DICOM Anonymizer - Anonymisierte Bilder für die Forschung

Mit der Einführung der zentralen Healthcare Content Management Plattform synedra AIM hat der gleichnamige Softwarehersteller in Zusammenarbeit mit der Produktlinie Lehre & Forschung des IDSC eine Lösung geschaffen, um Bilddaten aus medizinischen bildgebenden Systemen effizient für Forschungszwecke nutzbar zu machen. Das Projekt schliesst eine bedeutende Lücke: Es ermöglicht die Extraktion, Anonymisierung und Bereitstellung von Bilddaten, die aus dem Langzeitarchiv synedra AIM stammen und stellt sicher, dass alle datenschutzrechtlichen Anforderungen eingehalten werden. Der eigens entwickelte DICOM Anonymizer übernimmt dabei die De-Identifizierung sowohl von Metadaten als auch von Informationen, die direkt in den Bilddaten eingebettet sind.

Wie kann ich anonymisierte Bilddaten bestellen

Um anonymisierte Bilddaten für ein Forschungsprojekt zu erhalten, sind folgende Schritte notwendig:

• Antragstellung: Eröffnung eines Antrags im Data Delivery Service und Ausfüllen des DICOM-Bestellformulars.
• Kohortenerstellung: Eine Kohorte mit Studien-IDs muss im IDSC Kohortenmanager vorhanden sein. Diese Kohorte dient als Grundlage für die Abfrage im DICOM Anonymizer.
• Interaktive Abstimmung: Das IDSC unterstützt Forschende bei der Definition der DICOM-Abfrage anhand des DICOM-Bestellformulars. Nach einer initialen Abfrage stellt das IDSC eine Ergebnisliste zur Verfügung, aus der weitere Filterungen und Anpassungen vorgenommen werden können, bis die gewünschte Datenmenge festgelegt ist.
• Anonymisierung: Das IDSC extrahiert die Bilder aus dem synedra AIM und anonymisiert diese automatisiert. Für Fälle, in denen bestimmte normalerweise zu anonymisierende DICOM-Tags beibehalten werden müssen, bietet der DICOM Anonymizer eine entsprechende Funktion. Dies muss im Antrag explizit erwähnt und durch die Data Governance Kommission (DGK) freigegeben werden (durchläuft im Rahmen des Standardprozesses die DGK).
• Bereitstellung: Die anonymisierten Bilddaten werden in einen logisch getrennten Forschungsmandanten im synedra AIM übertragen, auf den die Forschenden spezifische Berechtigungen erhalten. Diese Berechtigungen gelten standardmässig bis zum Ende der im DLF-Studienportal angemeldeten Studie. Falls die Bilder darüber hinaus benötigt werden, muss dies im Antrag explizit angegeben werden.
• Weiterbearbeitung: Für das Auffinden und Weiterverwenden der anonymisierten Bilddaten steht eine Anleitung zur Verfügung. Für Fälle, in denen die Daten auf einem eigenen Server benötigt werden, kann das Team Klinik-Applikationen beim Transfer unterstützen.

Welche Daten sind vorhanden und was wird anonymisiert

Der DICOM Anonymizer hat Zugriff auf alle Untersuchungen, die im synedra AIM im DICOM-Format gespeichert sind. Nach der Abfrage der benötigten Daten erfolgt die Anonymisierung gemäss DICOM PS3.15 Standards. Das Conformance Statement beschreibt die Konformität des DICOM Anonymizer Filters mit dem Basic Application Level Confidentiality Profile des DICOM-Standards (Version 2023b). Es umfasst die Methoden zur Substitution von Originalwerten durch Dummy-Werte sowie den Prozess zur Entfernung eingebrannter Annotationen.

• Metadaten-Anonymisierung: Alle relevanten DICOM-Tags werden anonymisiert, um Patienteninformationen zu schützen. Gleichzeitig werden die notwendigen Patienteninformationen mit den Studien-IDs der Kohorte versehen, sodass die Patienten mithilfe einer Schlüsseltabelle für Forschungszwecke wieder identifiziert werden können.
• Pixelbasierte Anonymisierung: Manche Bildtypen, wie Ultraschallbilder, enthalten Patienteninformationen direkt in den Bildpixeln. Diese Daten werden mithilfe spezifischer Vorlagen geschwärzt, die anhand der Modalität, des Geräteherstellers und des Modellnamens definiert sind.

Architektur Forschung mit Bildern

Die technische Architektur der Forschung mit Bildern basiert auf einer engen Integration der verschiedenen Systeme: Die bildgebenden Systeme, die im klinischen Alltag verwendet werden, senden Daten an das Data Warehouse (DWH) im IDSC. Darauf aufbauend werden verschiedene Applikationen unter der Verantwortung der Produktlinie Lehre und Forschung vom IDSC betrieben. Der DICOM Anonymizer ist technisch auf dem Data Lakehouse (DLH) Server angesiedelt und bezieht Daten (Patientensets/Kohorten) aus dem IDSC Kohortenmanager. Zusätzlich verfügt der DICOM Anonymizer über eine direkte Schnittstelle zum Langzeit- bzw. Universalarchiv synedra AIM, um Bildabfragen abzusetzen und Rohdaten zu beziehen. Damit anonymisierte Bilder wieder in synedra AIM eingespeist werden können, steht ein spezieller Forschungsmandant zur Verfügung, an den der DICOM Anonymizer die Bilder senden kann.

Die Architektur ist darauf ausgelegt, eine strikte Trennung zwischen klinischen und Forschungsdaten zu gewährleisten. Dies stellt sicher, dass die Anonymisierung und Weiterverarbeitung den höchsten Datenschutzstandards entspricht. Untenstehende Architektur verdeutlicht dies: