GENOMatch - Datenschutz für die pharmakogenetische Forschung

GENOMatch Datenschutz für die pharmakogenetische Forschung BRODER SCHÜMANN UND DENIS PETROV (CC-Lizenz siehe Seite 463) GENOMatch ist ein Projekt der Schering AG, das pharmakogenetische For- schung mit einem hohen Datenschutzniveau ermöglicht. Für die Umsetzung und gerade für die Entscheidung, in diesem kritischen Bereich auf Open Source-Software zu setzen, hat GENOMatch den Open Source Best Prac- tice Award vom Fraunhofer IOA, von der Lightwerk GmbH bzw. vom Linux-Verband gewonnen. In dem Artikel wird das Projekt vorgestellt. Dabei wird zunächst der Datenschutz und der daraus resultierende Workow der doppelten Pseudonymisierung genauer beleuchtet. Bei der Beschreibung der Implementierung wird besonders auf die Gründe für den Einsatz von Open Source-Software und die dabei gewonnenen Erfahrungen eingegangen. 1. Einleitung Das GENOMatch-Projekt The GENOMatch project is going to provide the IT-infrastructure necessary for pharmacogenetic analyses. (Luttenberger 2003a) Geschrieben wurde dieser Satz Anfang 2003 in einem ersten Entwurf des Daten- schutzkonzepts zum GENOMatch-Projekt der Schering AG. GENOMatch stellt den Datenschutz (die genetic privacy ) der Probanden durch Pseudonymisierungsverfahren sicher. Seit diesem vollmundigen Versprechen hat sich viel getan: Das Datenschutzkonzept bekam vom Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein das Auditsiegel1 verliehen (Luttenberger 2003b), das Projekt wurde mit dem vom Fraun- hofer IAO, von der Lightwerk GmbH und vom Linux-Verband initiierten Open Source Best Practice Award ausgezeichnet (vgl. Ziegler 2004), und die Software ist inzwischen im produktiven Betrieb. Diesen Weg von den ersten Ideen über das Datenschutzkonzept bis hin zur Implementierung mit Open-Source-Software, die für so viel Beachtung gesorgt hat wollen wir in diesem Artikel noch einmal nachvollziehen. 1 Informationen zum Auditsiegel nden sich unter http://www.datenschutzzentrum.de/audit/index. htm. Broder Schümann und Denis Petrov Dazu geben wir zunächst eine Einführung in die Pharmakogenetik (Abschnitt 2), beschreiben in Abschnitt 3 die Datenschutzziele, umreiÿen den GENOMatch-Work- ow (Abschnitt 4) und untersuchen in Abschnitt 5 kurz die Möglichkeiten des tech- nischen Datenschutzes. Im Hauptteil des Artikels (Abschnitt 6) wenden wir uns dann der technischen Umsetzung und unseren Erfahrungen mit Open-Source-Software zu. 2. Überblick Pharmakogenetische Forschung Pharmacogenetics (PGx), which is now a central focus of pharma- ceutical endeavor and on the near horizon of clinical practice, aims to identify genome-wide polymorphisms or mutation that will reliably pre- dict an individual's response to drugs before they are prescribed. Used clinically, PGx information could identify nonresponders and those likely to suffer adverse drug reactions, and thus save them the burden of un- save or ineffective drugs. In addition, PGx information can identify new drug targets and streamline the drug-testing and approval process. (Robertson 2001) Wie andere Pharmaunternehmen baut auch die Schering AG eine Probensammlung für die pharmakogenetische Forschung auf. Pharmakogenetik zielt darauf, Beziehun- gen zwischen dem genetischen Pro l von Patienten und Wirkungen von Medikamen- ten zu erforschen. Um pharmakogenetische Forschung zu ermöglichen, muss eine Korrelation von klinischen Daten mit genetischen Pro len erfolgen. Klinische Daten fallen im Rahmen von klinischen Studien im Alltagsgeschäft der Schering AG an. Die zusätzlich benö- tigten genetischen Daten werden in Substudien Erweiterungen bestehender Studien erhoben. Dieses Vorgehen entkoppelt die beiden Prozesse, sodass der Patient an der klinischen Studie teilnehmen kann, auch wenn er keine Probe für eine pharmakoge- netische Untersuchung abgeben möchte. Da in der Bevölkerung genetische Daten als besonders sensibel angesehen werden, hat sich Schering entschlossen, von Anfang an einen Prozess zu entwickeln und zu implementieren, der über die derzeitigen Erforder- nisse hinausgeht und zukünftige Gesetzgebungen, soweit möglich, antizipiert. Dieser in Abschnitt 4 kurz vorgestellte Ablauf wurde in Norbert Luttenberger: Datenschutz- konzept für den 'Sample and Save'-Teil des GENOMatch-Projektes bei der Schering AG festgeschrieben und vom Unabhängigen Landeszentrum für Datenschutz des Landes Schleswig-Holstein im Rahmen des behördlichen Datenschutzaudits begut- achtet. Mit der Implementierung des Konzeptes wurde im April 2003 bei der Tembit Software GmbH begonnen; Ende des Jahres 2004 nahm das System den produktiven Betrieb auf (Abbildung 1). 