Beskyttelse af sundhedsdata og GDPR-overholdelse for fagfolk

Sundhedsdata indtager en særlig plads i det europæiske reguleringslandskab. Klassificeret som særligt følsomme data af GDPR (artikel 9), er de underlagt en styrket beskyttelsesordning, der gælder for alle fagfolk, der behandler dem: sundhedsinstitutioner, gensidige forsikringsselskaber, udgiver af sundhedssoftware, laboratorier, hjemmepleje, e-sundhed og telemedicin-aktører. I 2026 er reguleringslandskabet blevet endnu mere komplekst — med den gradvis ikrafttræden af Det Europæiske Sundhedsdataareal (EEDS), opdaterede anbefalinger fra CNIL og rekordstore sanktioner inden for EU er overholdelse ikke længere valgfrit. Denne artikel beskriver punkt for punkt de gældende forpligtelser og bedste praksis for at sikre dine databehandlinger.

Hvad er sundhedsdata under GDPR?

GDPR (forordning nr. 2016/679, artikel 4, stk. 15) definerer sundhedsdata som "personoplysninger vedrørende fysisk eller psykisk sundhed hos en fysisk person, herunder levering af sundhedspleje, som afslører oplysninger om denne persons sundhedstilstand".

Et omfang, der er bredere end det ser ud til

Denne definition omfatter langt mere end klassiske medicinske journaler. Det drejer sig om:

• Medicinske antecedenser, diagnose, recepter og analyseresultater;
• Data indsamlet af tilsluttede objekter (ure, glukoseniveaumålere, menstruationssporingsapps);
• Administrative data, der gør det muligt at slutte noget om en persons sundhedstilstand (refusionsrate, konsultationsfrekvens);
• Sikkerhedsnumre (NIR), når de kombineres med medicinske oplysninger.

I Frankrig har CNIL præciseret, især i sin afgørende tilkendegivelse om sundhedsdatadepoter (EDS), at begrebet skal fortolkes bredt. Således udgør selv et foto, der afslører et synligt handicap, eller en biometrisk måling (øjenbillede) sundhedsdata.

Hvorfor en styrket beskyttelse?

Det særlige følsomme ved sundhedsdata skyldes deres potentiale for diskrimination. At afsløre en persons sundhedstilstand kan påvirke hans eller hendes adgang til job, forsikring, kredit eller påvirke privatlivet. CNIL vurderer, at overtrædelser, der involverer sundhedsdata, i 2024 udgjorde mere end 36 % af de anmeldelser, som institutionen modtog — den første kategori af data, der blev krænket.

Specifikke juridiske grundlag for behandling af sundhedsdata

Artikel 9, stk. 1 i GDPR fastslår et forbud mod behandling af følsomme data, med begrænset opregnet undtagelser. For sundhedsfagfolk er de mobiliserbare juridiske grundlag primært:

Eksplicit samtykke (art. 9, stk. 2 a)

Samtykke skal være frit, specifikt, informeret og utvetydigt, udtrykt gennem en klar positiv handling. Inden for sundhedssektoren er dette grundlag ofte uegnet for almindelig behandling (magtulighed mellem læge/patient), men uundværligt for behandlinger med henblik på forskning, marketing eller brug af sundhedsapps til massemarkedet.

Bedste praksis 2026: benyt elektronisk underskrift inden for sundhedsområdet for at indsamle patienters samtykke på en sporbar og tidsstemplet måde, hvilket letter beviset ved kontrol.

Sundhedspleje og forebyggende medicin (art. 9, stk. 2 h)

Dette er det vigtigste juridiske grundlag for sundhedsfagfolk, der behandler data som led i sundhedsforholdet. Det gælder under forudsætning af, at behandlingen foretages af — eller under ansvar fra — en professionel, der er underlagt lægetavshed.

Offentlig interesse og forskning (art. 9, stk. 2 i og j)

Behandlinger med henblik på offentlig sundhed (epidemiologisk overvågning, lægemiddelbivirkningsovervågning) eller videnskabelig forskning kan bygge på disse undtagelser. I Frankrig definerer lov om informationsteknologi og frihed (art. 65 til 68) og dekretet, der regulerer det nationale sundhedsdatasystem (SNDS), betingelserne for adgang.

