-
Die
vorliegende Erfindung betrifft eine Vorrichtung zum Depseudonymisieren
von pseudonymen Patientendaten, die aus einem Datensatzidentifikationscode
und einem Gesundheitsdatensatz bestehen, wobei der Datensatzidentifikationscode
ein Patientenpseudonym und ein Behandlerpseudonym bzw. einen Behandleridentifikationscode
enthält.
-
Im
Gesundheitswesen werden aus Gründen der
Wissenschaft und der Qualitätssicherung
medizinische Daten von Patienten gesammelt und ausgewertet. Dabei
sind hohe Anforderungen zum Schutz des Patienten und seiner Privatsphäre notwendig. Um
aussagekräftige
Auswertungen für
die Wissenschaft zu erhalten, ist es erforderlich, dass die der Auswertung
zu Grunde gelegten Daten weitestgehend vollständig sind. Bezüglich der
Qualitätssicherung
der für
die Auswertung notwendigen Daten ist eine flächendeckende Erfassung der
Daten notwendig. Dies kann durch Sammeln eines großen Datenbestandes
an zentraler Stelle erreicht werden.
-
Ein
Nachteil hierbei ist, dass der Schutz von Patienteninteressen und
ein zentraler Datenbestand an medizinischen Daten im Widerspruch
zueinander stehen, sobald die Daten dem Patienten direkt zugeordnet
werden können.
Um den Patienten schützen zu
können,
werden die medizinischen Daten anonymisiert oder pseudonymisiert.
-
Ferner
ist es von Nachteil, dass anonymisierte Daten keine Rückführung auf
den Patienten mehr zulassen. So werden durch anonymisierte Daten wichtige
Auswertungen, beispielsweise zur Ergebniskontrolle von Behandlungsmethoden,
verhindert, da anonymisierte Daten keinen Zusammenhang mehr zwischen
dem Patienten und den medizinischen Daten aufweisen. Pseudonyme
Daten weisen diesen Zusammenhang auf. Das heißt, dass alle medizinischen
Daten, die das gleiche Pseudonym tragen, zusammengehören und
einem Patienten zugeordnet werden können. Wer der jeweilige Patient
ist, kann jedoch nicht gesagt werden, solange die Zuordnung von
Pseudonym und Patient unbekannt ist.
-
Aufgabe
der vorliegenden Erfindung ist es, eine Vorrichtung zu schaffen,
mit der die Ergebnisse anonym gewonnener, personenbezogener Informationen
in identifizierende Daten überführt, die
Qualität der
gewonnenen Informationen erhöht
und der Datenschutz sichergestellt werden kann.
-
Diese
Aufgabe wird durch die in dem Patentanspruch 1 angegebenen Merkmale
gelöst.
Vorteilhafte Ausführungsformen
der Erfindung sind Gegenstand der Unteransprüche.
-
Bei
der erfindungsgemäßen Vorrichtung
ist es dazu vorgesehen, dass der Datensatzidentifikationscode ein
auf einem Rechner vorhandenes Patientenpseudonym, welches innerhalb
des Rechners die Zuordnung zu den zugehörigen Patienten identifizierenden
Daten herstellt, und ein auf dem selben oder einem anderen Rechner
vorhandenes Behandlerpseudonym, welches innerhalb des Rechners die
Zuordnung zu den Behandler identifizierenden Daten herstellt, umfasst.
-
Durch
diese Maßnahmen
wird eine Depseudonymisierung geschaffen, mit der mit einen Pseudonym
geschützte
und damit anonyme Personen auf eine bestimmte Person zurückgeführt werden
kann. Damit können
pseudonyme Patientendaten auf eine bestimmte Identität zurückgeführt werden.
Bei gleichzeitiger Gewährleistung
von Persönlichkeitsrechten der
zu behandelnden Patienten und deren Identitäten lässt sich so eine lückenlose
Dokumentation einer Behandlung sicherstellen. Dadurch wird eine
qualitativ hochwertige Dokumentation sämtlicher Behandlungen gewonnen,
und über
den Arzt kann die Ergebnisqualität
einer Behandlung verbessert werden.
-
In
einer bevorzugten Ausführungsform
der erfindungsgemäßen Vorrichtung
umfasst der Datensatzidentifikationscode ein auf einem Rechner vorhandenes
Patientenpseudonym, welches innerhalb des Rechners die Zuordnung
zu den zugehörigen, den
Patienten identifizierenden Daten herstellt, und einen Behandleridentifikationscode.
