孫劍華

摘 要：醫(yī)療記錄具有隱私的特性，在計算機廣泛應(yīng)用的當今社會，有必要對這種隱私權(quán)的保護加以關(guān)注。在這種背景下，文章首先探討了醫(yī)學計算機資料庫隱私權(quán)保護的意義，進而分析了醫(yī)學計算機資料庫隱私權(quán)保護的技術(shù)應(yīng)用。

關(guān)鍵詞：醫(yī)學；計算機；資料庫；隱私權(quán)；保護技術(shù)

1 醫(yī)學計算機資料庫隱私權(quán)保護的意義

醫(yī)療數(shù)據(jù)庫紀錄著個人基本數(shù)據(jù)及病歷數(shù)據(jù)，具有極高的研究價值，可作為公共衛(wèi)生與臨床研究的素材，對整個社會有許多正面的貢獻。由于醫(yī)療數(shù)據(jù)庫紀錄著個人基本數(shù)據(jù)及病歷數(shù)據(jù)，數(shù)據(jù)敏感度高，若數(shù)據(jù)庫外泄，因個人隱私受侵犯所帶來的損失也會提高。因此，醫(yī)院信息部門在公開醫(yī)療數(shù)據(jù)庫時，往往針對使用者的需求采取不同程度的安全措施。目前學界使用醫(yī)療數(shù)據(jù)庫所進行的研究主題，大多需要使用病患個人身份的基本數(shù)據(jù)，包括性別、出生日期、地理分布、就診科別、就診日期及費用等，然而，當資料可以更方便地被搜集與匯整時，使用者便可能因此推論出額外的信息，導致特定個體的隱私遭到損害，特別是醫(yī)療數(shù)據(jù)庫內(nèi)容大多包含了病患極為隱私且不愿被隨意泄露的投保及就醫(yī)紀錄。目前世界各國大多制訂醫(yī)療信息隱私及醫(yī)療信息安全保護的相關(guān)法規(guī)來規(guī)范醫(yī)療照護者的保密義務(wù)， 如美國國會在1996年8月通過了健康保險可移植性與責任法案，其中規(guī)范了信息安全性與機密性、符合保護個人隱私的需求，并明定信息系統(tǒng)應(yīng)有的安全機制。

隨著網(wǎng)絡(luò)的普及，人們可以輕易取得公眾人物的生日，而媒體詳細的報道特定人物的健康及就醫(yī)信息，包括：疾病名稱、就診日期及就醫(yī)地點等，也可能被有心人士加以利用，成為從醫(yī)療數(shù)據(jù)庫中辨識特定身份的信息來源。當特定身份人士的健康信息被泄漏，它可能成為政治立場相對立的一方攻擊的焦點；當特定疾病的病患清單流入藥廠時，它可能成為業(yè)務(wù)員推銷藥品的對象；當病患過去的健康紀錄被保險業(yè)者取得時，保險公司可能重新評估被保險者的風險；有些病癥可能是社會上的忌諱話題，例如：愛滋病、個人濫用藥物、精神疾病等，醫(yī)療紀錄若缺乏隱私將可能導致失業(yè)、受歧視、身份被盜用或發(fā)生其他令人難堪的情況。因此，應(yīng)尋找一個平衡點，使得資料庫中關(guān)于個人隱私或是對特定個體產(chǎn)生負面影響的信息得到合理的保護，在個人隱私不被侵犯的前提之下，盡量滿足公眾利益的所需，同時避免有心人士利用這些敏感信息，造成其他個體的傷害。相較于健保資料庫，醫(yī)院的電子病歷屬于第一手資料，其包含更詳細且完整的病歷資料，以自費身份就醫(yī)的紀錄亦保留在其中。因此，有必要針對醫(yī)療數(shù)據(jù)庫的隱私權(quán)保護技術(shù)進行探討，了解各字段相互間的安全屬性，在不影響現(xiàn)有的信息處理流程下，制訂一套匿名化分類系統(tǒng)以兼顧醫(yī)療信息質(zhì)量及病患的隱私。

2 醫(yī)學計算機資料庫隱私權(quán)保護的技術(shù)應(yīng)用

2.1 匿名化分類

匿名化分類（Anonymizing Classification）是指將識別個人身份的基本資料中特定字段（如生日、性別）模糊化后，再將該字段具有相同屬性（attribute）的記錄（record）連結(jié)成同一群組（cluster）。分類后的每一群組稱為一個bin，每一個bin里至少需包含的紀錄數(shù)量稱為bin size，為避免資料因具獨特性被辨識出來，bin size必需大于1。Bin size被廣泛使用于衡量數(shù)據(jù)的安全性，bin size越高，具有相同屬性的紀錄越多，每筆數(shù)據(jù)都受到同一個bin 中其它數(shù)據(jù)的保護，數(shù)據(jù)模糊的程度也因此提高，所以bin size的設(shè)定需參照數(shù)據(jù)的精確度，避免一昧要求安全性而使數(shù)據(jù)失真。

依照字段屬性可分成辨識碼屬性、類別屬性、日期屬性、數(shù)值屬性、天數(shù)屬性五類，分別包含的字段如下。一是辨識碼屬性（nom.）：用以辨識個人身份的編碼，不具有樹狀結(jié)構(gòu)。這類屬性包含的字段為數(shù)據(jù)庫流水號、身份證編號、就醫(yī)序號、慢性病連續(xù)處方箋號碼、醫(yī)師身份證號碼、藥師身份證號碼、姓名、病歷號、醫(yī)師代號、門診號、醫(yī)院代碼。二是類別屬性（cat.）：具有階層樹狀結(jié)構(gòu)的的類別屬性字段。此類屬性包含的字段包括門診處方及治療數(shù)據(jù)格式、申報類別、案件分類、特定治療項目代號、就醫(yī)科別、給付類別、部分負擔代號、轉(zhuǎn)入前之院所代號、是否轉(zhuǎn)出、國際疾病分類碼、主手術(shù)代碼、調(diào)劑方式、診察費項目代號、藥事服務(wù)費項目代號、代辦費用代碼及本院科別。三是日期屬性（date）：為年、月、日格式的屬性字段，包含的字段為費用年月、就醫(yī)日期、治療結(jié)束日期及出生日期。四是數(shù)值屬性（cont.）：醫(yī)療數(shù)據(jù)庫中數(shù)值屬性的字段以醫(yī)療費用為主，包含用藥金額、診療金額、診察費、藥事服務(wù)費、合計金額、部分負擔、申請金額、代辦費用、檢驗費用及檢驗部分負擔。五是天數(shù)屬性（days）：由于醫(yī)療數(shù)據(jù)庫特有“用藥日份”紀錄，其本質(zhì)不同于費用或其它數(shù)值變量，因此獨立成另一屬性，此類屬性包含的字段為給藥日份及慢性病處方日份。

2.2 系統(tǒng)設(shè)計與績效評估

在評估醫(yī)療數(shù)據(jù)庫字段特性的基礎(chǔ)上，可為不同特性字段建立不同保護方法。一是“辨識碼”屬性字段：有關(guān)匿名化分類的文獻中，對“辨識碼”屬性字段的處理方法大多以隱藏的方式進行保護，但在醫(yī)療數(shù)據(jù)庫中，能夠完全辨識個人身份的“身份證號碼”經(jīng)常是實踐中進行數(shù)據(jù)庫匯整時使用來串聯(lián)兩個數(shù)據(jù)庫的關(guān)鍵字段，因此系統(tǒng)應(yīng)仿效健保數(shù)據(jù)庫以隨機數(shù)編碼對辨識碼屬性字段進行加密保護。二是非“辨識碼”屬性字段：受保護字段的樹狀結(jié)構(gòu)是匿名化分類基礎(chǔ)，除辨識碼字段外，其余四種屬性的字段皆具有不同特性，因而應(yīng)將根據(jù)該四種屬性字段特性設(shè)計適當?shù)臉錉罱Y(jié)構(gòu)。

為了評估系統(tǒng)效能，應(yīng)根據(jù)所建立的各字段樹狀結(jié)構(gòu)與績效評估指針，實作匿名化分類系統(tǒng)，這可以匿名化分類后的數(shù)據(jù)的“安全性”與“精確度”來評估系統(tǒng)的績效。一是為評估建立的樹狀結(jié)構(gòu)，使用者可與衛(wèi)生部門原始資料分類進行比較，使用兩者的樹狀結(jié)構(gòu)進行相同的匿名化分類方法及設(shè)定相同的bin size后，以數(shù)據(jù)精確度指針評量匿名化分類后的信息質(zhì)量；二是為評估設(shè)計的績效指標，使用者可與Datafly算法進行比較，評量兩者使用不同績效指標所挑選的字段進行模糊化后，數(shù)據(jù)精確度及安全性的差異。

參考文獻

[1]王苑菲.嚴格病案質(zhì)量管理 確保病案的真實性[J].中國病案，2008（5）.

[2]朱俊軍，楊業(yè)發(fā)，潘春華.病歷復印情況統(tǒng)計與分析[J].中國病案，2008（4）.

[3]鄭筠，歐利民，楊佩璇，等.病案社會化利用存在問題的現(xiàn)狀調(diào)查[J].中國醫(yī)院管理，2008（11）.endprint