Zusammenfassung
Bei Daten aus bevölkerungsbezogenen Krebsregistern muss gewährleistet sein, dass möglichst
alle an einer bösartigen Neubildung erkrankten Personen der beobachteten Bevölkerung
registriert werden. Nach den gesetzlichen Vorschriften in Nordrhein-Westfalen ist
die schriftliche Einwilligung jedes betroffenen Patienten in die Übermittlung seiner
Identitäts- und Krankheitsdaten an das Krebsregister erforderlich. Dadurch war bisher
die wichtige Gruppe der Pathologen von einer Kooperation ausgeschlossen. Die registerinterne
Patientenidentifikation mit kryptografierten Identitätsdaten, so genannten Kontrollnummern,
ist die Basis eines Verfahrens, mit dem das epidemiologische Krebsregister für den
Regierungsbezirk Münster (EKR-MS) einen speziellen, mit wenig Aufwand gangbaren Meldeweg
für Pathologische Institute entwickeln will. Dieses Verfahren wurde durch die Landesbeauftragte
für den Datenschutz für geeignet und gesetzeskonform befunden.
Ziel der Studie: Die hier vorgelegte Untersuchung beschäftigt sich mit der Praktikabilität der geplanten
Vorgehensweise. Sie beschreibt, wie die Kontrollnummern erzeugt werden, wie ein Record
Linkage mit diesen kryptografierten Identitätsdaten praktisch realisiert werden kann,
und untersucht anhand einer Simulationsstudie, wie groß die Zuordnungsfehler sind.
Methodik: Bei Kontrollnummern handelt es sich um Chiffrate, die durch die konsekutive Ausführung
zweier Verschlüsselungsverfahren entstehen, der die Identitätsdaten einer Person unterworfen
werden. Sie bestehen jeweils aus genau 23 alphanumerischen Zeichen und werden für
19 namensbezogene identifizierende Merkmale erzeugt. Für die Zusammenführung von Meldungen
einer Person wurde eine halbautomatische Vorgehensweise gewählt, die für alle Paare
von möglicherweise zusammengehörenden Personen ein Wahrscheinlichkeitsmaß für die
Identität berechnet. In Abhängigkeit von diesem Wahrscheinlichkeitsmaß wird die Identität
der beiden Personen automatisch entweder angenommen oder verworfen. Lässt das errechnete
Wahrscheinlichkeitsmaß keine automatische Entscheidung zu, muss sie manuell erfolgen.
Durch die Einführung plausibilitätsbasierter Regeln konnte der Anteil der manuellen
Entscheidungen wesentlich reduziert werden. In der Simulationsstudie standen zur Identifikation
von Personen neben den Klartextangaben für Geschlecht, Geburtsmonat und -jahr sowie
Wohnort ausschließlich Kontrollnummern zur Verfügung.
Ergebnisse und Schlussfolgerung: Beim Vergleich des Record Linkage mit kryptografierten Identitätsdaten mit dem konventionellen
klartextbasierten Verfahren wurden alle im Laufe des Jahres 1998 an das EKR-MS ergangenen
Meldungen (n = 27 262) in die Registerdatenbank mit n = 101 880 bekannten Personen
eingefügt. Hierbei wurden in weniger als 2 % aller Fälle ein Synonymfehler und in
weniger als 0,5 % aller Fälle ein Homonymfehler beobachtet. Die geschätzte Größenordnung
der Zuordnungsfehler in einem größeren Krebsregister weist auf ein akzeptables bis
gutes Record Linkage hin. Da das Wahrscheinlichkeitsmaß in der halbautomatischen Zuordnung
von der Anzahl der zu vergleichenden Personen abhängt, kann dieses Resultat nicht
ohne weiteres auf andere bevölkerungsbezogene Krebsregister übertragen werden. Durch
die Verwendung von kryptografierten Identitätsdaten ist eine leichte Überschätzung
der Inzidenzraten zu erwarten, die durch erheblichen Zugewinn an Vollzähligkeit und
Vollständigkeit der Registrierung durch Einbindung neuer Meldequellen kompensiert
wird. Die Ergebnisse dieser Studie sollten allerdings nicht vergessen lassen, dass
durch die Kryptografierung eine faktische Anonymisierung erfolgt, die eine weitere
Nutzung der Daten für viele epidemiologische Forschungsansätze weitgehend unmöglich
macht.
Cryptographic Record Linkage in Population-based Cancer Registries
Background: Population-based cancer registries depend on the completeness of their case notification.
At present, restrictive legal regulations in Germany requesting written informed consent
of cancer patients hinder some health professionals, for example pathologists, from
reporting to cancer registries. New cryptographic methods may be used to obtain record
linkage based on anonymised data.
Objectives: To assess the feasibility of a record linkage in the Münster Cancer Registry (EKR-MS)
using cryptographic methods as compared to traditional methods based on personal identifiers.
Methods: We generated so called control numbers - a sequence of 23 alphanumeric signs - for
19 name related characteristics employing consecutively two different chiffrations.
Record linkage was carried out using a semi-automatic computer program (AUTOMATCHTM ) that generates probabilities of identity for pairs of case notifiation based on
the information of control numbers only. Probabilities exceeding preset limits lead
to automatic decisions whereas the remaining linkage has to be decided manually. Plausibility-based
rules helped to considerably reduce the amount of manual decisions.
Results: We compared traditional and cryptographic record linkage for all new reports received
in the EKR-MS during 1998 (n = 27 262) against the background of n = 101 880 known
cases in the registry data base. Setting traditional, text-based record linkage results
to be the reference the cryptographic method resulted in a synonomous error (false
creation of a new case) of almost 2 % and a homonymous error (false link to a known
case) of less than 0.5 %.
Conclusion: Cryptographic methods may be feasible procedures of record linkage in cancer registries.
The size of the database of the EKR-MS prohibits extrapolation of findings to smaller
registries. The error rates resulting in slight overestimation of disease rates that
may seem acceptable. It should be noted though that cryptographic data are in many
situations prohibitive for further epidemiologic research limiting the usefulness
of the method exclusively to cancer registration under the given legal coercion.
Key words
Cancer Registry - Record Linkage - Cryptosystem - Data Protection