3. Datenschutz Erfordernisse und Datenschutzkonzept Die Erfordernisse des Datenschutzes stellen besondere Anforderungen an das Design eines Systems zur pharmakogenetischen Forschung. Der Europäische Rat sagt in 62 GENOMatch  Datenschutz für die pharmakogenetische Forschung Abbildung 1: GENOMatch-B2B-Interaktionen Council of Europe (1997) dazu: Die Verarbeitung von Gesundheitsdaten zu Forschungszwecken er- fordert zunächst den Informed Consent des Patienten und erfolgt am besten vollständig anonymisiert. Können persönliche Daten nicht an- onymisiert werden, so sind strikte Datenschutzmaÿnahmen nötig. Eine Anonymisierung würde die Kategorisierung von klinischen Daten vor der Zu- sammenführung mit den genetischen Datensätzen erfordern und somit den wissen- schaftlichen Wert der Proben für die pharmakogenetische Forschung vermindern. Auch die Rücknahme des Informed Consent mit der dadurch bedingten Vernichtung von Proben und Datensätzen sowie die Unterrichtung des Patienten über gewonnene Ergebnisse der Studie würden damit unmöglich. Beides widerspricht den Interessen der Forschung und auch den Interessen des teilnehmenden Patienten (Stichwort Pa- tient Empowerment ). Die Enquete-Kommission Recht und Ethik in der modernen Medizin schlägt in Enquete-Kommission (2002) vor, [. . .] ein mehrstu ges Pseudonymisierungsverfahren, möglicherweise mit Verwahrung von Schlüsselbrücken bei Treuhänderinnen bzw. Treu- händern, als Standard für Forschungen mit humangenetischem Material vorzuschreiben. 63 Broder Schümann und Denis Petrov Hier fordert auch die Entschlieÿung der 62. Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 24. 26. Oktober 2001 , [. . .] die Proben und die genetischen Daten vor der Aufnahme in die Sammlung bei Treuhändern zu pseudonymisieren. (Datenschutzbeauf- tragte 2001) Aus diesen im Datenschutzkonzept von Luttenberger (2003a) ausführlich dargelegten Überlegungen heraus setzt GENOMatch auf eine zweifache Pseudonymisierung des Patientenbezeichners bestehend aus Patientennummer (PN) und Studiennummer. Die zweifache Pseudonymisierung bewirkt, dass zur Auflösung der Pseudonymisie- rungskette stets mindestens zwei Personen zusammenwirken müssen. Zusätzlich ist die Auflösung des (PN, SN)-Paares zu einer Person wie auch die Kommunikation mit dem Patienten dem behandelnden Arzt vorbehalten. 4. GENOMatch-Workow Doppelte Pseudonymisierung Auch wenn es auf den ersten Blick nicht den Anschein hat, so ist der eigentliche GENOMatch-Workow relativ leicht verständlich. An dem GENOMatch-Prozess nehmen folgende Institutionen teil: Schering AG (SAG) Central Sample Repository (CSR): Zentrales Sammellabor, zuständig für Lage- rung und Logistik der Proben Trial Site: Klinik/Arztpraxis, in der Patienten an einer Studie teilnehmen Secure Identity Management Center (SIM-Center): Datentreuhänder. Ein Black- box-Server-System, extern betrieben bei einer Anstalt des öffentlichen Rechts Externe Dienstleister: Analyse- und Extraktionslabore, Barcode-Druckereien usw. Der grundlegende Ablauf funktioniert so, dass die Trial Site die Proben mit (PN, SN) beschriftet an das CSR sendet. Dort ndet die doppelte Pseudonymisierung statt: Für jede Probe wird dort die (PN, SN)-Bezeichnung entfernt und durch das erste Pseud- onym (in Form eines Barcodes, BC1) ersetzt. Eine andere Person entfernt diesen BC1 und ersetzt ihn durch das endgültige Pseudonym BC2. Die Verbindung der jeweiligen Identier wird im SIM-Center gespeichert. Erst danach können genetische Daten gewonnen werden, die als einzigen Identier den BC2 der jeweiligen Probe tragen. Zur biostatistischen Auswertung werden in einem speziell abgeschirmten Bereich bei SAG (der sog. Secure Data Area, SDA) die genetischen mit den klinischen Daten zusammengeführt. Dazu werden die (PN, SN)-indizierten klinischen Daten an der Grenze zur SDA durch einen sog. Matchlter ebenfalls in zwei Schritten pseudony- misiert, sodass sie schlieÿlich keine personenbezogenen Daten, keine PN oder SN, sondern nur noch das BC2 Pseudonym tragen (Abbildung 2). 64 GENOMatch  Datenschutz für die pharmakogenetische Forschung Abbildung 2: GENOMatch-Abläufe In dieser Beschreibung ausgeblendet wurden viele Details, Sonderfälle, logistische Prozesse sowie Prozeduren zum Feedback von Ergebnissen an den Patienten oder dem Rückzug seines Informed Consent . Der GENOMatch-Workow stellt sicher, dass stets folgende Prinzipien gelten: Die Identität des teilnehmenden Patienten ist ausschlieÿlich dem Arzt bzw. der Klinik bekannt (Zuordnung PN, SN nach Person). Keiner einzelnen Person ist die Auflösung des Pseudonyms BC2 zum (PN, SN)-Identier möglich.