Krebsregister
- Ein Konzept für die sozialverträgliche Gestaltung -
Klaus Pommerening
Institut für Medizinische Statistik und Dokumentation
der Johannes-Gutenberg-Universität
D-55101 Mainz
[erschienen in: F!FF Kommunikation 4/93, 64-66]
Der Datenhunger der Epidemiologen
Gegenstand der Epidemiologie ist die Erforschung von Krankheiten im Bevölkerungsbezug. Ziele sind die Aufklärung von Krankheitsursachen sowie die Entwicklung und Beurteilung von Behandlung und vorbeugenden Maßnahmen. Methodische Grundlage ist in erster Linie die Statistik. Benötigt werden auswertbare Daten. Diese sollen für die Krebsforschung durch flächendeckende Krebsregister in den einzelnen Bundesländern bereitgestellt werden. Hamburg und Saarland haben schon seit langem solche Register; in den anderen Bundesländern laufen die Vorbereitungen für die Krebsregistergesetze auf Hochtouren. In Rheinland-Pfalz bereitet das Sozialministerium den entsprechenden Gesetzentwurf vor.
Die Vollständigkeit der Erhebung wird damit begründet, daß nur so regionale Erkrankungshäufigkeiten und zeitliche Trends zuverlässig erkannt werden können. Um Überlebenszeiten bestimmen und so die Effektivität von Maßnahmen beurteilen zu können, ist auch die Erfassung der Todesfälle notwendig. Natürlich gibt es auch andere Methoden der Krebsforschung; Krebsregister sollen als ein Instrument unter mehreren gelten und wichtige Beiträge leisten. Der Hunger der medizinischen Forschung nach Daten und der Hang zur Statistik als erkenntnisgewinnende Methode wird oft kritisiert; die Reduktion des Menschen auf ein paar Daten paßt schlecht zum menschenfreundlichen Selbstbild der Medizin. Wie aber soll sonst in einem Fach geforscht werden, in dem sich Experimente als ethisch unzulässig verbieten?
Die Ziele der Epidemiologie, insbesondere in der Krebsforschung, stoßen auf breiten gesellschaftlichen Konsens und dürfen grundsätzlich als wünschenswert angesehen werden. Alle Parteien, von der CSU bis zu den Grünen, haben ihre Zustimmung zur Einrichtung von Landeskrebsregistern signalisiert. Einzige mir bekannte Gegenstimme ist das Buch [von Elling/Wunder 1986], das als Rundumschlag gegen jegliche Registrierung konzipiert ist, allerdings einige beachtenswerte Argumente vorstellt; allein schon die Aufzählung der Daten, die in den Datenbanken der "Sozialverwaltung" gespeichert sind, macht das Buch lesenswert. Jeder, der Krebsregister sozial verträglich gestalten will, muß sich mit den Argumenten auseinandersetzen.
Eingriff in die Persönlichkeitsrechte
Die Registrierung, sofern sie nicht auf persönlicher Einwilligung beruht, ist ein Eingriff in die Persönlichkeitsrechte des Einzelnen, in das Recht auf informationelle Selbstbestimmung. Nur anonym geführte Register sind ohne weiteres verfassungsrechtlich unbedenklich. Nach herrschender Meinung reicht die faktische Anonymisierung; ein absoluter Schutz gegen jede Reidentifizierung braucht nicht gewährleistet zu werden. Hier ist vor allem die Gefahr des Abgleichs mit anderen Datensammlungen zu beachten, die in [Paaß/Wauschkuhn 1985] ausführlich untersucht wurde. Als Gegenmaßnahme ist zum einen der Umfang der zu speichernden Daten gering zu halten, zum andern sollten Merkmale nicht unnötig detailliert erfaßt werden, z. B. Staatsangehörigkeit und Beruf nur jeweils in Klassen zusammengefaßt. Beides ist in den vorliegenden Gesetzentwürfen gewährleistet.
Die Anonymisierung scheint für die Verwendung der Daten zunächst kein Problem zu sein: Epidemiologische Register sind nicht auf den einzelnen Kranken hin ausgerichtet; seine Identität spielt für die epidemiologische Forschung keine direkte Rolle. Sie wird aber in zwei besonderen Situationen benötigt: Einmal ist es erforderlich, Mehrfachmeldungen und Todesmeldungen dem richtigen Fall zuzuordnen. Zum anderen kann es bei speziellen Forschungsvorhaben nötig sein, weitere Daten zu erheben; denkbar ist etwa der Fall, daß in einer Region eine Häufung einer bestimmten Krebsart festgestellt wird und Daten zur Exposition mit einer verdächtigten Chemikalie nacherhoben werden sollen. Ist also die Anonymisierung doch nicht machbar?
Der Ausweg wäre die persönliche Einwilligung der Betroffenen. Einige Bundesländer verlangen sie daher in ihren Gesetzentwürfen. Dagegen werden folgende Gründe vorgebracht.
- Die Situation des Kranken im Moment der Befragung erlaubt subjektiv vielleicht nicht in jedem Fall eine echte freie Entscheidung.
- Der Kranke wird aus medizinischen Gründen vielleicht von seinem Arzt gar nicht über die Erkrankung aufgeklärt.
- Die Gefahr einer so großen personenbezogenen Datensammlung wird durch Einwilligung in die Speicherung nicht geringer. Wichtiger ist die möglichst gute Anonymisierung.
Der extreme Gegensatz zur persönlichen Einwilligung wäre eine Meldepflicht des Arztes, ähnlich wie sie im Seuchengesetz für gewisse Infektionskrankheiten vorgesehen ist. Das aber wäre für die Krebsregistrierung völlig unangemessen und würde wohl auch von den Ärzten unterlaufen werden.
Bleibt als Mittelweg ein Melderecht des Arztes - der Arzt darf melden, ohne die Einwilligung zu erbitten. Diese Regelung wird in den meisten Bundesländern favorisiert. Sie greift in die Persönlichkeitsrechte ein. Dieser Eingriff ist zu minimieren; vor allem ist die Anonymität so weit wie möglich herzustellen. Die vorgeschlagene Lösung dieses Minimierungsproblems beruht auf informatischen Methoden, und zwar auf Veschlüsselungstechniken.
Das Recht auf Unterrichtung von der Datenübermittlung wird beim Melderechtsmodell zu einer Sollvorschrift abgeschwächt; der Arzt soll den Patienten von der Meldung unterrichten, und in diesem Fall hat der Patient auch ein Recht auf Widerspruch oder später ein Recht auf Löschung seiner Daten. Das Recht auf Auskunft gegenüber dem Krebsregister wird im Gesetzentwurf aufgehoben - das ist eine notwendige Nebenwirkung der weiter unten beschriebenen faktischen Anonymisierung, die die Brücke zu den gespeicherten Daten abbricht. Damit entfällt auch das Recht auf Berichtigung oder Sperrung der Daten. Wohlgemerkt, hier handelt es sich um faktisch anonyme Daten.
Anonymisierung durch Verschlüsselung
Ein interessanter Vorschlag zur Anonymisierung kam von der baden-württembergischen Datenschutzbeauftragten: Die Identitätsdaten sollten bereits beim meldenden Arzt verschlüsselt werden. Es würden also keinerlei Identitätsdaten im Klartext übermittelt; das Verfahren wäre verfassungsrechtlich einwandfrei. Das klingt auf den ersten Blick bestechend und war auch der Anlaß, überhaupt Verschlüsselungstechniken in den anderen Meldemodellen einzuführen. Bei genauem Hinsehen zeigten sich aber doch Nachteile. Jeder meldeberechtigte Arzt müßte mit Verschlüsselungstechnik ausgestattet werden. Um den späteren Zugang zum Patienten zu ermöglichen, müßte er außerdem Referenzlisten für die Zuordnung von verschlüsselten Daten zu Patienten führen, und das über Jahrzehnte. Auch wenn man bedenkt, daß die meisten Meldungen von größeren Kliniken kommen, ist der organisatorische Aufwand erheblich und die Sicherheit der Daten schwach, insbesondere durch die Aufbewahrung der Referenzlisten. Auch eine spätere Überverschlüsselung, wenn der Schlüssel kompromittiert oder das Verschlüsselungsverfahren von der Technik überholt wird, wäre kaum machbar. Insgesamt erscheint dieses Modell daher doch etwas weniger wünschenswert als das rheinland-pfälzische, das unter Anonymisierung mit kontrollierter Reidentifikation beschrieben ist.
Forschung mit den Registerdaten
Die Gefahren, die durch große Datensammlungen drohen, sind trotz Anonymisierung nicht gering zu schätzen. Daher sollen die Daten des Krebsregisters nur unter besonderen Auflagen zu Forschungszwecken an Dritte freigegeben werden; insbesondere sieht der rheinland-pfälzische Gesetzentwurf vor, daß die Ethikkommission der Landesärztekammer einzuschalten ist. Sie muß auch zustimmen, wenn für bestimmte Forschungsvorhaben eine Reidentifikation nötig wird; hierbei darf die ergänzende Datenerhebung nur durch die Vertrauensstelle über den betreuenden Arzt erfolgen, wobei die auch sonst üblichen Vorschriften über die Erhebung von Daten zu Forschungszwecken greifen. Unproblematisch ist nur die "Routineforschung" im Krebsregister selbst mit den anonymen gespeicherten Daten. Eine gewisse Gefahr besteht darin, daß durch diese Abschottung die Forschung mit den Registerdaten monopolisiert wird und unliebsame Ansätze vielleicht unterdrückt werden können. Ich sehe die Gefahr als nicht allzugroß an, da der Zugang zu den Daten durch die wissenschaftliche Ethik und nicht durch politische Institutionen kontrolliert wird. Und außerdem - ohne das Krebsregister wäre "unliebsame" Forschung mit diesen Daten auch nicht möglich.
Epidemiologie und Datenschutz - ein unlösbarer Konflikt?
Es gibt sicher einiges an der in Rheinland-Pfalz vorgeschlagenen Lösung zu diskutieren - wie an jeder anderen auch; eine Patentlösung ist nicht in Sicht. Es wird jedenfalls versucht, den Konflikt auf vernünftige und sozialverträgliche Weise zu minimieren. Das Verfahren wurde mit den Datenschutzbeauftragten des Bundes und der Länder besprochen und fand überwiegende Zustimmung. Die Abweichung von der verfassungsrechtlich unbedenklichen Form der anonymen Speicherung ist vergleichsweise gering. Es ist aus den Registerdaten ohne sehr großen Aufwand nicht möglich festzustellen, wer in der Bevölkerung an Krebs erkrankt ist - weder im Einzelfall noch nach der Fischzugmethode ("Irgendwas wird schon im Netz hängen bleiben"). Wichtig ist, daß die Sicherheit nicht nur auf rechtlichen Vorschriften beruht, sondern auch durch technische Maßnahmen abgesichert ist. Auf diese Weise kann der Bürger ohne großes Magendrücken seine "Datenspende" für die epidemiologische Forschung leisten. Das rheinland-pfälzische Modell setzt einen Maßstab als Minimalstandard: Stärkere Eingriffe in die Persönlichkeitsrechte sollten in keinem Krebsregistergesetz gestattet werden.
Alle Probleme gelöst?
Mit der Einrichtung von Krebsregistern wird eine Art Großtechnologie geschaffen, mit der wir für viele Jahrzehnte leben müssen. Auch wenn beim rheinland-pfälzischen Gesetzentwurf der Datenschutz ernsthaft diskutiert und die Einwände der Datenschutzbeauftragten schon frühzeitig berücksichtigt wurden, sollte man nicht die Probleme vergessen, die eine solche Technologie-Lösung mit sich bringt. Schon rufen die Gesundheitpolitiker nach mehr; so stellte der rheinland-pfälzische Sozialminister ein Konzept für einen umfangreichen Gesundheitsbericht vor (Mainzer Allgemeine Zeitung, 22.6.1993, "Riesige Datensammlung"). Soll das Konzept des Krebsregisters auf alle wichtigen Krankheitsgruppen ausgedehnt werden? Wichtige Forderungen, die für alle Arten von Krankheitsregistern gelten:
- Die (faktische) Anonymisierung muß gesichert sein, auch langfristig.
- Der Zugang zu den (anonymisierten) Daten darf nur unter kontrollierten Umständen gewährt werden, muß aber für unterschiedliche gesellschaftliche Gruppen möglich sein. Unliebsame Forschung darf nicht abgewürgt werden.
- Der Weg vom anonymen Register zum einzelnen Patienten darf nur unter besonders strengen Kontrollen und nur über den behandelnden Arzt möglich sein.
- Die Datenschutzrechte dürfen durch die Registrierung nicht ausgehöhlt werden.
- Die Sicherheit des Konzepts muß einer gründlichen Risikoanalyse ausgesetzt werden.
- Die ärztliche Aufklärungspflicht sollte ernstgenommen werden; der Arzt darf seine menschliche Hilflosigkeit nicht durch Nichtaufklärung kaschieren.
- Es müssen Bedingungen formuliert werden, unter denen die Registrierung beendet und die Register vernichtet werden - z. B. sollte von Zeit zu Zeit untersucht werden, ob der Aufwand für die Registrierung noch in einem angemessenen Aufwand zum Nutzen steht.
Geringer anzusehen ist die Gefahr des Mißbrauchs der Registerdaten nach einem politischen Umschwung, etwa nach zwangsweiser Deanonymisierung. Eine totalitäre Regierung hätte mit der verfügbaren Informationstechnik inzwischen so viele Möglichkeiten, daß der Zugriff auf Krebsregister lächerlich harmlos wirkt. Was in Krebsregistern gespeichert werden soll, ist wenig im Vergleich zu anderen Datensammlungen, etwa bei den Krankenkassen. Die, die am meisten an den Registerdaten interessiert sein könnten, haben sie sowieso schon, in viel ausführlicherer Form und mit wesentlich schwächeren Kontrollmöglichkeiten von außen.
Weiterführende Literatur zu Epidemiologie und Datenschutz
Zurück zum Schriftenverzeichnis von Klaus Pommerening