Zusammenfassung
Bei Daten aus bevölkerungsbezogenen Krebsregistern muss gewährleistet sein, dass möglichst alle an einer bösartigen Neubildung erkrankten Personen der beobachteten Bevölkerung registriert werden. Nach den gesetzlichen Vorschriften in Nordrhein-Westfalen ist die schriftliche Einwilligung jedes betroffenen Patienten in die Übermittlung seiner Identitäts- und Krankheitsdaten an das Krebsregister erforderlich. Dadurch war bisher die wichtige Gruppe der Pathologen von einer Kooperation ausgeschlossen. Die registerinterne Patientenidentifikation mit kryptografierten Identitätsdaten, so genannten Kontrollnummern, ist die Basis eines Verfahrens, mit dem das epidemiologische Krebsregister für den Regierungsbezirk Münster (EKR-MS) einen speziellen, mit wenig Aufwand gangbaren Meldeweg für Pathologische Institute entwickeln will. Dieses Verfahren wurde durch die Landesbeauftragte für den Datenschutz für geeignet und gesetzeskonform befunden.
Ziel der Studie: Die hier vorgelegte Untersuchung beschäftigt sich mit der Praktikabilität der geplanten Vorgehensweise. Sie beschreibt, wie die Kontrollnummern erzeugt werden, wie ein Record Linkage mit diesen kryptografierten Identitätsdaten praktisch realisiert werden kann, und untersucht anhand einer Simulationsstudie, wie groß die Zuordnungsfehler sind.
Methodik: Bei Kontrollnummern handelt es sich um Chiffrate, die durch die konsekutive Ausführung zweier Verschlüsselungsverfahren entstehen, der die Identitätsdaten einer Person unterworfen werden. Sie bestehen jeweils aus genau 23 alphanumerischen Zeichen und werden für 19 namensbezogene identifizierende Merkmale erzeugt. Für die Zusammenführung von Meldungen einer Person wurde eine halbautomatische Vorgehensweise gewählt, die für alle Paare von möglicherweise zusammengehörenden Personen ein Wahrscheinlichkeitsmaß für die Identität berechnet. In Abhängigkeit von diesem Wahrscheinlichkeitsmaß wird die Identität der beiden Personen automatisch entweder angenommen oder verworfen. Lässt das errechnete Wahrscheinlichkeitsmaß keine automatische Entscheidung zu, muss sie manuell erfolgen. Durch die Einführung plausibilitätsbasierter Regeln konnte der Anteil der manuellen Entscheidungen wesentlich reduziert werden. In der Simulationsstudie standen zur Identifikation von Personen neben den Klartextangaben für Geschlecht, Geburtsmonat und -jahr sowie Wohnort ausschließlich Kontrollnummern zur Verfügung.
Ergebnisse und Schlussfolgerung: Beim Vergleich des Record Linkage mit kryptografierten Identitätsdaten mit dem konventionellen klartextbasierten Verfahren wurden alle im Laufe des Jahres 1998 an das EKR-MS ergangenen Meldungen (n = 27 262) in die Registerdatenbank mit n = 101 880 bekannten Personen eingefügt. Hierbei wurden in weniger als 2 % aller Fälle ein Synonymfehler und in weniger als 0,5 % aller Fälle ein Homonymfehler beobachtet. Die geschätzte Größenordnung der Zuordnungsfehler in einem größeren Krebsregister weist auf ein akzeptables bis gutes Record Linkage hin. Da das Wahrscheinlichkeitsmaß in der halbautomatischen Zuordnung von der Anzahl der zu vergleichenden Personen abhängt, kann dieses Resultat nicht ohne weiteres auf andere bevölkerungsbezogene Krebsregister übertragen werden. Durch die Verwendung von kryptografierten Identitätsdaten ist eine leichte Überschätzung der Inzidenzraten zu erwarten, die durch erheblichen Zugewinn an Vollzähligkeit und Vollständigkeit der Registrierung durch Einbindung neuer Meldequellen kompensiert wird. Die Ergebnisse dieser Studie sollten allerdings nicht vergessen lassen, dass durch die Kryptografierung eine faktische Anonymisierung erfolgt, die eine weitere Nutzung der Daten für viele epidemiologische Forschungsansätze weitgehend unmöglich macht.
Cryptographic Record Linkage in Population-based Cancer Registries
Background: Population-based cancer registries depend on the completeness of their case notification. At present, restrictive legal regulations in Germany requesting written informed consent of cancer patients hinder some health professionals, for example pathologists, from reporting to cancer registries. New cryptographic methods may be used to obtain record linkage based on anonymised data.
Objectives: To assess the feasibility of a record linkage in the Münster Cancer Registry (EKR-MS) using cryptographic methods as compared to traditional methods based on personal identifiers.
Methods: We generated so called control numbers - a sequence of 23 alphanumeric signs - for 19 name related characteristics employing consecutively two different chiffrations. Record linkage was carried out using a semi-automatic computer program (AUTOMATCHTM ) that generates probabilities of identity for pairs of case notifiation based on the information of control numbers only. Probabilities exceeding preset limits lead to automatic decisions whereas the remaining linkage has to be decided manually. Plausibility-based rules helped to considerably reduce the amount of manual decisions.
Results: We compared traditional and cryptographic record linkage for all new reports received in the EKR-MS during 1998 (n = 27 262) against the background of n = 101 880 known cases in the registry data base. Setting traditional, text-based record linkage results to be the reference the cryptographic method resulted in a synonomous error (false creation of a new case) of almost 2 % and a homonymous error (false link to a known case) of less than 0.5 %.
Conclusion: Cryptographic methods may be feasible procedures of record linkage in cancer registries. The size of the database of the EKR-MS prohibits extrapolation of findings to smaller registries. The error rates resulting in slight overestimation of disease rates that may seem acceptable. It should be noted though that cryptographic data are in many situations prohibitive for further epidemiologic research limiting the usefulness of the method exclusively to cancer registration under the given legal coercion.
Key words
Cancer Registry - Record Linkage - Cryptosystem - Data Protection
