CDO im Gesundheitswesen: Innovation und Schutz von Patientendaten in Einklang bringen

Gesundheitsdaten sind gleichzeitig die wertvollsten und die am stärksten regulierten Daten der Welt.

Der NHS verfügt über Daten zu 55 Millionen Patienten aus mehreren Jahrzehnten, ein Bestand, für dessen Zugang Pharmaunternehmen, KI-Forscher und Tech-Konzerne Milliarden zahlen würden. Die Herausforderung für den CDO im Gesundheitswesen: Wie realisiert man diesen Wert, ohne das Patientenvertrauen zu verraten, das die Daten überhaupt erst wertvoll macht?

Der regulatorische Rahmen

Gesundheitsdaten unterliegen dem strengsten Datenschutzregime aller Branchen:

HIPAA (USA): Der Health Insurance Portability and Accountability Act verpflichtet betroffene Einrichtungen (Leistungserbringer, Versicherungen), Protected Health Information (PHI) zu schützen. Die Bußgelder sind nach Verschuldensgrad gestaffelt und werden jährlich an die Inflation angepasst; in der höchsten Stufe erreichen sie rund 2,1 Mio. $ pro Verstoßkategorie und Jahr, mit strafrechtlichen Konsequenzen bei vorsätzlicher Fahrlässigkeit.

DSGVO Artikel 9 (EU): Gesundheitsdaten gelten als „besondere Kategorien personenbezogener Daten“ und erfordern eine ausdrückliche Einwilligung zur Verarbeitung sowie zusätzliche Schutzmaßnahmen über die Standard-DSGVO hinaus. Bußgelder bei Verstößen erreichen 4 % des weltweiten Jahresumsatzes.

NHS Data Security Standards (UK): Die Caldicott Principles legen fest, wie Patientendaten genutzt werden dürfen. Ein Caldicott Guardian, eine leitende Person, die für den Schutz von Patienteninformationen verantwortlich ist, ist in allen NHS-Organisationen vorgeschrieben.

Compliance ist nicht optional. Und im Gesundheitswesen zerstört der CDO, der Datenprodukte ohne wasserdichte Compliance baut, den Ruf der Organisation schneller als jede Konkurrenz.

Real-World Data und Real-World Evidence

Real-World Data (RWD): Daten aus der klinischen Praxis statt aus kontrollierten Studien, also elektronische Patientenakten, Medizingerätedaten, Abrechnungsdaten von Versicherungen, Patientenregister.

Real-World Evidence (RWE): Insights, die aus der Analyse von RWD entstehen.

Die Pharmaindustrie hat in den vergangenen zehn Jahren 1,4 Billionen $ für F&E ausgegeben. Die Erfolgsquote von Wirkstoffen, die in klinische Studien eintreten: rund 12 %. Der Hauptgrund für das Scheitern: Sie wirken in kontrollierten Studien, aber nicht in realen Patientenpopulationen mit Komorbiditäten, Polypharmazie und Lebensstilfaktoren, die klinische Studien ausschließen.

RWD/RWE setzt hier an. Indem analysiert wird, wie Medikamente in realen Populationen tatsächlich wirken, treffen Pharmaunternehmen bessere Entwicklungsentscheidungen. Die FDA akzeptiert RWE zunehmend in regulatorischen Einreichungen, was einen großen Markt für CDOs im Gesundheitswesen schafft, die hochwertige RWD-Infrastruktur aufbauen kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen.

Die NHS-Datenstrategie: eine nationale Fallstudie

2021 veröffentlichte der NHS seine Data Strategy for Health and Social Care, einen Plan, NHS-Daten „sicher und effizient für diejenigen zugänglich zu machen, die sie brauchen“.

