CC BY
433
1 и информационные
технологии
Персональные данные
И.В. ЕМЕЛИН,
к.ф.-м.н., советник генерального директора ООО «РИНТЕХ», г. Москва, ivemelin@gmail.com
ИДЕНТИФИКАЦИЯ ПАЦИЕНТОВ
УДК 61:006
Емелин И.В. Идентификация пациентов (ООО «РИНТЕХ»)
Аннотация: В работе дан обзор основных аспектов, которые необходимо учитывать при решении задачи надежной идентификации пациентов в медицинских информационных системах. Приведены ссылки и обзор опыта применения идентификаторов пациентов, который нашел свое отражение в международных стандартах. Даются выводы по практике решения проблем, связанных с идентификацией личности в медицинских информационных системах.
Ключевые слова: идентификация пациентов
UDC: 61:006
Emelin Ivan V. Patient identification (RINTECH, Ltd.)
Abstract: The paper discusses the problems of allocation and usage of the patient identifiers in the longitudinal medical record systems. There are also provided the references to the international standards covering these issues. Keywords: patient's identification
В 2009 году одним из приоритетных направлений развития информатизации здравоохранения был назван персонифицированный учет медицинской помощи. Предполагается, что сведения о медицинской помощи, оказанной пациенту, будут накапливаться в течение всей его жизни и медицинские работники смогут получить к ним доступ в любом медицинском учреждении. Конфиденциальность информации, требуемая с Федеральным законом «О персональных данных», будет обеспечена с помощью процессов «деперсонификации» и «персонификации» медицинских данных.
Оставляя в стороне вопросы о том, кто и какую пользу от этого может получить и можно ли с помощью такого учета одновременно решить и управленческие, и медицинские задачи, обсудим некоторые аспекты, которые необходимо учесть при создании любой системы, рассчитанной на долговременное накапливание медицинской информации, а именно, как идентифицируются пациенты и какие действующие и вновь разрабатываемые стандарты имеются на этот счет.
Идентификаторы личности
На протяжении жизни человек обрастает разного рода идентификаторами:
— номером бирки на руке или ноге новорожденного,
— номером свидетельства о рождении,
© И.В. Емелин, 2010 г.
24 ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ ■
Персональные данные
www.idmz.ru
голо, N=2
1: - Способы идентификации
14: - ДНК
2: - Отпечатки пальцев
3: - Спектр отпечатков пальцев
4: - Изображение пальцев
8: - Остов отпечатка пальцев
9: - Сосудистое русло
10: - Геометрия контура кисти
XX: - Фигура
► Аутентификация М— являются атрибутами -
идентификация
5: - Фотография лицо 6: - Снимок радужной оболочки 12: - Параметры распознавания лица
13: - Параметры распознавания голоса
7: - Подпись/временные ряды подписи 11:- Подпись/динамика подписи
Юридическая
Регистрация соот ветл вующи
ISO/IEC 19794
Индивидуум
Рис. 1. Связь между формальной и физической идентификацией личности (воспроизводится с разрешения технического комитета ISO TC215)
— одним или несколькими номерами паспорта, водительских прав, свидетельств о браке,
— номерами страховых полисов, индивидуальными номерами налогоплательщика (ИНН), страховыми номерами индивидуальных лицевых счетов (СНИЛС) и т.д.
Связь этих идентификаторов с конкретным физическим лицом осуществляется с помощью предъявления:
— материального носителя, содержащего идентификатор в визуальной или машиночитаемой форме,
— устного сообщения,
— отличительных биометрических/физио-логических характеристик.
Различные удостоверения личности могут содержать несколько идентификаторов, включая биометрические, с помощью которых можно проверить, является ли предъявитель удостоверения его владельцем (рис. 1).
Форматы обмена биометрическими данными описаны в серии стандартов ISO/I EC 19794, часть из них переведена и принята в качестве ГОСТ. (Номер, показанный на
рисунке 1, соответствует порядковому номеру стандарта в этой серии).
Жизненный цикл формальной идентификации личности показан на рисунке 2.