De konkrete forpligtelser for databehandlingsansvarlige

Uanset om det drejer sig om en praktiserende læges klinik eller en udgiver af digital sundhedsløsning, er forpligtelserne struktureret omkring fem søjler.

1. Register over behandlinger (art. 30)

Enhver databehandlingsansvarlig eller databehandler skal føre et register, der dokumenterer hver behandling: formål, juridisk grundlag, datakategorier, opbevaringsfrist, modtagere, sikkerhedsforanstaltninger. CNIL kræver, at dette register er ajourført og kan præsenteres uden forsinkelse under en kontrol.

2. Analyse af databeskytelsesvirkningerne (DPIA/art. 35)

Behandlinger af sundhedsdata i stor skala eller med henblik på profilering kræver obligatorisk gennemførelse af en DPIA. CNIL har udgivet en liste over behandlinger, der obligatorisk skal underkastes DPIA, herunder sundhedsdatadepoter, mobilapps til sundhedstilstandsovervågning og tilsluttede medicinske enheder.

Vedrørende elektroniske dokumenters juridiske værdi i denne sammenhæng skal udbydere sikre, at deres indsamlingsmekanismer opfylder beviskrav.

3. Udpegning af en databeskyttelsesombudsmand (DPO)

Udpegning af en DPO er obligatorisk for:

• Sundhedsfagfolk organiseret i en gruppe (hospitaler, ældreplejecentre, plejestrukturer med mere end 50 personer);
• Gensidige forsikringsselskaber og sundhedsforsikringsselskaber;
• Udgiver af sundhedssoftware, der behandler data i stor skala.

Siden 2024 har CNIL styrket sine kontroller vedrørende DPO's faktiske rolle og verificerer især hans eller hendes reelle uafhængighed og ressourcer.

4. Sikkerhed af it-systemerne (art. 32)

Tekniske og organisatoriske foranstaltninger skal være proportionale med risikoen. CNIL anbefaler især:

• Kryptering fra ende til ende for data, der lagres og transporteres;
• Pseudonymisering, når formålet tillader det;
• Implementering af streng adgangskontrol (multifaktor-autentificering);
• Regelmæssige sikkerhedskopier testet og afkoblet fra hovednetværket;
• En plan for forretningskontinuitet (PCA) specifik for sundhedsdata.

Siden implementeringen af NIS 2-direktivet (transponeret til fransk ret ved lov af 26. marts 2025) er vigtige enheder inden for sundhedssektoren — herunder hospitaler, producenter af medicinske enheder og visse laboratorier — underlagt endnu strengere cybersikkerhedskrav, med obligatorisk anmeldelse af større hændelser til ANSSI inden for 24 timer.

5. Anmeldelse af dataovertrædelser (art. 33 og 34)

Enhver overtrædelse af sundhedsdata skal anmeldes til CNIL inden for 72 timer efter opdagelse. Hvis overtrædelsen kan medføre høj risiko for personernes rettigheder og frihed, skal de berørte patienter også informeres uden unødig forsinkelse.

I 2024 idømte CNIL bøder for anmeldelseseftersyn og mindede om, at hastighed selv er en overholdelsespligt.

Hosting af sundhedsdata: en særlig fransk forpligtelse

I Frankrig pålægger loven af 26. januar 2016 (art. L. 1111-8 i sundhedskodeksen), at sundhedsdata med personlig karakter skal hostes af en certificeret HDS-udbyder (Sundhedsdatahostudbyder). Dette certifikat, udstedt af institutioner, der er akkrediteret af COFRAC, på grundlag af ISO 27001-standarden og HDS-referencen fra ANS, dækker seks forskellige aktiviteter.

Hvem er omfattet af HDS-certificeringen?

Alle aktører, der hoster, administrerer eller udnytter it-systemer indeholdende sundhedsdata på vegne af tredjeparter, er omfattet: cloud-udbydere, udgiver af EHR'er (elektronisk helbredjournal), telemedicinplatforme og — siden 2023 — udgiver af sundhedsapps til massemarkedet, så snart de bevarer identifikationsdata.

Brugen af en certificeret HDS-udbyder fritager ikke databehandlingsansvarlige fra deres egne forpligtelser: de skal uundgåeligt formalisere en databehandleraftale i overensstemmelse med artikel 28 i GDPR, der detaljerer instruktionerne til udbyderen, sikkerhedskautioner og auditwetoder.

