公共卫生监测系统中身份识别记录的隐私保护联系:评价研究

介绍

背景

澳大利亚血液传播病毒和性传播感染协调加强哨点监测协作(ACCESS)对重点血液传播病毒和性传播感染的诊断检测和其他护理事件进行监测[1，2]。ACCESS从实验室和诊所网络中提取已识别的患者数据，包括那些管理bbv和性传播感染风险较高人群的高病例量患者的实验室和诊所，包括同性恋、双性恋和其他男男性行为者以及注射毒品者。ACCESS的主要目标是衡量和报告关键指标，如发病率和患病率(按正比例衡量)，以监测和支持澳大利亚减少BBV和性传播感染引起的发病率和死亡率传播的努力[3.-5]。

ACCESS(以及类似的哨点监测系统)面临的一个关键挑战是，如果个人参加多个医疗服务，则可能无法准确测量患者的结果，从而导致潜在的报告偏差。例如，检测频率的标记，BBV/STI预防和管理的重要指标[3.-5]，如果个人在多个服务机构进行测试，可能会被低估。ACCESS服务内部和服务之间的个人准确联系，可以更准确地衡量(1)与澳大利亚BBV和STI国家战略有关的关键指标，以及(2)旨在减少BBV和STI影响的干预措施的效果。

跨站点识别ACCESS记录的链接依赖于专门的健康数据提取软件GRHANITE，该软件安装在参与的诊所和实验室。GRHANITE与患者数据库接口，安全提取排队咨询、人口统计学、BBV和STI临床和病理数据[6]。在从ACCESS站点传输数据之前，GRHANITE会创建一个唯一的记录ID来识别电子医疗记录(EMR)，并使用患者识别信息生成与该记录相关的不可逆哈希编码链接键。记录编号及连接键会连同病人的临床及病理资料一并转移至安全的资料库，而非个人识别码，以保障病人的私隐[7]。然后生成一个链接ID [8]当同一名患者使用名为GRHANITE联动工具的配套软件通过匹配联动键在不同的emr之间进行联动时[9]。

目标

GRHANITE联动工具已被验证可执行大规模种群级记录联动[10]根据传统的个人可识别数据链接机制，实现类似的敏感性和特异性数据链接配置文件[9]。鉴于ACCESS中临床和实验室站点的可用个人识别数据存在差异，本文的重点是通过应用不同的方法在ACCESS中使用GRHANITE链接工具来评估链接结果的质量。为了评估GRHANITE联动工具用于持续公共卫生监测，我们使用该工具与来自ACCESS数据的金标准联动数据集测量了记录联动的结果。

方法

通过GRHANITE进行协调增强哨点监测数据提取和链接的澳大利亚合作

电子病历

通常，当患者首次到医疗机构就诊时，将在该机构的患者数据库中创建EMR，其中包含患者的识别信息，包括姓名、出生日期、联系详细信息和Medicare号码(用于Medicare计费的澳大利亚政府发行的医疗保健卡号)。大多数诊所还会在EMR中记录其他人口统计信息，如首选语言、出生国家和土著背景。

每个人的EMR都有一个由患者数据库生成的唯一医疗记录号，将患者的所有咨询、检查和处方记录链接起来。如果患者的详细信息发生变化且没有更新，可能会在同一家机构为一个患者创建多个EMR，从而导致创建一个新的EMR;如果病人使用化名;或者如果病人去了一家允许匿名或免费检测的诊所。

澳大利亚协作加强哨点监视的数据提取

数据从参与ACCESS的临床站点提取，其中包括提取时数据库中每个患者的EMR。GRHANITE为每个EMR生成一个新的唯一记录ID和最多四个不可逆的哈希编码链接键。患者EMR中的个人识别信息(如姓名、出生日期、医疗保险号码)通过高级加密传输，以生成记录ID和链接密钥[7]。GRHANITE提取了记录ID和链接键，以及与BBV和STI护理相关的患者人口统计数据、咨询、测试请求、病理和处方信息，但没有识别信息。实验室的数据提取类似;然而，只有与诊断和护理相关的BBV和STI检测记录以及一组有限的人口统计学变量可供提取(图1）.

