MX2007016358A

MX2007016358A - Sistema y metodo para la proteccion y des-identificacion de datos de asistencia medica.

Info

Publication number: MX2007016358A
Application number: MX2007016358A
Authority: MX
Inventors: Steven E Stevens; Andrew E Kress; Adam Dublin
Original assignee: Sdi Health Llc
Priority date: 2006-12-18
Filing date: 2007-12-18
Publication date: 2009-02-23
Also published as: US9355273B2; EP1939785A3; EP2953053B1; EP1939785B1; CA2615292A1; EP1939785A2; US20080147554A1; HK1120316A1; EP2953053A1; CA2615292C

Abstract

Un sistema para proteger y des-identificar datos de asistencia médica incluyen un dispositivo de almacenamiento para almacenar los datos de asistencia médica y la información personalmente identificable para una persona y un procesador en comunicación con la base datos. El procesador genera un código de enlace anónimo utilizando una función de condensación digitada y una segunda función de condensación. El código de enlace anónimo basado al menos en parte en una porción de la información personalmente identificable. El procesador además anexa el código de enlace anónimo a los datos de asistencia médica para la persona.

Description

SISTEMA Y METODO PARA LA PROTECCION Y DES-IDENTIFICACION DE DATOS DE ASISTENCIA MEDICA CAMPO DE LA INVENCION La presente invención se refiere a un sistema y a un método para proteger datos. En particular, la presente invención se refiere a un sistema y un método para proteger datos de asistencia médica, purgar los datos de la información identificable del paciente, y asociar los datos de asistencia médica de la misma persona. ANTECEDENTES DE LA INVENCION Una creciente cantidad de datos de asistencia médica del paciente con referencia a la enfermedad y tratamiento se están capturando y registrando electrónicamente. Por ejemplo, el proveedor de asistencia médica puede electrónicamente someter los datos de asistencia médica con el propósito de recibir el pago de los servicios prestados. Los datos generalmente fluyen desde el proveedor de asistencia médica a una cámara de compensación o un proveedor de intercambio de datos electrónicos y servicios relacionados. Los datos de asistencia médica sometidos pueden incluir códigos estandarizados para describir el diagnóstico hecho, los servicios llevados a cabo o los productos utilizados . Ya que los datos del paciente con referencia a la enfermedad y tratamiento se hacen más ampliamente registrados Ref. 188900 y disponibles, los datos de enlace para pacientes individuales de diferentes fuentes de datos creadas en diferentes momentos podrían ser ventajoso, por ejemplo, cuando un investigador necesita estudiar ciertas variables, tales como los diagnósticos del paciente, procedimientos llevados a cabo, o fármacos prescritos. Sin embargo, el Acta de Portabilidad y Contabilidad de Seguros Médicos de 1996 (HIPAA, por sus siglas en inglés) restringe a las entidades cubiertas bajo HIPAA a partir de la información de salud protegida descrita ("PHI", por sus sigla en inglés). La descripción de PHI se regula porque sus datos de asistencia médica con información identificable personalmente ("PII", por sus siglas en inglés). Muchas fuentes de datos podrían considerarse como entidades cubiertas porque las fuentes de datos producen información que pueden contener PHI, y la PHI se cree está asociada con la PII y puede utilizarse para positivamente identificar una persona. Dicha información que contiene la PII y concerniente a la privacidad individual están estrictamente protegidas por la HIPAA. Bajo la HIPAA, las entidades cubiertas no pueden describir la PII a terceros, excepto en circunstancias limitadas, tales como otras entidades autorizadas para propósitos de facturación. De esta forma, los datos de la asistencia médica utilizados por entidades no cubiertas para investigación, análisis, y/o reporte de necesidades a ser des-identificadas de tal forma que los datos ya no se consideran PH. En consecuencia, los identificadores directos, tales como nombres, elementos de direcciones (excepto códigos postales si cubren una población lo suficientemente grande) , fechas de nacimiento, números de seguro social, números de pólizas de seguros, números de licencias, o cualquier otro identificador único que permitan la identificación del paciente, deben eliminarse. De esta forma, los investigadores están limitados a datos que pueden no incluir una variable deseada particular, tal como la prevalencia de una enfermedad particular en un área particular debido a cualquier dato demográfico, aún identificadores indirectos, anexados a los datos del paciente des-identificados incrementa el riesgo de identificar a un individuo. Como resultado, los investigadores están limitados a datos sin variables demográficas relevantes que ellos podrían desear estudiar. De esta forma bajo la HIPAA, los datos de asistencia médica transmitidos a través de las entidades cubiertas deben des-identificarse de tal forma que ya no contengan PH. La HIPAA estipula dos métodos para desidentificar datos. El primer método se basa en la provisión de un hospedaje seguro, que dirige la remoción de 18 identificadores enumerados, tales como, nombre, subdivisión geográfica más pequeña que un estado, fechas directamente relacionadas con un individuo, números telefónicos, números de fax, direcciones de correo electrónico, números de seguro social, números de registros médicos, números de beneficiarios del plan de salud, números de cuenta, números de certificado/licencia, identificadores de vehículos y números, identificadores de dispositivo y números seriales, localizadores de recursos universales web, números de direcciones de protocolo de Internet, identificadores biométricos, imágenes fotográficas de cara completa y comparables, y otros identificadores únicos. El segundo método se basa en la des-identificación estadística. Una entidad cubierta bajo la HIPAA puede determinar que la información de salud no es información de salud identificable individualmente solamente si una persona con un conocimiento apropiado y experiencia con estadísticas generalmente aceptadas y principios científicos y métodos para presentar información individualmente no identificable, aplicando dichos principios y métodos, (1) determina que el riesgo es muy pequeño y la información podría utilizarse, sola o en combinación con otra información razonable disponible, a través de un receptor anticipado para identificar un individuo que es el sujeto de la información, y (2) documentar los métodos y resultados del análisis que justifican dicha determinación, como se describe en la certificación "HIPAA para la Tecnología de Des-identificación SDI" de Frits Scheuren, Ph. D. y Patrick Baier, D. Phil, fechada el 4 de junio de 2007. Como se describió por Sheuren y Baier, los métodos conocidos anexan información adicional a los datos de pacientes des-identificados . Un método adiciona información adicional en una forma no especifica tal como con el código postal u otra información de agrupamiento , como se explica en "Descripción de la Técnica Relacionada" en la Publicación de la Solicitud de Patente de E. U. A. No. 2004/0199781, intitulada "Data Source Privacy Screening Systems and Methods", por Ericsson y otros. Otro método anexa solamente variables limitadas con el fin de minimizar el riesgo de identificación, como se explicó en la Publicación de Solicitud de Patente de E. U. A. No. 2004/0199781. Las desventajas de estos métodos son que (1) asumen que todos los individuos en un grupo particular comparten las mismas características anexadas, (2) limitan el número de variables discretas que pueden incluirse en cualquier análisis, (3) requieren un muy alto grado de supervisión y revisión a través de un estadista aprobado, y/o (4) llevan el riesgo de la re-identificación, cuando la parte que controla los datos fusionados puede tener suficientes datos disponibles para posiblemente re-identificar un individuo en violación de la HIPAA a través de la combinación de los datos con variables demográficas u otras variables disponibles.

