gms | German Medical Science

Einleitung: Die biomedizinische Forschung mit klinischen Studien wird zunehmend durch den Zugriff auf Versorgungsdaten, die Bereitstellung von Forschungsservices durch große Datenregister (z.B. LINH in den Niederlanden [1], GPRD in Großbritannien [2], HIC Datenbank in Schotland [3]), die Einbeziehung genetischer Daten und die Unterstützung der Rekrutierung von Patienten für klinische Studien durch Krankenhausdaten erweitert. Für das EU-Projekt TRANSFoRm [4], das eine Infrastruktur für ein lernendes Gesundheitswesen in Europa entwickelt und dazu Versorgungsdaten mit klinischen und anderen Forschungsaktivitäten integrieren wird, wurde ein flexibles „Datenschutz Framework“ entwickelt.

Methode: Eine Evaluation bestehender Datenschutzprojekte ergab, dass Datenschutzmodelle, die bereits für Krebsforschung oder Biobanken (z.B. ACGT [5], GENOMatch [6]) eingesetzt werden eher einengend gestaltet sind und "Anonymisierung" restriktiv interpretieren. Aus der Vielzahl an Regeln und Gesetzen zum Datenschutz in Europa und den Zugangsregelungen der großen Versorgungsdatenbanken wurden Grundprinzipien extrahiert und in einem zweiten Schritt in die formale Beschreibung eines Frameworks mit Hilfe von Datenfluss-Diagrammen eingearbeitet. Dazu wurde ein Satz von Strukturelementen bestehend aus Zonen, Datenquellen, Privacy-Filtern, Daten-Linkern, etc. erstellt. Zonen sind Bereiche für Datenquellen, die vergleichbar sind in Bezug auf Zweck, relevante Richtlinien und Policies. Es wurden 3 Zonen definiert: Forschungszone (mit anonymisierten Daten), Versorgungszone (elektronische Patientenakte und Behandlungskontext) und Nicht-Versorgungszone (Versorgungsdatenbanken). Der Datentransfer zwischen den Zonen wird durch Privacy Enhancing Technologies (PET) ermöglicht und durch Privacy-Filter in den Flussdiagrammen dargestellt.

Ergebnisse: Die wichtigsten Grundprinzipien zum Datenschutz sind die Hauptverantwortung des behandelnden Arztes für die Patientendaten in der Versorgung, der umfassende und Kontext sensitive Einsatz von PET und die Verwendung von anonymisierten Daten in der Forschungszone. Jeder Datenkontrolleur einer Datenbank hat die Verantwortung über die Einhaltung der Gesetze. Genetische Daten sind potenziell indirekt identifizierend und müssen durch spezielle Maßnahmen (z.B. Löschen von nicht erforderlichen Daten) geschützt werden. Aus zwei TRANSFoRm Anwendungsfällen wurden vier Sub-Fälle genauer untersucht und in Datenfluß-Diagrammen dargestellt: Identifizierung von Patienten für die Forschung durch den behandelnden Arzt, Identifizierung von Patienten durch Suche in einer Datenbank, Verknüpfung von Datenbanken in der Nicht-Versorgungs-Zone und Verknüpfung von Datenbanken zwischen Versorgungszone und Nicht-Versorgungszone.

Diskussion: Durch die Definition von Zonen, Privacy-Filter und Linker verwendeten wir einen flexiblen Ansatz, der es ermöglicht ein Datenschutz-Rahmenwerk zu erstellen, das die entwickelten Grundsätze zum Datenschutz auf Daten aus der medizinischen Versorgung (EHR), aus Datenregistern und der klinischen Forschung, unter Berücksichtigung unterschiedlicher Datenquellen (primäre und sekundäre Daten), aus verschiedenen Bereichen (Phänotyp-Genotyp-Daten), bezogen auf verschiedene Krankheitsgebiete (Diabetes, GERD, Krebs) und relevant für verschiedene Länder und Regionen in Europa anwendet und graphisch darstellt.