Ensuring patient privacy in image data sharing for clinical research Aryanto, Kadek

Transcriptie

1 Ensuring patient privacy in image data sharing for clinical research Aryanto, Kadek IMPORTANT NOTE: You are advised to consult the publisher's version (publisher's PDF) if you wish to cite from it. Please check the document version below. Document Version Publisher's PDF, also known as Version of record Publication date: 2016 Link to publication in University of Groningen/UMCG research database Citation for published version (APA): Aryanto, K. Y. E. (2016). Ensuring patient privacy in image data sharing for clinical research: Design and implementation of rules and infrastructure [Groningen]: Universitair Medisch Centrum Groningen / Rijksuniversiteit Groningen Copyright Other than for strictly personal use, it is not permitted to download or to forward/distribute the text or part of it without the consent of the author(s) and/or copyright holder(s), unless the work is under an open content license (like Creative Commons). Take-down policy If you believe that this document breaches copyright please contact us providing details, and we will remove access to the work immediately and investigate your claim. Downloaded from the University of Groningen/UMCG research database (Pure): For technical reasons the number of authors shown on this cover page is limited to 10 maximum. Download date:

2 Samenvatting 149

3 Zowel de European Union Data Protection Directive (EUDPD) als Good Clinical Practice (GCP) stellen dat vertrouwelijke dossiers, die de identiteit van een persoon kunnen onthullen, beschermd moeten worden. Het bepalen van de elementen in de DICOM header die kunnen leiden tot identificatie van de patiënt of proefpersoon is echter lastig, omdat hierbij ook het type onderzoek en de eisen van de onderzoeker met betrekking tot te behouden informatie een rol spelen. Het is daarom noodzakelijk om een set van deïdentificatie regels beschikbaar te stellen, gebaseerd op de bestaande richtlijnen en wetgeving, om duidelijkheid te krijgen hoe patiëntdata beschermd dienen te worden. In Hoofdstuk 3, wordt een voorstel gedaan voor een minimale set van vijftig DICOM header elementen die gedeïdentificeerd dienen te worden om aan de eisen van GCP richtlijnen en de wetgeving van de EU met betrekking tot de bescherming van de zogenaamde Protected Healthcare Information (PHI) van de patiënt te voldoen. Voor het aanpassen van de DICOM header zijn diverse software programma s beschikbaar waarvan een aantal kosteloos te gebruiken is. In Hoofdstuk 4 beschrijven wij de testresultaten van tien van deze programma s op hun mogelijkheid om de PHI informatie uit de DICOM header te verwijderen. Slechts vijf van deze tien programma s waren in staat om op een juiste wijze de in Hoofdstuk 3 gedefinieerde vijftig header elementen te deïdentificeren. Van deze vijf konden vier dit slechts na zorgvuldige configuratie van de instellingen en niet met de basisconfiguratie. Dit resultaat laat zien dat men zeer voorzichtig moet zijn met het gebruik van gratis DICOM programma s omdat er een wezenlijk risico is om PHI te onthullen, zeker wanneer gebruik wordt gemaakt van de basisconfiguratie. Op basis van onze resultaten raden we één van de toolkits aan als optimale beveiliging gevraagd wordt. De overgang van een bestaand Picture Archiving and Communication Systeem (PACS) naar een nieuw is een duur, ingrijpend en uitdagend proces. Een goede testmigratie is een cruciale stap bij de overgang naar een nieuw PACS, die kan zorgen voor het voorkomen van veel van de problemen die zich bij de daadwerkelijke overgang voordoen. Hierbij geldt wel dat er altijd een bepaald risico geaccepteerd moet worden omdat het niet mogelijk is om alle problemen te identificeren bij een testmigratie. Daarnaast is literatuur over de methodologie die gevolgd kan worden en de mogelijke problemen en valkuilen van een migratie schaars. Hoofdstuk 5 verschaft inzicht in de vereisten met betrekking tot leverancier en DICOM mogelijkheden aan het bestaande PACS voordat wordt overgegaan op migratie. De integratie van het PACS met andere informatiesystemen heeft er voor gezorgd dat beelddistributie een belangrijke rol is gaan spelen in het klinische proces. Deze beelddistributie dient tijdig en correct 150