De esta forma, continúa la necesidad de un sistema y un método que permitan la asociación de los datos de asistencia médica del paciente de diferentes fuentes en diferentes momentos pero evita el uso la PII que puede utilizarse para identificar al paciente. BREVE DESCRIPCION DE LA IKíVEHCIOKf Por consiguiente, un aspecto de la presente invención es proporcionar un sistema y un método para la protección y des-identificación de los datos de asistencia médica. Otro objeto de la presente invención es correlacionar los datos de asistencia médica des-identificados para un paciente particular a partir de varias fuentes de datos sin utilizar la PII que se puede utilizar para identificar al paciente . Una modalidad de la presente invención proporciona un sistema para proteger y des-identificar los datos de asistencia médica. El sistema incluye un dispositivo de almacenamiento para almacenar los datos de asistencia médica y la información personalmente identificable para una persona; y un procesador en comunicación con la base de datos, el procesador genera un código de enlace anónimo utilizando una función de comprobación aleatoria digitada y una segunda función de comprobación aleatoria, el código de enlace anónimo con base por lo menos en parte en una porción de la información personalmente identificable, el procesador además anexando el código de enlace anónimo a los datos de asistencia médica para la persona. Otra modalidad de la presente invención proporciona un sistema para proteger y des-identificar los datos de asistencia médica. El sistema incluye por lo menos una fuente de datos capaz de generar un código de enlace anónimo utilizando una función de comprobación aleatoria digitada y una segunda función de comprobación aleatoria, el código de enlace anónimo con base por lo menos en parte en una porción de la información personalmente identificable, la al menos una fuente de datos capaz de transmitir los datos de asistencia médica con el código de enlace anónimo anexo a los datos de asistencia médica; y un almacén de datos capaz de recibir los datos de asistencia médica con el código de enlace anónimo anexado y almacenar los datos de asistencia médica con el código de enlace anónimo anexado, el almacén de datos asocia los datos de asistencia médica recibidos con los datos de asistencia médica almacenados comparando los códigos de enlace anónimos anexos . Aún otra modalidad de la presente invención proporciona un método para proteger y des-identificar los datos de asistencia médica. El método incluye los pasos de: utilizar una función de comprobación aleatoria digitada para convertir una porción de la información personalmente identificable en una primera salida; utilizando una segunda función de comprobación aleatoria para convertir la primera salida en un código de enlace anónimo; anexar el código de enlace anónimo a los datos de asistencia médica; y remover la información personalmente identificable de los datos de asistencia médica. Aún otra modalidad la presente invención proporciona un sistema para proteger y des-identificar los datos de asistencia médica. El sistema incluye un módulo de recuperación de datos que recibe los datos de asistencia médica y su información personalmente identificable asociada; un módulo de extracción y codificación en comunicación con el módulo de recuperación de datos, el módulo de extracción y codificación extrae las porciones de la información personalmente identificable para forman un código de enlace anónimo y codificar las porciones de la información personalmente identificable ; un módulo de encadenamiento en comunicación con el módulo de extracción y codificación, el módulo de encadenamiento enlaza juntas en una secuencia predeterminada las porciones de la información personalmente identificable; un primer módulo de función de comprobación aleatoria en comunicación con el módulo de encadenamiento, el primer módulo de la función de comprobación aleatoria captura las porciones de la información personalmente identificable en una primera función de comprobación aleatoria que convierte las porciones de la información personalmente identificable en una primera salida; un segundo módulo de función de comprobación aleatoria en comunicación con el primer módulo de función de comprobación aleatoria, el segundo módulo de la función de la información parásito captura la primera salida en una segunda función de comprobación aleatoria que convierte la primera salida en un código de enlace anónimo; un módulo de des-identificación en comunicación con el segundo módulo de la función de comprobación aleatoria, el módulo de des-identificación anexa el código de enlace anónimo a los datos de servicios médicos y sustancialmente elimina la información personalmente identificable de los datos de asistencia médica; una codificación para el módulo de transmisión en comunicación con el módulo de des-identificación, la codificación para que el módulo de transmisión codifique la transmisión de los datos de asistencia médica y el código de enlace anónimo anexado; un módulo de transmisión de datos en comunicación con la codificación para el módulo de transmisión, el módulo de transmisión de datos transmite los datos de asistencia médica codificados y el código de enlace anónimo anexado en la trayectoria de los datos; la trayectoria de los datos en comunicación con el módulo de transmisión de datos; un módulo de recepción de datos en comunicación con la trayectoria de datos, el módulo de recepción de datos recibe los datos de asistencia médica codificados y el código de enlace anónimo anexado desde la trayectoria de los datos; un módulo de descodificación en comunicación con el módulo de recepción de datos, el módulo de descodificación descodifica los datos de asistencia médica codificados y el código de enlace anónimo anexado; un módulo de enlace del paciente en comunicación con el módulo de descodificación, el módulo de enlace del paciente enlaza los datos de asistencia médica relacionados con la misma persona; y un módulo para la creación del reporte en comunicación con el módulo de descodificación, el módulo de creación de reporte dando salida al reporte con base en los datos de asistencia médica. Otros objetos, ventajas y características salientes de la invención serán evidentes a partir de la siguiente descripción detallada, la cual, tomada en conjunción con las figuras anexas, describe una modalidad preferida de la presente invención. BREVE DESCRIPCIOB? DE ?AS FIGURAS Una más completa apreciación de la invención y muchas de las ventajas de la misma serán fácilmente obtenidas según la misma se entiende mejor a través de la referencia en la siguiente descripción detallada cuando se considera en conexión con las figuras anexas, en donde: La Figura 1 es un diagrama de bloque de un sistema para proteger y des-identificar los datos de asistencia médica de acuerdo con una modalidad ilustrativa de la invención; La Figura 2 es un diagrama de flujo que muestra las operaciones llevadas cabo por los módulos del sistema ilustrados en la Figura 1; La Figura 3 es un diagrama de flujo de un método para proteger y des-identificar los datos de asistencia médica de acuerdo con una modalidad ilustrativa de la invención; La Figura 4 es un reporte de ejemplo originado por el sistema ilustrado en la Figura 1; y La Figura 5 es un diagrama de flujo que muestra cómo los datos de asistencia médica se manipulan a través del sistema ilustrado en la Figura 1. DESCRIPCION DETALLADA DE LA IIWENCXQBfl Haciendo referencia a las Figuras 1-5, la presente invención proporciona un sistema y un método para proteger y des-identificar datos de asistencia médica sujetos a la HIPAA convirtiendo los elementos de la PII en un código de enlace anónimo que protege la anonimidad del individuo asociado con los datos de asistencia médica. El código de enlace anónimo es aceptado por la HIPAA y permite la identificación de un individuo único mientras se conserva la anonimidad del individuo a través de la formación del código de enlace anónimo a partir de porciones predeterminadas la PII y reemplazo de la PII con el código de enlace anónimo. Los datos de asistencia médica se "des-identifican" a través de la remoción de toda la información considerada como siendo la PH. El código de enlace anónimo después se anexa a los datos de la asistencia médica. El código de enlace anónimo permite el enlace o asociación de los datos de asistencia médica para una persona particular aún cuando los datos de asistencia médica no tengan identificadores directos, vengan de diferentes fuentes de datos, y se crean en diferentes momentos. Los datos des-identificados con el código de enlace anónimo anexo se envían a un almacén de datos que pude unir varios archivos de datos al nivel específico del paciente des-identificado . En el almacén de datos, el código de enlace anónimo puede reemplazarse con o aumentarse a través de una etiqueta de indexación. Al reemplazar el código de enlace anónimo, el cual se basa en porciones la PII, con la etiqueta de indexación, los datos de asistencia médica sustancialmente se des-identifican porque no contienen la PII, y el código de enlace anónimo, el cual se basa en porciones de la PII, se reemplaza por la etiqueta de indexación. Los datos después se pueden enlazar (es decir, asociarse con otros datos relacionados con la misma persona) y agruparse sin utilizar la PII, o cualquier dato basado en la PH. Los resultados después se devuelven al origen de los datos, el cual puede reemplazar el código de enlace anónimo con la PH.

De otra forma, la presente invención evita que una entidad que ha des-identificado datos que están sujetos a la HIPAA deberán tener datos específicos relacionados con un individuo. La presente invención también evita que una parte que tiene datos relacionados con un individuo también tenga datos de la HIPAA a un nivel específico de individuo. Al proporcionar datos en dicha forma, la presente invención minimiza el riesgo de la reidentificación individual, mientras permite el uso de información demográfica altamente específica y otra información en combinación con los datos sujetos a la HIPAA. Haciendo referencia a la Figura 1, se proporciona un sistema 10 para proteger y des-identificar datos de asistencia médica. El sistema 10 incluye, por lo menos, una fuente de datos 100 y un almacén de datos 200. La fuente de datos 100 incluye una interfaz de usuario 102, una base datos 108, un procesador 110, y datos de asistencia médica 112. La fuente de datos 100 se puede localizar en la oficina del médico, un hospital, una farmacia, un laboratorio, una aseguradora de salud, un consultorio, o cualquier otra instalación similar en donde los datos de asistencia médica se recolectan, reciben, proporcionan, o crean. La fuente de datos 100 es preferiblemente provista en cualquier instalación que se considera como siendo una entidad cubierta bajo la HIPAA .

