Voor het secundair gebruik van gezondheidsgegevens - denk aan wetenschappelijk onderzoek, beleidsvorming of procesverbetering - is pseudonimisatie vaak een belangrijke waarborg1. Het pseudonimiseren van grote hoeveelheden tekst uit medische dossiers van individuen is handmatig echter bijna niet te doen, want tijdrovend. De tijdsinvestering staat vaak niet in verhouding tot wat het hergebruik van de gegevens oplevert. Daarom blijft secundair gebruik van zorgdata momenteel vaak beperkt tot de gestructureerde, gecodeerde gegevens, terwijl ongestructureerde, tekstuele data vaak ook veel relevante informatie bevat voor een volledig en genuanceerd beeld. De Privacytool van Carmenda moet hier verandering in brengen.
Er zijn verschillende algoritmes om het pseudonimiseren van tekst te automatiseren, zoals het Deduce-algoritme1. Het toepassen hiervan is echter complex: het vergt een behoorlijke ICT-vaardigheid en de algoritmes moeten ingesteld worden op het type gegevens en de ICT-omgeving van de gebruiker.
Om het pseudonimiseren van tekstuele zorgdata te vergemakkelijken, heeft Carmenda (zie kader ‘Over Carmenda’) een gebruiksvriendelijke applicatie ontwikkeld: de Privacytool. Hiermee kunnen gevoelige persoonsgegevens zoals namen worden vervangen in codes zoals ‘uxd4hf’ of in het label ‘naam’.
Anonimisatie of pseudonimisatie?
Volledige anonimisatie van vrije tekstvelden is vaak onmogelijk, zeker naarmate de tekst langer is. De combinatie van woorden in een bepaalde context maakt al snel dat het mogelijk wordt om te achterhalen om wie de tekst gaat, vooral voor mensen die verschillende personen in die context kennen. Als bijvoorbeeld in de tekst staat dat iemand in een rolstoel zit, dan zou je die informatie eruit moeten halen om de tekst te anonimiseren, als er in die context weinig mensen in een rolstoel zitten.
Dit maakt pseudonimisatie in zekere zin ook een subjectief proces, want het is vaak niet zo zwart-wit of een gegeven herleidbaar is tot een individu. We zien in de praktijk dat 100 procent van alle gevoelige gegevens herkennen vaak niet haalbaar is, maar het verschilt per categorie hoe erg dit is. Bijvoorbeeld, het missen van een naam is vaak erger dan het missen van een tijdstip.
Daarom is het belangrijk om als datahouder te bepalen welke data je sensitief vindt en te weten welke categorieën gevoelige persoonsgegevens veel voorkomen in de data die jij beheert. Carmenda gaat hierover het gesprek aan met zorgorganisaties voor mensen met een verstandelijke beperking, van wie zij graag gegevens hergebruikt voor wetenschappelijk onderzoek, om samen met hen tot een betrouwbare pseudonimisatie te komen.
Het pseudonimiseren van teksten biedt twee grote voordelen ten opzichte van anonimiseren. In de eerste plaats blijft het daarmee namelijk mogelijk om onderzoeksresultaten na uitvoering van het onderzoek terug te vertalen naar de praktijk. Zo onderzoekt Carmenda met een aantal zorgorganisaties of het mogelijk is op basis van dossiergegevens personen correct te classificeren in een bepaald zorgprofiel in de Wet Langdurige Zorg.
Als dit goed lukt, willen de zorgorganisaties het waarschijnlijk ook implementeren om zo makkelijker een bepaald zorgprofiel toe te wijzen aan een persoon. Dit kan alleen als je door middel van het sleutelbestand kan herleiden welke persoon het betrof die van zorgprofiel zou moeten wisselen. Ten tweede kan de gegevensset door pseudonimisatie later nog verrijkt worden met andere gegevens van dezelfde persoon. Dit is niet meer mogelijk als de gegevens geanonimiseerd zijn.
Veiligheid van zorggegevens
Veel belangrijker dan het wel of niet bewaren van een sleutelbestand (anonimiseren of pseudonimiseren), is ervoor zorgen dat niemand ongeautoriseerde toegang krijgt tot de gegevens. Zeker als de tekstuele data die secundair wordt gebruikt uit meerdere zinnen per registratie per persoon bestaat, want als iemand daarin kwaadwillig op zoek zou gaan naar identificeerbare gegevens die er niet uitgefilterd zijn tijdens de anonimisatie, kan diegene daarin vaak toch wel iets vinden.
Eén van de manieren waarop Carmenda ongeautoriseerde toegang probeert te voorkomen, is door de Privacytool zo te ontwerpen, dat hij volledig afgesloten van internet werkt. Data blijft dus volledig lokaal, wat het risico verkleint dat hackers ermee aan de haal gaan.