Det Europæiske Sundhedsdataareal (EEDS): Hvilken betydning har det i 2026?

Forordningen EEDS (vedtaget sent 2025 og hvis første bestemmelser træder gradvist i kraft indtil 2027) fastlægger rammerne for grænseoverskridende adgang til sundhedsdata til forskning, innovation og offentlig sundhed. For franske fagfolk er der to umiddelbare påvirkninger:

1. Pligten til at respektere styrket portabilitetsret (struktureret format, læsbart af maskiner) for patientjournaler;
2. Forbuddet mod at behandle primære sundhedsdata med henblik på målrettet annoncering, selv med samtykke — en strengere begrænsning end GDPR alene.

Disse udviklingsulemper gør det uomgængeligt at opdatere privatlivspolitikker og databehandleraftaler før udgangen af 2026. For fagfolk, der bruger elektronisk underskrift i overensstemmelse med eIDAS, udgør sporbarhed af samtykker og tilladelser et betydeligt aktiv for at påvise overholdelse under en kontrol.

Patienters rettigheder og udøvelse af GDPR-rettigheder

Patienter har alle GDPR-rettigheder (adgang, rettelse, sletning, begrænsning, portabilitet, indsigelse), med nogle få sektormæssige tilpasninger.

Retten til adgang til sundhedsdata

En patient kan anmode om adgang til hele sin medicinske journal (art. L. 1111-7 CSP). Fagpersonen har en frist på 8 dage (48 timer for nylige data, nylige indlæggelser) og 2 måneder for ældre data. CNIL og ombudsmanden har begge sanktioneret institutioner, der nægtede eller forsinkede disse anmodninger.

Retten til sletning og dens grænser

"Retten til at blive glemt" er begrænset af lovlige opbevaringsfrist: 20 år for voksenpatienter, 28 år hvis handlingen var foretaget før myndighedsalderen. Disse lovmæssige frister prioriteres frem for enhver anmodning om tidlig sletning — databehandlingsansvarlige skal forklare dette tydeligt for patienten.

Håndtering af anmodninger elektronisk

For institutioner, der har digitaliseret deres processer, kan anmodninger om udøvelse af rettigheder transmitteres og behandles via sikre formularer. Kvalificeret elektronisk tidssegling af anmodninger og svar udgør bedste praksis, som gør det muligt at påvise overholdelse af lovmæssige frister under en CNIL-kontrol.

Gældende juridisk ramme for beskyttelse af sundhedsdata

Sundhedsfagfolk og deres teknologipartneres overholdelse bygger på en artikulation af europæiske og nationale tekster, som det er væsentligt at mestre.

GDPR — Forordning (EU) nr. 2016/679 af 27. april 2016: er grundstenen i systemet, klassificerer sundhedsdata som følsomme data (art. 4, stk. 15), forbyder deres behandling bortset fra begrænset opregnet undtagelser (art. 9, stk. 2), pålægger DPIA (art. 35), udpegning af DPO (art. 37), anmeldelse af overtrædelser (art. 33-34) og forholdsmæssige sikkerhedsforanstaltninger (art. 32). De fastsatte sanktioner når 20 millioner euro eller 4 % af det årlige verdensomspændende omsætning — det højeste beløb tælles.

Lov om informationsteknologi og frihed (lov nr. 78-17 af 6. januar 1978 ændret): der implementerer GDPR i fransk ret, bemyndiger CNIL til at vedtage sektormæssige referencerammer specifik for sundhed og definerer adgangsmetoder til SNDS.

Sundhedskodeks — art. L. 1111-7 og L. 1111-8: anerkender patienters ret til adgang til deres medicin-journal og pligten til hosting hos en certificeret HDS-udbyder.

HDS-reference (Sundhedsdatahostudbyder): udgivet af Agenturen for Digital Sundhed (ANS), den definerer seks certificeringsaktiviteter, der dækker fysisk infrastruktur, platforme og softwareapplikationer.