La HIPAA regula los datos de asistencia médica 112 si contienen la PHI . La descripción de la PHI se regula porque contiene la PH. Los datos de asistencia médica 112 son datos que pertenecen a la salud, condición, enfermedad, tratamiento, y otra información similar de una persona en particular que se identifica por la PH. Los datos de asistencia médica 112 pueden incluir, pero no se limitan a, diagnósticos, información de la visita del paciente, datos de fármacos, datos de procedimiento, información específica de la prescripción, datos de laboratorio, alimentación de datos, ordenes de prueba, resultados de pruebas, reportes del consultor, y otros datos similares relacionados con o asociados con la salud de la persona. Los datos de asistencia médica 112 pueden ser provistos en una forma estándar, tal como CMS-1500/837p, CMS-1450/UB-92/UB-04/837Í , NCPDP 5.1, u otras formas similares. Los datos de asistencia médica 112 también pueden incluir códigos estandarizados para describir los diagnósticos hechos, los servicios realizados, los productos utilizados, y otra información relevante. Los datos de asistencia médica 112 pueden ser de demandas de aseguradoras de asistencia médica de farmacias y doctores . Los datos de asistencia médica 112 pueden ser datos provistos directamente para el proveedor de asistencia médica o de datos provistos por una cámara de compensación central, un pagador, administrador de beneficios de farmacia, u otras fuentes similares de datos de asistencia médica 112. La interfaz del usuario 102 está en comunicación con la base de datos 108 y el procesador 110. La interfaz de usuario 112 puede ser un dispositivo de computación de escritorio, portátil, y/o de pantalla sensible al tacto o cualquier otro dispositivo de captura de pantalla e información. Tiene una pantalla 104 y un dispositivo de captura 106. La pantalla 104 puede ser cualquier dispositivo que presente la información al usuario. El dispositivo de entrada 106 puede ser cualquier dispositivo para electrónicamente capturar información en la fuente de datos 100, tal como, pero no limitándose a, un teclado, una pantalla sensible al tacto, un escáner, una cámara digital, u otro dispositivo similar para transmitir información no electrónica en datos electrónicos. La base de datos 108 está en comunicación con la interfaz de usuario 102 y el procesador 110. La base de datos 108 almacena información, tal como la PHI o datos de asistencia médica 112 y su PII asociada. La base de datos 108 puede estar separada del procesador 110 o puede almacenarse en la memoria interna del procesador 110. Aunque solamente se muestra una sola base de datos 108 en la modalidad de la Figura 1, puede ser provista más de una base de datos. Si se proporciona más de una base de datos, cada base de datos separada está preferiblemente en comunicación entre sí, la interfaz del usuario 102, el procesador 110, o cualquier combinación de estos componentes. El procesador 110 está en comunicación con la interfaz de usuario 102 y la base de datos 108. El procesador 110 preferiblemente tiene uno o más de siguientes módulos: un módulo para la recuperación de datos 114, un módulo para la extracción y codificación 116, un módulo de encadenamiento 118, un primer módulo de función de comprobación aleatoria 120, un segundo módulo de información de función de comprobación aleatoria 122, un módulo de des-identificación 124, una codificación para el módulo de transmisión 126, y un módulo de transmisión de datos 128. Cada uno de los módulos descritos en la presente tiene varias sub-rutinas, procedimientos, declaraciones de definición, macros , y otros procedimientos similares. El software es provisto en el procesador 110 para implementar el sistema 10 y un método para la protección y des-identificación de los datos de asistencia médica. El software incluye la programación que modaliza el módulo de recuperación de datos 114, el módulo de extracción y codificación 116, el módulo de encadenación 118, el primer módulo de la función de comprobación aleatoria 120, el segundo módulo de la función de comprobación aleatoria 122, el módulo de des-identificación 124, la codificación para el módulo de transmisión 126, y el módulo de transmisión de datos 128. La descripción de cada uno de los módulos se utiliza en conveniencia para describir la funcionalidad del procesador 110 y el sistema 10 global. De esta forma, los procedimientos que se llevan a cabo a través de cada uno de los módulos pueden redistribuirse a uno de los otros módulos, combinarse juntos en un solo módulo o pueden ponerse disponibles en una colección de enlaces dinámicos compartibles . La Figura 2 es un diagrama de flujo que muestra las operaciones llevadas a cabo por los módulos. La interfaz de usuario 102, la base de datos 108, y el procesador 110 cada uno puede acoplarse al Internet o a una red tal como a una red de área local (LAN, por sus siglas en inglés) , o por una red de área amplia (WAN, por sus siglas en inglés) . El sistema 10 no está limitado a conexiones cableadas sino que puede incluir comunicaciones inalámbricas tales como radiofrecuencia (RF) , 802.11 (WiFi) , Bluetooth o cualquier combinación de trayectorias de comunicaciones de datos. Por ejemplo, la fuente de los datos 100 se puede implementar o incorporar como un solo dispositivo tal como una computadora personal independiente o una PDA o la base de datos 108 se puede colocar en un servidor remoto acoplado al Internet a través de conexiones cableadas con otros componentes localizados contiguos a la comunicación inalámbrica con el Internet. La fuente de los datos 100 reemplaza la PII con un código de enlace anónimo codificado de acuerdo con la HIPAA que permite la identificación de un individuo único mientras se conserva la anonimidad de ese individuo. El código de enlace anónimo se forma de porciones predeterminadas la PII y se anexa al los datos de asistencia médica 112 . Después de los datos de asistencia médica 112 se des-identifican a través de la eliminación de todas las PII en la fuente de los datos 100 antes de que los datos de asistencia médica electrónicos se envíen al almacén de datos 200 . Para describir el sistema 10 y el método para proteger y des-identificar datos de asistencia médica concurrentemente, se hará referencia a la Figura 1 que describe el sistema 10 , la Figura 2 que muestra las operaciones llevadas a cabo por el sistema 10 , y la Figura 3 que es un diagrama de flujo del método. En el paso 602 , los datos de asistencia médica 112 y sus PII asociadas son recibidos. Esto se lleva a cabo en el procesador 110 a través del módulo de recuperación de datos 114 que recupera los datos de asistencia médica electrónicos, incluyendo la PHI y su PII asociada, a partir de la base de datos 108 de la interfaz de usuario 102 , paso 414 . Los datos de asistencia médica 112 se convierten en datos de asistencia médica electrónicos a través del dispositivo de entrada 106 . Enseguida, en el paso 604 del método, las porciones de la PII se extraen para formar un código de enlace anónimo y las porciones extraídas de la PII se codifican. Durante la extracción, las porciones de la PII requeridas para formar el código de enlace anónimo se identifican en los datos de asistencia médica 112 y también pueden dejarse a un lado para convertirse en un código de enlace anónimo. En el procesador 110, el módulo de extracción y codificación 116 extrae las porciones predeterminadas de la PII desde los datos de asistencia médica electrónicos y codifica esas porciones extraídas, paso 416. El módulo de extracción y codificación 116 copia y almacena en la base de datos 108 o en la memoria del procesador 110 las porciones predeterminadas de la PII para convertirlas en un código de enlace anónimo. En la modalidad preferida, después de que las porciones predeterminadas de la PII requeridas para formar el código de enlace anónimo se almacenan en la base de datos 108 o en la memoria del procesador 110, los datos de asistencia médica electrónicos se pueden modificar de tal forma que las porciones predeterminadas de la PII se eliminan de los datos de asistencia médica electrónicos. Para los datos de asistencia médica electrónicos formados de bits, los bits que representan las porciones predeterminadas de la PII son nulos (es decir, la PII es reemplazada con 0 bits de datos) . Las porciones predeterminadas de la PII se utilizan para crear un código de enlace anónimo (hecho en el paso 610) de tal forma que existe una relación funcional o dependencia entre el código de enlace anónimo y la PH. La relación funcional o dependencia permite que se creen los mismos códigos de enlace anónimos a través de fuentes de datos no relacionadas o separadas 100. De esta forma, cada fuente de datos 100 puede ser capaz de crear el mismo código de enlace anónimo porque cada fuente de datos 100 lo crea de las mismas porciones predeterminadas de la PH. Las porciones predeterminadas de la PII pueden ser, por ejemplo, el nombre del paciente, fecha de nacimiento, número de seguro social, alguna otra información de identificación, o cualquier combinación de éstos. Ya que en algunos casos los datos de asistencia médica electrónicos pueden no incluir, por ejemplo, la fecha de nacimiento o el número de seguro social, el código de enlace anónimo se puede derivar de otras porciones disponibles de la PII en los datos de asistencia médica electrónica. Independientemente, el módulo de extracción y codificación 116 extrae las porciones predeterminadas de la PII de los datos de asistencia médica recuperados en el paso 602 a través del módulo de recuperación de datos 114. Después de que las porciones predeterminadas de la PII se extraen a través del módulo de extracción y codificación 116, las porciones predeterminadas extraídas de la PII se codifican. La codificación proporciona una protección adicional a las porciones predeterminadas extraídas de la PH. Cada porción predeterminada extraída de la PII para formar el código de enlace anónimo pueden codificarse individual o colectivamente. La codificación preferiblemente se hace a través de técnicas comunes, tales como sustitución o traducción de carácter, como se describe en la Patente de E. U. A. No. 4,979,832 de Ritter, la descripción de la cual se incorpora aquí por referencia. La codificación también puede completarse a través de un código de bloque, una función de comprobación aleatoria, o cualquier otro método de codificación adecuado. En el paso 606, las porciones extraídas o codificadas de la PII se ensamblan juntas en una secuencia predeterminada. En el procesador 110, el módulo de encadenamiento 108 encadena las porciones de la PII, paso 418. Después de cada porción de la PII ha experimentado la codificación en el módulo de extracción y codificación 116, el módulo de encadenamiento 118 ensambla juntas las porciones codificadas de la PH. Para asegurar que cada fuente de datos 100 cree el mismo código de enlace anónimo desde las mismas porciones predeterminadas de la PII, las porciones de la PII deben secuenciarse apropiadamente en la misma secuencia predeterminada antes de capturarlas en la primera función de comprobación aleatoria en el paso 608. En el paso 608, la extracción, las porciones de la PII predeterminadas apropiadamente secuenciadas , extraídas y codificadas se capturan en la primera función de comprobación aleatoria, paso 420. En el procesador 110, el primer módulo de función de comprobación aleatoria 120 captura las porciones extraídas y codificadas de la PII que han sido enlazadas en la secuencia apropiada en la primera función de comprobación aleatoria, y la primera función de comprobación aleatoria convierte las porciones extraídas, codificadas y apropiadamente secuencias de la PII en una primera salida. La función de comprobación aleatoria es un criptográfico primitivo. Aunque otros criptográficos primitivos, tales como el código de bloque, se pueden utilizar, la función de comprobación aleatoria es preferida porque generalmente no tiene una función inversa que pueda recuperar la entrada de la salida de la función de comprobación aleatoria. La función de comprobación aleatoria mapea una cadena de bits de longitud arbitraria a otra de bits de longitud fija. Las funciones condensadoras incluyen Ripe-MD, Whirpool, Haval, MD4 , MD5 , y el grupo SHA de funciones condensadoras. Preferiblemente, la primera función de comprobación aleatoria es de la familia SHA-2, en particular. SHA-256 que crea condensaciones de 256 bits. La familia SHA de las funciones condensadoras se diseño a través del Instituto Nacional de Estándares y Tecnología y es un Estándar de Procesamiento de Información Federal, como se describe por la Publicación de Estándares de Procesamiento de Información Federal 180-2, fechada el lo. de agosto de 2002.

