Hjemtagelse af analyseresultater fra Sundhedsdatastyrelsen

1 / 11 16. juni 2025 DAF – Datainfrastruktur og Forskerservice Hjemsendelse af analyseresultater Indhold Hjemsendelse af analyseresultater ...............................................................................................1 Retningslinjer for Sundhedsdatastyrelsens forskermaskine .....................................................2 Overtrædelse af retningslinjer kan ramme hele det autoriserede miljø ...............................2 Undgå brud på datafortroligheden .......................................................................................2 Gode råd ....................................................................................................................................3 For brugeren, der har adgang til Forskermaskinen ...............................................................3 For den ansvarlige for autorisationen ...................................................................................3 Regler for hjemsendelse ...........................................................................................................4 Alle hjemsendte filer skal være læsbare ...............................................................................4 Tekniske krav til hjemsendte filer .........................................................................................4 Mikrodata må IKKE hjemsendes ............................................................................................5 Tabeller skal være tilstrækkeligt aggregeret .........................................................................5 Figurer må ikke vise personhenførbare værdier ...................................................................7 Procedurer og sanktioner ved et brud på datafortroligheden ..................................................8 Hjemsendelse af utilstrækkeligt aggregerede resultater ......................................................8 Hjemsendelse af mikrodata ..................................................................................................8 Orienter Sundhedsdatastyrelsen hurtigst muligt ved brud på datafortroligheden ................10 Regler for hjemsendelse og gode råd - kort fortalt .................................................................11 Regler for hjemsendelse ......................................................................................................11 Gode råd til forskermaskinebrugere ..................................................................................11 Gode råd til autorisationsansvarlige ..................................................................................11 2 / 11 Retningslinjer for Sundhedsdatastyrelsens forskermaskine Den enkelte borger har krav på, at fortrolige data behandles med den største omhyggelighed. Formålet med disse retningslinjer er at beskytte mod misbrug af borgernes data. Reglerne for, hvordan fortrolige data skal behandles, er fastlagt i databeskyttelsesloven og i de aftaler, som brugere af Forskermaskinen skal indgå for at få adgang til data. Data på Forskermaskinen er fortrolige, og brugere af Forskermaskinen er forpligtet til kun at hjemsende generelle resultater fra Forskermaskinen og aldrig personoplysninger, der kan henføres til enkelte individer. Overtrædelse af retningslinjer kan ramme hele det autoriserede miljø Sundhedsdatastyrelsen autoriserer institutioner til at kunne få adgang til Forskermaskinen i forbindelse med konkrete, nærmere afgrænsede forskningsprojekter. De autoriserede institutioner er ansvarlige for, at de brugere, der arbejder under autorisationen, har de nødvendige kompetencer, og at de er godt bekendt med reglerne for at arbejde på Forskermaskinen, herunder reglerne for hjemsendelse af analyseresultater. I hver autoriseret institution er der derfor en autorisationsansvarlig, der har ansvaret for - og fører tilsyn med - at brugerne, der er tilknyttet