ڈنمارک میں صحت کا GDPR: Datatilsynet کا 2024 کا نفاذ
ڈنمارک کے Datatilsynet نے 2024 میں 31 GDPR مقدمات نمٹائے۔ ان میں سے چودہ — یعنی 45% — طبی نظاموں سے جڑے تھے۔ ڈنمارک کی آبادی 59 لاکھ ہے۔ یہ تناسب بہت زیادہ ہے۔ یہ اس بات کا ثبوت ہے کہ ملک نے ڈیجیٹل صحت میں کتنی ترقی کی ہے اور قوانین کتنے سخت ہیں۔
ڈنمارک کا صحت کا نظام
ہر ڈینش شہری کے پاس ایک CPR نمبر ہوتا ہے۔ یہ نمبر اس کے مریض ریکارڈ، دوائی رجسٹری، ہسپتال لاگ، اور Statens Serum Institut میں بافت کے نمونوں سے جڑا ہوتا ہے۔ ہسپتال کا لاگ 1977 تک جاتا ہے۔
یہ نظام ڈینش طبی تحقیق کو دنیا کی بہترین تحقیق میں شامل کرتا ہے۔ اس کا مطلب یہ بھی ہے کہ مریض کی فائلیں انتہائی حساس ہیں۔ اسی لیے Datatilsynet نے اس شعبے پر خصوصی توجہ دی ہے۔
CPR نمبر کا مسئلہ
CPR نمبر 10 ہندسوں کا شناختی نمبر ہے۔ اس کی شکل DDMMYY-XXXX ہے۔ آخری ہندسہ چیک ڈیجٹ ہے جو modulus-11 ریاضی پر کام کرتا ہے۔
CPR نمبر ہر طبی فائل میں موجود ہوتا ہے۔ یہ صحت، ٹیکس، بینک، اور ووٹ کے ریکارڈ سے جڑا ہوتا ہے۔
Datatilsynet کا کہنا ہے کہ کسی بھی نئے مقصد کے لیے مریض ریکارڈ استعمال کرنے سے پہلے آپ کو اپنا de-identification کا کام جانچنا ضروری ہے۔ لیکن 67% عام NLP ٹولز CPR نمبروں کے لیے modulus-11 مرحلہ چھوڑ دیتے ہیں۔ جب وہ یہ چھوڑ دیتے ہیں تو دو مسائل پیدا ہوتے ہیں۔
غلط نتائج: تاریخ کی تاریں، بل نمبر، اور حوالہ کوڈ حقیقی CPR نمبر سمجھ لیے جاتے ہیں۔ اس سے مہنگی دستی جانچ کی ضرورت پڑتی ہے۔
چھوٹے ہوئے IDs: الٹے ہندسوں والے CPR نمبر چیک میں ناکام ہو جاتے ہیں۔ اس طرح حقیقی مریض IDs کسی کی نظر میں نہیں آتے۔ نتیجہ صاف دکھتا ہے لیکن ہے نہیں۔
دیگر EU ID اقسام کے لیے چیک ڈیجٹ قوانین جاننے کے لیے ہماری EU نیشنل ID ڈیٹیکشن گائیڈ دیکھیں۔
مریض ریکارڈ دوبارہ استعمال کرنے کے چار قوانین
ڈنمارک کی طبی رجسٹریاں اعلیٰ تحقیق کے لیے مددگار ہیں۔ Datatilsynet کی 2024 کی رہنمائی میں دوبارہ استعمال کے چار اصول بیان کیے گئے ہیں۔
اپنا کام لکھیں: ہر وہ فیلڈ نوٹ کریں جو آپ نے ہٹائی یا بدلی۔ نوٹ کریں کہ آپ نے قدریں کیسے گول کیں یا گروپ کیا۔ ایک مختصر پالیسی نوٹ کافی نہیں ہے۔
اپنے ٹیسٹ کے نتائج دکھائیں: ثابت کریں کہ آپ کے ٹول نے CPR نمبر اور دیگر ڈینش IDs تلاش کیے۔ دعویٰ کافی نہیں ہے۔
ضرورت سے زیادہ ڈیٹا نہ لیں: اپنی تحقیق کی ضرورت سے زیادہ ذاتی ڈیٹا نہ کھینچیں۔ یہ قانون pseudonymized سیٹ پر بھی لاگو ہوتا ہے۔
AI ٹولز کے لیے DPIA کریں: کوئی بھی AI ٹول جو ڈینش مریض فائلوں پر کام کرے، اسے DPIA کی ضرورت ہے۔ Datatilsynet کا معیاری فارم استعمال کریں۔
کوپن ہیگن میں توجہ کے تین شعبے
کوپن ہیگن کی میڈ-ٹیک کمپنیوں میں Leo Pharma، Bavarian Nordic، اور بہت سی اسٹارٹ اپس شامل ہیں۔ Datatilsynet تین خطرے والے شعبوں پر نظر رکھتا ہے۔
AI تربیتی سیٹ: 2024 میں حکام نے ایسی کمپنیاں پائیں جنہوں نے زندہ CPR نمبروں والی فائلوں پر AI ماڈل تربیت دیا۔ کسی کے پاس درست قانونی بنیاد نہیں تھی۔
بیرونی منتقلی: بعض کمپنیوں نے AI کام کے لیے مریض فائلیں امریکی کلاؤڈ وینڈرز کو بھیجیں۔ حکام نے کہا کہ صرف SCCs کافی نہیں — آپ کو تکنیکی اقدامات بھی چاہئیں جیسے یورپ میں رکھی گئی چابیوں سے خفیہ کاری۔
رسائی لاگ: لاگ سے ظاہر ہونا چاہیے کہ کس نے کون سی فائلیں کیوں پڑھیں۔ انہیں کم از کم پانچ سال رکھیں۔
2024 میں 56% ڈینش طبی ڈیٹا کی خلاف ورزیاں ناقص de-identification کی وجہ سے ہوئیں۔ ڈینش زبان کی سپورٹ کے ساتھ CPR-validated ٹولز استعمال کرنا سب سے عام ناکامی دور کرتا ہے۔
نارڈک نفاذ کے بارے میں مزید جاننے کے لیے ہماری IMY Sweden GDPR anonymization گائیڈ دیکھیں۔