Datenschutzgerechte Langzeitverfolgung

Transkript

1 Datenschutzgerechte Langzeitverfolgung Berlin, 28. November 2011 Univ.-Prof. Dr. Klaus Pommerening Universitätsmedizin Mainz, IMBEI + TMF-AG Datenschutz

2 Nutzung von Gesundheitsdaten Primärnutzung ( Behandlungskontext ) Ärztliche und pflegerische Versorgung, auch verteilte Versorgung (shared care), Dokumentation, Kommunikation, Abrechnung. Sekundärnutzung ( Forschungskontext ) Versorgungsforschung, Qualitätssicherung, Gesundheitsökonomie, klinische oder epidemiologische Studien, Public Health, Aufbau von zentralen Datenpools, klinischen Data Warehouses, Registern, Biobanken. Berlin, 28. November 2011 Seite 2/17

3 [Primärnutzung/ Behandlungskontext] Patient-Arzt- Verhältnis Barriere: Ärztliche Schweigepflicht/ SGB V 291a [Sekundärnutzung/Forschungskontext] klinische Forschung Versorgungsforschung Export erlaubt, wenn - anonyme Daten, - Einwilligung, - Gesetzesvorschrift direkte Erfassung Register/ epidemiologische Forschung Berlin, 28. November 2011 Seite 3/17

4 Typische Aspekte der Sekundärnutzung Außerhalb des eigentlichen Behandlungskontexts; kein direkter Patientenkontakt Identität des Patienten ist ohne Belang. Direkte Sekundärnutzung der Daten aus dem Behandlungskontext (in der Regel) nicht erlaubt (Ärztl. Schweigepflicht/ SGB* V). Unproblematisch: direkte Auswertungsfunktionen des KIS für interne Statistiken. Sonst Datenexport nötig. Problematisch: Der starke Schutz der Schweigepflicht entfällt (z. B. Beschlagnahmefestigkeit Cave: Ärztliche Leitung einer Forschungseinrichtung hier unwirksam!). Es gelten nur die allgemeinen Datenschutzregeln. Datenliefernder Arzt bleibt rechtlich in Verantwortung. * Sozialgesetzbuch V 291a Berlin, 28. November 2011 Seite 4/17

5 Datenschutzprinzipien Informationelle Selbstbestimmung, insbesondere Zweckbindung der Einwilligung. Erforderlichkeit der Datenverarbeitung, insbesondere Datensparsamkeit (need to know). Angemessenheit der Datenverarbeitung, insbesondere Verhältnismäßigkeit von Prozessen und Maßnahmen. Berlin, 28. November 2011 Seite 5/17

6 Datenschutz-Herausforderungen der medizinischen Forschung Übergang von Daten aus der Versorgung in die Forschung bedeutet Zweckänderung. (Fast immer) nur mit Einwilligung erlaubt. Wirksamkeit von Anonymisierung bei Gesundheitsdaten zweifelhaft: hochdimensionale Datensätze, unbekanntes externes (evtl. künftiges) Zusatzwissen. Langfristigkeit Berlin, 28. November 2011 Seite 6/17

7 Langzeitverfolgung von Krankheitsverläufen Optionen: Register (vollständig, besonders sensibel) Kohorte (repräsentative Auswahl) kaum sinnvolle Alternative: jedes Mal Daten einsammeln, auswerten, löschen Hindernisse: Datenschutz Entbindung von der Schweigepflicht nötig + Einwilligung in weitere Verarbeitung Datenqualitätsmanagement kann mit Anonymisierung und Pseudonymisierung kollidieren. Berlin, 28. November 2011 Seite 7/17

8 Tragweite der Einwilligung Einwilligungserklärung gilt nur für definierten konkreten Zweck, definierte beschränkte Zeit und benannten Nutzerkreis. Sonst ist sie nichtig. In Ausnahmefällen kann auf Einwilligung verzichtet werden: Es gibt keine andere Möglichkeit zur Bearbeitung der Fragestellung (Erforderlichkeit), und es gibt keine realistische Möglichkeit, die Einwilligung nachzuholen (Verhältnismäßigkeit), und es besteht hohes öffentliches Interesse am Forschungsprojekt. Grundrechtsabwägung: Für medizinische Forschung Abschwächung der Anforderungen möglich, sofern Kompensation durch zusätzliche Maßnahmen ( TMF-DS-Konzept): Der Forschungszweck darf offen formuliert werden. Durch Widerrufsrecht bleibt angemessene Kontrolle für Patienten über Daten. Berlin, 28. November 2011 Seite 8/17

9 Anonymisierung 1. Schritt (nicht immer ausreichend): Entfernen von ID-Daten. 2. Schritt (oft notwendig): Vergröberung der Nutzdaten. Ziel der Anonymisierung: Daten nicht mehr personenbeziehbar. (Wirksam) Anonymisierte Daten sind nicht den Datenschutzregeln unterworfen. Personenbeziehbarkeit hängt ab vom möglichen Zusatzwissen und sonstigen Möglichkeiten des Empfängers. Wirksamkeit der Anonymisierung* muss bewertet werden (z. B. bei Weitergabe von Daten oder Proben) im Einzelfall und immer wieder neu nach dem aktuellen Stand der Technik und im Hinblick auf die Möglichkeiten der Empfänger. * das Reidentifizierungsrisiko (RI) Berlin, 28. November 2011 Seite 9/17

