PDF icon Download PDF
Open Access
CC BY 4.0 · Gesundheitswesen
DOI: 10.1055/a-2624-0084
Originalarbeit

Anonymisierung von Feldinhalten in hausärztlichen Behandlungsdaten – Exemplarische Untersuchung an zwei Forschungsdatensätzen

Anonymization of general practitioners‘ electronic medical records in two research datasets
Johannes Hauswaldt 
1   Institut für Allgemeinmedizin, Universitatsmedizin Göttingen, Göttingen, Germany
,
Roland Groh
2   AG "Anwendungs- und Informationssysteme", Gesellschaft für Wissenschaftliche Datenverarbeitung mbH Göttingen, Göttingen, Germany
,
Knut Kaulke
3   Data protection, Technologie- und Methodenplattform für die vernetzte medizinische Forschung (TMF), Berlin, Germany
,
Falk Schlegelmilch
4   Department of General Practice, University Medical Center Göttingen, Göttingen, Germany
,
Alireza Zarei
2   AG "Anwendungs- und Informationssysteme", Gesellschaft für Wissenschaftliche Datenverarbeitung mbH Göttingen, Göttingen, Germany
,
Eva Hummers
1   Institut für Allgemeinmedizin, Universitatsmedizin Göttingen, Göttingen, Germany
› Author Affiliations
› Further Information
Also available ateRef
  Permissions and Reprints
Preview

Zusammenfassung

Einleitung

Daten eines Datensatzes können nur dann als „anonym“ bezeichnet werden, wenn sie keinesfalls und auch nicht nachträglich, auch nicht durch Verknüpfung mit weiteren Informationen, auf eine Person bezogen werden können. Potentiell identifizierende Feldinhalte (PIF) verhindern die „faktische Anonymisierung“ eines wissenschaftlich genutzten Sekundärdatensatzes. An zwei Quelldatensätzen aus hausärztliche Praxisdaten wurde exemplarisch untersucht, ob und inwieweit schrittweises und systematisches Erkennen von PIF möglich ist.

Methodik

Von 14.285 bzw. 100 Patient*innen wurden aus hausärztlichen Praxisverwaltungssystemen Routinedaten mit 40 Variablen (Parametern, Feldern) in 5.918.321 bzw. 363.084 Datenzeilen exportiert und auf den vier Ebenen ihrer Feldkennungen, deren Kombinationen, ihrer Feldinhalte sowie des gesamten Datensatzes untersucht. Häufigkeiten von Feldkennungen wurden in elf semantischen Gruppen sowie nach Feldtypen geordnet. Die Gefahr einer Re-Identifizierung insbesondere bei Kombination von Feldkennungen wurde aus hausärztlicher Expertise beurteilt. In schrittweise iterativem Vorgehen untersuchten wir auf PIF bei Freitexteinträgen und maskierten Treffer für die nachfolgenden Durchgänge. Der abschließende Quotient aus Anzahl re-identifizierender und Gesamtzahl aller Datenzeilen bildete den Wahrscheinlichkeitsschätzer. Zusätzlich wurden die Daten in Gänze mittels einer Open-Source-Software zur Anonymisierung sensibler personenbezogener Daten beurteilt. Zuletzt erfolgte eine Ergebnisbewertung im Sinne einer Datenschutz-Folgenabschätzung nach Art. 35 der DSGVO bezüglich Schwere eines möglichen Schadens und seiner Eintrittswahrscheinlichkeit.

Ergebnisse

Unter den zur wissenschaftlichen Sekundärnutzung ausgewählten 40 Parametern beurteilten wir insbesondere Freitextfelder wie „Dauerbemerkungen“, „Aktuelle Diagnose“, „Medikament“ und „Befund“ als re-identifizierend. Akribische Vorabauswahl und Datensparsamkeit, privacy by design im Verarbeitungsprozess sowie die hier beschrieben de-identifizierende Maßnahmen verringerten dieses Risiko erheblich, konnten jedoch einen „faktisch anonymen“ Sekundärdatensatz insgesamt nicht erreichen.

Schlussfolgerung

Erkennen und Bewerten von PIF sind Voraussetzung für de-identifizierende Maßnahmen, sind jedoch mit vertretbarem Aufwand immer nur unvollständig erfolgreich. Eine semantische Strukturierung der Daten ist erstrebenswert, hilft jedoch der Möglichkeit einer Re-Identifizierung durch Fehleingaben nicht ab.

Abstract

Introduction

A dataset can be called “anonymous” only if its content cannot be related to a person, not by any means and not even ex post or by combination with other information. Free text entries highly impede “factual anonymization” for secondary research. Using two source datasets from GPs’ electronic medical records (EMR), we aimed at de-identification in an iterative and systematic search for potentially identifying field content (PIF).

Methods

EMR data of 14,285 to 100 GP patients with 40 variables (parameters, fields) in 5,918,321 resp. 363,084 data lines were analyzed at four levels: field labels, their combination, field content, dataset as a whole. Field labels were arranged into eleven semantic groups according to field type, their frequencies examined and their combination evaluated by GP experts rating the re-identification risk. Iteratively we searched for free text PIFs and masked them for the subsequent steps. The ratio of PIF data lines’ number over total number yielded final probability estimators. In addition, we processed a whole dataset using ARX open source software for anonymizing sensitive personal data. Results were evaluated in a data protection impact assessment according to article 35 GDPR, with respect to the severity of privacy breach and to its estimated probability.

Results

We found a high risk of re-identification with free text entries into “history”, “current diagnosis”, “medication” and “findings” even after repeated algorithmic text-mining and natural language processing. Scrupulous pre-selection of variables, data parsimony, privacy by design in data processing and measures described here may reduce the risk considerably, but will not result in a “factually anonymized” research dataset.

Conclusion

To identify and assess re-identifying field content is mandatory for privacy protection but anonymization can be reached only partly by reasonable efforts. Semantic structuring of data is pre-conditional but does not help with erroneous entries.

Schlüsselwörter

Datenschutzfolgenabschätzung - Routinedaten - Praxisverwaltungssystem - Identifikator - Text mining - Natural language processing

Keywords

data protection impact assessment - routine data - practice management system - identifier - text mining - natural language processing


Publication History

Received: 30 July 2024

Accepted: 21 January 2025

Article published online:
14 July 2025

© 2025. The Author(s). This is an open access article published by Thieme under the terms of the Creative Commons Attribution License, permitting unrestricted use, distribution, and reproduction so long as the original work is properly cited. (https://creativecommons.org/licenses/by/4.0/).

Georg Thieme Verlag KG
Oswald-Hesse-Straße 50, 70469 Stuttgart, Germany