Kryptogramme XML XML. Medizinischepidemiologische. Merkmale. Datenbanken im

Transkript

1 Übersicht über den Meldefluss Der hier dargestellte Meldefluss skizziert die Übertragung von meldepflichtigen Daten vom Rechner des Melders an das Krebsregister NRW und wird im Folgenden näher erläutert. Pseudonymisierungsdienst bei der PC des Melders Hard- oder Software VPN in das SICHERE NETZ DER KVen Kryptogramme XML Überverschlüsselung der Kryptogramme zu Pseudonymen. XML Medizinischepidemiologische Merkmale XML Erfassung/Import Datensätze Normierung Zerlegung Bildung phonetischer Codes Bildung der Kryptogramme Bildung der Identitätschiffrate Meldungsversand Pseudonyme Datenbanken im Meldequellen Folgende Einrichtungen übermitteln regelmäßig Meldungen an das EKR: Niedergelassene Ärzte/Ärztinnen Krankenhäuser Institute für Pathologie Einrichtungen der Onkologische Qualitätssicherung Einwohnermeldeämter (Sterbefälle) Landesamt für Datenverarbeitung und Statistik (Todesursachen) Internet: S. 1

2 Zu meldende Merkmale o Personenidentifizierende Merkmale Name *1 Vorname *1 Titel *1 Geburtsname *1 Früherer Name *1 Geschlecht Geburtstag *1 Geburtsmonat und jahr Anschrift: Straße und Hausnummer *1 Anschrift: Postleitzahl und Wohnort Staatsangehörigkeit Informationsstatus gemäß 4 Abs. 4 KRG Widerspruchstatus gemäß 4 Abs. 4 KRG Referenznummer Sterbedatum Sterbeort Todesursache o Medizinisch-Epidemiologische Merkmale Diagnosedatum Diagnosedatum exakt Tumordiagnose Seitenlokalisation histopathologisches Grading Anlass der Diagnosestellung Früheres Tumorleiden Sicherung der Tumordiagnose TNM-Klassifikation (Organgruppe, Typ, T, N, M, LK) andere Klassifikationen (FIGO, Dukes, Clark Level, Breslow, Gleason, ) Tumormarker Hormonrezeptoren Art der Therapie (Therapieziel, OP, Chemo, Strahlen, andere) Verschlüsselung der Diagnose (ICD-10, ICD-O-3-Topographie, ICD-O-3- Morphologie) Herkunft der Meldung o Sterbedaten Beurkundendes Standesamt Sterbebuchnummer *1 *1 Personenidentifizierende Merkmale die nicht im Klartext an das EKR-NRW übertragen werden dürfen. Internet: S. 2