La Publicación de Estándares de Procesamiento de Información Federal 180-2 también proporciona un algoritmo y ejemplos para la implementación de una función de comprobación aleatoria SHA-256. La primera salida de la primera función de comprobación aleatoria puede ser, pero no se limita a, una cadena de carácter, una cadena de bits, un número n base, o cualquier otra salida de función de comprobación aleatoria adecuada. Preferiblemente, la primera salida es un número hexadecimal . La primera función de comprobación aleatoria también se digita para evitar que se descifre el código de enlace anónimo de regreso a sus porciones predeterminadas constituyentes de la PH. Preferiblemente, una clave que comprende una cadena de caracteres aleatorios se anexa a la primera salida de la primera función de comprobación aleatoria. La clave puede anexarse a las porciones extraídas, codificadas, y apropiadamente secuenciadas de la PII antes de ser codificada por la primera función de comprobación aleatoria. La clave es una cadena de caracteres fijos en donde cada carácter se selecciona aleatoria e independientemente de otros caracteres en la clave. En una modalidad ilustrativa, la clave es una cadena de caracteres fijos de 64 caracteres en donde cada uno de los 64 caracteres se selecciona aleatoriamente a partir del establecimiento de 94 caracteres ASCII no en blanco, imprimibles.

La clave debe protegerse para evitar que el código de enlace anónimo sea descodificado de regreso a las porciones de la PII utilizadas para derivar el código de enlace anónimo. La clave se puede proteger utilizando un tercero independiente para seleccionar la clave, confundiendo la clave en el primer módulo de función de comprobación aleatoria 120, utilizando algoritmos matemáticos para la reconstrucción de la clave cuando la clave es requerida, o cualquier combinación de los anteriores. Alternativamente, la clave puede transmitirse de manera separada antes de utilizarse. Si la clave se transmite, se puede transmitir a través de servicios web, tales como SOAP, que es un protocolo para intercambiar mensajes basados en XML a través de redes de computadora, normalmente utilizando HTTP/HTTPS. En el paso 610, después de que la clave se anexa a la primera salida de la primera función de comprobación aleatoria, la primera salida y la clave se capturan en una segunda función de comprobación aleatoria. En el procesador 110, el segundo módulo de función de comprobación aleatoria 122 captura la primera salida y la clave del primer módulo de función de comprobación aleatoria 120 en la segunda función de comprobación aleatoria que convierte la primera salida y la clave en un código de enlace anónimo, paso 422. La captura de la primera salida y la clave en la segunda función de comprobación aleatoria proporciona una protección adicional a través del uso de dos funciones condensadoras secuencialmente para convertir porciones de la PII en un código de enlace anónimo. La segunda función de comprobación aleatoria es similar a la primera función de comprobación aleatoria y es implementada sustancialmente en la misma forma que la primera función de comprobación aleatoria se implemento. La salida de la segunda función de comprobación aleatoria, es decir, el código de enlace anónimo, puede ser, pero no está limitado, a una cadena de carácter, una cadena de bits, un número n base, o cualquier otra salida de función de comprobación aleatoria adecuada. Preferiblemente, el código de enlace anónimo es una cadena de bits. El código de enlace anónimo puede utilizarse en lugar de la PII y anexarse a los datos de asistencia médica que no son sujetos de los requerimientos de la HIPAA. Enseguida, en el paso 612, el código de enlace anónimo se anexa a los datos de la asistencia médica 112, y cualquier PII remanente se elimina de los datos de asistencia médica 112. En el paso 604, descrito anteriormente, solamente las porciones de la PII requeridas para formar el código de enlace anónimo pueden haber sido eliminadas, de esta forma cualquier porción restante de la PII debe eliminarse de los datos de asistencia médica 112 de tal forma que los datos 112 no serán sujetos a la HIPAA. En el procesador 110, el módulo de des-identificación 124 electrónicamente anexa el código de enlace anónimo a los datos de asistencia médica electrónicos y modifica los datos de asistencia médica electrónicos de tal forma que cualquier PII restante se elimina. El procesador 110 electrónicamente anexa el código de enlace anónimo al final de los datos de asistencia médica electrónicos. De esta forma, para los datos de asistencia médica electrónicos representados por bits, los bits que representan el código de enlace anónimo estarán al final del grupo de bits que representan los datos de asistencia médica electrónicos. En la modalidad preferida, solamente las porciones de la PII requeridas para formar el código de enlace anónimo se eliminan a través del módulo de extracción y codificación 116, de esta forma algunas PII aún puede necesitar ser eliminadas de los datos de asistencia médica. Cualesquiera identificadores directos restantes se eliminarán de los datos de asistencia médica. Los identificadores directos incluyen, por ejemplo, el nombre, algunas partes de la dirección, el número de seguridad social, el número de póliza de seguros, el número de licencia, y otra información de identificación similar. En las modalidades en donde los datos de asistencia médica electrónicos están representados por bits, los bits representan la PII restante que son nulas. Debido a que los datos de asistencia médica electrónicos son datos faltantes que representan la PII eliminada, el módulo de desidentificación también puede cambiar elementos de datos restantes para formar los datos de PII eliminados y faltantes. En la modalidad preferida, el archivo que representa los datos de asistencia médica electrónicos se rescribe en un nuevo archivo que no contiene ninguna PH. En el paso 614, ambos de los datos de asistencia médica sin la PII y su código de enlace anónimo anexado se codifican para la transmisión. En el procesador 110, la codificación para el módulo de transmisión 126 codifica los datos de asistencia médica electrónicos con su código de enlace anónimo anexado para la transmisión, paso 426. Esta codificación adicional antes de la transmisión además protege los datos de asistencia médica electrónicos y su código de enlace anónimo anexado. La codificación antes de la transmisión se puede hacer mediante el uso del Motor de Encubrimiento de Información (ICE, por sus sigla en inglés) , el Estándar de Codificación de Datos (DES, por sus siglas en inglés) , el Estándar de Codificación Avanzada (AES, por sus siglas en inglés) , DES Triple, RC5 , Blowfish, IDEA, DES Nuevo, JAFER, CAST5, FEAL, un código de bloqueo, o cualquier codificación adecuada. Preferiblemente, la codificación antes de la transmisión se completan utilizando ICE, tal como la codificación de Privacidad Bastante Buena (PGP, por sus siglas en inglés) . Después, en el paso 616, los datos de asistencia médica codificados con su código de enlace anónimo anexado se transmiten sobre la trayectoria de datos 300 hacia un receptor autorizado, en este caso el almacén de datos 200 . En el procesador 110 , el módulo de transmisión de datos 128 transmite los datos de asistencia médica electrónicos con el código de enlace anónimo anexado en la trayectoria de datos 300 , paso 428 . Preferiblemente, la trayectoria de los datos 300 es segura para evitar la intercepción de la información protegida. Los datos de asistencia médica electrónicos codificados con su código de enlace anónimo anexado se transmiten a través de la trayectoria de datos 300 hacia el almacén de datos 200 en donde los datos de asistencia médica electrónicos se pueden procesar en una salida personalizable en el paso 624 . La trayectoria de los datos 300 puede ser, pero no se limita, al Internet, o una red tal como una red de área local (LAN) o una red de área amplia (WAN) . La trayectoria de los datos 3 00 puede incluir conexiones cableadas así como comunicaciones inalámbricas tales como radiofrecuencia (RF) , 802 . 11 (WiFi) , Bluetooth o cualquier combinación de éstos. La trayectoria de datos 300 puede ser cualquier combinación de trayectorias de comunicación de datos. Como se describió anteriormente, los datos de asistencia médica electrónicos con su código de enlace anónimo anexado preferiblemente se transmiten a través de un método seguro, tal como el Protocolo de Transferencia de Archivos (FTP, por sus siglas en inglés) , Protocolo de Servicio de Archivos seguros (FSP, por sus siglas en inglés) , FTPS o FTP/SSL, Gopher, Protocolo de Copia Segura (SCP, por sus siglas en inglés) , Protocolo de Transferencia de Archivo Simple (SFTP, por sus siglas en inglés) , SSH, Protocolo de Transferencia de Archivo Trivial (TFTP, por sus sigla en inglés) , y otras trayectorias de transmisión de datos seguras similares . El almacén de datos 200 procesa, almacena, y transmite los datos de asistencia médica electrónicos a receptores seleccionados en una salida personalizable . El procesamiento de los datos de asistencia médica electrónicos puede incluir, pero no se limita a, limpieza, recolección, clasificación, empaque, des-identificación adicional, y comparación de los datos de asistencia médica electrónicos. El almacén de datos 200 también distribuye los datos de asistencia médica electrónicos a receptores en un formato solicitado. Como se muestra en la Figura 1, el almacén de datos 200 incluye una interfaz de usuario 202, un dispositivo de almacenamiento 208, un procesador 210, y un reporte 212. El almacén de datos 200 puede localizarse cerca de o remoto a la fuente de los datos 100. La interfaz de usuario 200 es similar a la interfaz de usuario 102 de la fuente de los datos 100, y de esta forma se omite una descripción detallada de la misma. El dispositivo de almacenamiento 208 está en comunicación con la interfaz de usuario 202 y el procesador 210. El dispositivo de almacenamiento 208 almacena los datos de asistencia médica incluyendo los datos de asistencia médica electrónicos que fueron recibidos previamente desde la fuente de los datos 100. Los datos de asistencia médica electrónicos almacenados pueden incluir los códigos de enlace anónimos anexados y/o la etiqueta de indexación (descrita más completamente más adelante) . Aunque se muestra un solo dispositivo de almacenamiento 208 en la modalidad de la Figura 1, puede ser provisto más de un dispositivo de almacenamiento. Si se proporciona más de un dispositivo de almacenamiento, cada dispositivo de almacenamiento separado está preferiblemente en comunicación entre sí( la