Erhebung und Speicherung klinischer Daten im Licht der TMF-Datenschutzkonzepte

1. Erhebung und Speicherung klinischer Datenim Licht der TMF-Datenschutzkonzepte NGFN-Qualitätsmanagement-Workshop Heidelberg, 9. November 2007 Prof. Dr. Klaus Pommerening Universität Mainz, KN Pädiatrische Onkologie und Hämatologie

2. Datenquellen für die medizinische Forschung • Daten aus dem Behandlungszusammenhang • Dokumentation im Rahmen des Behandlungsvertrags • Sekundärnutzung (Forschung, „Benchmarking“ o. ä.) nur anonymisiert oder mit Einwilligung) • Daten aus klinischen Studien • Behandlung und Forschung eng verzahnt • zusätzliche Dokumentation für Studie • Nutzung im Rahmen der Einwilligungserklärung • Gezielte Datenerhebung für Register/Forschungsdatenbanken • nur mit Einwilligung

3. Proben für die medizinische Forschung • Gewinnung von Biomaterialien analog zu Datenerhebung Organe, Gewebeproben, Blut/Plasma/Serum/Zellen, Extrakte (DNA, RNA) • Behandlungszusammenhang • für klinische Studien • direkt für Biomaterialbanken • Aber einige Besonderheiten; z. B.: • Achtung: Probenreste aus dem Behandlungszusammenhang dürfen nicht ohne weiteres für Forschungszwecke weiterverwendet werden (auch nicht „anonymisiert“).

4. Datenspeicherung für die medizinische Forschung • Speicherung für vernetzte Forschungsprojekte für unbestimmte Zeit und nicht immer vorher bestimmten Zweck und Anwenderkreis: • drei datenschutzrechtliche Hindernisse! (sogar bei Einwilligung) • Dazu noch: Genetische Informationen in Materialien. • Verknüpfung der Proben mit krankheitsbezogenen u. a. Daten kann zu Personenbezug führen. • Generisches Datenschutzkonzept der TMF für diese Situation entwickelt. • Bisher: Modelle A und B, Erweiterung für BMB • Künftig: Modulares skalierbares Modell

5. Datenerhebung und Speicherung nach Modell A • Lokale Datenbank = Datenbank beim Behandler • Zentrale Datenbank: Institutionsübergreifend, evtl. langfristig Zentrale Datenbank Lokale Datenbank MDAT Export zur Forschung anonymisiert oder pseudonymisiert PID MDAT IDAT IDAT PID PID = (pseudonymer) Patientenidentifikator MDAT = Medizinische Daten IDAT = Identitätsdaten PID-Dienst

6. Identitätsmanagement durch Patientenliste • Zugriff auf zentrale Datenbank für Berechtigte (Behandler, Prüfarzt) personenbezogen • Zugriffsregelung über das ID-Management der Patientenliste • Zusammenführung MDAT / IDAT nur auf dem Bildschirm des Berechtigten • Speicherung pseudonym • PID nur in Patientenliste bekannt • Technische Umsetzung verfügbar • ID-Management als Web-Dienst mit Patientenliste und PID-Generator • auch lokal und offline nutzbar

7. Datenerhebung und Speicherung nach Modell B Pseudonymi-sierungsdienst Forschungs-datenbank Nutzdatenverschlüsseltdurchreichen Datenquelle(n) MDAT MDAT IDAT PID PSN PSN IDAT PID MDAT = Medizinische Daten IDAT = Identitätsdaten Identitäts-management PID = Patientenidentifikator PSN = Pseudonym

8. Identitätsmanagement durch Patientenlisteund Pseudonymisierungsdienst beim Modell B • Patientenliste sorgt für richtige Zuordnung aus verschiedenen Quellen (auch bei leicht fehlerhaften IDAT). • PID nicht notwendig geheim • Dafür PSD (= kryptographisch verschlüsselter PID) als Pseudonym • von unabhängiger Stelle erzeugt (je nach Verhältnismäßigkeit, s. u.) • und nur intern in der Forschungs-DB verwendet

9. Modell A versus Modell B • Modell A geeignet für • Langzeitbegleitung chronisch kranker Patienten (z. B. bei seltenen Krankheiten) • große multizentrische Studien • Modell B geeignet für • „patientenferne“ Forschung • z. B. Register, Biomaterialbanken • Langzeitaufbewahrung von Daten nach Abschluss der Behandlung oder der Studie