3 Datenablage und Verarbeitung auf dem Melder-PC mithilfe von EPICAN Bei der Installation von EPICAN auf dem Melder-PC wird in einem festzulegenden Verzeichnis eine SQL-Datenbank installiert (HSQL-DB). In dieser Datenbank werden alle eingegebenen/importierten Meldungen mit allen Einzeldaten im Klartext, alle Referenztabellen und einige administrative Informationen zur Nutzung durch EPICAN gespeichert. Das Entity-Relationship-Diagramm der Datenbank ist als Anlage angehängt. Aufbereitung der personenidentifizierenden Merkmale Entsprechend den Bestimmungen des Krebsregistergesetzes (KRG NRW) dürfen die personenidentifizierenden Merkmale (Familien-, Vor- und Geburtsnamen, frühere Namen und Titel, Tag im Geburtsmonat, Straße und Hausnummer der Wohnanschrift zum Zeitpunkt der Meldung sowie die Sterbebuchnummer) nicht im Klartext, sondern nur in pseudonymisierter Form vom Krebsregister entgegengenommen und gespeichert werden. Die Verfahren, die zur Pseudonymisierung eingesetzt werden, müssen sicherstellen, a. dass eine Wiedergewinnung der Ausgangsdaten aus den Pseudonymen ausgeschlossen ist b. dass die Zuordnung von neuen Meldungen zu bereits im EKR bekannten Personen mit möglichst kleinen Fehlerraten möglich ist und c. dass für eine ggfs. notwendige Kontaktaufnahme zu Patienten (z.b. im Rahmen von Studien) die Originalausprägungen der personenidentifizierenden Merkmale aus den Identitäts-Chiffraten wiederherstellbar sind, sofern der Patient dieser Kontaktaufnahme bei der Meldung nicht widersprochen hat (Widerspruch gemäß 4 Abs. 4 KRG NRW) Um diesen Anforderungen gerecht zu werden, werden die personenidentifizierenden Merkmale mithilfe von EPICAN bereits auf dem Rechner des Melders auf zwei verschiedene Arten aufbereitet und verschlüsselt: Bildung der Kryptogramme Die sogenannten Kryptogramme werden aus den personenidentifizierenden Merkmalen gebildet und sind eine Vorstufe der Pseudonyme, die später im Krebsregister zur Verknüpfung von Meldungen zu Patienten aus verschiedenen Institutionen dienen. Folgende Schritte werden zur Bildung der Kryptogramme durchgeführt: 1. Normierung: Um Probleme mit unterschiedlichen Darstellungen zu vermeiden, werden die auf dem PC des Melders eingegebenen bzw. importierten personenidentifizierenden Merkmale normiert, d.h. die Namen werden in Namensbestandteile zerlegt, in Großbuchstaben umgewandelt und Umlaute in eine zweibuchstabige Schreibweise umgesetzt. Internet: S. 3

4 2. Zerlegung: Dann erfolgt eine Zerlegung von Vorname, Geburtsname und früherer Name anhand Trennzeichen in jeweils maximal drei Komponenten. Namenserweiterungen sowie vierte und weitere Namensteile werden an die dritte Komponente in der Reihenfolge ihres Auftretens angehängt. Auch der Titel wird in bis zu 2 Komponenten und die Straßennamen in bis zu 5 Komponenten (1 Prefix, 3 Namensteile und 1 Postfix) zerlegt. 3. Phonetische Codes: Um Schreibfehler bei Namen mit variierenden Schreibweisen (z.b. Meier/Meyer/Maier) zu kompensieren, werden für die Namensmerkmale außerdem phonetische Codes nach der Kölner Phonetik gebildet. Dazu werden die normalisierten und zerlegten Namensbestandteile für Vor-, Nach-, Geburts- und Früherer Name jeweils konkateniert und dann codiert, so dass bis zu 4 phonetische Codes entstehen. 4. Verschlüsselung: Die aus den vorherigen Schritten entstandenen normierten und zerlegten Namens-, Titel- und Straßenteile, die phontischen Codes, der Tag des Geburtsdatums sowie ggf. die Sterbebuchnummer werden dann jeweils separat mithilfe einer Einwegfunktion (MD5-Hash) verschlüsselt. Dieser Satz von verschlüsselten Werten sind die Kryptogramme. Nähere Details zu den Regeln der Zerlegung, Normierung, Phonetik und Verschlüsselung finden sich im Dokument: Bundesweite Einführung eines einheitlichen Record Linkage-Verfahrens in den Krebsregistern der Bundesländer nach dem KRG. Erzeugung der Identitäts-Chiffrate Die sogenannten Identitäts-Chiffrate werden aus den Merkmalen: Name, Vorname, dem vollständigen Geburtsdatum, dem Geschlecht und der Anschrift (Straße, Hausnummer, Postleitzahl und Wohnort) gebildet. Dazu werden diese Merkmale konkateniert und mithilfe eines asymmetrischen Verschlüsselungsverfahrens (Hybridverschlüsselung mittels IDEA/128bit und RSA/ECB/PKCS1Padding/1024bit) einmal verschlüsselt. Dabei kommt zur Verschlüsselung der öffentliche Schlüssel zum Einsatz. Der für die Entschlüsselung der Identitäts-Chiffrate benötigte private Schlüssel wird von der Ärztekammer Westfalen Lippe verwaltet. Eine Entschlüsselung darf nur durch die Ärztekammer Westfalen-Lippe unter den in 10 des Krebsregistergesetzes NRW beschriebenen Bedingungen und Regeln erfolgen. Eine Entschlüsselung im Epidemiologischen Krebsregister NRW ist ausgeschlossen. Versand der Meldungen Parallel zur Normierung, Zerlegung und Verschlüsselung der personenidentifizierenden Merkmale werden die medizinisch-epidemiologischen Merkmale geprüft und für den Versand aufbereitet. Internet: S. 4