interfaz de usuario 202, el procesador 210, o cualquier combinación de estos componentes, también, en modalidades alternativas, el dispositivo de almacenamiento 208 puede ser la memoria asociada con el procesador 210. El procesador 210 está en comunicación con la interfaz de usuario 202 y el dispositivo de almacenamiento 208. El procesador 210 preferiblemente tiene uno o más de los siguientes módulos: un módulo de recepción de datos 214, un módulo de descodificación 216, un módulo de enlace de paciente 218, y un módulo de creación de reporte 220. Cada uno de los módulos descritos en la presente tiene varias rutinas, procedimientos, declaraciones de definición, macros, y otros procedimientos similares. El software es provisto del procesador 210 para implementar el sistema 10 y el método. El software incluye la programación que modaliza el módulo de recepción de datos 214, el módulo de descodificación 216, el módulo de enlace del paciente 218, y el módulo de creación del reporte 220. La descripción de cada uno de los módulos se utiliza para conveniencia de describir la funcionalidad del procesador 210 y el sistema 10 general. De esta forma, los procedimientos que se llevan a cabo a través de cada uno de los módulos se puede redistribuir a uno de los otros módulos, combinarse juntos en un solo módulo, o pueden hacerse disponibles en una conexión de enlaces dinámicos compartibles . La interfaz de usuario 202, el dispositivo de almacenamiento 208, y el procesador 210 cada uno pueden acoplarse al Internet o a una red tal como una red de área local (LAN) o una red de área amplia (WA ) . El sistema 10 no está limitado a conexiones cableadas sino que puede incluir comunicaciones inalámbricas tales como radiofrecuencia (RF) , 802.11 (WiFi) , Bluetooth o cualquier combinación de trayectorias de comunicación de datos. Por ejemplo, el almacén de datos 200 se puede implementar e incorporar como un solo dispositivo tal como una computadora independiente o PDA o el dispositivo de almacenamiento 208 se puede colocar en un servidor remoto acoplado al Internet a través de conexiones cableadas con otros componentes localizados cerca de las comunicaciones inalámbricas con el Internet. En el paso 618, los datos de asistencia médica codificados con el código de enlace anónimo anexado se reciben desde la trayectoria de datos 300. En el procesador 210, el módulo de recepción datos 214 recibe los datos de asistencia médica electrónicos con su código de enlace anónimo anexado desde la trayectoria de datos 300, paso 514. Enseguida, en el paso 620, los datos de asistencia médica codificados con su código de enlace anónimo anexado se descodifican. En el procesador 210, el módulo de descodificación 216 descodifica los datos de asistencia médica electrónicos con su código de enlace anónimo anexado, paso 516. El módulo de descodificación 216 descodifica la información codificada que se codificó a través del módulo de transmisión 126 en el paso 614. El código de enlace anónimo también puede reemplazarse o aumentarse a través de una de etiqueta de indexación. Al reemplazar el código de enlace anónimo, el cual se basa en las porciones de la PII, con la etiqueta de indexación, los datos de asistencia médica electrónicos se des-identifican sustancialmente porque no contiene la PII y el código de enlace anónimo que se basa en las porciones de la PII se reemplaza por la etiqueta de indexación. Después, en el paso 622, los datos de asistencia médica se comparan con otros datos de asistencia médica, y si los datos de asistencia médica están relacionados con la misma persona, entonces se enlazan dos grupos de datos de asistencia médica o se asocian entre si. En el procesador 210, el módulo de enlace del paciente 218 comparan los datos de asistencia médica electrónicos recibidos con los datos de asistencia médica electrónicos almacenados en el dispositivo de almacenamiento 208, y si los datos de asistencia médica electrónicos recibidos y los datos de asistencia médicos electrónicos almacenados se relacionan con la misma persona, entonces los datos de asistencia médica electrónicos recibidos se enlazan a los datos de asistencia médica electrónicos almacenados . El módulo de enlace del paciente 218 puede enlazar o asociar datos de asistencia médica electrónicos a través de la asignación de cada uno de los códigos de enlace anónimos anexados iguales, la misma etiqueta de indexación o una combinación de los anteriores. El módulo de enlace del paciente 218 también puede utilizar la PII que no es sujeta a la HIPAA para asegurar que los datos de asistencia médica electrónicos recibidos estén enlazados a los datos de asistencia médica electrónicos almacenados correspondientes en forma correcta. Por ejemplo, ya que el código postal no puede ser sujeto a la HIPAA, el código postal de los datos de asistencia médica electrónicos recibidos se pueden utilizar para verificar si han sido enlazados a los datos de asistencia médica electrónicos correspondientes correctos almacenados en el dispositivo de almacenamiento 208 a través de la comparación de los códigos postales asociados con cada uno de éstos. Además, los datos de asistencia médica electrónicos recibidos se pueden marcar con banderas para indicar que el dispositivo de almacenamiento 208 tiene datos de asistencia médica electrónicos asociados con el código de enlace anónimo y/o con la etiqueta de indexación. De esta forma, al enlazar o asociar los datos de asistencia médica electrónicos recibidos con los datos de asistencia médica electrónicos almacenados, el almacén de datos 200 recolecta y acumula los datos de asistencia médica asociados con una persona. En una modalidad ilustrativa, el almacén de datos 200 mantiene una tabla maestra almacenada en el dispositivo de almacenamiento 208 que contiene todos los códigos de enlace anónimos previamente recibidos y sus PII asociadas que no son sujetos de la HIPAA. Cada combinación de códigos de enlace anónimos y sus PII asociados no sujetos a la HIPAA se tabula a través de la etiqueta de indexación. El módulo de enlace del paciente 218 después compara el código de enlace anónimo recibido y la PII asociada no sujeto a la HIPAA con los códigos de enlace anónimos recibidos previamente y sus PII asociadas no sujetos a HIPAA. Si el código de enlace anónimo recibido y la PII asociado no sujeta a HIPAA coincide con un código de enlace anónimo recibido previamente y la PII asociado no sujeta a HIPAA, entonces ambos se consideran relacionados con la misma persona. De esta forma, el código de enlace anónimo recibido y la PII asociada no sujeta a HIPAA se asignan a la etiqueta de indexacion de código de enlace anónimo recibido previamente comparado y la PII asociada no sujeta a HIPAA. Si el código de enlace anónimo recibido y la PII asociada no sujeta a HIPAA no corresponden a nada previamente recibido, entonces se consideran no relacionados con la misma persona. Por consiguiente, el código de enlace anónimo recibido y la PII no sujeta a HIPAA se adicionan a la tabla maestra y se asignan a la etiqueta de indexacion no utilizada previamente. Finalmente, en el paso 624, se dará salida a un reporte 212. En el procesador 210, el módulo para la creación del reporte 220 da salida a un reporte 212, paso 520. El repote 212 proporciona el análisis estadístico de los datos de asistencia médica almacenados, el análisis demográfico de los datos de asistencia médica almacenados, y otras salidas similares. El contenido del reporte 212 se puede personalizar a los requerimientos del usuario. Por ejemplo, el reporte 212 puede incluir que tan a menudo se completó un cierto procedimiento médico en cierta ciudad, los datos demográficos asociados con las prescripciones de una cierta clase de fármacos y otros datos similares. El reporte 212 puede ser, pero no se limita, a un reporte en papel, datos electrónicos, alimentación de datos, un programa, o cualquier otra salida adecuada. El módulo para la creación del reporte 220 puede crear un reporte 212 con una forma y formato predeterminados. El reporte 212 provisto está disponible casi en tiempo real porque el reporte 212 puede ser provisto un corto tiempo después que los datos de asistencia médica 112 se capturan en el sistema 10. Al proporcionar reportes cerca del tiempo real, el almacén de datos 200 puede proveer la detección y el rastreo de enfermedades y síndromes específicos a través del análisis de los registros para la dolencia específica. El reporte 212 también puede utilizarse para la detección y el rastreo geo-espacial de nuevas enfermedades infecciosas a través de la búsqueda de los datos de asistencia médica almacenados para la ocurrencia de nuevas enfermedades infecciosas y que tan frecuentemente ocurren las nuevas enfermedades en diferentes áreas geográficas y después reportar los resultados de la búsqueda. El almacén de datos 200 también puede rastrear otros eventos, tales como eventos de bioterrorismo que impactan el sistema de asistencia médica en una forma muy similar a las enfermedades infecciosas. Haciendo referencia a la Figura 4, se muestra un reporte de ejemplo 700. En el reporte de ejemplo 700 mostrado, el reporte de ejemplo 700 proporciona datos estadísticos concernientes al número de códigos de enlace anónimos únicos. El reporte 700 manifiesta que, en una análisis de 614 , 987 registros (provistos bajo "Número de filas" 702 ) , 443 , 692 códigos de enlace anónimos únicos fueron encontrados, como se indica a continuación de "Número de Valores Únicos" 704 . El reporte 700 también proporciona el "Número de Ocurrencia" 706 que indica que tan frecuentemente un código de enlace anónimo particular aparece en los 614 , 890 registros analizados. Bajo "Porcentaje de Registros Totales" 708 , el reporte proporciona que porcentaje de los 614 , 897 registros analizados tuvieron un código de enlace anónimo particular. Para controlar el reporte 700 en breve, el reporte 700 divide los códigos de enlace anónimos en 21 grupos o "Celdas" 710 que se define entre un "De Valor" 712 y "A Valor" 714 . los códigos de enlace anónimos en el reporte de ejemplo 700 están presentados en su forma condensada y codificada. Adicionalmente, como el sistema 10 procesa los datos de asistencia médica 112 o el método se lleva a cabo, los datos requeridos por el sistema 10 o mientras se lleva a cabo el método se almacenan en la base de datos 108 en la memoria del procesador 110 . Los datos que se almacenan incluyen, por ejemplo, las porciones de las PII predeterminadas, algoritmos para implementar la presente invención, la primera función de comprobación aleatoria, la segunda función de comprobación aleatoria, la clave, y otros datos que no son inmediatamente necesarios.

