Zwischen Datenschutz und Forschung: Neue Studie stellt zwei Ansätze zur Anonymisierung und Synthetisierung von Abrechnungsdaten auf den Prüfstand
Abrechnungsdaten sind wichtig für die Forschung zur Arzneimittelsicherheit, enthalten aber sensible Patient*inneninformationen. Eine Alternative sind Daten, die anonymisiert oder synthetisch erzeugt werden. Beide Ansätze werden in der Forschung breit diskutiert, wurden bislang aber selten in einem realistischen Setting direkt miteinander verglichen. Ein Forschungsteam aus der AG von Fabian Prasser vom Berlin Institute of Health in der Charité (BIH) hat gemeinsam mit Partnern des Forschungsdatenzentrums Gesundheit, des Instituts für angewandte Gesundheitsforschung Berlin und der Firma MOSTLY AI beide Ansätze anhand einer realen medizinischen Fragestellung direkt verglichen. Im Interview erklärt Erstautor Mehmed Halilovic die wichtigsten Ergebnisse.
Welche Fragestellung wollten Sie beantworten, was hat Sie besonders interessiert?
Wir haben untersucht, ob anonymisierte oder synthetisch erzeugte Abrechnungsdaten weiterhin aussagekräftige Forschung zur Arzneimittelsicherheit ermöglichen. Dafür haben wir geprüft, ob sich die zentralen Schlussfolgerungen einer bereits veröffentlichten Studie mit solchen geschützten Datensätzen reproduzieren lassen. Um zu prüfen, ob es deutliche Unterschiede gibt, haben wir beide Verfahren direkt miteinander verglichen. wenn sie in einem exakt gleichen Setting angewandt werden.
Welche spezifischen Herausforderungen gab es bei der Entwicklung Ihres Ansatzes?
Eine zentrale Herausforderung lag in der Beschaffenheit der Daten selbst. Abrechnungsdaten zeichnen sich häufig durch hohe Komplexität und Dimensionalität aus, während medizinisch wichtige Ereignisse, die untersucht werden sollen, selten auftreten und Fallzahlen begrenzt sein können. In solchen Datensätzen können bereits kleine Veränderungen, die zum Schutz der Privatsphäre vorgenommen werden, die wissenschaftlichen Ergebnisse beeinflussen.
Eine zweite Herausforderung bestand darin, dass sich Risiken je nach Nutzungskontext verändern können, zum Beispiel abhängig davon, was ein potenzieller Angreifer realistischerweise wissen könnte. Deshalb haben wir die Daten aus unterschiedlichen Perspektiven bewertet, die jeweils verschiedene Annahmen darüber zugrunde legten, wie vertrauenswürdig die Datenempfänger sind oder welche zusätzlichen Schutzmaßnahmen bereits ergriffen wurden.
Dabei konnten wir viele Synergien mit verwandten Projekten unserer Arbeitsgruppe nutzen, die zur Entwicklung von Open-Source-Werkzeugen für die Analyse und das Management von Re-Identifikationsrisiken geführt haben. So unterstützt beispielsweise der Risk Evaluation Assistant (REA; https://github.com/BIH-MI/risk-evaluation-assistant) die Modellierung verschiedener Datennutzungskontexte, während das ARX Data Anonymization Tool (https://arx.deidentifier.org) es ermöglicht, verschiedene Anonymisierungsverfahren flexibel einzusetzen. Ohne solche Werkzeuge wären Studien wie die hier besprochene in der Praxis deutlich schwieriger durchzuführen.
Was hat Sie überrascht und ggf. warum? Was war neu?
Der grundsätzliche Trade-off war nicht überraschend, da ein stärkerer Schutz der Privatsphäre in der Regel mit einem Rückgang der Nützlichkeit von Daten einhergeht. Weniger offensichtlich war jedoch, dass die beiden untersuchten Verfahren davon auf unterschiedliche Weise betroffen waren.
Die Anonymisierung von Daten für eine Nutzung in nicht vertrauenswürdigen Kontexten ohne zusätzliche Schutzmaßnahmen wirkte sich so stark auf die Daten aus, dass Teile der ursprünglichen Analyse nicht reproduziert werden konnten. Unter der Annahme zusätzlicher Schutzmaßnahmen und vertrauenswürdiger Forschender ergab sich ein ausgewogeneres Bild. Die Daten bewahrten deutlich mehr analytischen Wert, die Ergebnisse waren jedoch mit größerer Unsicherheit verbunden als in der Originalanalyse. Synthetische Daten hingegen ähnelten den Originaldaten stark und wirkten auf den ersten Blick ebenso vertrauenswürdig. Dennoch verschoben sich zentrale Kennzahlen, etwa zum Vergleich des Ereignisrisikos über die Zeit, auf eine Weise, die die Interpretation einer Studie verändern könnte.
Für uns ist dies eine wichtige Botschaft: Ein geschützter Datensatz kann nützlich aussehen und in Bezug auf Ähnlichkeitsmaße gut abschneiden, aber dennoch eine sorgfältige Validierung im Hinblick auf die konkrete wissenschaftliche Fragestellung erfordern. Geschützte Daten sind daher sehr wertvoll für explorative Analysen, Machbarkeitsprüfungen und die Methodenentwicklung. Endgültige Schlussfolgerungen sollten jedoch weiterhin anhand der Originaldaten getroffen werden.
Welche Bedeutung könnte der Erfolg für künftige Patient*innen haben?
Der Nutzen für Patient*innen ist indirekt, aber wichtig. Forschende können auf Abrechnungsdaten nur eingeschränkt zugreifen, obwohl diese für viele Fragestellungen, beispielsweise in der Arzneimittelsicherheit, wertvoll sind. Datenschutztechnologien, wie Anonymisierung oder Synthetisierung, können helfen, diese Hürde zu überwinden, und eine breitere Nutzung von Daten in Bereichen wie Public Health, klinischer und epidemiologischer Forschung sowie der Versorgungsforschung zu ermöglichen. Damit lassen sich Abrechnungsdaten effizienter nutzen, um die Versorgungsrealität sowie die Sicherheit und Wirksamkeit diagnostischer, therapeutischer und präventiver Maßnahmen zu untersuchen.
Wo sehen Sie die translationale Brücke zwischen Forschung und Anwendung?
Datenanonymisierung und -synthetisierung haben über mehrere Jahrzehnte hinweg erhebliche methodische Fortschritte gemacht, dennoch ist bisher nur ein kleiner Teil dieser Ansätze in der Praxis der medizinischen Forschung angekommen. Diese translationale Lücke zu schließen, erfordert mehr als methodische Innovation allein: Es braucht Prozesse, Werkzeuge und Rahmenbedingungen, die diese Technologien effizient und verlässlich in der Praxis in großen Dateninfrastrukturen nutzbar machen, wie sie derzeit in Deutschland und auf europäischer Ebene aufgebaut werden. Unsere Arbeit trägt dazu bei, indem wir etablierte Verfahren näher an die Routine heranführen, sie in realen Anwendungsfällen erproben und untersuchen, welche Verfahren wann und warum funktionieren. Dies steht in engem Zusammenhang zu unserer Forschung an Werkzeugen wie ARX und REA, die methodische Konzepte in konkrete, reproduzierbare Arbeitsschritte für die Risikobewertung und Anonymisierung übersetzen.