Kernbestandteile:

• Eine föderierte Datenplattform, um Daten aus NHS Trusts und Integrated Care Boards zu verknüpfen
• Ein Trusted-Research-Environment-Modell (TRE), das die Analyse von Patientendaten erlaubt, ohne dass Daten die NHS-Infrastruktur verlassen
• Der NHS Data Access Request Service (DARS) als Zugangsweg für genehmigte Datennutzung

Diese föderierte Plattform existiert inzwischen, und ihre Vergabe zeigt, wie umstritten diese Arbeit ist. Im November 2023 vergab NHS England den Vertrag für die Federated Data Platform an Palantir, im Wert von rund 330 Mio. £ über sieben Jahre. Ärzteverbände, Datenschutzaktivisten und einige Patientenorganisationen protestierten lautstark und argumentierten, die Wahl des Anbieters und das Einwilligungsmodell drohten, frühere Fehler zu wiederholen. Der technische Aufbau war der einfache Teil. Die öffentliche Auseinandersetzung nicht.

Die Strategie ging ausdrücklich auf das öffentliche Vertrauen ein. Nach dem care.data-Debakel (ein Versuch von 2014, NHS-Daten zu teilen, der nach öffentlichem Widerstand gestoppt wurde) lernte der NHS, dass Datenteilung ohne öffentliches Verständnis und Einwilligung politisch und ethisch nicht haltbar ist.

Die Lehre: Im Gesundheitswesen besteht die Aufgabe des CDO nicht nur in der technischen Infrastruktur. Es geht um die Governance-, Transparenz- und Vertrauensinfrastruktur, die Datenteilung überhaupt erst akzeptabel macht.

Die Lehre aus DeepMind/Google Health

2015 teilte der Royal Free NHS Trust Krankenakten von 1,6 Millionen Patienten mit DeepMind, um ein Warnsystem für akutes Nierenversagen namens Streams zu entwickeln. Die Technologie funktionierte. Aber die Datenweitergabe erfolgte ohne angemessene Einwilligung der Patienten und verstieß gegen die Datenschutzregeln des NHS. 2017 entschied das Information Commissioner's Office, dass der Trust gegen das Datenschutzrecht verstoßen hatte.

Für das öffentliche Vertrauen wurde es noch schlimmer. 2019 wurden die Gesundheitssparte von DeepMind und die Streams-App an Google übertragen, trotz früherer Zusicherungen, dass Patientendaten nicht an Google gehen würden. Google stellte die Streams-App 2021 ein. Das Muster bestätigte genau die Befürchtung, die Governance-Kritiker geäußert hatten.

Der technische Erfolg war für das Ergebnis irrelevant. Das Governance-Versagen war katastrophal und beschädigte über Jahre das öffentliche Vertrauen in Partnerschaften zwischen NHS und Tech-Unternehmen.

Das ist die prägende Herausforderung des CDO im Gesundheitswesen: Sie sind Hüter des Vertrauens, das Ihre Daten überhaupt erst wertvoll macht. Bewegen Sie sich zu langsam, liefern Sie keine Innovation. Bewegen Sie sich zu schnell ohne saubere Einwilligung und Governance, zerstören Sie das Fundament, auf dem alles andere steht.

Key Takeaways

• Gesundheitsdaten unterliegen den strengsten Regeln aller Branchen: HIPAA in den USA (Strafen der höchsten Stufe von rund 2,1 Mio. $ pro Verstoßkategorie und Jahr), besondere Kategorien personenbezogener Daten nach DSGVO Artikel 9 in der EU sowie die Caldicott Principles plus Caldicott Guardian im NHS.
• RWD und RWE zeigen Pharmaunternehmen, wie Medikamente außerhalb kontrollierter Studien wirken, und die FDA akzeptiert RWE zunehmend in Einreichungen.
• Die NHS Federated Data Platform ist inzwischen live, gebaut von Palantir im Rahmen eines 2023 vergebenen Vertrags über rund 330 Mio. £, und stieß auf massiven Widerspruch wegen Einwilligung und Anbieterwahl.
• care.data (2014) und der Fall Royal Free/DeepMind (Datenweitergabe 2015, ICO-Entscheidung 2017, Übertragung an Google 2019) zeigen, dass technischer Erfolg nichts bedeutet, wenn Einwilligung und Governance scheitern.
• Das eigentliche Produkt des CDO im Gesundheitswesen ist Vertrauen. Stimmt die Balance nicht, gibt es selten eine zweite Chance.