Формальная идентификация личности традиционно связана с системами имен, сложившихся в замкнутых сообществах, где с их помощью можно было легко идентифицировать личность. Урбанизация и миграция привели к тому, что идентифицировать личность по ее именам становится все труднее и труднее. Основными источниками идентифицирующей информации стали национальные бюро регистрации актов гражданского состояния: рождения, брака и смерти. Хотя процессы регистрации в разных странах различаются, в целом регистрация этих ключевых моментов не является точно связанной между собой с помощью паспорта или национального идентификатора [1].
Атрибуты идентификатора
Каждый идентификатор, кроме собственно значения, имеет целый ряд атрибутов, например: — срок действия,
■ ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ 25 ■
1 и информационные
технологии
Персональные данные
♦___________
РОЖДЕНИЕ
*
*
Свидетельство о рождении
Полноценная семья
Мать-одиночка
Подкидыш
2 родителя известны 1 родитель известен О родителей известно
Паспорт/национальный
идентификатор
Усыновлен/отдан на воспитание Скрытая информация Донорская сперма Неоднозначность
Рожден в другой стране Двойное гражданство Легальный эмигрант
Лицо без граждансгва/нелегальный эмигрант
Натурализован — —,
Смена национальности —I
Юридическое ‘М- — —1
удостоверение
о
*
Свидетельство о браке/Гражданское партнерство
О
т
Свидетельство о смерти
Установление прочных отношений
Аннулирование I Развод _[
Повторный бракуй)
Юридическое ^ — —
удостоверение
Рис. 2. Жизненный цикл формальной идентификации личности (воспроизводится с разрешения технического комитета ISO TC215)
— дата и время присвоения,
— лицо, присвоившее идентификатор,
— организация, присвоившая идентификатор,
— дата и время аннулирования,
— причина аннулирования,
— биометрические данные или идентификатор документа, содержащего такие данные.
К числу других атрибутов могут относиться территория действия и права, которыми наделяется лицо, получившее идентификатор.
Аутентичность
Проверка аутентичности предъявителя идентификатора с его владельцем должна осуществляться всякий раз, когда предъявителю представляются какие-то услуги. Критичность точности аутентичности зависит от ситуации. Она наиболее высока при совершении юридических актов, например, при вступлении в брак, и достаточно высока при оказании медицинской помощи.
Чтобы сделать связь идентификаторов с физическим лицом более достоверной, во
многих странах вводится система уникальной идентификации граждан, при которой, упрощенно говоря, номер свидетельства о рождении в обязательном порядке связывается с другими идентификаторами, в том числе с тем, у которого в число атрибутов входят биометрические данные. В России такой системы пока нет, а идентификатором, в чьи атрибуты входят биометрические данные, служит номер паспорта. Он имеет тот недостаток, что одному и тому же лицу могут выдаваться паспорта с разными номерами и связь между ними трудно установить.
Замена действующей системы идентификации граждан назрела, но ее техническое решение может осуществляться разными путями, например, с помощью выпуска электронной социальной карты, которая будет содержать уникальный машиночитаемый идентификатор гражданина.
Идентификаторы пациента
Идентификаторы пациента и его социальных прав регистрируются в учетных документах,
26 ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ ■
Персональные данные
заполняемых при оказании медицинской помощи. На время пребывания в стационаре или прикрепления к поликлинике пациенту обычно присваивются местные идентификаторы (код пациента, номер медицинской карты). С их помощью учетные медицинские документы, заполненные в течение этого срока, привязываются к данному пациенту. Для удобства применения и облегчения ввода данных могут использоваться различные носители идентификаторов: картонные или пластиковые пропуска, штрих-кодированные браслеты, смарт-карты или карточки с радиочастотными метками.
Различные варианты идентификаторов пациентов описаны в технической спецификации Международной организации по стандартизации [2]. Вопросы их применения освещаются в проекте технического отчета Европейского комитета по стандартизации [3].