Der Datensatzidentifikationscode identifiziert einen bestimmten
Gesundheitsdatensatz unter vielen anderer Patienten und Behandlern.
Dadurch lässt
sich eindeutig ein Patientenpseudonym mit dem zugehörigen Patienten verknüpfen. Ein
dazugehöriger
Behandleridentifikationscode identifiziert den für diesen Patienten zugehörigen Arzt,
bzw. die zugehörige
Institution oder Behandlungseineinrichtung, wie beispielsweise eine Reha-Klinik,
einen Physiotherapeuten, ein Krankenhaus und dergleichen.
-
In
einer anderen bevorzugten Ausführungsform
der erfindungsgemäßen Vorrichtung
sind Mittel zur verschlüsselten Übertragung
des Datensatzidentifikationscodes oder Teilen davon und dessen zugehörigen Gesund heitsdatensatzes
vorgesehen. Die Mittel hierfür
können
beispielsweise Algorithmen zur Verschlüsselung von Daten oder Bestandteile
einer Vorrichtung, beispielsweise eines Rechenwerkes, sein.
-
Gemäß einer
vorteilhaften Ausführungsform der
erfindungsgemäßen Vorrichtung
umfasst sie Mittel zur getrennten Übertragung des Datensatzidentifikationscodes
oder Teilen davon und des zugehörigen
Gesundheitsdatensatzes, wobei die Zuordnung des Datensatzidentifikationscodes
zu dessen zugehörigem
Gesundheitsdatensatz über
die Verwendung eines Schlüssels
erhalten bleibt. Dabei kann die Übertragung,
beispielsweise örtlich
getrennt, über unterschiedliche
Datenträger
erfolgen. Datenträger können hier
beispielsweise CD-ROMs sein. Auch ist eine Übertragung von verschiedenen
Dateien auf einem Datenträger
oder über
verschiedene Kommunikationsleitungen denkbar. Eine weitere Möglichkeit ist
beispielsweise eine zeitlich versetzte Übertragung über ein Medium.
-
In
einer weiteren vorteilhaften Ausführungsform der erfindungsgemäßen Vorrichtung
sind Mittel zur gruppierten Übertragung
von Datensatzidentifikationscodes oder Teilen davon und deren zugehörigen Gesundheitsdatensätze vorgesehen,
wobei das Gruppierkriterium der Datensatzidentifikationscode oder
Teile davon ist.
-
In
einer weiteren besonders vorteilhaften Ausführungsform der erfindungsgemäßen Vorrichtung
sind eine oder mehrere Zentralstellen mit jeweils einer Datenbank
vorgesehen, in der die Gesundheitsdaten ohne Zuordnung zu Patientendaten
gespeichert sind, wobei durch einen oder mehrere Depseudonymisierungsrechner,
mit denen die Zuordnung von Gesundheitsdaten zu den zugehörigen Patienten
und/oder zu den zugehörigen
Behandlern hergestellt werden kann. Zentralstellen können beispielsweise
Einrichtungen sein, die zur Erhebung, Verarbeitung und zum Sammeln
von Daten über Krankheits- und Therapieverläufe von
Patienten berechtigt sind.
-
In
einer weiteren bevorzugten Ausführungsform
der erfindungsgemäßen Vorrichtung
ist dem Gesundheitsdatensatz eines Patienten ein Datensatzidentifikationscode
zugeordnet, mit dem ein Gesundheitsdatensatz auf ihn und den zugehörigen Behandler
rückgeführt werden
kann, wobei der zur Depseudonymisierung eingesetzte Rechner eine
Zuordnung von Datensatzidentifikationscodes einerseits und zugehörigen Patienten
identifizierenden Daten und/oder zugehörigen Behandler identifizierenden Daten
andererseits enthält.
Hierdurch ist es möglich, einerseits
sensible Daten datenschutzgerecht aufzubereiten und andererseits
diese Daten für
die notwendige Sicherung der Behandlungsqualität zu depseudonymisieren.
-
Gemäß einer
vorteilhaften Ausführungsform der
erfindungsgemäßen Vorrichtung
empfängt
der Depseudonymisierungsrechner eingangsseitig eingegebene Datensatzidentifikationscodes
zusammen mit den zugehörigen
Gesundheitsdatensätzen,
wobei die Datensatzidentifikationscodes durch die zugehörigen Patienten
identifizierenden Daten und/oder zugehörigen Behandler identifizierenden Daten
ersetzt werden und ausgangsseitig die Patienten identifizierenden
Daten und/oder zugehörigen Behandler
identifizierenden Daten zusammen mit den zugehörigen Gesundheitsdatensätzen zur
Verwendung oder zur Weiterverarbeitung übermittelt oder zwischengespeichert
werden.