Los procedimientos realizados a través de uno o más módulos pueden lograrse a través de algoritmos predefinidos, tablas, combinaciones de algoritmos y tablas, u otros métodos similares. Por ejemplo, las operaciones del módulo de extracción y codificación 116, el módulo de encadenamiento 118, el primer módulo de función de comprobación aleatoria 120, el segundo módulo de función de comprobación aleatoria 122, la codificación para el módulo de transmisión 126, el módulo de transmisión de datos 128, el módulo de recepción de datos 214, el módulo de descodificación 216, el módulo de enlace del paciente 218 y el módulo creador del reporte 220 cada uno puede llevarse a cabo a través de un algoritmo predefinido. En particular, por ejemplo, el primero y segundo módulos de función de comprobación aleatoria 120 y 122 para formar el código de enlace anónimo se pueden implementar como algoritmos separados o combinados. En otras modalidades, las operaciones del módulo de extracción y codificación 116,. la codificación para el módulo de transmisión 126, el módulo de descodificación 216, y el módulo del enlace del paciente 218 se pueden completar a través del uso de tablas. Para describir una implementación del sistema 10 y el método, se proporciona la siguiente modalidad ilustrativa y se describe con detalle. Sin embargo, la invención no pretende estar limitada a la siguiente modalidad ilustrativa. En la modalidad ilustrativa, el sistema 10 y el método se aplican a un proveedor de datos de demanda de prescripción, tal como un farmaceuta o un doctor. Debido a que suministra datos, el proveedor de datos es también la fuente de los datos 100. Se proporciona una estación de trabajo de computadora local como la fuente de datos 100 e incluye la interfaz del usuario 102, el procesador 110, y la base de datos 108. La estación de trabajo también incluye un teclado de computadora para funcionar como el dispositivo de entrada 106, un monitor para funcionar como la pantalla 104, una unidad de procesamiento central convencional y la memoria asociada para funcionar como el procesador 110, y un disco duro para almacenar los datos de programación y de asistencia médica electrónicos 112. El disco duro también contiene un programa de base de datos de computadora para funcionar como la base de datos 108. Haciendo referencia a la Figura 5, se muestra un diagrama de flujo que ilustra como los datos de asistencia médica 112 se procesan a través del sistema 10 y el método. En la modalidad ilustrativa, como se muestra en el bloque 800, los datos de asistencia médica 112 son una demanda de prescripción de fármacos que incluye elementos de información discretos tales como el nombre del paciente, la dirección, el número de póliza de seguro, el fármaco prescrito, la cantidad de fármaco requerido, la información de co-pago, y la fecha de transacción. La demanda de prescripción de fármacos se considera la PHI ya que los datos de asistencia médica con la PII, tales como el nombre del paciente, la dirección, y el número de póliza de seguro. El paciente proporciona o el farmaceuta recolecta los elementos de los datos de asistencia médica 112. Los elementos de los datos de asistencia médica 112 son cuestionados para campos específicos mostrados en la pantalla 104. Los datos 112 se capturan en los campos a través del teclado que funciona como el dispositivo de entrada 106. Debido a que el sistema 10 y el método se pueden implementar con formato específico de la industria para datos 112, un formato específico tal como NCPDP 5.1 puede determinar el orden de los campos y el orden en el cual los datos 112 se capturan en el sistema. Los datos 112 después se almacenan electrónicamente en el disco duro de la estación de trabajo. El disco duro tiene una base de datos electrónica 108 que almacena y rastrea los datos de asistencia médica electrónicos 112. La base de datos eléctrica 108 puede almacenar los datos 112 en un formato específico tal como NCPDP 5.1 en el disco duro. De acuerdo con el paso 602, el módulo para la recuperar de datos 114 recupera los datos de asistencia médica 112 del disco duro, como se describe en paso 414 de la Figura 2. Ya que los datos de asistencia médica 112 están un orden predeterminado conocido tal como NCPDP 5.1, el sistema 10 es capaz de reordenar los elementos de tal forma que, por ejemplo, el primer nombre del paciente, el apellido del paciente, y el número de póliza de seguro del paciente son los primeros tres elementos seguidos por los datos de asistencia médica no protegidos tales como el fármaco prescrito, la cantidad de fármaco requerido, la información de co-pago y la fecha de la transacción. La programación almacena los datos reordenados en un archivo de extracción que después se almacena en el disco duro en un subdirectorio predeterminado. La programación enseguida lee las porciones predeterminadas de la PII tal como el nombre del paciente, dirección, y número de póliza de seguros en la memoria del procesador 110. De acuerdo con el paso 604 del método, el módulo de extracción y codificación 116 de la programación entonces utiliza las partes de la PII predeterminadas para crear el código de enlace anónimo, como se describe en el paso 416 de la Figura 2. En la modalidad ilustrativa, como se muestra en el bloque 802 de la Figura 5, la programación utiliza el primer nombre, el apellido, y el número de la póliza de seguros. Primero, la programación lee desde los datos de asistencia médica electrónicos y almacena en la memoria los datos en el campo "primer nombre" , el campo "apellido", y el campo "número de póliza de seguro". Después de leer los datos en el campo del "primer nombre" el campo "apellido" y el campo "número de póliza de seguro", la programación anula los datos en el campo de "primer nombre", el campo "apellido", y el campo "número de póliza de seguro". También, la programación elimina los espacios y otros caracteres no alfabéticos de los primeros datos de nombre, los datos del apellido, y los datos del número de póliza de seguros almacenados en la memoria. El módulo de extracción y codificación 116 de la programación después codifica los datos. Como se muestra en el bloque 804, el sistema 10 lleva a cabo una sustitución de carácter sobre los datos en el bloque 802. Para completar la sustitución de carácter, cada carácter del apellido, el primer nombre y el número de póliza de seguros se sustituye con otro carácter de acuerdo con un esquema de sustitución de carácter predeterminado almacenado en la base de datos 108, el procesador 112, el dispositivo de almacenamiento 208, el procesador 212, o cualquier combinación de los antes mencionados . Por ejemplo, como se muestra, el primer nombre "Joe" se codifica como "12Z", Después, en el paso 606, el módulo de encadenación 118 de la programación encadena o secuencia en un orden predeterminado las partes de la PII que se utilizan para crear el código de enlace anónimo, como se describe en el paso 418 de la Figura 2. Por ejemplo, el módulo de encadenamiento 118 ordena los datos en el bloque 804 de tal forma que el primer nombre codificado es seguido inmediatamente por el apellido codificado y después inmediatamente por el número de póliza de seguro codificada, como se muestra en el bloque 806 de la Figura 5. Para ejecutar el paso 608 del método, el nombre encadenado y el número de póliza de seguro después se insertan en una primera función de comprobación aleatoria a través del primer módulo de la función de comprobación aleatoria 120 de la programación, como se describe en el paso 420 de la Figura 2. Si la primera función de comprobación aleatoria es una SHA-256, la función de comprobación aleatoria convierte el apellido, el primer nombre, y el número de póliza de seguros en un número hexadecimal de 64 dígitos, utilizando 64 caracteres del grupo incluyendo {0, 1, ... 9, A, B, ... F}. También, ya que la función de comprobación aleatoria está digitada, el primer módulo de función de comprobación aleatoria 120 de la programación anexa una clave al final de la salida. La clave se fija y permanece en la misma forma de una aplicación a la siguiente. En la modalidad ilustrativa, la clave es una cadena de caracteres fijos de 64 caracteres seleccionados independientemente de otros caracteres en la clave y aleatoriamente seleccionados a partir del grupo de caracteres ASCII no en blanco, imprimibles de 0x21 ("!") a 0x7E ("-"). Para mantener el secreto de la clave en la modalidad ilustrativa, la clave no se almacena con una sola cadena de carácter. Más bien, en la modalidad ilustrativa, siempre que es requerida la clave, el software ensambla clave de sus partes constituyentes que están embebidas en las porciones codificadas de la programación. En el bloque 808 de la Figura 5, se muestra una salida de ejemplo de la primera función de comprobación aleatoria con base en los datos en el bloque 806. Enseguida, de acuerdo con el paso 610 del método, la salida de la primera función de comprobación aleatoria con la clave anexa se captura en una segunda función de comprobación aleatoria a través del segundo módulo de la función de comprobación aleatoria 122 de la programación, como se describe en el paso 422 de la Figura 2. En la modalidad ilustrativa, la segunda función de comprobación aleatoria es sustancialmente similar a la primera función de comprobación aleatoria y convierte el número hexadecimal 64 (la primera salida de la función de comprobación aleatoria) y la cadena de carácter anexo de 64 caracteres (la clave) en otro número hexadecimal de 64 dígitos. La clave se anexa a la salida de la segunda función de comprobación aleatoria para crear el código de enlace anónimo. Como una salida de ejemplo de la segunda función de comprobación aleatoria con base en la primera salida de la función de comprobación aleatoria, en el bloque 808 se muestra en el bloque 810 de la Figura 5.