Область применения идентификаторов пациентов, называемая доменом идентификации, определяется как отдельная система или комплекс взаимодействующих систем, использующих общую схему идентификации пациента (идентификатор пациента и процесс присваивания идентификатора) и один компонент, отвечающий за присвоение идентификаторов [4]. Кроме того, домен идентификации пациентов имеет следующие атрибуты:
— комплекс политик, описывающих, как определяется идентичность пациента и как осуществляется управление идентификацией в соответствии со спецификой домена;
— уполномоченное лицо, отвечающее за реализацию политик идентификации в домене;
— источник идентификации пациентов, который присваивает уникальный идентификатор каждому объекту, связанному с пациентом, а также управляет коллекцией особенностей идентификации;
— уникальный идентификатор домена.
В идеале внутри домена идентификации пациента одному пациенту присваивается только один уникальный идентификатор, хотя на практике у пациента может быть несколь-
www.idmz.ru
гола, N=2
ко идентификаторов в одном домене. Обычно домен управляется медицинской организацией или ее структурной единицей.
Чтобы связать между собой случаи медицинской помощи, зарегистрированной с разными идентификаторами пациента, в том числе из разных доменов, используется перекрестная идентификация, при которой определенное множество идентификаторов объявляется относящимся к одному и тому же пациенту. Домен перекрестной идентификации пациентов объединяет группу отдельных доменов идентификации при условии выполнения следующих предположений:
— между этими доменами достигнута договоренность относительно комплекса политик, описывающих, каким образом достигается перекрестная идентификация пациента;
— они договорились о комплексе процессов управления этими политиками;
— они договорились о едином администраторе, управляющем этими процессами и политиками.
Домен перекрестной идентификации необходим для долговременного накапливания медицинской информации, собираемой разными медицинскими организациями. Он может создаваться в масштабах ведомства, территории, страны.
Дубликаты и коллизии
Ошибка идентификации пациента может привести к неправильному лечению и тем самым причинить пациенту физический или моральный вред. В документе [4] классифицируются 1329 случаев ошибочной идентификации, из которых в 162 случаях пациенту был причинен вред малой тяжести, в 28 случаях — средней тяжести и в 3 случаях — значительный вред.
Для снижения вероятности ошибки, кроме местного идентификатора, в учетные медицинские документы вписываются также внешние идентификаторы пациента, например, фамилия, имя и отчество пациента, дата рождения, адреса, телефоны и т.д. Они могут использо-
■ ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ 27 ■
1 и информационные
технологии
Персональные данные
Таблица 1
Соотношение результатов алгоритма поиска с действительностью
Результат поиска
положительный
отрицательный
| Идентификация
I правильная ошибочная
| истинно положительный (а) ложноположительный (b)
| ложноотрицательный (c) истинно отрицательный (d)
ваться как ключи поиска в случае, если пациент забыл свой внутренний идентификатор или потерял его носитель. Если алгоритм поиска не нашел ранее присвоенный идентификатор, то пациенту присваивается новый идентификатор, если нашел, то при регистрации вновь оказанной медицинской помощи используется найденный идентификатор. Возможные ситуации описаны в таблице 1.
Ложноотрицательные результаты приводят к появлению дубликатов — нескольких идентификаторов у одного пациента. Ложноположительные — к появлению коллизий, то есть одного и того же идентификатора у нескольких пациентов.
По аналогии с диагностическими тестами можно ввести понятия чувствительности (Ч) и специфичности (С) алгоритма поиска, определяемые следующими формулами:
а + c ' b + d
Применение чувствительного алгоритма поиска приводит к относительно низкому числу дубликатов. Применение специфичного алгоритма — к относительно низкому числу коллизий. Коэффициенты чувствительности и специфичности алгоритма можно изменять за счет его параметров. Например, алгоритм поиска по фамилии, имени, отчеству и дате рождения может иметь в качестве параметра число дней, на которые допускается расхождение дат рождения. При прочих равных условиях чувствительность этого алгоритма повышается с ростом значения параметра, а специфичность — падает. Увеличение числа атрибутов пациента, которые должны совпадать, приводит к
росту специфичности, но при этом снижается чувствительность. Коэффициенты чувствительности и специфичности алгоритма зависят также от популяции, к которой они применяются, и от вероятностей ошибок ввода данных.
