan ng modulus-11 na matematika.
Lumalabas ang mga CPR number sa bawat klinikal na file. Nakatali ang mga ito sa mga rekord ng pag-aalaga, buwis, bangko, at pagboto.
Ayon sa Datatilsynet, kailangan mong suriin ang iyong de-identification bago gamitin ang mga rekord ng pasyente para sa anumang bagong layunin. Ngunit 67% ng mga karaniwang NLP tool ay nilalaktawan ang modulus-11 na hakbang para sa mga CPR number. Kapag nilaktawan nila ito, dalawang bagay ang nagkamali.
Maling tama: Ang mga string ng petsa, numero ng bill, at mga reference code ay natatanda bilang tunay na CPR number. Humahantong ito sa mahal na manu-manong pagsusuri.
Napalampas na ID: Ang mga CPR number na may mga palitang digit ay nabibigo sa pagsusuri. Kaya ang mga tunay na ID ng pasyente ay dumadaan nang hindi napapansin. Mukhang malinis ang output ngunit hindi ito.
Tingnan ang aming gabay sa pagtuklas ng EU national ID para sa kung paano gumagana ang mga panuntunan ng check-digit para sa ibang uri ng EU ID.
Apat na Panuntunan sa Muling Paggamit ng mga Rekord ng Pasyente
Ang mga medikal na rehistro ng Denmark ay tumutulong sa pagpopondo ng nangungunang pananaliksik. Ang gabay ng Datatilsynet para sa 2024 sa muling paggamit ay nagtatatag ng apat na panuntunan.
Isulat ang iyong ginawa: Ilista ang bawat field na inalis o binago mo. Tandaan kung paano mo binago o iginrupo ang mga halaga. Ang isang maikling tala ng patakaran ay hindi nakakatugon sa pamantayang ito.
Ipakita ang iyong mga resulta ng pagsubok: Patunayan na nahanap ng iyong tool ang mga CPR number at iba pang Danish ID. Ang isang pahayag ay hindi katibayan.
Limitahan ang iyong kinukuha: Huwag kumuha ng mas maraming personal na datos kaysa sa kailangan ng iyong pag-aaral. Ang panuntunang ito ay nalalapat kahit sa mga pseudonymized na set.
Gumawa ng DPIA para sa mga AI tool: Ang anumang AI tool na nagpoproseso ng mga file ng pasyente ng Denmark ay nangangailangan ng DPIA. Gamitin ang karaniwang form ng Datatilsynet.
Tatlong Larangan ng Pokus sa Copenhagen
Kabilang sa mga kumpanya ng med-tech sa Copenhagen ang Leo Pharma, Bavarian Nordic, at maraming startup. Nagmamasid ang Datatilsynet sa tatlong lugar ng panganib.
Mga AI training set: Natuklasan ng awtoridad noong 2024 ang mga kumpanyang nagsanay ng mga modelo ng AI sa mga file na may mga live na CPR number. Wala ni isa ang may wastong legal na batayan.
Mga paglilipat sa ibayong-dagat: Ilang kumpanya ang nagpadala ng mga file ng pasyente sa mga cloud vendor ng US para sa gawaing AI. Sinabi ng awtoridad na ang mga SCC lamang ay hindi sapat. Kailangan mo rin ng mga teknikal na hakbang — tulad ng encryption na may mga key na hawak sa Europa.
Mga log ng pag-access: Ang mga log ay dapat magpakita kung sino ang nagbasa ng kung anong mga file at bakit. Itago ang mga ito nang hindi bababa sa limang taon.
56% ng mga paglabag sa datos ng medikal ng Denmark noong 2024 ay nagmula sa masamang de-identification. Ang paggamit ng mga tool na validated ng CPR na may suporta sa wikang Danish ay inaalis ang pinakakaraniwang kabiguan.
Para sa karagdagang impormasyon sa pagpapatupad ng Nordic, tingnan ang aming gabay sa anonymization ng IMY Sweden GDPR.