deres autorisation, er bekendt med Sundhedsdatastyrelsens regler for at arbejde på Forskermaskinen, som de er beskrevet i autorisationsaftale, brugeraftaler, regler for hjemsendelse af analyseresultater samt generelle standardvilkår for Forskerservice. Af de ovennævnte aftaler fremgår det blandt andet, at en alvorlig overtrædelse af reglerne vil medføre, at brugeren, der overtræder reglerne, kan udelukkes fra at anvende Sundhedsdatastyrelsens forskermaskine permanent eller i en periode. Ligeledes gælder det, at den institution, som brugeren arbejder for, vil blive udelukket fra at bruge Forskermaskinen permanent eller i en periode. En overtrædelse af reglerne kan altså få konsekvenser både for den person, der overtræder reglerne og for de projekter og brugere, der er knyttet til den autoriserede institution, som brugeren arbejder under. Begrundelsen for dette er, at en alvorlig overtrædelse af reglerne tyder på, at den involverede autoriserede institution ikke har taget sit ansvar tilstrækkeligt alvorligt. Derfor er sanktionen ikke kun rettet mod den enkelte bruger, men mod den autoriserede institution, der har ansvaret for at pågældende bruger kender reglerne og efterlever reglerne. Undgå brud på datafortroligheden Nedenfor er beskrevet nogle gode råd til, hvordan man sikrer, at data der hjemsendes overholder retningslinjerne for hjemsendelse. Længere nede findes en beskrivelse af 3 / 11 hovedreglerne for hjemsendelse af filer samt proceduren og sanktion ved et brud på datafortroligheden. Gode råd Nedenfor følger en liste med gode råd om, hvordan man undgår brud på reglerne om datafortrolighed og datasikkerhed: For brugeren, der har adgang til Forskermaskinen 1. Sørg for, at dine programmer ikke skriver direkte til mailmappen. 2. Begræns hjemsendelsen af filer til det mest nødvendige. Spørg fx dig selv: a. Er det nødvendigt at hjemsende programmer og logfiler? b. Er det nødvendigt at hjemsende foreløbige resultater? c. Er det nødvendigt at hjemsende resultaterne på dette detaljeniveau? Husk, at data opbevares sikkert på Forskermaskinen, og at du som udgangspunkt kun skal hjemsendte resultater, der kan anvendes direkte i en publikation. 3. Kontroller altid samtlige filer manuelt, inden hjemsendelse: a. Tjek, at alle filer overholder retningslinjerne for hjemsendelse af tabeller og figurer. b. Sørg for, at det er tydeligt, hvad den hjemsendte fil indeholder, fx ved at bruge overskrifter. På den måde undgår du, at Forskerservice kontakter den autorisationsansvarlige for afklaring af, hvad en fil indeholder. c. Er du i tvivl om noget må hjemsendes, skal du kontakte din autorisationsansvarlige eller undlade at hjemsende filen. 4. Orienter Sundhedsdatastyrelsen med det samme, hvis du ved en fejl har brudt reglerne om datafortrolighed og datasikkerhed. Det betragtes som en formildende omstændighed, at institutionen selv rapporterer regelbruddet. For den ansvarlige for autorisationen 1. Lav en plan der sikrer, at alle forskere er orienteret om reglerne vedrørende datafortrolighed og datasikkerhed på Forskermaskinen, herunder også: a. At både den sidst tilkomne og den udenlandske forsker har tilstrækkelig viden om reglerne. b. At der i miljøet findes en kontaktperson ved tvivlstilfælde. c. At alle autoriserede forskere/analytikere, du har ansvar for og har underskrevet brugeraftaler for, kender proceduren ved et regelbrud. d. At alle forskere, der arbejder under autorisationen er bekendt med de ”fælder” der kan være med at arbejde med mikrodata – fx at logfiler kan indeholde mikrodata. 2. Lav kontrolforanstaltninger ved hjemsendelse af resultater. 