AI-projekt fik adgang til 105.000 patientbeskeder uden anonymisering
Hændelsesdato: 30/09/2026
Beskrivelse
Region Hovedstaden og Region Sjælland delte over 105.000 patientbeskeder (105.257) i et AI-projekt uden at anonymisere dem. Beskederne indeholdt følsomme helbredsoplysninger, blandt andet om psykiatrisk behandling af børn og om kræftpatienter, med beskrivelser af eksempelvis angstanfald, spørgsmål om diagnoser og medicinfornyelser.
Ifølge tre eksperter i databeskyttelse, som Ingeniøren har talt med, har delingen af patientbeskederne været ulovlig. Ifølge regionernes interne dokumenter kunne leverandøren Epic ikke i tilstrækkelig grad besvare regionernes sikkerhedsspørgsmål. Regionerne afviser kritikken.
AI-værktøjet er pilotprojektet Nebula InBasket (se Berørte projekter).
Ramte parter / skade
Patienter i Region Hovedstaden og Region Sjælland, hvis følsomme helbredsoplysninger indgik i de 105.257 beskeder. Særligt sårbare grupper er berørt, herunder børn i psykiatrisk behandling og kræftpatienter.
Udfald / afhjælpning
Sagen er ikke afgjort. Spørgsmålet om, hvorvidt GDPR er overtrådt, er ikke juridisk afgjort. Tre databeskyttelseseksperter vurderer delingen ulovlig (manglende DPIA og behandlingsgrundlag); regionerne, ved Center for IT, Medico og Telefoni, afviser kritikken og vurderer, at pilotprojektet var lovligt. Der foreligger ingen formel afgørelse fra Datatilsynet. AI-værktøjet (Nebula InBasket) blev slukket 17. oktober 2025 med henvisning til "data protection issues".