Consent, Authorization und die Minimum-Necessary-Regel in der Praxis

# Consent, Authorization und die Minimum-Necessary-Regel in der Praxis

Ein kardiologisches Forschungsteam schreibt dem Data Office: „Wir brauchen den vollständigen EHR-Export (Electronic Health Record) für jeden Patienten, der in den letzten drei Jahren eine Herzkatheteruntersuchung hatte. Alle Felder. Bis Freitag.“ Der Clinical Lead ist Mitautor. Das Schreiben des IRB (Institutional Review Board, das Gremium, das Forschung am Menschen genehmigt) liegt bei.

Führen Sie diese Query aus? Nein. Nicht so, wie sie formuliert ist. Schauen wir uns an, warum, und wie ein regelkonformer Export tatsächlich aussieht.

Drei verschiedene rechtliche Türen

Unter HIPAA (der US Health Insurance Portability and Accountability Act von 1996, durchgesetzt vom Office for Civil Rights des Department of Health and Human Services, „OCR“) kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen PHI (Protected Health Information, also identifizierbare Gesundheitsdaten) aus unterschiedlichen Gründen durch unterschiedliche Türen fließen. Die Türen zu verwechseln ist das häufigste Governance-Versagen.

Tür 1: Treatment Consent

Wenn ein Patient die Standard-Aufnahmeformulare unterschreibt, willigt ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → in die Nutzung seiner Daten für TPO ein: Treatment, Payment und healthcare Operations. Ein Kardiologe, der die Akte seines eigenen Patienten öffnet, um einen Stent-Eingriff zu planen, handelt im Rahmen von Treatment. Kein zusätzlicher Papierkram nötig.

Wichtig: Treatment Consent deckt Forschung nicht ab. Die Katheter-Studie ist Forschung, keine Behandlung. Tür 1 ist hier geschlossen.

Tür 2: Authorization

Forschung mit identifizierbaren PHI erfordert in der Regel eine unterschriebene HIPAA-Authorization: eine spezifische, schriftliche Erlaubnis jedes Patienten, die die Studie benennt, die verwendeten Daten, die Empfänger und ein Ablaufdatum. Das ist strenger als Consent. Es ist opt-in und studienspezifisch.

Wenn das Kardiologie-Team also identifizierbare Datensätze will, braucht es entweder eine unterschriebene Authorization von jedem Patienten oder einen formalen Waiver.

Tür 3: Der IRB-Waiver

Das IRB kann einen Waiver of Authorization erteilen, wenn die individuelle Zustimmung praktisch nicht einholbar ist (zum Beispiel bei einer retrospektiven Studie mit 4.000 alten Katheterfällen, von denen viele Patienten heute nicht mehr erreichbar sind) und das Datenschutzrisiko gering ist. Der Waiver muss dokumentiert sein. Genau dieses beigefügte IRB-Schreiben prüfen Sie zuerst: Erteilt es ausdrücklich einen Waiver, und legt es den Datenumfang fest?

Wenn das Schreiben die Studie genehmigt, sich zum Waiver aber ausschweigt, fragen Sie nach. Nichts annehmen.

De-identified und Limited Data Sets: die risikoärmeren Wege

Zwei Konstruktionen lassen Forschung mit deutlich weniger Reibung zu.

De-identified data. Wenn Sie Identifikatoren so entfernen, dass ein Patient nicht mehr mit vertretbarem Aufwand re-identifiziert werden kann, sind die Daten keine PHI mehr, und die HIPAA-Authorization-Regeln greifen nicht. HIPAA kennt zwei Methoden:

• Safe Harbor: 18 bestimmte Identifikator-Typen entfernen (Namen, vollständige Daten außererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → Jahr, ZIP über die ersten 3 Stellen hinaus, Patientennummern und so weiter).
• Expert Determination: Ein qualifizierter Statistiker bestätigt, dass das Re-Identifikationsrisiko sehr gering ist.

Limited Data Set (LDS). Ein Mittelweg. Sie dürfen einige Datumsangaben und geografische Details behalten (nützlich für eine kardiologische Zeitreihenstudie), entfernen aber direkte Identifikatoren. Ein LDS erfordert ein Data Use Agreement (DUA): einen unterschriebenen Vertrag, der einschränkt, wie der Empfänger die Daten nutzt und weitergibt.

