gms | German Medical Science

Einleitung: Das Projekt THS-MED: Skalierbare Treuhänderservices für die Medizinische Forschung hat zum Ziel, Nicht-Identifizierbarkeit von Patienten, Probanden und Bürgern in datenintensiven medizinischen Forschungsprojekten durch den Einsatz verbesserter Verfahren zur Pseudonymisierung sicherzustellen. Dazu sollen hochskalierbare Treuhandservices entwickelt werden, die sowohl in klassischen medizinischen Studien als auch in datengetriebenen medizinischen Big Data-Projekten eingesetzt werden können.

Stand der Technik: Verfügbare Community-Lösungen für Treuhandservices in der Medizin sind zahlenmäßig nur begrenzt verfügbar. Ziel von THS-MED ist es, die Landschaft der verfügbaren Treuhandservices um Pseudonymisierungs- und Identitätsmanagement-Lösungen zu erweitern, die mit den Funktionalitäten von zum Beispiel der Mainzelliste der Universitätsmedizin Mainz [1] und gPAS bzw. E-PIX der Universitätsmedizin Greifswald [2] vergleichbar sind, aber auf Hochdurchsatzszenarien beispielsweise in den Datenintegrationszentren der Medizininformatik-Initiative [3], optimiert sind.

Konzept: In THS-MED werden zwei wesentliche Komponenten entwickelt: (i) eine Registrierungskomponente zur Verwaltung von Objekten (bspw. Patienten, Proben, Bilder) und (ii) ein Pseudonymisierungsservice, der zur Pseudonymisierung von jeglichen Identifikatoren in der Medizin gängige Algorithmen und weitere Funktionen beinhaltet. Neben entsprechenden Backends für eine programmatische Nutzung in Datenverarbeitungspipelines, werden intuitive User Interfaces für eine einfache Bedienung durch z.B. Studienpersonal bereitgestellt. Alle technischen Komponenten werden unter Nutzung international anerkannter medizinischer Interoperabilitätsstandards entwickelt. Der Nachweis der Praxistauglichkeit wird durch einen realen Einsatz an der Treuhandstelle einer großen Universitätsklinik geführt. Anschließend sollen die Services unter Berücksichtigung der FAIR-Prinzipien als Open Source-Komponenten zugängig gemacht werden, um so ein einfaches Deployment an Institutionen und die Bildung einer Community zu ermöglichen.

Implementierung: Bei der Implementierung der Services werden gängige Open-Source Enterprise-Software-Stacks eingesetzt (Java, Spring Boot). Auch für das Frontend werden moderne, Entwicklungstechnologien und Frameworks genutzt. Als Datenbank wird PostgreSQL eingesetzt, da es Transaktionsgarantien und gute Skalierbarkeit bietet. Beide Komponenten unterstützen eine Segmentierung der Namensräume von Pseudonymen und registrierten Identitäten in verschiedene Domänen sowie eine Zugriffssteuerung mittels eines granularen Berechtigungskonzepts. Für die Authentifizierung und Autorisierung wird Keycloak eingesetzt, sodass auch eine Anbindung an gängige Identitätsmanagementinfrastrukturen von Gesundheitseinrichtungen ermöglicht wird. Wichtige funktionale Anforderungen umfassen skalierbare Record Linkage-Funktionen, unterschiedliche Pseudonymisierungsalgorithmen, u.a. für händische Eingaben mit Fehlerkorrektur, sowie ein Audit-Trail, der Änderungen und Abrufe vollständig nachvollziehbar macht. Ein Container-basiertes Deployment (bspw. mittels Docker) und horizontale Skalierbarkeit sind wichtige nicht-funktionale Eigenschaften.

Gewonnene Erkenntnisse: Der Pseudonymisierungsservice ACE (Advanced Confidentiality Engine) wird auf Basis modernster Technologien entwickelt und verfügt über ein ausgeklügeltes flexibles Domänenkonzept inklusiver eines Vererbungsmechanismus, welcher eine Nutzung ohne Notwendigkeit einer umfangreichen Konfiguration erlaubt. Der Großteil des Verhaltens des Service kann jedoch auf Wunsch detailliert konfiguriert werden. Durch den Vererbungsmechanismus können Konfigurationen dann an andere Domänen weitergegeben werden. Angesprochen werden kann der Service über eine REST-API, welche über klar definierte Endpunkte die Interaktion mit den Pseudonymen erlaubt und zum Beispiel von automatisierten Systemen genutzt werden kann, oder auch über eine derzeit in Entwicklung befindliche GUI, die eine klar strukturierte Oberfläche für die manuelle Interaktion definiert.

Die Erweiterung des Funktionalitätsumfangs sowie eine detaillierte Evaluation der Performance werden derzeit durchgeführt und in einer zukünftigen Publikation veröffentlicht. Einige Evaluationsergebnisse werden wir auf der GMDS-Jahrestagung vorstellen.

Die Autoren geben an, dass kein Interessenkonflikt besteht.

Die Autoren geben an, dass kein Ethikvotum erforderlich ist.