Дубликаты и коллизии имеют место и с полисами медицинского страхования. Для повышения точности регистров пациентов и застрахованных лиц используются специальные полуавтоматические процедуры выявления дубликатов и коллизий. Для примера укажем, что в английском регистре, насчитывающем свыше 50 млн. пациентов, ежемесячно выявляются и устраняются около 1000 дубликатов и 1000 коллизий [6].
Наличие единственного уникального национального идентификатора личности облегчает задачу идентификации пациента, но не решает ее до конца. Медицинским учреждениям приходится оказывать помощь не идентифицированным и неточно идентифицированным пациентам. В этих случаях пациентам должны присваиваться местные идентификаторы. Если впоследствии пациента удается идентифицировать, то просто заменить местный идентификатор на национальный нельзя: местный идентификатор пациента мог передаваться в другие информационные системы, например, в систему внешней лаборатории, и т.д. Необходимо использовать метод перекрестной идентификации.
Подмена идентичности
При создании информационных систем, обеспечивающих долговременное накапливание медицинской информации, необходимо учитывать возможность подмены идентичности
28 ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ ■
Персональные данные
(identity theft). Подменить идентичность может как пациент (пришел с чужим удостоверением личности или полисом медицинского страхования), так и медицинский работник (взял биоматериал у одного человека, а в направлении указал другое лицо). Цели подмены могут быть разными. Нередко они связаны с нежеланием платить за медицинскую помощь из своего кармана, но бывают и такие мотивы, как сохранение места работы, требующей регулярного прохождения медицинских осмотров.
Одним из эффективных способов выявления подмены идентичности, а также страхового мошенничества является обратная связь, при которой пациенту обеспечивается удобная возможность доступа к информации об оказанной ему медицинской помощи и подачи заявления о том, что та или иная помощь ему в действительности не была оказана.
Присвоение псевдонимов
Еще одной разновидностью идентификаторов пациента являются псевдонимы. С их помощью повышается степень защиты персональной медицинской информации при сохранении связи между случаями оказания медицинской помощи. Псевдонимы могут применяться при передаче медицинской информации в целях
www.idmz.ru
гола, N=2
проведения научных работ и при анонимном оказании медицинской помощи. Различные аспекты присвоения псевдонимов рассматриваются в технической спецификации Международной организации по стандартизации [7].
Заключение
Из сказанного можно сделать следующие выводы:
— не столь важен состав или тип идентификатора пациента, сколько процесс его жизненного цикла (присваивание, аннулирование, применение);
— в регистрах пациентов или застрахованных лиц неизбежно присутствуют дубликаты и коллизии, необходимы постоянно действующие человеко-машинные процедуры их выявления и разрешения;
— уникальные национальные идентификаторы не могут полностью вытеснить местные идентификаторы пациентов;
— при решении задачи долговременного накапливания медицинской информации необходимо использовать домены перекрестной идентификации;
— многие аспекты присваивания и применения идентификаторов пациентов уже нашли свое отражение в международных стандартах.
ЛИТЕРАТУРА
1. Bryan R.M. Manning. Human identities. ISO/TC215/WG1/N185. — http://www.iso.org.
2. ISO/TS 22220:2009 Health Informatics — Identification of subjects of health care.— http://www.iso.org
3. prCEN/TR 15872 Health informatics — Guidance on patient identification and cross-referencing of identities. — http://www.cen.eu/cenorm/homepage.htm
4. IHE IT Infrastructure Technical Framework, Volume 1 (ITI TF-1): Integration Profiles, Revision 6.0 — Final Text, August 10, 2009. — http://www.ihe.net.
5. Patient identification errors from failure to use or check ID numbers correctly.— Quarterly Data Summary 10 England, http://www.nrls.npsa.nhs.uk/resources/collec-tions/quarterly-data-summaries/?entryid45=59854.
6. NHS Number Programme Implementation Guidance. December 2008.— http://www.isb.nhs.uk/docs/instantations/nhs-number.
7. ISO/TS 25237:2008 Health informatics — Pseudonymization.— http://www.iso.org.
■ ■ ■ ■ ■ ■■ ■ ■ ■ ■■■ ■ ■ ■ ■■ ■ ■ ■■■ ■ ■ ■ ■ 29 ■