Für unser Kardiologie-Team lautet die Frage: Brauchen sie Patientennamen und vollständige Adressen? Fast nie. Brauchen sie Aufnahmedaten und Alter, um Outcomes über die Zeit zu modellieren? Wahrscheinlich. Das spricht für ein LDS mit DUA, nicht für einen vollständigen identifizierbaren Export.

Die offizielle OCR-Guidance zur De-Identifikation lohnt ein Lesezeichen: HHS de-identification guidance.

Europa: das GDPR-Overlay

Wenn Patienten in der EU sind oder die Daten zu einer EU-Institution fließen, gilt die GDPR (Datenschutz-Grundverordnung, in Kraft seit 2018, durchgesetzt von den nationalen Datenschutzbehörden). Gesundheitsdaten sind eine „besondere Kategorie“ und brauchen eine ausdrückliche Rechtsgrundlage. Forschung ist eine anerkannte Grundlage, aber Sie brauchen weiterhin Schutzmaßnahmen: Datenminimierung, Zweckbindung und oft eine DPIA (Data Protection Impact Assessment, eine dokumentierte Risikoprüfung). Das Vokabular unterscheidet sich von HIPAA, der Reflex ist identisch: so wenig wie möglich erheben, so viel wie möglich schützen.

🎬 [VIDEO: „HIPAA and Research: Authorization vs Waiver“ - youtube.com - ein kompakter Durchgang, wann Forschung eine unterschriebene Authorization braucht und wann einen IRB-Waiver]

Die Minimum-Necessary-Regel, durchgesetzt in der Query

Hier kommt der Teil, den Governance-Teams überspringen. Der Minimum-Necessary-Standard von HIPAA besagt: Nutzen oder offenlegen dürfen Sie nur die PHI, die für den konkreten Zweck nötig sind. Das ist kein Poster an der Wand. Das ist eine Beschränkung, die Sie im SQLSQLSales Qualified Lead: a prospect the sales team has validated as ready for direct outreach and a proposal, having passed clear qualification criteria.Vollständige Definition ansehen → selbst durchsetzen.

„Alle Felder“ verstößt per se gegen Minimum Necessary. Das Studienprotokoll listet die benötigten Variablen. Ihre Query sollte genau diese zurückgeben und nichts sonst.

Vergleichen Sie die naive Anfrage mit einem eingegrenzten Export:

-- REJECTED: violates minimum necessary
SELECT * FROM encounters WHERE procedure_code IN ('93458','93459');

-- SCOPED: only protocol-approved fields, LDS-style,
-- direct identifiers dropped, dates kept per DUA
SELECT
    hash_id                AS study_subject_id,  -- pseudonymisierter Schlüssel
    year_of_birth,
    sex,
    admission_date,                              -- im LDS zulässig
    procedure_code,
    lvef_percent,                                -- kardiale Ejektionsfraktion
    readmission_30d_flag
FROM encounters
WHERE procedure_code IN ('93458','93459')        -- Katheter-Codes
  AND consent_or_waiver_status = 'APPROVED'       -- Gate auf die Rechtsgrundlage
  AND admission_date >= '2023-01-01';

Vier eingebaute Kontrollen fallen auf:

1. **Kein SELECT *.** Jede Spalte ist eine bewusste, protokollbegründete Entscheidung.

2. `hash_id` statt Name oder MRN. Direkte Identifikatoren durch einen pseudonymisierten Schlüssel ersetzt. Die Re-Identifikations-MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen → liegt getrennt, unter Zugriffskontrolle.

3. Ein Gate auf die Rechtsgrundlage (consent_or_waiver_status = 'APPROVED'). Datensätze ohne dokumentierte Grundlage werden nie zurückgegeben.

4. Eine Datumsuntergrenze, die dem genehmigten Studienzeitraum entspricht. Nicht „alles seit jeher“.

Minimum Necessary ist eine Data-Engineering-Disziplin, nicht nur eine juristische.

Die Checks und Audits, die Sie tatsächlich fahren sollten

Governance ist nur real, wenn sie im Nachhinein überprüfbar ist. Fahren Sie diese:

1. Scope-Check vor der Freigabe

Bevor ein Export das Haus verlässt, gleichen Sie die zurückgegebenen Spalten mit der vom IRB genehmigten Variablenliste ab. Eine einzeilige Abstimmung: genehmigte Felder minus zurückgegebene Felder sollte leer sein, und zurückgegebene Felder minus genehmigte Felder ebenfalls. Wenn die Query home_phone liefert und das Protokoll das nie verlangt hat, blockieren Sie die Freigabe.

