HIPAA Safe Harbor de-azonosítás nagy léptékben: gyakorlati útmutató kutatóknak

HIPAA Safe Harbor de-azonosítás nagy léptékben: gyakorlati útmutató egészségügyi kutatóknak

Egy akadémiai orvosi központ IRB által jóváhagyott kutatási projektje 200 000 zárójelentési rekord de-azonosítását igényli egy visszafelvételi prognózist készítő gépi tanulási modellhez. A meglévő HIPAA-de-azonosítási eszköz ára évi 120 000 dollár. A kutatási ösztöndíj adatfeldolgozásra elkülönített büdzséje: 5 000 dollár.

Ez a forgatókönyv mindennapos. Az egészségügyi kutatás értékes eredményeket hoz — visszafelvételi prognózis modellek, kezelési eredménytanulmányok, gyógyszer-hatékonysági elemzések —, amelyek statisztikailag megalapozott eredményekhez nagy, reprezentatív adatkészleteket igényelnek. Ezek az adatkészletek védett egészségügyi adatokat (PHI) tartalmaznak. A de-azonosítás lehetővé teszi a kutatást a betegek adatvédelmének megőrzése mellett. De a nagy léptékű de-azonosítás eszközei nagy kórházi rendszereknek, nem kutatási büdzséknek megfelelően árazottak.

HIPAA Safe Harbor: mit kell eltávolítani?

A HIPAA Safe Harbor de-azonosítási módszere (45 CFR §164.514(b)) 18 PHI-kategóriát határoz meg, amelyeket el kell távolítani, mielőtt az egészségügyi adat elveszíti a „védett” státuszt, és egyéni engedély nélkül kutatási célra felhasználható:

1. Nevek
2. Földrajzi adatok (minden, ami kisebb, mint az állam; az irányítószámokat 3 számjegyre kell csonkítani kis népességű területeken)
3. Dátumok (az éven kívül) — felvételi dátum, zárójelentési dátum, születési dátum, elhalálozási dátum, minden egyéb dátum
4. Telefonszámok
5. Faxszámok
6. E-mail-címek
7. Társadalombiztosítási számok
8. Orvosi nyilvántartási számok
9. Egészségbiztosítási kedvezményezett számok
10. Számlaszámok
11. Engedély/licencszámok
12. Jármű-azonosítók és gyártási számok
13. Eszközazonosítók és gyártási számok
14. Web URL-ek
15. IP-címek
16. Biometrikus azonosítók (ujjlenyomatok, hangminták)
17. Teljes arcképek és hasonló képek
18. Bármilyen egyéb egyedi azonosítószám, jellemző vagy kód

Az első 5 azonosító (nevek, földrajzi adatok, dátumok, telefonszámok, faxszámok) szinte minden zárójelentési rekordban szerepel. Mindegyiket el kell távolítani vagy módosítani.

Megjegyzés a dátumokhoz: Ez az egyik legoperatívabban összetett Safe Harbor-követelmény. Nem csupán a születési dátumot — a beteg ellátásához kapcsolódó összes dátumot meg kell fosztani a konkrét naptól, az évet megtartva. Egy „2023. március 15-én” kelt zárójelentés „2023”-ra változik. A felvételi időtartam megtartható kiszámított mezőként, ha az alatta lévő dátumokat eltávolítják.

A skálázási probléma az akadémiai kutatásban

Az egészségügyi kutatásban statisztikailag szignifikáns eredményeket hozó adatkészletek jellemzően a következőket igénylik:

• Visszafelvételi prognózis: 50 000–500 000 betegkontaktus
• Kezelési eredményelemzés: 10 000–100 000 beteg kóronkénti bontoban
• Gyógyszer-hatékonysági tanulmányok: 5 000–50 000 betegrekord
• Népegészségügyi elemzés: 100 000+ kontaktus

A kézi de-azonosítás ebben a léptékben nem megvalósítható:

• Még 5 percnyi rekordonkénti áttekintés is 250–2 500 munkanapot igényelne 100 000 rekordhoz
• A kézi áttekintés 1–5%-os emberi hibaarányt hoz — ez kutatási adatkészletek esetén elfogadhatatlan, ahol akár kis százalékban maradó azonosítható rekordok is HIPAA-felelősséget teremtenek
• A következetlen alkalmazás egy adatkészleten belül (egy áttekintő a dátumokat másképp kezeli, mint a másik) aláássa a Safe Harbor-minősítést

Az alternatíva — az automatizált de-azonosítás — elég kifinomult eszközöket igényel, amelyek a klinikai dokumentációban talált változatos formátumokban mind a 18 azonosítókategóriát felismerik.