‎ 查看此图

澳大利亚协调加强哨点监视合作的记录联系

GRHANITE用于创建链接键的数据组件包括以下患者标识符:医疗保险号码的5位数字、出生日期、性别、名、姓和居住邮政编码。然而，并不是所有的emr都以相同的方式记录相同的患者标识符集。例如，一个病人的名字可能被记录为威廉在一家诊所，有完整的出生日期和比尔在另一家诊所只记录了出生年份。GRHANITE利用数据预处理来删除不需要的字符和单词，并使用澳大利亚国家昵称列表来解析昵称。然后使用语音编码(双变音位)，它允许基于姓氏和名字的拼写错误进行模糊匹配。还支持调换出生日期和月份。预处理后，将标识符组合，然后使用秘密种子密钥和加密散列加密，以生成GRHANITE保护隐私的加密散列链接密钥[7，9]。

GRHANITE为每个EMR创建多达四个链接键，使用在每个站点记录的识别信息的组合(文本框1) [11]。例如，如果没有为患者记录Medicare号码，则需要5个Medicare数字的链接键(文本框1:链接键类型1、2和4)无法创建，导致通过GRHANITE提取的emr只有一个链接键(文本框1:联动键3不需要医保号;图1）.

应用GRHANITE联动工具

在ACCESS中应用链接工具时，记录链接过程中有三个步骤。第一步基于至少一个链接键匹配查找emr对，并记录用于匹配每个记录对的链接键类型。第二步使用匹配记录对中的其他可用数据检查链接的强度，以接受或拒绝中所述的链接记录表1．第三步为接受的匹配对分配标识符(链接ID)，将所有匹配的记录标记为属于同一个人(图2）.

‎ 查看此图

评估记录链接

创建金标准数据集

为了评估ACCESS中的记录链接，我们使用确定性记录链接方法生成了两个金标准数据集，其中可以识别真实的匹配状态[12]。评估中所述的六种联系方法的结果表1，使用GRHANITE联动工具来匹配金标准数据集中的记录，在可能的情况下，我们测量了敏感性、特异性以及阳性和阴性预测值。

PrEPX金标准数据集

PrEPX是维多利亚州的一项人群水平干预研究，在该研究中，符合条件的个人可以获得艾滋病毒暴露前预防，该研究使用ACCESS数据监测参与者的BBV和STI检测[13]。2016年7月至2018年3月期间，参与ACCESS的8个临床站点和1个医院诊所招募了PrEPX参与者。入组时，按顺序分配一个PrEPX研究ID，并将其与每个参与者的入组诊所EMR号码一起记录在研究数据库中。在PrEPX登记后，如果参与者在研究期间到网络内的不同诊所就诊，则新诊所的EMR号码也会记录在研究数据库中。ACCESS获得了伦理许可，可以从参与的诊所提取EMR号码，以匹配在诊所之间移动的参与者的记录。为了创建金标准数据集，EMR根据诊所EMR号、诊所名称和诊所就诊日期进行匹配。金标准包括在研究期间只到一家诊所就诊的每位PrEPX参与者有一条记录，以及通过研究ID链接到多个诊所就诊的每位PrEPX参与者有多条记录(图3）.

‎ 查看此图

病理结果金标准数据集

第二个更大的金标准数据集是根据2009年1月至2018年4月期间参与ACCESS的7家诊所和4家实验室提取的emr生成的。要被纳入该数据集，患者必须至少有一个样本从ACCESS诊所之一发送到ACCESS实验室之一。实验室为标本分配了一个唯一的实验室标本ID，当实验室将病理结果反馈给诊所时，该标本ID也被记录在诊所中。为了创建金标准数据集，使用实验室标本ID、出生年份和测试日期匹配临床和实验室记录。我们允许测试日期有7天的差异，因为在医疗记录中，同一样本的记录日期通常会有所不同。金标准数据集中只包含匹配的记录，并使用任意分配的链接标识符(图4）.

病理结果金标准数据集中的EMR可能与许多其他EMR相匹配，原因有以下几种:个人可能有多个标本被送往多个实验室进行检测，个人可能去过不同的诊所，因此实验室将相同的检测结果发送到多个诊所，或者个人可能由于个人标识符过时或不完整而在实验室或诊所有多个EMR。

‎ 查看此图

数据分析

灵敏度

灵敏度的计算方法是使用GRHANITE联动工具确定的正确链接的emr数量占金标准数据集中链接emr总数的百分比。

特异性

在PrEPX金标准数据集中，特异性计算为使用GRHANITE联动工具正确识别为未联动的单个emr数量占未联动emr总数的百分比。计算阳性预测值(PPV)和阴性预测值，以提供真匹配和漏匹配的概率。

鉴于ACCESS数据的去识别性质，不可能在病理结果金标准数据集中包括不匹配的标本id，因为没有办法确认它们是否属于不同的个体(正确不匹配)，因此不可能计算特异性。因此，为了评估特异性，我们评估了按时间顺序排列的HIV和丙型肝炎检测记录的一致性，以确定不应该相互关联的emr。通过识别结果不一致的相关emr，可以确定PPV(抗体结果一致的相关记录的比例)。然后使用PPV和每种连锁方法的敏感性来估计特异性，总结于图5．

