This page is part of the MII IG Kerndatensatz-Modul Onkologie (v2027.0.0-ballot.1: Release) based on FHIR (HL7® FHIR® Standard) R4. This is the current published version in its permanent home (it will always be available at this URL). For a full list of available versions, see the Directory of published versions

Sicherheit und Datenschutz

Diese Seite enthält Übersetzungen aus der Originalsprache, in der der Leitfaden verfasst wurde. Informationen zu diesen Übersetzungen und Anweisungen zum Abgeben von Feedback zu den Übersetzungen finden Sie hier.

Dieser Abschnitt richtet sich an Sicherheits- und Datenschutz-Fachleute. Allgemeine Anforderungen stehen in der FHIR-Kernspezifikation — Security & Privacy Module und die Security-Checkliste. Diese Seite wiederholt sie nicht; sie verlinkt den übergreifenden Datenschutzrahmen und nennt, was für dieses Modul spezifisch ist.

1. Das übergreifende Datenschutzkonzept

Das übergreifende Datenschutzkonzept der Medizininformatik-Initiative regelt, wie Patientendaten über das Netz der Datenintegrationszentren hinweg für die Forschung verarbeitet werden dürfen: die Rechtsgrundlage (der Broad Consent der MII), die Rollen der Datenintegrationszentren und der Use-&-Access-Committees sowie die standortübergreifenden Anwendungsszenarien (Machbarkeitsanfragen, verteilte Analysen, Daten- und Bioproben-Bereitstellung). Alles, was dieses Modul spezifiziert, bewegt sich innerhalb dieses Rahmens — dieser Leitfaden fügt keinen eigenen Verarbeitungszweck hinzu.

2. De-Identifikation, Minimierung und Pseudonymisierung (DIMP)

Wie Daten, die ein Datenintegrationszentrum verlassen, praktisch de-identifiziert werden, spezifiziert DIMP (De-Identification — Minimisation — Pseudonymisation) in der Dokumentation des Datenportals: direkte Identifikatoren werden entfernt, vom genehmigten Projekt nicht benötigte Datenelemente entfallen, und identifizierende Werte werden durch projektspezifische Pseudonyme ersetzt (FHIR-Pseudonymizer-Konfiguration). Die Profile dieses Moduls beschreiben die Daten vor Anwendung von DIMP; welche Elemente eine konkrete Datenbereitstellung erreicht, entscheidet je Projekt die DIMP-Konfiguration, nicht dieser Leitfaden.

3. Modul-spezifische Aspekte

Dies ist der eigene Beitrag des Moduls: die Sicherheits- und Datenschutz-Eigenschaften, die aus der Art der Daten dieses Moduls folgen.

Dieses Modul führt Datenkategorien, die über den übergreifenden Rahmen hinaus eigene Betrachtung verlangen:

• Keimbahnbefunde mit Drittbetroffenheit. Prädispositionssyndrome (ORPHA) und Prädispositionsgene (HGNC) sind Aussagen über Keimbahnvarianten. Sie betreffen Blutsverwandte, die in die Datennutzung nie eingewilligt haben. Eine Pseudonymisierung auf Profilebene schützt diese Dritten nicht.
• Genetische Varianten sind für sich identifizierend. Ein hinreichend spezifisches Variantenprofil (Genetische Variante) bleibt auch nach Pseudonymisierung rückführbar. Das Risiko liegt im Datum selbst, nicht in der Verknüpfung.
• Re-Identifizierung über seltene Entitäten. Die Kombination aus seltener Tumorentität (ICD-O-3-Morphologie), Alter und Region kann in kleinen Kohorten auf eine Person zulaufen, ohne dass ein Identifikator beteiligt ist.
• Sterbedaten (oBDS-Kapitel 20) und Angaben zur Studienteilnahme (Kapitel 24) verbinden das Modul mit weiteren Kontexten.

Daraus folgen Anforderungen an Implementierende:

• Systeme SOLLTEN Keimbahn- und Prädispositionsbefunde einer eigenen Zugriffsentscheidung unterwerfen, statt sie mit dem übrigen onkologischen Datensatz gemeinsam freizugeben.
• Auswertungen über seltene Entitäten SOLLTEN vor der Herausgabe auf Zellgrößen geprüft werden; die Profile dieses Moduls leisten das nicht.
• Die genannten Risiken sind nicht auf Profilebene lösbar. Sie sind im Systemdesign, im Betrieb und über Nutzungsordnungen zu behandeln — dieses Modul beschreibt die Struktur der Daten, nicht die Bedingungen ihrer Nutzung.