A jelenlegi eszközkörnyezet és az árrés

Vállalati HIPAA-de-azonosítási eszközök:

• Datavant: 100 000+ dollár/év a nagy egészségügyi szervezeteknek
• Veradigm (Allscripts) de-azonosítás: hasonló vállalati árazás
• Clinithink CLiX: az értékesítéssel megállapodandó ár
• Syntegra (szintetikus adatvédelmi generálás): vállalati árazás

Ezek az eszközök évi millió rekordot feldolgozó, megfelelőségi csapatokkal, jogi osztályokkal és vállalati közbeszerzési képességekkel rendelkező kórházi rendszereknek készültek. Nem hozzáférhetők ösztöndíj-büdzsén dolgozó akadémiai kutatóknak.

Ingyenes/nyílt forráskódú lehetőségek:

• MITRE Identification Scrubber Toolkit (MIST): Ingyenes, de jelentős technikai beállítást igényel, és korlátozott a nyelvtámogatása
• Stanford NLP DEID: Kutatási minőségű, Java/programozási szakértelmet igényel
• i2b2 NLP-eszközök: Klinikai NLP-eszközök, technikai beállítást igényelnek

A rés: Az akadémiai orvosi központoknak megbízható, pontos de-azonosításra van szükségük minimális technikai beállítással. A nyílt forráskódú eszközök a konfiguráláshoz és validáláshoz számítógépes nyelvészeti szakértelmet igényelnek. A vállalati eszközökhöz olyan büdzsé szükséges, amivel a kutatási projektek nem rendelkeznek.

Gyakorlati megközelítés: kötegelt feldolgozás egymást követő futásokban

Egy 200 000 zárójelentési rekordból álló adatkészlet esetén:

1. lépés: Adatexportálás az EHR-ből Exportáld a strukturált és strukturálatlan adatmezőket szövegfájlokba vagy betegkontaktus-onkénti PDF-rekordokba. A legtöbb EHR-rendszer (Epic, Cerner, Meditech) támogatja a strukturált adatexportokat CSV/HL7 formátumban, külön szövegmezőkkel a klinikai megjegyzésekhez.

2. lépés: Kötegelt de-azonosítás egymást követő futásokban Feldolgozás 5 000 rekordos kötegekben — elég nagy az eredményességhez, elég kicsi ahhoz, hogy minden szakaszban minőségellenőrzés legyen végezhető.

Entitástípusok konfigurálása a HIPAA Safe Harbor alapján:

• PERSON (betegek nevei, megjegyzésekben említett családtagok nevei)
• US_SSN
• US_MEDICAL_RECORD_NUMBER
• PHONE_NUMBER
• EMAIL_ADDRESS
• URL
• IP_ADDRESS
• LOCATION (államnál kisebb területi entitások — lakcím, irányítószám, városok)
• DATE (minden klinikai dátum — életkor-általánosítás alkalmazása: 89 évnél idősebb betegek „89 évnél idősebb” jelölést kapnak)
• HEALTHCARE_ID (biztosítási tagszámok, kedvezményezett számok)
• ACCOUNT_NUMBER

3. lépés: Dátumkezelés (speciális) A dátumok az eltávolításon túl specifikus kezelést igényelnek:

• Év megőrzése
• Hónap és nap eltávolítása
• Életkorszámítás esetén: ha az életkor > 89 év, pontosabb életkort "> 89" értékkel helyettesíteni a ritka életkor–betegség kombinációkkal való visszaazonosítás megakadályozásához
• Időtartammezők kiszámítása (bentlakási idő, visszafelvételig eltelt napok) dátumkülönbségekből, majd az eredeti dátumok eltávolítása

Ez a lépés speciális utófeldolgozó szkriptet igényelhet a derivált mezők kiszámításához a dátumok eltávolítása előtt.