‎ 查看此图

用不一致的病理结果测量不正确的匹配

感染后，随后进行的任何艾滋病毒或丙型肝炎抗体检测应始终返回阳性结果。使用病理结果金标准数据集仅提供少量艾滋病毒和丙型肝炎结果;因此，使用用于创建金标准数据集的同一诊所和实验室站点的所有可用emr，获得了链接emr数据集。创建了两个数据集，一个包含任何HIV western blot或抗体结果，另一个包含任何丙型肝炎抗体结果。在记录链接之前包含不一致结果的emr被排除在样本中，以免与记录链接导致的不一致相混淆。然后使用所有六种方法链接每个数据集中的记录(表1)的GRHANITE联动工具。由于只有在初始阳性结果后才能确定不一致的检测结果，因此从样品中删除了没有阳性结果历史的相关emr。因此，在HIV和丙型肝炎数据集中，只有在初始HIV western blot阳性或丙型肝炎抗体结果阳性后包含抗体结果的关联emr被保留用于评估。

为了计算PPV，在检测结果为阳性后至少7天，检查相关emr的阴性抗体结果，然后将其归类为不匹配。如果大多数随后的抗体检测结果为阴性，则初始结果和随后的任何阳性结果都被认为是不正确匹配的记录。

结果

使用PrEPX金标准数据集记录链接

PrEPX金标准数据集在56个emr中确定了28个连接，表明28名研究参与者在PrEPX研究期间曾参加过两个不同的临床地点。其余3644份emr来自研究期间只去过一家诊所的参与者，因此没有任何相关记录。

超过99%的emr在9个位点中有8个位点具有所有四种链接密钥类型，这表明产生这些链接密钥的患者识别信息在诊所中几乎完全记录。在11%(8/76)的emr中，一个站点缺少生成链接类型1、2和4(都需要医疗保险编号)所需的数据(表2）.

在所有连接方法中，除了需要两个或多个连接键的方法外，来自28个参加两个位点的个体的所有emr对都正确连接(灵敏度100%)。在需要两个或多个链接键进行匹配的方法中，没有识别出一对链接键(灵敏度为96%)。使用所有链接方法的特异性为100%，数据集中其余3644个emr中没有任何一个被错误链接(表3）.

使用病理结果金标准数据集记录链接

在病理结果金标准数据集中使用GRHANITE联动工具，在86538个emr中创建了50484个联动记录，其中最多有6个emr被确定为属于同一个人。

共有99.69%(86,273/86,538)的emr包含至少一种链接密钥类型，73.51%(63,610/86,538)的记录中存在所有四种链接密钥类型，这表明患者数据库中患者识别信息的完成度总体上非常高。然而，21.62%(18,709/86,538)的emr只有连接密钥类型3可供匹配。97.42%(7914/8124)来自一个公共实验室的EMRs中缺少一种或多种连接类型1、2和4(都需要医疗保险编号)，53.95%(5967/ 11060)来自性健康诊所，48.25%(1403/2908)来自私人实验室，23.42%(6134/ 26186)来自另一个公共实验室(表4）.

对于前4种链接方法，GRHANITE链接工具在病理结果金标准数据集中正确链接了94%至95%的emr，而在需要两个或多个链接键才能形成匹配的情况下，则下降到66%(57,330/86,538)。表5）.在最后的链接方法中，只有在链接键类型3(不需要医疗保险号码)和性别匹配时才接受配对，89%(76,928/86,538)的记录被正确链接。

用不一致试验结果估计特异性

在衍生的HIV数据集中，包含初始阳性Western blot结果的所有链接方式的链接emr数量在1090到1427之间，除非需要两个或多个链接键。需要两个或多个链接键进行匹配的链接方法导致了257个链接emr。前四种连锁方法的PPV在87% - 91%之间，估计特异性在90% - 93%之间。当由于不同的连接方法而连接较少emr时，PPV和特异性都得到改善(表5）.

在衍生的丙型肝炎数据集中，使用前4种链接方法，超过3700个链接emr包含初始的丙型肝炎抗体阳性结果，当需要两个或更多链接键时，该记录下降到2809个。PPV大于98.9%，所有6种连锁方法的估计特异性超过99% (表5）.

讨论

主要研究结果

本文描述了一个在大规模健康监测系统中使用隐私保护软件工具的概率记录链接系统的综合评估。结果表明，该软件提供了一个高度可靠和准确的系统，通过生成依赖于可用识别信息的链接密钥来链接常规收集的emr。记录关联的优化包括在敏感性(正确识别属于同一个人的记录)和特异性(确保属于不同人的记录不关联)之间取得适当的平衡，以及在不妨碍研究结果解释的情况下最适合研究设计目标和研究人群的方法。

当应用于相对较小的PrEPX金标准数据集时，联动工具的高性能与PrEPX试验中emr的数据完整性有关，而病理学结果金标准数据集的数据完整性(表2和4）.PrEPX的参与者必须有一个医疗保险号码才能注册，并每月进行三次随访，这使得诊所的工作人员有多次机会记录任何缺失的身份信息[13]。在底层标识符是健壮的并且重复最小化的情况下，错过匹配的概率可以忽略不计。此外，对于PrEPX金标准数据集，所有链接方法的特异性均为100%，这表明链接工具不会错误地链接一小部分emr样本中的记录，其中不太可能存在具有相似身份细节(姓名、出生日期和医疗保险号码)的个人。

当链接工具应用于更大的病理结果金标准数据集时，灵敏度在89%至95%之间，其中链接方法依赖于单个链接键匹配。但是，使用要求记录链接两个或多个链接键类型的方法，灵敏度降低到66%。这是由于22%的emr只有一个可用于链接的链接键类型，这主要是因为医疗保险号码不可用。将实验室记录纳入病理结果金标准数据集可能会导致敏感性降低，因为患者标识符错误，如错误标记和记录实验室样本[14]，与临床电子病历中个人标识符的完整性进行比较。在最后的链接方法中，emr对仅在链接键类型3(不需要医疗保险号码)和性别匹配时才链接，结果是89%的敏感性。分析中包含了这种方法，以模拟当医疗保险号码不可用时联动工具的性能。在澳大利亚进行评估是很重要的，因为ACCESS中相当一部分参与站点是由辖区政府资助的，并且不记录患者的医疗保险号码[15]。

限制

评估GRHANITE联动工具的主要挑战是，考虑到ACCESS中emr的不可识别性质，开发金标准数据集。研究人员很少有机会获得金标准数据集，在大型行政健康数据源之外执行链接验证，我们的86,538条记录的金标准数据集与其他已发表的研究可比较[16]。金标准要求记录有足够的补充信息，以便进行确定匹配，这样我们就可以确定匹配的属于同一个人，不匹配的属于不同的个人。因此，为了生成金标准的数据集，我们可以用来准确计算链接工具的灵敏度和特异性的记录数量有限。尽管病理结果金标准数据集包含超过80,000条记录，但评估的一个局限性是无法正确识别不匹配的emr，这意味着特异性不能直接测量。然而，鉴于ACCESS的重点是BBV和STI的监测，我们能够通过检查HIV和丙型肝炎相关检测结果的一致性来评估病理结果数据集中的特异性。正如预期的那样，关联特异性与敏感性呈负相关。此外，使用不一致的抗体结果，我们假设任何不一致的结果都可归因于不正确的记录链接，而不是实验室检测结果的错误。然而，鉴于HIV western blot和HIV和丙型肝炎抗体检测的高度敏感性和特异性，任何检测错误都将是最小的。艾滋病毒和丙型肝炎数据集之间观察到的PPV和估计特异性的差异可能归因于(1)艾滋病毒和丙型肝炎基础实验室检测的敏感性和特异性的差异，以及(2)匿名艾滋病毒检测的潜在更高比例，因为公共实验室不要求艾滋病毒检测的全名[15]。

除了通过检查艾滋病毒和丙型肝炎相关检测结果的一致性确定的假阳性记录联系之外，在个人具有共同的患者标识符的情况下，例如双胞胎，还有可能发生其他假阳性。鉴于ACCESS数据的不确定性质，如果没有实际确定的人口统计值，就无法确定这些小众案例。这些假阳性的微小影响预计不会影响使用ACCESS进行公共卫生监测的主要目的。对于其他需要较低水平的假阳性记录链接的研究项目，特别是如果已知包含高比例的个人共享共同的患者标识符，那么使用仅接受基于多个链接键匹配的链接方法将最大限度地减少假阳性。此外，确保其他提取数据的一致性，如性别、出生年份、艾滋病毒和丙型肝炎检测史，可以将假阳性记录的关联水平降低到可接受的水平。

结论

评估记录联系是评估监测和研究系统的效用的一个重要部分，用于回答人口层面的关键研究问题或使用联系数据准确描述人口层面的趋势。我们的研究结果表明，GRHANITE链接工具适用于准确链接个人的护理事件，并支持ACCESS执行患者医疗记录隐私保护链接的能力。