3. Begræns antallet af forskere pr. projekt, der må sende output hjem. 4 / 11 4. Kontroller jævnligt, at kun de relevante forskere har adgang til Forskermaskinen og orienter Forskerservice, hvis der er brugere, der skal have deaktiveret deres adgang, jvf. Autorisationsaftalen. Regler for hjemsendelse For at overholde retningslinjerne for Sundhedsdatastyrelsens forskermaskine gælder følgende regler for hjemsendelse af filer og analyseresultater. Alle hjemsendte filer skal være læsbare Alle hjemsendte filer skal kunne kontrolleres af Forskerservice. Derfor må hjemsendte filer ikke være beskyttede af et password. Hjemsendelse af ikke-læsbare filer betragtes på samme niveau som overtrædelse af reglerne for hjemsendelse af mikrodata. Tekniske krav til hjemsendte filer Forskerservice har en række tekniske begrænsninger på filekstensioner, filformater, navngivning og størrelse. Begrænsningerne har til formål at understøtte, at alle hjemsendte filer skal kunne kontrolleres af Forskerservice, og at brugere ikke ved en fejl kommer til at hjemsende større mængder mikrodata. Der vil være følgende tekniske krav til en fil for, at den kan hjemsendes: • Filtypen skal være på positivliste for hjemsendelse. • Filens format skal stemme overens med filekstension. Er filens format fx en Microsoft Excel fil, skal filekstension (.xlsx) også passe til dette format. • Filen skal overholde det angivne størrelseskrav for filtypen. Størrelsesbegrænsningen afhænger af indholdet af den enkelte filtype. Det har betydning om filen har binært indhold, indeholder grafik og den mulige komprimeringsgrad. • Filnavnet må kun indeholde A til Å og 0 til 9 samt følgende specialtegn (punktum, underscore, bindestreg, parentes, mellemrum). • Filen må ikke være låst af et andet program, hvor der fortsat skrives til filen. Er filen låst, hjemsendes den ikke. • Det er tilladt at pakke filer i et arkiv, men alle filer i arkivet skal overholde retningslinjerne ellers afvises hele arkivet. Det er muligt at anvende Windows indbyggede komprimering eller applikationen 7-Zip til at pakke filer. • Det er ikke tilladt at gemme arkivfiler inde i et arkiv. Dette medfører, at hele arkivet afvises. • Arkivet skal være læsbart. Det må ikke være beskyttet af password. Positivliste for hjemsendelse kan findes ved at være logget ind på Forskermaskinen. Her kan du se, hvilke filtyper der er tilladt at hjemsende og størrelsesbegrænsningen for den enkelte filtype. 5 / 11 Du finder informationen i databasen på placeringen METADATA.HjemsendelseTilladteFiltyper Forsøg på at omgå tekniske begrænsninger sanktioneres på samme niveau som overtrædelse af reglerne for hjemsendelse af mikrodata. Mikrodata må IKKE hjemsendes Mikrodata defineres som data, der fx indeholder nedenstående: 1. Datasæt med oplysninger på individniveau, det vil sige, hvor der i datasættet findes en række for hvert individ (enkeltrekords). a. Dette gælder også de tilfælde, hvor man har fjernet det pseudonymiserede løbenummer fx det pseudonymiserede personnummer. 2. Pseudonymiserede nøglevariabler såsom personnumre, da de angiver et unikt nummer, der henviser direkte til en enkelt person. a. Derfor er det heller ikke tilladt at hjemsende pseudonymiserede personnumre alene. b. Dette gælder også egne data, det vil sige, data som man selv har indsendt til Sundhedsdatastyrelsen, og som skal indgå i et konkret projekt. 3. Programkode der indeholder individdata skrevet ind i en betingelse. 4. Logfiler der lister observationer. a. Nogle procedurer lister fx et lille udsnit af det datasæt, der er anvendt til analysen. Hvis man sender en logfil hjem, der lister pseudonymiserede personnumre er det et brud på reglerne – også selv om disse pseudonymiserede personnumre ikke indeholder anden information. Tabeller skal være tilstrækkeligt aggregeret Tabeller og resultater, der indeholder information, der gør det muligt at identificere enkelt individer, må ikke hjemsendes. Som udgangspunkt er det derfor kun tilladt at hjemsende tabeller og resultater, der indeholder minimum fem observationer pr. celle, medmindre det entydigt ikke kan henføres til personer. Blænding af værdier mindre end 5, totaler og rater Indeholder et eller flere felter i en tabel færre end fem observationer skal du overveje at aggregere disse tabeller