5 Der Versand von Meldungen erfordert eine Authentifizierung der Meldenden Stelle gegenüber dem Pseudonymisierungsdienst (siehe Pseudonymisierungsdienst). Für den Versand werden die Meldungen in zwei Teile getrennt: 1. der PSD-Teil beinhaltet lediglich die Kryptogramme 2. der MST-Teil beinhaltet die restlichen (medizinisch-epidemiologischen) Merkmale sowie das Identitäts-Chiffrat Zusätzlich werden beide Teile während des Versands mit logistischen Informationen versehen: 1. Meldestellen ID, welche die meldende Einrichtung identifiziert 2. Meldungsnummer, laufende Nummer der Meldung in dieser Übertragung 3. Zeitstempel, Zeitpunkt der Übertragung Diese Informationen dienen im Krebsregister der Verknüpfung der beiden Meldungsteile (Report Linkage). Die beiden Meldungsteile werden im XML Format auf zwei verschiedenen Wegen an das epidemiologische Krebsregister NRW übertragen. Während der MST-Teil direkt an das Krebsregister verschickt wird, wird der PSD-Teil zunächst an den Pseudonymisierungsdienst versendet. Pseudonymisierungsdienst Die beim Melder generierten Kryptogramme sind als deterministische einwegverschlüsselte Kryptotexte prinzipiell angreifbar durch Probeverschlüsselung. Um eine solche Probeverschlüsselung durch das Krebsregister, welches auch über die sensiblen medizinischen Daten verfügt, prinzipiell auszuschließen, werden die Kryptogramme durch den Pseudonymisierungsdienst mithilfe eines symmetrischen Verfahrens (IDEA/CFB/NoPadding/128bit) überverschlüsselt. Nur der Pseudonymisierungsdienst verfügt über den Schlüssel, der zur Umwandlung von Kryptogrammen in Pseudonyme und vice versa notwendig ist. Der Pseudonymisierungsdienst wird von der KVWL betrieben. Er ist in Form eines Java Web-Services realisiert, der im Kontext eines Servlet-Containers (Tomcat) läuft. Der Zugriff auf den Dienst erfolgt über ein VPN in das SICHERE NETZ DER KVen. Als Protokoll wird HTTPS verwendet, so dass die Vertraulichkeit der Daten gewährleistet ist. Der Server wird durch ein Serverzertifikat der Zertifizierungsstelle Thawte, Inc identifiziert. Der Zugriff auf den Web-Service erfordert eine Authentifizierung mit Benutzername und Passwort. Die Zugangsdaten (Benutzername, Passwort als MD5- Hash, Metadaten) werden in einer Benutzerdatenbank bei der KVWL verwaltet. Die Meldedaten werden im XML-Format übertragen, durch den Web-Service auf Verträglichkeit mit einem vorgegebenen XML-Schema überprüft und dann unmittelbar in Pseudonyme überführt. Die erfolgreiche Verarbeitung der Daten bzw. das Auftreten eines Fehlers wird an den Datenlieferanten zurückgemeldet. Internet: S. 5

6 Die so generierten Pseudonyme werden mit Hilfe des Java-Messaging Services (JMS) an das Krebsregister NRW weitergeleitet. Ein JMS Server auf Seiten des Krebsregisters nimmt die PSD-Teile entgegen. Das Krebsregister überprüft regelmäßig, ob Pseudonyme vorliegen. Nach der erfolgreichen Übertragung der Daten an das Krebsregister werden sowohl die Kryptogramme, als auch die Pseudonyme vom Pseudonymisierungsdienst automatisch gelöscht. Internet: S. 6