Læknablaðið - 15.09.1998, Síða 48

664
LÆKNABLAÐIÐ 1998; 84
Mynd 1. Yfirlit yfir núverandi vinnuferli íslenskrar erfðagreiningar. Lœknar senda lista með kennitölum (KT) sjúklinga til tilsjón-
armanns Tölvunefhdar (1). Tilsjónarmaðurinn býr til dulkóðuð persónunúmer (PN) úr kennitölunum og sendir til íslenskrar erfða-
greiningar (2). íslensk erfðagreining sendir til baka lista yfir þá sjúklinga sem fyrirtœkið óskar að fá til rannsóknar. Tilsjónarmað-
urinn afkóðar listann og sendir til lœknanna, sem leita samþykkis sjúklinganna við þátttöku í rannsókninni. Einnig býr tilsjónar-
maðurinn til sérstakt tengiblað með nafni og kennitölu á efri hluta, en persónunúmeri og auðkennismerki sýnis á strikamerktu
formi á neðri hluta (3). Blaðið er sent til lœknanna sem taka blóðsýni og merkja sýnin og neðri hluta tengiblaðsins með sama
strikamerkinu áður en þau eru send til rannsóknar hjá íslenskri erfðagreiningu (4). Þannig er orðið til nafnleyndarkerfi sem er
strangara en þekkist í sambœrilegum rannsóknum.
yrðu svo send til sérstakrar
miðlægrar dulkóðunarstofn-
unar. Auðvelt er að tryggja ör-
yggi slíks gagnaflutnings með
svipuðum aðferðum og bank-
ar nota til samskipta á alnet-
inu, til dæmis með SSL
(Secure Socket Layer) sem
byggir á tveggja lykla dulkóð-
un. Dulkóðunarstofnunin væri
í umsjá þriðja aðila, til dæmis
landlæknisembættisins, og þar
færi fram dulkóðun á öllum
persónueinkennum sem áður
hefur verið nefnd. Sömuleiðis
færi þar fram afrúnnun á dag-
setningum og upplýsingum
sem þykja sérstaklega við-
kvæmar, svo sem fæðingar-
degi, þar sem hnika mætti til
ári. IE fengi svo send gögnin
frá dulkóðunarstofnuninni, til
dæmis í gegnum SSL, og
myndi síðan dulkóða gögnin
enn á ný, nú með eigin lykli.
Þetta myndi fyrirbyggja að
notendur gagnagrunnsins gætu
með nokkrum hætti komist
yfir lykil að dulkóðanum á
einum stað. Þetta myndi einn-
ig tryggja að ekki væri mögu-
legt fyrir neina aðila að beita
dulkóðunarstofnunina þrýst-
ingi til þess að afhjúpa nafn-
leyndina. Það myndi létta af
henni ákveðinni ábyrgð í þeim
efnum og tryggja gögnin enn
frekar.
Nafntengdur ættfræði-
grunnur væri einnig geymdur
utan IE á læstu formi og fyrir-
tækinu bærust einungis ætt-
fræðigögn í gegnum dulkóð-
unarstofnunina. Aðgangur að
ættfræðigrunninum væri háð-
ur aðgangsheimildum. Að-
skilnaður gagna af þessu tagi
kemur í veg fyrir möguleika
sem sumir hafa gagnrýnt, það
er að brjóta nafnleynd með
samkeyrslu dulkóðaðra og
nafntengdra ættfræðigagna.
Með samspili dulkóðunar og
aðskilnaðar á gögnum má því
útiloka möguleika á því að
keyra út lista með viðkvæmum
upplýsingum um hóp manna
og þar með stórtækri misbeit-
ingu gagnagrunnsins.
Eftir stendur að vegna hins
mikla upplýsingamagns í mið-
lægum gagnagrunni gæti
óheiðarlegur notandi hugsan-