Dữ Liệu Y Tế và GDPR tại Đan Mạch: Thực Thi của Datatilsynet Năm 2024
Datatilsynet xử lý 31 vụ GDPR trong năm 2024. Mười bốn trong số đó — chiếm 45% — liên quan đến hệ thống y tế. Đan Mạch có 5,9 triệu dân. Tỷ lệ này rất cao. Nó phản ánh mức độ số hóa y tế tiên tiến của đất nước. Đồng thời cho thấy các quy định được áp dụng nghiêm ngặt đến mức nào.
Hệ Thống Y Tế Đan Mạch
Mọi công dân Đan Mạch đều có một số CPR. Số này được liên kết với hồ sơ bệnh nhân, sổ đăng ký thuốc, Landspatientregistret và các mẫu mô tại Statens Serum Institut. Landspatientregistret lưu trữ dữ liệu từ năm 1977.
Hệ thống này giúp nghiên cứu y tế Đan Mạch thuộc hàng tốt nhất thế giới. Nhưng cũng đồng nghĩa rằng thông tin bệnh nhân cực kỳ nhạy cảm. Đó là lý do Datatilsynet đặc biệt chú trọng lĩnh vực này.
Vấn Đề Với Số CPR
Số CPR là mã định danh 10 chữ số. Định dạng là NGÀYTHÁNG NĂM-XXXX. Chữ số cuối là chữ số kiểm tra dựa trên phép tính modulus-11.
Số CPR xuất hiện trong mọi hồ sơ lâm sàng. Chúng được kết nối với các cơ sở dữ liệu y tế, thuế, ngân hàng và bầu cử.
Datatilsynet yêu cầu kiểm tra quy trình ẩn danh hóa trước khi sử dụng dữ liệu bệnh nhân cho mục đích mới. Tuy nhiên, 67% công cụ NLP phổ biến bỏ qua bước modulus-11 khi xử lý số CPR. Khi điều đó xảy ra, hai vấn đề phát sinh.
Phát hiện nhầm: Chuỗi ngày, số hóa đơn và mã tham chiếu bị nhận nhầm là số CPR thật. Điều này dẫn đến các cuộc kiểm tra thủ công tốn kém.
Bỏ sót ID: Các số CPR có chữ số bị hoán đổi sẽ không qua bước kiểm tra. ID bệnh nhân thực sự bị bỏ sót. Kết quả trông sạch nhưng thực tế không phải vậy.
Xem hướng dẫn phát hiện mã số quốc gia EU để hiểu cách các quy tắc chữ số kiểm tra hoạt động cho các loại ID EU khác.
Bốn Quy Tắc Tái Sử Dụng Dữ Liệu Bệnh Nhân
Các sổ đăng ký y tế của Đan Mạch đóng góp vào nghiên cứu xuất sắc. Hướng dẫn năm 2024 của Datatilsynet về tái sử dụng đặt ra bốn quy tắc.
Ghi lại những gì bạn đã làm: Liệt kê tất cả các trường đã xóa hoặc thay đổi. Ghi chú cách bạn làm tròn hoặc nhóm các giá trị. Một ghi chú chính sách ngắn không đáp ứng yêu cầu này.
Trình bày kết quả kiểm tra: Chứng minh công cụ của bạn tìm thấy số CPR và các mã số Đan Mạch khác. Lời khẳng định bằng miệng không phải là bằng chứng.
Giới hạn dữ liệu thu thập: Không lấy nhiều dữ liệu cá nhân hơn mức nghiên cứu yêu cầu. Quy tắc này áp dụng ngay cả với tập dữ liệu đã được giả danh hóa.
Thực hiện DPIA cho công cụ AI: Mọi công cụ AI xử lý hồ sơ bệnh nhân Đan Mạch đều cần DPIA. Sử dụng biểu mẫu chuẩn của Datatilsynet.
Ba Lĩnh Vực Trọng Tâm tại Copenhagen
Các công ty med-tech tại Copenhagen bao gồm Leo Pharma, Bavarian Nordic và nhiều startup. Datatilsynet giám sát ba lĩnh vực rủi ro.
Dữ liệu huấn luyện AI: Cơ quan này phát hiện vào năm 2024 rằng nhiều công ty huấn luyện mô hình AI trên hồ sơ chứa số CPR đang hoạt động. Không có cơ sở pháp lý hợp lệ nào được thiết lập.
Chuyển dữ liệu ra nước ngoài: Một số công ty gửi hồ sơ bệnh nhân cho nhà cung cấp cloud Mỹ để phục vụ công việc AI. Cơ quan kết luận rằng SCC đơn thuần là không đủ. Các biện pháp kỹ thuật bổ sung cũng cần thiết — chẳng hạn mã hóa với khóa lưu trữ tại châu Âu.
Nhật ký truy cập: Nhật ký phải ghi lại ai đọc hồ sơ nào và khi nào. Chúng phải được lưu trữ ít nhất năm năm.
56% vụ vi phạm dữ liệu liên quan đến dữ liệu y tế Đan Mạch trong năm 2024 xuất phát từ ẩn danh hóa không đầy đủ. Sử dụng công cụ đã xác thực CPR với hỗ trợ ngôn ngữ Đan Mạch sẽ loại bỏ nguyên nhân lỗi phổ biến nhất.
Để biết thêm về thực thi tại các nước Bắc Âu, xem hướng dẫn IMY Thụy Điển về ẩn danh hóa GDPR.