10 Pseudonymisierung (Definition) BDSG 3 (6a): Pseudonymisieren ist das Ersetzen des Namens und anderer Identifikationsmerkmale durch ein Kennzeichen zu dem Zweck, die Bestimmung des Betroffenen auszuschließen oder wesentlich zu erschweren. Pseudonymisierung bewahrt die Personenbeziehbarkeit, schützt sie aber durch einen Schlüssel, der bei einem Treuhänder aufbewahrt wird. Pseudonymisierung bedeutet: Ersetzen der identifizierenden Daten durch eine nichtsprechende Zeichenkette. Zuordnungsliste oder kryptographische Transformation, auch als Codierung/ Verschlüsselung bezeichnet. Achtung: Kein Pseudonym ist Initialen + Teile des Geburtsdatums, Nummer, die einem größeren Personenkreis bekannt ist. Berlin, 28. November 2011 Seite 10/17

11 Eigenschaften der Pseudonymisierung Zusammenführung von Daten aus verschiedenen Quellen möglich... oder von verschiedenen Zeitpunkten. Daher geeignet zur Langzeitverfolgung. Fehler in den Identitätsdaten müssen vor Pseudonymisierung bereinigt sein. ( Datenqualitätsmanagement) Pseudonyme Daten personenbeziehbar (durch Treuhänder). Daher Pseudonymisierung rechtlich nicht äquivalent zur Anonymisierung, Pseudonymisierung nur mit Einwilligung erlaubt. Aber: Weitergegebene pseudonymisierte Daten gelten als anonymisiert, wenn Empfänger keine Möglichkeit zur Depseudonymisierung hat. Ständige Beurteilung des RI-Risikos und Einzelfallprüfung bei pseudonymen wie bei anonymen Daten notwendig. Berlin, 28. November 2011 Seite 11/17

12 Pseudonymisierung von Daten: Das Basismodell ( Pseudonymisierung an der Quelle ) Probenund Datenquelle MDAT (= medizinische Daten) Pseudonym Externes Projekt oder zentrale Datenbank IDAT Pseudonym Patientenliste Datenleck L85FD23S Maier, Johannes 6AZCB661 Maier, Josef KY2P96WA Maier, Jupp L85FD23S Angreifer IDAT Pseudonym (= Identitätsdaten) Berlin, 28. November 2011 Seite 12/17

13 Pseudonymisierung von Daten: das Treuhändermodell Probenund Datenquelle MDAT (= medizinische Daten) mit Ticket vorbeileiten oder verschlüsselt durchleiten Externes Projekt oder zentrale Datenbank IDAT Treuhänder Pseudonym Datenleck L85FD23S Maier, Johannes 6AZCB661 Maier, Josef KY2P96WA Maier, Jupp L85FD23S Angreifer IDAT Pseudonym Berlin, 28. November 2011 Seite 13/17

14 Was ist ein Datentreuhänder? Unabhängige Instanz, die Daten verwahrt (hier: Zuordnungsregeln für Pseudonyme) und das Vertrauen aller Beteiligten genießt. Geeignet, aber selten (und teuer): Notar. Achtung: Beschlagnahmeschutz nicht gesichert. Pragmatische Lösung: Rechenzentrum oder MI-Institut. Wichtig: regelgebunden, aber nicht weisungsgebunden. Vertragliche Regelungen und SOPs notwendig. Beispiel: Vertrauensstellen der Krebsregister Berlin, 28. November 2011 Seite 14/17

15 TMF Hintergrund BMBF-Förderungsmaßnahmen: Kompetenznetze, NGFN, seltene Erkrankungen, Biobank-Initiative, TMF: als Telematikplattform für medizinische Forschungsnetze Gründung 1999 / seit 2004 e. V./ Namensänderung 2009 Mitglieder: ca 90 Forschungsverbünde Aufgaben: Lösung gemeinsamer methodischer und infrastruktureller Probleme Berlin, 28. November 2011 Seite 15/17

16 TMF-Publikationen zum Datenschutz Bereits publiziert in TMF-Schriftenreihe u. a.: Generisches Datenschutzkonzept für Forschungsnetze Leitfaden zur Patienteneinwilligung* Rechtliche Rahmenbedingungen für Biobanken Datenschutzkonzept der TMF für Bio(material)banken liegt vor. Buchpublikation in Vorbereitung (TMF-Schriftenreihe) * mit zugehörigem Online-Assistenten Berlin, 28. November 2011 Seite 16/17

17 TMF-Publikationen (Auswahl) Datenschutzkonzept für BMB noch in Vorbereitung (Manuskript erhältlich über Geschäftsstelle) Berlin, 28. November 2011 Seite 17/17