En el paso 612 del método, el código de enlace anónimo 814 se anexa al extremo del archivo de extracción y la PII remanente se elimina del archivo de extracción. El módulo de des-identificación 124 de la programación anexa el código de enlace anónimo 814 y remueve cualquier PII restante sujeto al HIPAA del archivo de extracción, como se describe en el paso 424 de la Figura 2. En la Figura 5, el bloque 812 describe el código de enlace anónimo 814 anexado al extremo de los datos de existencia técnica no protegidos. También, debido a que todos las PII sujetos al HIPAA han sido eliminados, el archivo de extracción tiene varios bits nulos que representan la PII removido, y el archivo de extracción ahora contiene campos sin datos intercalados entre los elementos de datos. De esta forma, se crea un nuevo archivo a partir del archivo de extracción, y el nuevo archivo tiene bits nulos y no tiene campos sin datos. La programación secuencialmente examina cada campo de archivo de extracción y copia solamente los campos con datos en el nuevo archivo. De esta forma, cuando se compara con el archivo de extracción, el nuevo archivo cambia los elementos de datos saltándose los campos de datos sin datos. Por consiguiente, como se muestra en el bloque 812 de la Figura 5, debido a que los campos de datos y los datos para "primer nombre", el "apellido", y el "número de póliza de seguro" han sido removidos, la programación cambia los elementos de datos restantes, tales como "fármaco preescrito", el "cantidad de fármaco requerido", "información de co-pago", y "fecha de transacción", para formar los bits removidos cuando el PII no sujeto a HIPAA fue removido del archivo de extracción. El archivo de extracción resultante con el código de enlace anónimo 814 anexo al extremo, la PII sujeta a la HIPAA eliminada, y los datos cambiados para compensar la PII faltante forman un archivo de extracción modificado, sustancialmente similar a los datos mostrados en el bloque 812 de la Figura 5. El archivo de extracción modificado se almacena en otro subdirectorio predeterminado en el disco duro. La codificación del módulo de transmisión 126 de la programación después codifica el archivo de extracción modificada para la transmisión de acuerdo con el paso 614 del método y como se describe en el paso 426 de la Figura 2. En la modalidad ilustrativa, el archivo de extracción modificado se codifica utilizando ICE. El bloque 816 de la Figura 5 describe el resulta de la codificación de los datos en el bloque 812 utilizando ICE. Enseguida, como se describe en el paso 428 de la Figura 2, el módulo de transmisión de datos 128 de la programación transmite el archivo de extracción modificado codificado en la trayectoria de datos segura 300, paso 626 del método. En la modalidad ilustrativa, después de haber sido descodificado por ICE, el archivo de extracción modificado se transmite a través de un FTP seguro al almacén de datos 200. En la modalidad ilustrativa, el almacén de datos 200 incluye una estación de trabajo de computadora local que incluye la interfaz de usuario 202, el procesador 210, y el dispositivo de almacenamiento 208. El software es provisto en la estación de trabajo de computadora para implementar el sistema 10 y el método. El software incluye la programación que modaliza el módulo de recepción de datos 214, el módulo de descodificación 216, el módulo de enlace del paciente 218 y el módulo creador del reporte 220. La estación de trabajo también incluye un teclado de computadora para funcionar como un dispositivo de entrada 206, un monitor para funcionar como la pantalla 204, una unidad de procesamiento central convencional y memoria asociada para funcionar como el procesador 210, y un disco duro para almacenar la programación y los datos electrónicos . El disco duro también contiene un programa de base de datos de computadora para funcionar como el dispositivo de almacenamiento 208. Como se describe en el paso 514 de la Figura 2, el módulo de recepción de datos 214 de la programación recibe el archivo de extracción modificado codificado de la trayectoria de datos segura 300, paso 618 del método. En la modalidad ilustrativa, el módulo para la recepción de datos 214 recibe el archivo de extracción modificado codificado del FTP seguro. El archivo de extracción modificado codificado recibido por el módulo de recepción de datos 214 es la salida de la codificación para el módulo de transmisión 126. En la modalidad ilustrativa, esto corresponde a los datos mostrados en el bloque 816 de la Figura 5. Después, el módulo de descodificación 216 de programación descodifica el archivo de extracción modificado codificado, paso 620 del método. En la modalidad ilustrativa, el módulo de descodificación 216 remueve la codificación ICE completamente a través de la codificación para el módulo de transmisión 126, paso 516 de la Figura 2. De esta forma, el archivo de extracción modificado descodificado ahora regresa a los datos mostrados en el bloque 812 de la Figura 5. El archivo de extracción modificado también puede enviarse al origen de los datos 100, y a la fuente de los datos 100 puede descodificar el código de enlace anónimo 814 a través del uso de la primera segunda funciones de condensación para recuperar las porciones de PII predeterminadas . Para ejecutar el paso 622 del método, el módulo de enlace del paciente 218 de la programación enlaza el archivo de extracción modificado recibido para los archivos de extracción modificados almacenados como se describe en el paso 518 de la Figura 2. En la modalidad ilustrativa, en el dispositivo de almacenamiento 208 contiene una tabla maestra que rastrea todos los códigos de enlace anónimos previamente encontrados y sus PII asociadas no sujetas al HIPAA. Cada combinación única de código de enlace anónimo y PII asociada no sujeta al HIPAA se le da una etiqueta de indexacion de tal forma que cada paciente tiene una etiqueta de indexacion única. La programación extrae el código de enlace anónimo 814 del archivo de extracción modificado del bloque 812 y compara el código de enlace anónimo 814 y los elementos PII no sujetas al HIPAA del archivo de extracción modificado recibido para los códigos de enlace anónimos y las PII asociadas no sujetas al HIPAA de archivos de extracción modificados previamente encontrados tabulados en la tabla maestra. Si el código de enlace anónimo recibido 814 y los elementos de la PII asociados no sujetos al HIPAA coinciden con el código de enlace anónimo previamente encontrado y los elementos de la PII asociados no sujetos a HIPAA, el código de enlace anónimo recibido 814 y los elementos de la PII asociados no sujetos al HIPDAA se asignan a la etiqueta de indexacion del código de enlacen anónimo previamente encontrado coincidente y los elementos de la PII asociados no sujetos al HIPAA se siguió. Los códigos de enlace anónimos coincidentes indican que los archivos de extracción modificados correspondientes son para el mismo paciente. Los elementos de la PII coincidentes no sujetos al HIPAA verifican que los archivos de extracción modificados sean para el mismo paciente. Sin embargo, si el código de enlace anónimo recibido 814 y los elementos de la PII no sujetos al HIPAA no corresponden a ningún código de enlace anónimo previamente encontrado y elementos de la PII asociados, entonces el código de enlace anónimo recibido 814 y los elementos de la PII asociados no sujetos al HIPAA se insertan en una tabla maestra, y se asigna una etiqueta de indexacion no utilizada previamente al código de enlace anónimo 814 y los elementos de la PII asociados no sujetos al HIPAA. El archivo de extracción modificado también se almacena en el almacén de datos 200 y las transacciones contenidas en el archivo de extracción modificado están disponibles para análisis y reporte. En la modalidad ilustrativa, las transacciones de prescripción con la misma etiqueta de indexacion se considera que pertenecen al mismo paciente y se pueden analizar y reportar como tal . El uso del código de enlace anónimo 814 permite que los archivos de datos de asistencia médica se correlacionen con el mismo paciente sin tener que utilizar información que identifica al paciente, tal como la PH. De esta forma, el código de enlace anónimo 814 no tiene que ser revertido de regreso a sus porciones predeterminadas constituyentes de la PII para correlacionar los archivos de datos de asistencia médica para el mismo paciente. Además, el almacén de datos 200 nunca tiene la PII sujeta al HIPAA, pero el almacén de datos 200 aún puede correlacionar archivos de datos de asistencia médica de diferentes fuentes de datos 100 creadas en diferentes momentos para el mismo paciente. Como se describió en el paso 520 de la Figura 2, el módulo creador del reporte 220 de la programación proporciona análisis y reportes con base en los datos almacenados, paso 624 del método. En la modalidad ilustrativa, el módulo creador del reporte 220 puede reportar costo por paciente de un fármaco prescrito particular, el total de pagos hechos en beneficio de un paciente particular, y otros datos similares. También al utilizar la etiqueta de indexación y/o el código de enlace anónimo, el reporte provisto protege la identidad del paciente. De esta forma, el sistema 10 y el método proporcionan análisis y reportes para un solo paciente sin revelar la identidad del paciente de acuerdo con los requerimientos de la HIPAA. En la modalidad ilustrativa de la Figura 4, un reporte de ejemplo puede incluir que tan a menudo ha sido prescrito acetaminofen al código de enlace anónimo 814 asociado con Joe Smith. La descripción y las figuras anteriores deberán considerarse como ilustrativas solamente de los principios de la invención. La invención puede configurarse en una variedad de modalidades y no pretende estar limitada por las modalidades particulares descritas. Numerosas aplicaciones de la invención se les ocurrirán fácilmente. Por consiguiente, no se desea limitar la invención a los ejemplos específicos descritos o la operación exacta mostrada y descrita. Más bien, todas las modificaciones y equivalentes adecuados pueden reclasificarse, para, caer dentro del alcance de la invención . Se hace constar que con relación a esta fecha, el mejor método conocido por la solicitante para llevar a la práctica la citada invención, es el que resulta claro de la presente descripción de la invención.