NIS 2-direktiv — Direktiv (EU) 2022/2555, implementeret i Frankrig ved lov af 26. marts 2025: pålægger vigtige enheder inden for sundhedssektoren (hospitaler med mere end 30.000 patienter/år, producenter af klasse IIb og III medicinske enheder, referencelaboratorier) styrket cybersikkerhedskrav, især anmeldelse til ANSSI inden for 24 timer i tilfælde af væsentlig hændelse og iværksættelse af årligt testede hændelsesresponplaner.

eIDAS-forordning nr. 910/2014 og eIDAS 2.0 (Forordning (EU) 2024/1183): regulerer den juridiske værdi af elektroniske underskrifter brugt til samtykker, digitaliserede medicinske handlinger og kontrakter med udbydere. Avanceret eller kvalificeret elektronisk underskrift anbefales for enhver handling, hvis bevisværdi kan betvivles.

EEDS-forordning (europæisk forordning om Det Europæiske Sundhedsdataareal, 2025): styrker patienters rettigheder til deres primære data og regulerer brugen af sekundære data til forskning, med oprettelse af sundhedsdataaccessinstitutioner i hvert medlemsland.

Konkrete juridiske risici: ud over CNIL administrative bøder udsætter databehandlingsansvarlige sig selv for civilt erstatningsansvar (art. 82 GDPR), strafferetlige forfølgelse (art. 226-17 i straffeloven, maksimal straf på 5 års fængsel og 300.000 € bøde for juridisk person) og reputationsskader, hvis økonomiske virkning ofte overstiger bødens beløb.

Illustrative brugsscenarier: GDPR-overholdelse og sundhedsdata

Scenarie 1 — En gruppe private klinikker, der administrerer omkring 1.200 sengepladser

Disse scenarier er illustrative: de beskriver typiske situationer og rapporterer ingen målte resultater hos en kunde. En mellemstor koncern af private klinikker (ca. 1.200 senge fordelt på tre lokationer) behandlede patientsamtykker på papirformularer, opbevaret i fysiske mapper med begrænset sikkerhed. Under en intern audit forud for en kontrol fra den franske tilsynsmyndighed CNIL blev flere mangler identificeret: manglende mulighed for hurtigt at finde et samtykke, der var mere end to år gammelt, og manglende sporbarhed for samtykker vedrørende medicinsk videoovervågning og videregivelse til tredjeparter (forsikringsselskaber, samarbejdende læger).

Ledelsen kan indføre en løsning til kvalificeret elektronisk signatur integreret i hospitalets informationssystem. Samtykkerne, signeret og arkiveret på en struktureret måde, findes hurtigere, og behandlingstiden for anmodninger om adgang til journalen kan afkortes. Spørgsmålet om HDS-certificering af applikationslaget håndteres parallelt sammen med hostingleverandøren. Gevinstens omfang måles på koncernens reelle omfang, før og efter et pilotprojekt.

Scenarie 2 — En udgiver af telemedicinløsning for praktiserende speciallæger

En virksomhed, der udgiver en konsultationsplatform på afstand for praktiserende speciallæger (omkring 4.000 aktive bruger-læger), var udsat for en stor risiko: dens servere blev hostet hos en amerikansk cloud-udbyder uden kontraktbestemmelse i overensstemmelse med artikel 28 i GDPR og uden HDS-certificering. Platformen indsamlede dog konsultationsrapporter, recepter og kliniske fotos.

Efter en konsekvensanalyse (AIPD) udført med en ekstern DPO kan virksomheden skifte til en HDS-certificeret hostingleverandør placeret i Frankrig, gennemgå alle sine kontrakter med databehandlere og indføre en mekanisme for informeret, tidsstemplet samtykke forud for hver konsultation. Den kan også indføre en intern procedure for anmeldelse af hændelser, hurtig nok til at overholde den lovpligtige frist for anmeldelse til CNIL. Omkostningen ved denne lovliggørelse skal sammenlignes med risikoen for en sanktion fra CNIL, hvis beløb fastsættes ud fra virksomhedens reelle situation.

Scenarie 3 — Et netværk af uafhængige apotek

En sammenslutning af omkring fyrre uafhængige apoteker anvender et centraliseret styringssystem, der behandler receptoplysninger og loyalitetsdata (knyttet til implicitte sundhedsprofiler). Uden en udpeget DPO og uden en opdateret fortegnelse over behandlingsaktiviteter er sammenslutningen ikke i stand til at besvare en patients anmodning om at udøve sine rettigheder inden for den lovbestemte frist.