4 Samenvatting te gebeuren om het klinische proces te ondersteunen. Optimalisatie van de behandeling van digitale beelden is eveneens belangrijk voor klinische en onderzoeksdoeleinden. De IT infrastructuur die hiervoor nodig is, bestaat uit een groot aantal kleinere systemen, die aan elkaar gekoppeld zijn. In Hoofdstuk 6 wordt een snel en eenvoudig webgebaseerde omgeving besproken die, in combinatie met optimale deïdentificatie, de datadistributie binnen de muren van het ziekenhuis realiseert met meerdere parallelle processen voor verschillende deïdentificatie procedures. In de geanalyseerde periode van 75 maanden zijn meer dan beelden verstuurd en gedeïdentificeerd naast ongeveer beelden, die zonder deïdentificatie verzonden zijn naar verschillende deelsystemen. Het gebruik van draagbare (portable) media (bijv. recordable compact disc [CD] en digital versatile disc [DVD]) voor het verzenden van patiëntdata, werd bevorderd door de wens om beelden uit te wisselen en de introductie van digitale beelden in de radiologie. Hoewel portable media voordelen bieden, hebben ze ook een aantal nadelen. Om deze nadelen te overkomen is het nodig om de data van de portable media te integreren in de normale workflow van het ziekenhuis. Hiervoor is een software systeem ontwikkeld, dat gedecentraliseerde upload van CDs mogelijk maakt met centrale opslag in het PACS. Na verdere doorontwikkeling van dit systeem is de interesse in, en dus ook het gebruik van, deze mogelijkheid sterk toegenomen. In Hoofdstuk 7 wordt een evaluatiestudie beschreven waarin is gekeken naar het gebruik van CDs voor het uitwisselen van beeldinformatie tussen instituten om de toekomstige kosten te voorspellen die nodig zijn om de groeiende stroom CDs te kunnen verwerken. Tevens is gekeken naar de problemen die hierbij een rol spelen. In het ontwikkelde systeem kunnen alle DICOM bestanden van de CD worden gelezen op elk willekeurig werkstation in het ziekenhuis waarna snelle afhandeling en upload naar een centrale server mogelijk is. Op het moment van meten waren beelden van CDs in het PACS opgeslagen met behulp van het systeem. Dit betekent dat er jaarlijks voor 4,2 terabyte (TB) aan ongecomprimeerde data wordt opgeslagen. De deïdentificatie van beeldinformatie moet op de juiste manier worden uitgevoerd om de privacy van patiënten te beschermen en verschillende programma s zijn hiervoor dan ook beschikbaar. De Radiological Society of North America (RSNA) heeft de Clinical Trial Processor (CTP) ontwikkeld om de deïdentificatie uit te voeren. CTP is een robuust programma dat DICOM headerelementen kan verwijderen of aanpassen en dat gebruik maakt van processing eigenschappen zoals import services, export services, storage service en processor services voor klinische trials. CTP is vrij te configureren en kan mede 151

5 daardoor geïntegreerd worden in bestaande informatiesystemen. In Hoofdstuk 8 wordt beschreven hoe de CTP geïntegreerd kan worden in een systeem om DICOM beelddata te ontvangen, verwerken en opslaan met behulp van externe input vanuit de originele database van een reeds bestaand systeem, dat gebruikt werd voor het sturen van het deïdentificatieproces. In totaal werden beelden van 50 patiënten vanuit het PACS verstuurd, gedeïdentificeerd en opslagen in ruwweg 2 uur over het lokale netwerk, terwijl een gemiddelde van 10 beelden per minuut verwerkt kon worden als via het openbare netwerk data werden verzonden. In Hoofdstuk 9 wordt mogelijke implementatie van deïdentificatie binnen de XDS i omgeving onderzocht om zo aan te kunnen sluiten bij een standaardomgeving XDS i. Deze standaardomgeving is ontwikkeld voor de patiëntenzorg en heeft niet de mogelijkheid om data te deïdentificeren. Binnen het XDS i framework zijn drie mogelijke plaatsen gevonden waar de deïdentificatie geïmplementeerd zou kunnen worden. Van deze drie heeft deïdentificatie bij de Document Source de meeste voordelen en deïdentificatie bij de Document Consumer de minste. Conclusie Het deïdentificeren van DICOM beelden is een belangrijk proces om de patiëntprivacy en de veiligheid van de data zelf te garanderen wanneer patiëntdata worden uitgewisseld tussen gezondheidszorginstellingen. De EU heeft hiervoor strikte regels. Welke specifieke elementen uit de data beschermd moeten worden is echter niet duidelijk. Het is daarom belangrijk dat deïdentificatieprogramma s met zorg worden gebruikt aangezien deze tools mogelijk gevoelige data niet afschermen en zo identificeerbare informatie beschikbaar maken voor derden. De mogelijkheid om hierbij de deïdentificatie zelf te configureren is gewenst zodat het proces aangepast kan worden aan wet en regelgeving. De ontwikkeling van PACS systemen heeft de wijze waarop zorginstellingen hun beelddata verwerken sterk beïnvloed. Daarnaast is er een duidelijke wens om informatie van patiënten, die verkregen is in andere instellingen, te integreren binnen de eigen dagelijkse workflow om zo eenvoudig en tijdig toegang te kunnen krijgen tot de betreffende informatie. De gestaag groeiende omvang van de benodigde opslagcapaciteit is een belangrijk punt geworden in de uitwisseling van data door de groeiende druk op resources en stijging van de kosten die daarmee gemoeid zijn. De invoering van netwerkgebaseerde delen van data tussen gezondheidszorginstellingen op basis van XDS is een mogelijke oplossing voor dit probleem. 152