yderligere, alternativt blænde celler med få observationer før tabellen hjemsendes. Afblænding kan fx ske ved at slette cellens indhold eller erstatte det med en markering såsom ’< 5’. Vær opmærksom på sekundær afsløring. Det betyder, at man heller ikke af en tabels marginale totaler, procenter eller rater må kunne udlede om en given information stammer fra for få observationer. Fx må der ikke af en tabels summer kunne udledes hvor mange personer, der er blevet diskretioneret. Man må med andre ord ikke kunne ”regne tilbage”. Eksempel på tabel, der IKKE må hjemsendes 6 / 11 Kategori Variabel_1 Variabel_2 Variabel_3 A 42 77 13 B 22 12 6 C 43 9 4 Eksempel på tabel, der gerne må hjemsendes Eksempel på tabel, der IKKE må hjemsendes (man kan meget nemt udregne Variabel_3 for kategori C ud fra total-værdien) p Grænseværdien på færre end 5 observationer er fastlagt på baggrund af, at data fra sundhedsregistrene anvendes som grundlag for mange opgørelser. Da det i praksis er umuligt at tage højde for eksisterende opgørelser, både egne og andres, som måtte være udgivet før den konkrete opgørelse udarbejdes, er der derfor fastlagt en højere tærskelværdi end den teoretiske grænseværdi på 3. På denne måde mindskes risikoen for, at man via sammenstilling af opgørelser kan udlede personfølsomme oplysninger1. Afrunding som alternativ sløringsmetode Som alternativ til afblænding, kan man vælge at afrunde sine resultater til nærmeste 5. Vær dog opmærksom på følgende: 1. Du skal vælge enten at runde nedad eller opad, så du sikrer, at det fortsat er hele intervallet under 5, der sløres, og man ikke kan udlede, om der er tale om værdierne 1-2 eller 3-4. 2. Husk også at afrunde totaler. Min., max. og median Oplysninger om maksimum, minimum og median kan være personoplysninger og øger dermed risikoen for at enkeltindivider kan identificeres. Inden hjemsendelse skal du derfor være særligt 1 EUROSTAT, European Union, https://ec.europa.eu/eurostat/web/microdata/overview Kategori Variabel_1 Variabel_2 Variabel_3 A 42 77 13 B 22 12 6 C 43 9 < 5 Kategori Variabel_1 Variabel_2 Variabel_3 Total A 42 77 13 132 B 22 12 6 40 C 43 9 < 5 56 7 / 11 opmærksom på outliere og eventuelt fjerne dem før hjemsendelse. Max og min værdier skal ligge tæt på fordelingen, så de ikke skiller sig ud. Figurer må ikke vise personhenførbare værdier Figurer må kun hjemsendes, hvis der ikke er risiko for at kunne identificere enkeltindivider. Du skal være særligt opmærksom på outliere og små populationer. Ligeledes skal du sikre, at værdierne, der danner grundlag for figuren, ikke er gemt i den hjemsendte fil. Det kan derfor være en god ide at hjemsende figuren som pdf-fil. Eksempelvis ved Kaplan Meier grafer skal du være opmærksom på små populationer samt tilhørende tabeller, der angiver data i grafen og ved scatterplots kan outliere udgøre en risiko for at kunne identificere enkeltindivider. Du skal sikre, at figurerne hjemsendes i en form, der er egnet til publicering. 8 / 11 Procedurer og sanktioner ved et brud på datafortroligheden Hvis vi konstaterer et brud på datafortroligheden, skelner vi mellem hjemsendelse af utilstrækkeligt aggregerede resultater og hjemsendelse af mikrodata. Hvis vi konstaterer, at der er hjemsendt mikrodata, lukker vi for institutionens adgang og følger proceduren beskrevet nedenfor. Du kan læse mere om konsekvenserne ved henholdsvis hjemsendelse af detaljerede tabeller og hjemsendelse af mikrodata nedenfor. Hjemsendelse af utilstrækkeligt aggregerede resultater Ved hjemsendelse af resultater som tabeller og figurer der ikke er aggregereret tilstrækkeligt, og hvor vi vurderer, at der er fare for identifikation af enkeltindivider, bliver brugeren, der har hjemsendt filen samt den autorisationsansvarlige for den institution, som brugeren er tilknyttet, kontaktet. Den autorisationsansvarlige skal sende en redegørelse for hjemsendelsen samt bekræfte, at filen er slettet. Ligeledes vil der blive