德国癌症登记与医保数据隐私保护链接新方法：DigiNet研究证实IV期非小细胞肺癌真实世界研究可行性

《Journal of Cancer Research and Clinical Oncology》：Concept and feasibility of privacy-preserving record linkage of cancer registry data and claims data in Germany: results from the DigiNet study on stage IV non-small cell lung cancer

本研究针对德国癌症登记数据与医保结算数据因隐私保护限制难以在个体层面链接的问题，开发并验证了一种基于法定医疗保险号（KVNR）加密的隐私保护记录链接（PPRL）方法。通过E-PIX?软件实现不可逆加密，由独立可信第三方完成链接，在DigiNet研究的IV期非小细胞肺癌（NSCLC）人群对照群组中实现94.2%的高匹配率。该方法为肿瘤健康服务研究提供了安全可靠的数据整合方案，具有重要示范意义。

　　

在德国，肺癌是第三大常见癌症和最主要的癌症死因，2020年新增56,690例病例并导致44,817例死亡。更令人担忧的是，57%的肺癌患者在初诊时已处于转移性IV期，其一年生存概率不足35%。近年来，非小细胞肺癌（NSCLC）的系统性治疗策略已从传统的统一化疗方案发展为更加个性化的精准医疗模式，显著改善了患者预后和生活质量。

随着可靶向基因突变发现的增多（德国约30%的NSCLC患者携带可靶向基因改变），靶向治疗的应用为晚期NSCLC患者带来了新的希望。然而，个性化医疗的实施仍面临诸多挑战：领域快速发展、可操作突变谱系不断扩大以及治疗决策日益复杂化。其直接后果是，并非所有德国晚期NSCLC患者都能接受全面分子检测以识别所有相关可靶向驱动突变。

在此背景下，德国国家基因组医学网络（nNGM）肺癌项目应运而生，旨在确保所有NSCLC患者都能获得全面基因检测并基于最新科学进展接受癌症治疗。DigiNet研究则建立在nNGM基础结构之上，在柏林、萨克森和北莱茵-威斯特法伦等模型区域，通过数字化手段加强nNGM中心与常规诊疗机构间的协作，进一步优化IV期NSCLC患者的个性化治疗。

DigiNet研究采用前瞻性、对照、非随机、非盲法、多中心队列设计，总时长四年（2021年10月-2025年9月）。干预组基于书面知情同意主动招募，而基于人群的对照组（pCG）则通过参与联邦州癌症登记处的队列匹配确定。为进行健康经济学评估，需要在无特定知情同意的情况下实现癌症登记数据与医保数据的病例特异性链接，这对隐私保护提出了极高要求。

研究人员开发了一种隐私保护记录链接（PPRL）概念，确保无法推断个体身份。该方法基于在数据持有机构内部对法定医疗保险号（KVNR）进行不可逆加密，使用公开可用软件的特定研究配置。关键技术环节包括：在各数据持有机构安装本地E-PIX?实例；使用随机哈希和布鲁姆过滤器生成链接密钥；由独立可信第三方（TTP）执行链接并移除链接密钥；采用Cryptshare进行加密数据传输。

研究通过癌症登记处的队列匹配，识别出2022年6月至2024年3月期间诊断的9,597例IV期NSCLC pCG病例。其中1,437例（15.0%）由三家参与研究的法定医疗保险机构覆盖，符合PPRL条件。最终，94.2%（1,354例）的患者成功实现癌症登记数据与医保数据链接。可信第三方基于加密标识符执行链接，移除链接密钥后向评估方提供数据。

主要研究结果

队列匹配与病例筛选：通过严格的流程筛选，从初始13,193例IV期NSCLC患者中排除干预组和nNGM对照组病例，最终确定9,597例构成基于人群的对照组。

PPRL工作流程实施：研究分两阶段实施PPRL流程。第一阶段在各数据持有机构内生成链接密钥，第二阶段由可信第三方完成数据链接与伪匿名化处理。

链接成功率分析：总体匹配率达到94.2%，各癌症登记处与医保机构间的匹配率稳定在93.6%-97.8%之间，证明该方法在不同机构间具有良好一致性和可靠性。

E-PIX?软件配置细节：采用随机哈希方法将KVNR分割为二元语法（bigrams），通过预定义种子值的伪随机数生成器确保各方计算方式一致，再生成平衡布鲁姆过滤器防止重新识别。

未匹配病例分析：83例目标人群病例未能成功匹配，可能原因包括筛选标准差异（治疗地点与居住地不一致）、医保提供商变更或社会救助报销等情况。

本研究成功证明了在真实世界肿瘤学研究环境中实现癌症登记数据与医保数据隐私保护记录链接的可行性。与以往基于概率链接的方法相比，这种基于KVNR的精确PPRL方法结合了确定性链接的精度与不可逆加密的隐私保护优势，有效解决了数据保护关切和技术限制。

该方法的主要优势在于：确保识别数据的机密性；实现精确链接；采用安全加密程序；限制加密知识传播；由独立可信第三方执行链接与伪匿名化；链接完成后立即不可逆删除映射关系。这些特性使其特别适用于需要安全、基于标识符链接而无须披露个人标识符的研究场景。

从实践角度看，该研究的成功实施为德国乃至国际类似研究提供了可转移的蓝图。使用公开可用的E-PIX?软件解决方案意味着其他研究团队可以复制该方法，而无需依赖专有技术或特定机构的基础设施。同时，研究也强调了早期规划、多方协调和测试运行的重要性，这些经验对未来类似项目具有重要参考价值。

研究的局限性主要在于对KVNR可用性和准确性的依赖，以及需要各参与方具备相应的IT基础设施支持。对于AOK数据，因WIdO仅存储伪匿名化数据且无法访问PII，需采用研究所特定的加密算法，这也凸显了在不同机构环境下实施统一方法的挑战。

总体而言，DigiNet研究开发的精确PPRL程序在保持高水平数据隐私保护的同时，为癌症护理的病例特异性评估（如成本效益分析或指南依从性评估）提供了可行路径。该方法可推广至其他使用唯一识别变量（如个人身份号码）的真实世界数据源场景，对推动肿瘤学健康服务研究具有重要意义。