10. Die Patientenliste(Identitätsmanagement für Patienten/ Probanden) • Patientenliste erlaubt Rückbezug auf Identität. • Führung der Patientenliste verlangt: • Ansiedlung an vertrauenswürdiger Einrichtung • Ausstattung mit umfangreichen Schutzmaßnahmen gegen unbefugte Zugriffe • Beschlagnahmefestigkeit nur gegeben: • im Behandlungskontext • bei notarieller Verwahrung • Verhältnismäßigkeit: Notarielle Führung der Patientenliste nur erforderlich, • bei sehr großem Patientenbestand, • wenn Daten oder Proben attraktiv für Rückidentifizierungsversuche. • Sonst wenigstens organisatorische Unabhängigkeit empfohlen. • Unter Umständen reicht auch dezentrale Patientenliste („an der Quelle“) bei getrennter Datenbank-Administration.

11. Kriterien zur Verhältnismäßigkeit • Größe und Komplexität der Datenbank oder des Netzes • Langzeitaufbewahrung • oder nur reine klinische Studie mit anschließender Archivierung • Brisanz der Datenbank • z. B. stigmatisierende Krankheit • oder begleitende Probensammlung • Stringenz der Organisation • z. B. Policies, SOPs, etabliertes Monitoring

12. Methoden für den Datenschutz • Informationstrennung,getrennte Speicherung / getrennte Verantwortung für IDAT, MDAT, evtl. Proben-Analysedaten und Proben • Pseudonymisierung, auch mehrfach • Datensparsamkeit beim Datenexport für Auswertungen • keine Herausgabe der intern verwendeten Pseudonyme • kein Online-Zugriff für externe Forscher • Sicherheitsmaßnahmen nach dem Stand der Technik • sichere Server • kryptographische Kommunikation • starke Authentisierungs- und Zugriffsregelungen

13. Technische Schwierigkeiten • Verfügbarkeit der nötigen Dienste • Einbindung in kommerzielle RDE-Systeme insbesondere Verfügbarkeit von Schnittstellen, Kommunikation mit externen Diensten, Übernahme von Daten aus dem Behandlungszusammenhang, Verwendung adäquater kryptographischer Mechanismen • Aufwand für die Umsetzung

14. Das generische Datenschutzkonzept der TMF für Datensammlungen und Biomaterialbanken • Das Konzept hat den Konsens des AK Wissenschaft der Datenschutzbeauftragten. • Publikation in der TMF-Buchreihe (bei MMV) (für Biomaterialbanken in Vorbereitung). • Die TMF-AG Datenschutz hilft bei der Umsetzung. • Revision in Arbeit • Bei großen Projekten / Netzen Dichotomie A/B nicht adäqat • statt dessen modularer und skalierbarer Aufbau. • bessere Integration Behandlung/ klinische Studien/ Forschungsdatenbanken • Kriterien zur Beurteilung der Verhältnismäßigkeit • Klärung noch offener Rechtsfragen • Konzept für zentrale Dienstleistungen

15. Offene Rechtsfragen (u. a.) • Wo läuft die Grenze zwischen Behandlungs- und Forschungskontext insbesondere bei klinischen Studien? Referenzbefundung? Studienleiter? Pseudonymisierungspflicht nach AMG? • Nutzung der eGK im Forschungskontext, z. B. zur Identifizierung? Speicherung zusätzlicher Forschungsdaten? Nutzung der Versichertennummer? • Anforderungen an Datentreuhänderdienst? Verhältnismäßigkeit? Zentrale Dienstleistung? Elektronische Verfahren? • Fragen zur Archivierung, insbesondere bei klinischen Studien

17. TMF-Schriftenreihe • Band 1: Reng u. a.: Generische Lösungen zum Datenschutz … (März 2006) • Band 2: Simon u. a.: Biomaterialbanken – Rechtliche Rahmenbedingungen (September 2006) • Band 3: Harnischmacher u. a.: Checkliste und Leitfaden zur Patienteneinwilligung (Dezember 2006) • Band 4: Stausberg u. a.: Datenqualität in der • medizinischen Forschung (April 2007) • Band 5: Pommerening u. a.: Biomaterialbanken – Datenschutz und ethische Aspekte (Anfang 2008) • Band 6: Kiehntopf u. a.: Qualitätsmanagement für Biomaterialbanken (2008)