bedt om en redegørelse for, hvordan man fremadrettet vil undgå sådanne hjemsendelser. Ved enkeltstående overtrædelser vil det for bruger og institution normalt ikke få konsekvenser for adgangen til Forskermaskinen. Ved gentagne overtrædelser af hvor der er sendt data hjem, der rummer fare for identifikation af enkeltpersoner, kan Forskerservice lukke for institutionens adgang til Forskermaskinen, og den videre behandling af sagen vil ske svarende til hjemsendelse af mikrodata. Hjemsendelse af mikrodata Hvis Sundhedsdatastyrelsen konstaterer, at en bruger har hjemsendt mikrodata, lukkes der omgående for adgangen til Forskermaskinen. Det gælder både for den bruger, som har hjemsendt mikrodata og for alle andre brugere fra den autoriserede institution. Hvis en forsker, der er bruger under forskellige autorisationer, hjemsender mikrodata fra et projekt under den ene autorisation, foretages der intet i forhold til de øvrige autoriserede institutioner, som personen også er bruger under. For den person, der har hjemsendt mikrodata, lukkes adgangen til alle projekter, uanset hvilken institution de hører under. Derefter bliver forskeren, der har hjemsendt filen, samt den ansvarlige for institutionens autorisationsaftale kontaktet. De bliver bedt om øjeblikkeligt at slette samtlige filer, der overtræder reglerne for hjemsendelse af mikrodata samt sende en bekræftelse på, at alle filer der overtræder reglerne er slettet. Dette gælder data beliggende på harddiske, mailkonti og hvor disse data ellers måtte være opbevaret. 9 / 11 Sundhedsdatastyrelsen vil derudover udbede sig en redegørelse for regelbruddet samt omfanget af hjemsendte filer, der bryder reglerne. Det er den autorisationsansvarlige for institutionen, der har ansvaret for, at redegørelsen bliver udarbejdet. Efterfølgende vil Sundhedsdatastyrelsen bede institutionen om snarest muligt at sende en plan for, hvordan den fremadrettet vil undgå yderligere regelbrud. Alle adgange forbliver lukket, indtil både redegørelsen og planen er modtaget. Herefter beslutter Sundhedsdatastyrelsen, hvilken sanktion institutionen skal have. Sagsbehandlingen kan tage op til 8 arbejdsdage. Som udgangspunkt vil sanktionen være, at der lukkes for adgangen til Forskermaskinen for alle brugere tilknyttet institutionen i minimum en måned samt al adgang til Forskermaskinen for den berørte person i samme periode. Ved gentagne brud vil adgangen blive lukket i en længere periode og i særlig alvorlige tilfælde permanent. En vejledende oversigt over sanktioner fremgår af oversigten i tabel 1. Tabel 1: Vejledende oversigt over sanktioner ved regelbrud. Overtrædelse Sanktion mod institution Sanktion mod forsker 1. gang for institution 2. gang for institution Gentagne gange for institution 1. gang for forsker Flere gange for forsker Hjemsendelse af mikrodata ved teknisk uheld, uden forsæt til at gøre dette 1 måneds karantæne for institutionen og for alle tilførende projekter og brugere * 2 måneders karantæne for institution 3 måneders karantæne for institution 1 måneds karantæne fra alle forskningsprojekter * 3 måneders karantæne fra alle forskningsprojekter * Hjemsendelse af mikrodata ved bevidst handling, fx for at fejlsøge data 2 måneders karantæne for institution 3 måneders karantæne for institution 3 måneders karantæne for institution 2 måneders karantæne fra alle forskningsprojekter Permanent udelukkelse Bevidst forsøg på at identificere individer på Forskermaskinen 3 måneders karantæne for institution 3 måneders karantæne for institution Permanent udelukkelse Permanent udelukkelse Kan ikke forekomme Videregivelse af password eller videregivet adgang til Forskermaskinen, med eller uden forsæt til at gøre dette 1 måneds karantæne for institution 2 måneders karantæne for institution Permanent udelukkelse 3 måneders karantæne for institution Permanent udelukkelse * Det betragtes som en formildende omstændighed, hvis institutionen selv underretter om fejlen