-
In
einer weiteren vorteilhaften Ausführungsform der erfindungsgemäßen Vorrichtung
erhält
der zur Depseudonymisierung eingesetzte Rechner eingangsseitig eingegebene
Datensatzidentifikationscodes zusammen mit Schlüsseln, die für die zugehörigen Gesundheitsdatensätze stehen,
und ausgangsseitig die Patienten identifizierenden Daten und/oder zugehörigen Behandler
identifizierenden Daten zusammen mit den zugehörigen Schlüsseln zur Verwendung oder zur
Weiterverarbeitung übermittelt; diese
Daten können
hier auch zwischengespeichert werden. Der Schlüssel ist hierbei als ein Identifikationsverweis
auf die Gesundheitsdatensätze
ausgebildet.
-
In
einer weiteren besonders vorteilhaften Ausführungsform der erfindungsgemäßen Vorrichtung
kann die Zuordnung von Datensatzidentifikationscodes einerseits
und zugehörigen
Patienten identifizierenden Daten und/oder zugehörigen Behandler identifizierenden
Daten andererseits über
Mittel hergestellt sein, welche Verweise auf die Datensatzidentifikationscodes
und Verweise auf Patienten identifizierende und/oder Behandler identifizierende
Daten enthält,
wobei die Verweise auf Patienten identifizierende und/oder Behandler
identifizierende Daten durch leere Verweise ersetzt werden können. Als
Mittel kann beispielsweise eine Datenbanktabelle vorgesehen sein,
die die oben genannten Verweise enthält. In einer derartigen Tabelle
könnte
zu jedem Verweis auf identifizierende Daten ein Verweis auf einen
entsprechenden Datenidentifikationscode enthalten sein.
-
Ferner
soll ein Verfahren zur Anwendung dieser Vorrichtung geschaffen werden,
insbesondere ein Verfahren zum Depseudonymisieren von pseudonymen
Patientendaten, die aus einem Datensatzidentifikationscode und einem
Gesundheitsdatensatz bestehen.
-
Bei
dem erfindungsgemäßen Verfahren
ist es dazu vorgesehen, dass der Datensatzidentifikationscode der
ein Patientenpseudonym und ein Behandlerpseudonym bzw. einen Behandleridentifikationscode
enthält
aus einem vorhandenen Patientenpseudonym und durch die Zuordnung
zu einem vorhandenen Behandlerpseudonym bzw. zu einem vorhandenen
Behandleridentifikationscode auf einem Rechner hergestellt wird.
-
Die
Erfindung wird im Folgenden anhand einer schematisch dargestellten,
beispielhaften Ausführungsform
einer erfindungsgemäßen Vorrichtung zur
Depseudonymisierung von pseudonymen Patientendaten unter Bezugnahme
auf die beigefügte Zeichnung
näher erläutert.
-
Wie
die einzige Figur zeigt, besteht die Vorrichtung 10 aus
einer Vielzahl von nachfolgend noch näher zu beschreibenden Einzelmitteln.
-
Die
Vorrichtung 10 umfasst im Wesentlichen pseudonyme Patientendaten 12,
die aus einem Datensatzidentifikationscode 14 und einem
Gesundheitsdatensatz 16 bestehen. Der Datensatzidentifikationscode 14 identifiziert
einen Gesundheitsdatensatz 16 unter vielen Gesundheitsdatensätzen anderer
Patienten und Behandlern 30. Ein Gesundheitsdatensatz 16 enthält Daten
eines Patienten ohne Personenbezug, die eine Behandlung eines Patienten
dokumentieren, beispielsweise die Art der Behandlung, den Behandlungsverlauf,
die Medikation, Blut- und
andere Laborwerte, das Befinden des Patienten und dergleichen.
-
Der
Gesundheitsdatensatz 16 ist als Bericht ausgebildet, der
eine Vielzahl von anonymen Informationen in Form von Auswertestatistiken
umfasst. Dies können
beispielsweise Informationen zu Fallzahlentwicklungen, Meldungen
von inzidenten Patienten und deren Einrichtungen, die Entwicklung
der Patientenzahlen, Behandlungsverfahren und dergleichen sein.
-
In
dieser Ausführungsform
umfasst der Datensatzidentifikationscode 14 ein Patientenpseudonym 18 und
einen Behandleridentifikationscode 20. Der Behandleridentifikationscode 20 ist
ein Code, der den Behandler eindeutig identifiziert.