4. lépés: Validálási mintavétel Minden 5 000 rekordos köteg után mintavételezés 50 rekordból emberi áttekintésre:

• Ellenőrzés, hogy mind a 18 azonosítókategória eltávolításra került-e
• Kontextusspecifikus azonosítók ellenőrzése (kutatónevak klinikai megjegyzésekben, beutaló orvos adatai)
• Annak validálása, hogy a dátumkezelés következetes a Safe Harbor követelményeivel

5. lépés: Tanúsítás A HIPAA megköveteli, hogy a megfelelő statisztikai vagy tudományos ismeretekkel rendelkező személy megállapítsa, hogy a visszaazonosítás valószínűsége nagyon kicsi. A Safe Harbor esetén a 18 kategóriás eltávolítást alkalmazó szervezet igazolja a megfelelőséget. Dokumentáld a folyamatot, az entitástípus-konfigurációt és a validálási mintavételt az IRB-nyilvántartásokhoz.

Költségelemzés: kutatási büdzsé kontra vállalati eszköz

Vállalati HIPAA-de-azonosítási eszköz: 120 000 dollár/év Magában foglalja a beállítást, a képzést, a korlátlan feldolgozást és a megfelelőségi dokumentáció támogatását.

Kötegelt feldolgozási megközelítés:

• 200 000 rekord × átlag 300 szó/rekord = 60 000 000 token
• 0,0001 €/token áron: 6 000 € feldolgozási költség
• Pro csomag (180 €/év) vagy Business csomag (348 €/év) a projekt időtartamára
• Kutatói idő validáláshoz: 20–40 óra posztdoktori díjszabással
• Összesen: körülbelül 7 000–8 000 €

Megtakarítás a vállalati eszközhöz képest: 111 000–113 000 dollár.

Az a kutatás, amely 120 000 dollárnál nem volt megvalósítható, 7 000 dollárnál megvalósíthatóvá válik — az ösztöndíjbüdzsé fedezi mind az adatfeldolgozást, mind a kutatói munkaidőt.

Fontos figyelmeztetések

Ez a megközelítés szövegalapú PHI de-azonosításhoz alkalmas. A képek, hangfelvételek és biometrikus adatok (Safe Harbor 13., 16., 17. kategóriák) a szövegfeldolgozáson túlmutató speciális eszközöket igényelnek.

Validálás szükséges. Az automatizált eszközök nem 100%-osan pontosak. A 200 000 rekord esetén 0,1%-os tévesztési arány 200 maradék PHI-vel rendelkező rekordot jelent — ez még mindig jelentős HIPAA-kockázat. A validálási mintavételi lépés nem elhagyható.

Az intézmény adatvédelmi irodájának érdemes felülvizsgálnia. Az IRB-jóváhagyás a kutatáshoz nem jelenti automatikusan a de-azonosítási megközelítés jóváhagyását. A legtöbb akadémiai orvosi központnak van adatvédelmi irodája vagy IRB-je, amely felülvizsgálja a de-azonosítási módszereket. Ez az útmutató kiegészíti, nem helyettesíti az intézményi áttekintést.

Vedd fontolóra a szakértői meghatározást alternatívaként. A HIPAA a de-azonosítást „Szakértői meghatározással” is lehetővé teszi (45 CFR §164.514(b)(1)) — egy statisztikai szakértő tanúsítja, hogy a visszaazonosítás kockázata nagyon kicsi. Ez a megközelítés megfelelőbb lehet szokatlan adatkészletek esetén, ahol a Safe Harbor kategorikus eltávolítása módszertani problémákat okoz.

Összefoglalás

A betegeredményeket javítani képes egészségügyi kutatást jelenleg a HIPAA de-azonosítási költségek akadályozzák. Ha az akadémiai kutatók számára az egyetlen megfizethető lehetőség a kézi de-azonosítás (nagy léptékben kivitelezhetetlen) vagy drága vállalati eszközök (az ösztöndíjbüdzsén túl), a kutatási adatkészletek zárolva maradnak, vagy nem megfelelően de-azonosítottak.

A token alapú árazással végzett kötegelt de-azonosítás gazdaságilag megvalósíthatóvá teszi a 200 000 rekordos kutatási adatkészletet. A nagy kórházi rendszerek számára elérhető statisztikai pontosság hozzáférhetővé válik az akadémiai orvosi központok, az önálló kutatók és a minőségjavítási kutatással foglalkozó kisebb egészségügyi szervezetek számára is.

Források:

• HHS: Guidance Regarding Methods for De-identification Under HIPAA
• HIPAA Safe Harbor: 45 CFR §164.514(b)
• NIH: De-identification of Research Data