Mondriaan: Pseudonimiseren, Koppelen en Kansen voor onderzoek

Transcriptie

1 Mondriaan: Pseudonimiseren, Koppelen en Kansen voor onderzoek Willem de Bruijn

2 Stichting Mondriaan Health Research Data Doel: een nationaal toegangsloket tot bestaande en nieuwe bronnen van gezondheids(zorg)gegevens voor wetenschappelijk (pharmaco-) epidemiologisch onderzoek. Meer speciek: Nationale infrastructuure en toegangspunt Koppelen, poolen, verrijken van bestaande en nieuwe gezondheids(zorg)- data

3 Mondriaan: van project naar zelfstandige organisatie

4 Mondriaan at a glance: Data-broker Partnership with major Dutch data suppliers researcher Record linkage Privacy/Information security Knowledge platform: data- esperanto Claims Mondriaan Cohort

5 HDR concept Information products HIS Authorities: RIVM, etc. KIS ZIS AIS City/region Organise the collection of data and reports close to the data source Local review of requests for data Universities Other research organisations in and 5 outside NL

6 Health Data Repository Uitgangspunten HDR concept één keer goed verzamelen, vaak gebruiken informatieproducten HDR: voor en door zorgverlener: HDR: zorgverlener bepaald wat er gebeurt met de data: toetsing! HDR: regionale focus zelfvoorzienend privacy! goede afspraken tussen HDR en Mondriaan Stichting over gebruik data en infrastructuur

7 Record Linkage and data flow to user TTP Record linkage Subject index Encryp;on &Pseudonymisa;on Info on linkages user DB Data Mondriaan Client Data+ pseudonym Mondriaan catalogue Source 1 Source 2 Mondriaan

8 Biolink Aim: valida;on of linkage and pa;ent reported outcomes Who: Maastricht University, Vucm, UU, Mondriaan Data: Biobank (Koala) & SFK Koala 1729 SFK 5,3 M 325

9 Proces: data pseudonimisatie/ anonimisatie & data-upload naar Mondriaan De TTP verzorgt de pseudonimisade en koppeling van data Pseudonimisatie & Record Linkage TTP 1) NAW gegevens worden versleuteld bij de bron en naar TTP gestuurd. De medische data worden niet naar de TTP gestuurd. Versleutelde NAW Bronpseudoniem 2) De TTP stuurt bronpseudoniemen naar de client. Koppelingen zijn nog niet mogelijk met deze pseudoniemen. Dit i.v.m. privacy.. DB Mondriaan Client Gepseudonimiseerde (medische) data DWH zorgverlener 3) De client stuurt alleen de bronpseudoniemen + Medische data naar Mondriaan HDR Utrecht

10 Identifying individuals at risk for familial cancer QuesAon: GP data usable in management of familiary cancer? Who: UMCU Data: JHN (GP) & Dutch Cancer Registra;on Cancer Reg. 1,7M fp: 1,0% JHN 0,61M

11 IADB 1,4M LifeLines vp: 0,6% MedicaAon Diabetes (A10A/B) 777 (2%) # subjects in overlap An; depressives (N06A) 4924 (13%) An; hypertensives (C02/3/7/8) 6120 (16%) Ace inhibitors (C09) 3046 (8%)

12 Claims/GP/Psychiatry PCR-MN 0,72M/0,68M

13 Information security Mondriaan Primary principles Privacy & ethics Access Data integrity Secundary principles Accountability Awareness Assessment Integra;on

14 PEP = Privacy Enhancing Procedure ( or Technique)

15 Privacy Aim: Maximisa;on of anonymity Purpose: default proces + data processing without any level of subject consent PEP s: 1. Data anonymisa;on 2. Preven;on of de anonymisa;on

16 Anonymisation PEPs 4 eyes principle on design data processing Encryp;on at the source Seperate processing of iden;fying and research data Pseudonimisa;on by TTP: Use of 3 types of pseudonyms downstream PIA upfront Controlled access to research data

17 PEPs prevention de-anonymisation 1. Separa;on of different users in the data chain 2. Controlled data linkages 3. Controlled data access 4. Controlled depseudonimisa;on 5. Data minimilisa;on 6. Upfront, independent risk assessment on loss of anonymity

18 CBP Geen persoonsgegevens als: 1. vakkundige pseudonimisering, eerste encryp;e bij de bron 2. Technische en organisatorische maatregelen om herleidbaarheid te voorkomen (replay back) 3. Overige gegevens zijn niet indirect iden;ficerend 4. Audit op eerste 3 punten 5. Pseudonimiseringproces is gedocumenteerd en openbaar

19 Inbedding Custodix binnen Mondriaan Privacy Mondriaan Custodix Beheer encryptiesleutel Opslag, beheer en toegang tot geёncrypteerde gegevens x x Pseudonimisering Beheer en toegang tot onderzoeksgeg. Toegang tot koppelingen tussen verschillende typen pseudonymen x x x Record Linkage Mondriaan Custodix Beheer linkage algoritme x Uitvoering record linkage x Opslag & beheer gekoppelde pseudonymen x

20 Stelling Voor het bereiken van het doel (een nationaal toegangsloket tot bestaande en nieuwe bronnen van gezondheids(zorg)gegevens voor wetenschappelijk (pharmaco-) epidemiologisch onderzoek) is één, uitwisselbare TTP constructie noodzakelijk. De TTP behoort een nutsvoorziening te zijn!

21 Stelling De inhoudelijke data (= klinische/research data) en biomaterialen worden steeds identificerender. Anonimiteit is context afhankelijk Herdefinieer anonimiteit! of misschien: vergeet anonimiteit focus op bescherming van de (privacy) belangen van subjecten

22 Dank u! Willem de Bruijn

23 Proces: koppelen op persoonsniveau via de TTP De TTP verzorgt de eigenlijke Koppeling door het verglijken en koppelen van de versleutelde NAW gegevens die het ontvangt van de verschillende bronnen Koppelverzoeken voor een selecde van bronpseudoniemen uit een of meerdere bronnen bij de TTP resulteren in koppelinformade in de vorm van koppelpseudoniemen. Dezelfde persoon in verschillende krijgt over alle bronnen heen hetzelfde koppelpseudoniem. Pseudonimisatie & Record Linkage Koppelpseudoniem Bronpseudoniem Magement module TTP DWH HDR Utrecht

24 Proces: feedback informatie richting bron Gepseudonimiseerde Feedback informatie Geautoriseerd e toegang derden Mondriaan Client DWH Depseudonimisa;e Feedback report Gepseudonimiseerde Feedback informatie Genereren feedback Info Bron HDR Utrecht