-
Das
Patientenpseudonym 18 steht für einen Patienten, lässt aber
keinen Rückschluss
auf den zugehörigen
Patienten zu, wenn die Zuordnung zwischen Patientenpseudonym 18 und
den Patienten identifizierenden Daten 22 unbekannt ist.
Mit Kenntnis dieser Zuordnung ist ein Rückschluss aber möglich. Der
Datensatzidentifikationscode 14, das Patientenpseudonym 18 und
der Behandleridentifikationscode 20 sind in dieser Ausführungsform
als ein Strichcode ausgebildet.
-
Der
Gesundheitsdatensatz 16 ist auf einem Rechner 24 abgelegt.
Der Rechner 24 umfasst eine Vielzahl von Patientenpseudonymen 18,
mit denen es möglich
ist, eine Zuordnung zu Patienten identifizierenden Daten 22 und
damit zu einem bestimmten Gesundheitsdatensatz 16 herzustellen.
Denkbar ist auch die Übermittlung
an andere Medien. Die Zuordnung muss nicht ausschließlich im
Rechner 24 erfolgen.
-
Ferner
umfasst der Rechner 24 eine Vielzahl von Behandlerpseudonymen 26,
mit denen eine Zuordnung zu einem bestimmten Behandler 30 bzw.
zu dessen Behandler identifizierenden Daten 28 hergestellt
werden kann. Das Behandlerpseudonym 26 ist dabei ein dem
Patientenpseudonym 18 entsprechendes Pseudonym für einen
Behandler 30.
-
Ein
Behandler 30 kann eine behandelnde Person, beispielsweise
ein Arzt, oder eine behandelnde Institution, beispielsweise ein
Krankenhaus, eine Reha-Klinik,
eine Therapiepraxis oder dergleichen sein. Das dem Behandler 30 zugeordnete
Behandlerpseudonym 26 ent spricht dem Patientenpseudonym 18.
Dem Behandler 30 ist ein Behandleridentifikationscode 20 zugeordnet,
durch den er eindeutig identifiziert werden kann.
-
Mit
dem Datensatzidentifikationscode 14 kann ein bestimmter
Gesundheitsdatensatz 16 aus einer Vielzahl von Gesundheitsdatensätzen identifiziert
werden.
-
Beim
Depseudonymisieren werden die Pseudonyme 18 und 26 in
identifizierende Daten 22 und 28 überführt. Dieser
Vorgang wird bei dem vorliegenden Ausführungsbeispiel im Rechner 24 durchgeführt. Es
sind aber auch externe Sortier- und Ablageeinrichtungen aller Art
oder externe Rechner denkbar.
-
Der
Gesundheitsdatensatz 16 enthält Daten eines Patienten ohne
Personenbezug, die eine Behandlung dokumentieren. Die Daten können beispielsweise
Informationen über
die Art der Behandlung, den Behandlungsverlauf, die Medikation,
die Blutwerte, andere Laborwerte sowie das Befinden usw. umfassen.
-
Das
Patientenpseudonym 18 steht zwar für einen bestimmten Patienten,
lässt aber
keinen Rückschluss
auf die damit verbundene Person zu. Die Zuordnung zwischen Patientenpseudonym 18 und
den Patienten identifizierenden Daten 22 ist unbekannt. Erst
mit der Kenntnis der Zuordnung ist ein Rückschluss auf eine bestimmte
Person möglich.
-
Es
ist vorgesehen, die Gesundheitsdatensätze 16 mittels eines
Schlüssels 32 untereinander
zu verknüpfen.
Dabei kann der Schlüssel 32 ein
Nummerncode sein, der alle zusammengehörigen Daten kennzeichnet.
-
An
Stelle eines Nummerncodes sind auch andere Schlüssel, beispielsweise die Zuordnung
von Daten über
einen Index, denkbar.
-
Ein
Index kennzeichnet beispielsweise die Position eines Datums in einer
Datenfolge. Hierbei muss der Index nicht genannt werden, denn allein seine
Position kann ein Datum kennzeichnen.
-
- 10
- Vorrichtung
- 12
- Patientendaten
- 14
- Datensatzidentifikationscode
- 16
- Gesundheitsdatensatz
- 18
- Patientenpseudonym
- 20
- Behandleridentifikationscode
- 22
- Patienten
identifizierende Daten
- 24
- Rechner
- 26
- Behandlerpseudonym
- 28
- Behandler
identifizierende Daten
- 30
- Behandler
- 32
- Schlüssel