Snelheid en effectiviteit
Handmatige pseudonimisatie van teksten, zonder hulp van pseudonimisatie-algoritmes, is alleen mogelijk voor een kleine hoeveelheid gegevens. Als er bijvoorbeeld een paar honderd dagelijkse rapportages gepseudonimiseerd moeten worden voor een wetenschappelijk onderzoek, is een medewerker van een zorgorganisatie al snel een hele werkdag bezig met het pseudonimiseren van die tekst, al is dit sterk afhankelijk van de lengte van de rapportages.
Met de Privacytool is deze pseudonimisatie in enkele seconden gedaan. Dit bespaart niet alleen veel tijd voor kleinschalige onderzoeken, maar maakt het ook mogelijk om gegevens te hergebruiken voor grootschalige onderzoeken. Wel merken we dat het uitmaakt welk pseudonimisatie-algoritme we toepassen in de Privacytool voor hoe snel en de effectief de pseudonimisatie is. Met dat laatste bedoelen we hoeveel gevoelige persoonsgegevens er door het algoritme herkend worden.
Bij Carmenda hebben we verschillende pseudonimisatie-algoritmes vergeleken, toegepast op verschillende datasets. Sommige algoritmes waren regel-gebaseerd, dat wil zeggen dat er opzoeklijsten en regels aan ten grondslag liggen, waarmee het algoritme kan herkennen of iets een gevoelig gegeven (zoals een naam, adres of telefoonnnummer) is. Verder waren er AI-algoritmes, taalmodellen die kunnen voorspellen of een woord een gevoelig gegeven is of niet.
Om de betrouwbaarheid van de algoritmes met elkaar te vergelijken, hebben we handmatig een grote dataset geannoteerd: we hebben gevoelige persoonsgegevens een label gegeven zoals bijvoorbeeld [PERSOON] of [LOCATIE]. Daarna konden we onze geannoteerde dataset als de gouden standaard beschouwen waarmee de effectiviteit van de verschillende algoritmes met elkaar vergeleken kon worden.
Als datahouder is het belangrijk om zelf altijd nog een (steekproef) controle te houden op de gepseudonimiseerde data, voordat deze voor secundair gebruik beschikbaar wordt gesteld. Als er onverhoopt fouten zijn gemaakt in het pseudonimisatie-proces, kan daarover gecorrespondeerd worden. Mogelijk kan het algoritme dan aangepast worden.
De balans treffen
Hoe ver je als datahouder een tekst moet pseudonimiseren, kan een dilemma vormen als je zowel de privacy van de cliënt als het secundaire gebruik van die gegevens goed wil dienen. Terugkomend op het eerdere voorbeeld van het herleidbare gegeven dat iemand in een rolstoel zit, kan de informatie dat iemand in een rolstoel zit voor het onderzoek dat met die gegevens gedaan wordt, namelijk heel relevant zijn.
Door verdere anonimisatie worden de gegevens dus mogelijk minder waardevol voor onderzoek. Daar komt bij dat richtlijnen over wanneer een tekst goed genoeg gepseudonimiseerd is ontbreken.
Vervolgstappen
De ontwikkeling van de Privacytool is nog in volle gang. De huidige versie maakt het al mogelijk om het Deduce-algoritme1 kosteloos op een gebruiksvriendelijke manier toe te passen, terwijl de zoektocht naar het best passende model wordt voortgezet. Wil je hieraan bijdragen? Carmenda is nog op zoek naar bèta-testers, dus als je het interessant vindt om de tool te gebruiken en ons feedback wil geven, scan dan de QR-code in het kader en meld je aan.
Op dit moment wordt de evaluatie van de algoritmes voornamelijk gedaan op geannoteerde gegevens uit huisartsendossiers voor mensen met een verstandelijke beperking. Gegevens in dossiers van andere artsen, verpleegkundigen of begeleiders bevatten naar verwachting echter andere typen gevoelige persoonsgegevens, bijvoorbeeld meer namen, maar minder telefoonnummers. Toegang tot representatieve data uit verschillende bronnen die we kunnen annoteren om de verschillende algoritmes mee te vergelijken is daarom ook heel welkom, om de Privacytool nog verder te verbeteren voor de gehandicaptenzorg, of zelfs de hele zorg.
Over Carmenda
Carmenda bouwt vanuit de Academische Werkplaats 'Sterker op eigen benen' binnen het Radboudumc aan innovatieve, datagedreven oplossingen voor betere en meer gelijkwaardige zorg voor mensen met een verstandelijke beperking. In opdracht van het ministerie van VWS realiseren zij een veilige data-infrastructuur voor onderzoek in de langdurige zorg. Wil je meer weten over de Privacytool van Carmenda? Vraag dan een demo aan (zie de link bij Referenties onderaan het artikel).
