gms | German Medical Science

Einleitung: Sollen klinische Routinedaten für medizinische Forschung wiederverwendet werden, geht dies über den ursprünglichen Verwendungszweck hinaus. Daraus ergibt sich ein Datenschutzkonflikt, der durch Anonymisierung gelöst werden kann [1]. Das Bundesdatenschutzgesetz definiert Daten als anonym, wenn diese nur mit „einem unverhältnismäßig großen Aufwand […] zugeordnet werden können.“ [2] Diesen Anforderungen wird ein pseudonymisierender Datentreuhänder gerecht, wenn „[…] die forschende […] Stelle nicht in der Lage [ist], die Pseudonyme selbst zu berechnen.“ [3]

Im Rahmen dieser Arbeit wurde ein Pseudonymisierungsdienst als Webservice konzipiert und implementiert sowie dessen Leistungsfähigkeit getestet. Dieser Dienst sollte zur Massenverarbeitung von IDs im Rahmen eines Datawarehouse-Importprozesses geeignet sein. Auf die Übertragung von medizinischen Daten an den Treuhänder sollte auf Grund von Datenschutz- und Performance-Anforderungen, im Gegensatz zum TMF-Konzept, verzichtet werden [4].

Material und Methoden: Am Prozess der sicheren Pseudonymisierung sind neben dem Datentreuhänder Quell- und Abfragesysteme beteiligt. Während von den Quellsystemen identifizierende Daten zum Treuhänder gesendet werden, rufen die Abfragesysteme pseudonymisierte Daten vom Treuhänder ab. Der Datentreuhänder stellt dabei als externer Dritter sicher, dass der Behandlungskontext der Quellsysteme klar vom Forschungskontext getrennt bleibt. Medizinische Daten werden von den Quellsystemen direkt an die Abfragesysteme gesendet. Die Synchronisation der beteiligen Systeme erfolgt unter Zuhilfenahme von Transaktionsnummern. IDs und Pseudonyme werden als sortierte Listen übertragen, die Sortierung bleibt nach Verarbeitung durch den Treuhänder erhalten. Die Semantik der übertragenen Daten spielt dabei für den Pseudonymisierungsdienst keine Rolle. Kern der sicheren Pseudonymisierung bildet das symmetrische Verschlüsselungsverfahren AES [5]. Ausschlaggebend für die Performance sind die Ausführungszeiten von Anfragen und deren Hauptspeicherverbrauch. Diese Maßzahlen sind hier abhängig von der Leistungsfähigkeit und Anzahl der Prozessorkerne, der Anzahl der IDs sowie deren Aufteilung auf Anfragen.

Ergebnisse: Der Datentreuhänder wurde als RESTful-Webservice [6], [7] im Rahmen des RWH-Projektes [8] implementiert. Dabei werden die HTTP-Methoden POST, zum Senden von Anfragen, und GET, zum Abrufen der Ergebnisse, benutzt. Für den Lasttest wurde ein Datensatz mit 25.000 Blutwerten verwendet. Dieser enthielt pro Patient zwei identifizierende Merkmale. Diese 50.000 IDs wurden in einer Testumgebung mit zwei Prozessoren (2,67 GHz) sicher pseudonymisiert. Die Bearbeitung einer Anfrage von 50.000 IDs dauerte durchschnittlich 900 ms. Die Vorhaltung der Pseudonyme belegte 2 MB Hauptspeicher. Die Anfrage eines einzelnen Datensatzes mit zwei IDs konnte innerhalb von durchschnittlich 340 ms bearbeitet werden.

Diskussion: Die Lasttests haben gezeigt, dass eine performante Implementierung eines Pseudonymisierungsdienstes möglich ist. Dies ist für den Datawarehouse-Importprozess des RWH-Projektes wichtig, da hier mehrere Millionen IDs pseudonymisiert werden müssen. Die sukzessive Bearbeitung von einzelnen Datensätzen erwies sich dabei als wesentlich ineffizienter gegenüber einer listenweisen Bearbeitung. Mehrere Prozessoren lassen sich unter Verwendung des ForkJoinFrameworks [9] für die listenweise Bearbeitung nutzen. Mit steigender Prozessoranzahl verbessert sich somit die Performance. Durch Minimierung des Arbeitsspeicherbedarfes wird eine temporäre, nicht persistente Speicherung der Pseudonyme ermöglicht. Für die Integration des beschriebenen Treuhänders in eine Datawarehouse-Anwendung werden quellsystemübergreifende IDs vorausgesetzt. Auf Grund der aktuellen Gesetzesgrundlage bleibt jedoch unklar, ob das Konzept auch den Datenschutzforderungen anderer Projekte gerecht wird.

Ausblick: Neben der realisierten sicheren Pseudonymisierung, wird in Zukunft die datenschutzkonforme Reidentifizierung von Patienten implementiert [10]. Daraus ergeben sich weitere Anwendungsfelder: Durchführung von prospektiven Studien, Identifizierung von Kollektiven zur Rekrutierung sowie die Erzeugung von patientenzentrierten Hinweisen.