Datatilsynet丹麦：医疗保健数据去识别是丹麦的顶级GDPR问题

为什么丹麦关注医疗保健数据

Datatilsynet（丹麦数据保护当局）在医疗保健数据去识别上的执行比其他欧盟DPA更严格。

原因：丹麦有一个国家医疗保健系统，所有医疗记录都以电子方式集中化。Datatilsynet的工作是确保PHI（受保护的医疗信息）安全处理。

丹麦的医疗保健数据环境

区域卫生当局

丹麦有5个区域卫生当局，每个负责一个地理区域的医疗保健。所有电子医疗记录都进入中央系统。

PHI数据包括：

• 诊断代码（疾病）
• 处方
• 实验室结果
• 医生笔记
• 心理健康记录
• 处方记录

所有这些都是"特殊类别数据"根据GDPR第9条。

Datatilsynet在去识别上的焦点

GDPR不适用于真正的匿名医疗数据。因此，医疗保健组织被激励以去识别数据（匿名化）用于研究或公共卫生分析。

Datatilsynet的工作是确保"去识别"是真实的，而不仅仅是表面的。

常见问题：

医疗保健组织说："我们删除了患者名称，数据是匿名的。"Datatilsynet说："您还有其他标识符。患者仍然可以识别。"

医疗保健中常见的准标识符

医疗保健中的一个困难是存在许多准标识符（可能识别某人的特征组合）：

1. 出生日期

   • 在小人口中，出生日期+ 性别+ 邮政编码可能唯一

2. 邮政编码

   • 在小区域，邮政编码是高度识别性的

3. 诊断

   • 少见的诊断（罕见疾病）可能可识别

4. 治疗日期

   • 诊断+ 治疗日期的组合可能可识别

5. 处方

   • 特定的处方可能与已知的医学案例相关

6. 医疗程序代码

   • 罕见的手术代码+ 日期可能可识别

Datatilsynet说：删除名称是不够的。您必须评估所有这些准标识符。

丹麦的特定医疗标识符

CPR号码（丹麦个人ID）

Every丹麦居民有一个CPR号码（Central Person Register）。在医疗保健中，CPR用作患者ID。

Datatilsynet要求：

• CPR必须从任何"去识别"数据中移除
• 如果存在替代患者ID（例如，医院内部ID），该ID必须无法链接回CPR

Regional Health Authority标识符

每个地区卫生当局有自己的患者ID系统。Datatilsynet要求这些ID也必须从去识别数据中移除或加密。

Datatilsynet的医疗保健数据合规要求

1. 患者同意

GDPR要求处理特殊类别数据的法律依据。医疗保健中，通常基础是：

• 治疗需要（GDPR第9条(h))：患者的医生需要数据以治疗
• 公共卫生利益（GDPR第9条(i))：公共卫生当局需要汇总数据
• 同意（GDPR第7条）：患者明确同意

Datatilsynet要求清晰的法律依据和患者通知。

2. 最小化

Datatilsynet要求医疗保健组织不仅仅收集治疗需要的数据。

Example：医生不应该有整个患者的医疗历史用于一次就诊。医生应该只有与当前就诊相关的数据。

3. 访问控制

Datatilsynet要求严格的访问控制。并不是所有医院员工都应该有所有患者的访问权。

访问应该是基于角色的：

• 护士可以看到患者的药物和生命体征
• 医生可以看到完整的医疗历史
• 行政员工只能看到预约和联系信息

4. 去识别研究

Datatilsynet对医疗保健组织进行去识别研究的严格。

Example：一个医院想发表关于糖尿病患者的研究。医院说："我们删除了名字，数据是匿名的。"

Datatilsynet说："您的数据集有：年龄，诊断，治疗，实验室结果，治疗日期。那个组合可能仍然可识别。您进行了风险评估吗？"

医院说："不。"

Datatilsynet说："你需要。"

丹麦医疗保健中的常见违规

违规1：没有患者同意就发送患者数据给研究人员

医院说："数据是去识别的，所以我们不需要同意。"Datatilsynet说："首先，数据可能没有充分去识别。其次，如果数据是特殊类别，您需要法律依据。同意是一个法律依据。"

违规2：移除名字但保留所有其他标识符

医院：[名字->删除，出生日期，邮政编码，诊断，治疗，日期]

Datatilsynet："小人口中的出生日期+ 邮政编码+ 诊断可能唯一识别。您没有充分去识别。"

违规3：没有去识别流程文件

Datatilsynet要求医疗保健组织文件他们如何去识别数据。文件应该包括：

• 什么被移除
• 为什么
• 剩余的风险是什么
• 如何缓解那些风险

许多医院说："我们有一个流程，"但没有文件。Datatilsynet要求文件。

Datatilsynet的医疗保健审计流程

1. 数据清单

   • 医院列出所有处理的PHI类型

2. 法律依据审查

   • For每个数据类型，Datatilsynet检查法律依据

3. 患者通知检查

   • Datatilsynet验证患者被告知他们的数据如何被处理

4. 访问控制评估

   • Datatilsynet检查谁有什么数据的访问权

5. 去识别流程审查

   • For研究或统计使用，Datatilsynet检查去识别方法

底线

Datatilsynet在医疗保健数据中的关键信息：

**删除名字不等于去识别。**医疗保健数据有许多准标识符。真正的去识别需要评估和缓解所有这些。

If你是丹麦的医疗保健组织，期望Datatilsynet的严格审查。

来源：

• Datatilsynet丹麦