2. Access Logging und der Audit Trail

Jeder PHI-Zugriff sollte geloggt werden: wer, was, wann, welche Patientengruppe, auf welcher Rechtsgrundlage. Die HIPAA Security Rule verlangt Audit Controls. Wenn OCR einen Breach untersucht, ist das Log Ihr Beweis. Kein Log, keine Verteidigung.

Eine einfache monatliche Audit-Query: alle Forschungsexporte auflisten, den anfragenden User, die Zeilenzahl und ob eine DUA- oder Authorization-ID hinterlegt ist. Jede Zeile mit leerer Rechtsgrundlage ist ein Incident.

3. Minimum-Necessary-Stichprobe

Ziehen Sie Stichproben abgeschlossener Exporte. Fragen Sie bei jedem einen Reviewer: „Hätte diese Studie ihre Frage auch mit weniger Feldern oder gröberen Daten beantworten kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen?“ Wenn vollständige Geburtsdaten herausgegeben wurden, wo das Geburtsjahr gereicht hätte, ist das ein Finding. Dokumentieren und das Template verschärfen.

4. Prüfung des Re-Identifikationsrisikos

Bei allem, was als de-identified gekennzeichnet ist, bestätigen Sie die Methode. Safe-Harbor-Exporte dürfen keinen der 18 Identifikatoren enthalten, also lassen Sie einen automatisierten Scan auf Geburtsdatums-Muster, ZIP-Codes und Freitextnotizen laufen (Notizen lassen häufig Namen durchsickern). Freitext ist das klassische Versteck für PHI; scannen oder ausschließen.

5. Tracking von DUA und Ablaufdaten

Authorizations und DUAs laufen ab. Führen Sie ein Register mit Datumsangaben. Wenn eine Authorization ausläuft, muss die nachgelagerte Nutzung stoppen. Eine jährliche Prüfung findet Datensätze, die ihre Rechtsgrundlage überlebt haben.

Zurück zum Kardiologie-Team

Hier die Entscheidung, sauber:

• Treatment Consent? Reicht nicht. Das ist Forschung.
• Unterschriebene Authorization? Nur nötig, wenn sie auf identifizierbaren Daten ohne IRB-Waiver bestehen.
• Was Sie tatsächlich liefern: bestätigen, dass das IRB-Schreiben einen Waiver erteilt oder dass ein LDS ausreicht, ein DUA unterschreiben, dann die oben gezeigte eingegrenzte Query fahren, die nur Protokollfelder mit pseudonymisiertem Schlüssel zurückgibt. Loggen. Ablaufdatum setzen.

Aus „alle Felder bis Freitag“ wird „genehmigte Felder unter einem DUA, geloggt, mit Geburtsjahr statt vollständigem Datum“. Dieselbe Studie, ein Bruchteil des Risikos.

Key Takeaways

• Tür und Zweck müssen zusammenpassen. Treatment Consent (TPO) deckt niemals Forschung ab. Forschung mit identifizierbaren PHI braucht eine unterschriebene Authorization oder einen dokumentierten IRB-Waiver.
• Die risikoärmste Konstruktion bevorzugen. De-identified data oder ein Limited Data Set mit Data Use Agreement beantwortet die Forschungsfrage meist ohne vollständige identifizierbare Exporte.
• Minimum Necessary im SQL durchsetzen. SELECT * verbieten, nur protokollgenehmigte Spalten zurückgeben, Identifikatoren pseudonymisieren und auf eine dokumentierte Rechtsgrundlage gaten.
• Auditieren, sonst ist es nicht passiert. Jeden Zugriff loggen, herausgegebene Spalten gegen die genehmigte Liste abgleichen, Freitext auf durchgesickerte Identifikatoren scannen und Ablaufdaten von Authorizations und DUAs tracken.
• Die GDPR spiegelt denselben Reflex. Für EU-Patienten gelten Datenminimierung, eine Rechtsgrundlage für Gesundheitsdaten besonderer Kategorie und eine DPIA, wenn das Risiko wesentlich ist.