Et compliance-projekt kan gøre det muligt at udpege en fælles DPO (en almindelig og lovlig løsning for sammenslutninger af SMV'er), at dokumentere hver behandling i fortegnelsen, at gennemgå politikken for opbevaringsperioder (loyalitetsdata må ikke opbevares uden begrundelse) og at uddanne hele apotekspersonalet i de rette reaktioner ved en patients eller en kontrollants henvendelse. Risikoen for en bøde skal vurderes inden projektet, ud fra sammenslutningens reelle situation.

Hyppigt stillede spørgsmål

Er sundhedsdata indsamlet af en mobilapp underlagt GDPR?

Ja, så snart appen indsamler data, der gør det muligt at slutte noget om en persons sundhedstilstand (pulsfrekvens, menstruationssporing, blodglucose, ernæring), udgør disse data sundhedsdata under artikel 4, stk. 15 i GDPR. Udgiveren er databehandlingsansvarlig og skal opnå eksplicit samtykke, hoste data hos en HDS-certificeret udbyder og gennemføre en DPIA, hvis behandlingen er i stor skala.

Skal en praktiserende læge, der arbejder alene, udpege en DPO?

Nej, udpegning af en DPO er ikke obligatorisk for en praktiserende læge, der arbejder alene eller i en mindre klinik med få praktiserende læger, medmindre behandlingerne involverer sundhedsdata i stor skala. Denne læge forbliver dog databehandlingsansvarlig og skal føre et register over behandlinger, anvende dataminimeringsprincippet og være i stand til at reagere på anmodninger fra patienter om udøvelse af rettigheder inden for lovmæssige frister.

Hvilke sanktioner kan CNIL udmåle i tilfælde af sundhedsdataovertrædelse?

CNIL har magt til at idømme administativ sanktion op til 20 millioner euro eller 4 % af det årlige verdensomspændende omsætning, hvor det højeste beløb tælles. Ud over bøden kan institutionen idømme en påbud om compliance med tvangsmulkt eller gøre afgørelsen offentlig. I strafret foreskriver artikel 226-17 i straffeloven indsættelse på op til 5 år og 300.000 euro bøde for juridisk person.

Er en databehandler (softwarevirksomhed, cloud) ansvarlig i tilfælde af sundhedsdatalæk?

Ja. GDPR (art. 28 og 82) fastslår fælles ansvar blandt databehandlingsansvarlige og databehandlere over for de berørte personer. Databehandleren bærer direkte ansvar, hvis han eller hun handlede uden for den databehandlingsansvarliges instrukser eller ikke overholdt sine egne GDPR-forpligtelser. Det er derfor afgørende at formalisere en præcis databehandleraftale og sikre, at hostingudbyder er HDS-certificeret for sundhedsdata.

Er HDS-certificering obligatorisk for alle digitale sundhedsaktører?

HDS-certificering er obligatorisk for enhver udbyder, der hoster, administrerer eller udnytter it-systemer indeholdende sundhedsdata med personlig karakter på vegne af en tredjemand. Den gælder derfor for cloud-udbydere, medicinske SaaS-udgiver og telemedicinplatforme. Omvendt er en sundhedsfagperson, der hoster sine egne data (uden at betro dem til en tredjemand), ikke direkte underlagt denne forpligtelse, men forbliver bundet til sikkerhedsforanstaltninger i artikel 32 i GDPR.

Konklusion

Beskyttelsen af sundhedsdata udgør i 2026 en af de mest komplekse og mest overvågede reguleringsudfordringer inden for det digitale område. Med GDPR, loven om informationsteknologi og frihed, HDS-hostingpligten, NIS 2-direktivet og det kommende Europæiske Sundhedsdataareal skal fagfolk opretholde permanent tilsyn og strukturere deres compliance omkring fem søjler: behandlingsregister, DPIA, DPO, teknisk sikkerhed og patienters rettighedsstyring.

Certyneo assisterer sundhedsaktører med sikker digitalisering af deres processer: tidssegllet samtykkeindhentelse, kvalificeret elektronisk underskrift af kontrakter med udbydere, dokumenteret sporbarhed af enhver handling. Få vished for, hvordan vores løsning kan styrke din GDPR-compliance ved at besøge vores område dedikeret til sundhedsfagfolk eller ved at begynde gratis på Certyneo.