Claims

REIVIMDICACIQB3ES Habiéndose descrito la invención como antecede, se reclama como propiedad lo contenido en las siguientes reivindicaciones : 1. - Un sistema para proteger y des-identificar datos de asistencia médica, el sistema caracterizado porque comprende : un dispositivo de almacenamiento para almacenar datos de asistencia médica e información personalmente identificable para una persona; y un procesador en comunicación con la base de datos, el procesador genera un código de enlace anónimo utilizando una función de comprobación aleatoria digitada y una segunda función de comprobación aleatoria, el código de enlace anónimo con base al menos en parte en una porción de la información personalmente identificable, el procesador además anexa el código de enlace anónimo a los datos de asistencia médica para la persona. 2. - El sistema de conformidad con la reivindicación 1, caracterizado porque el procesador codifica los datos de asistencia médica y el código de enlace anónimo anexado . 3. - El sistema de conformidad con la reivindicación 1, caracterizado porque además comprende: una segunda base de datos que recibe y almacena los datos de asistencia médica con el código de enlace anónimo anexado ; y un segundo procesador en comunicación con la segunda base de datos. . - El sistema de conformidad con la reivindicación 3, caracterizado porque el segundo procesador utiliza el código de enlace anónimo anexado de los datos de asistencia médica recibidos para enlazar los datos de asistencia médica recibidos con los datos de asistencia médicos almacenados con un código de enlace anónimo anexado correspondiente . 5. - El sistema de conformidad con la reivindicación 3, caracterizado porque los datos de asistencia médica con el código de enlace anónimo anexado se reciben desde una trayectoria de datos segura. 6. - El sistema de conformidad con la reivindicación 3, caracterizado porque el segundo procesador da salida a un reporte con base en los datos de asistencia médica almacenados . 7. - El sistema de conformidad con la reivindicación 1, caracterizado porque la función de comprobación aleatoria digitada es una función de comprobación aleatoria SHA-256. 8.- El sistema de conformidad con la reivindicación 1, caracterizado porque la segunda función de comprobación aleatoria es una función de comprobación aleatoria SHA-256. 9.- Un sistema para proteger y des-identificar datos de asistencia médica, caracterizado porque comprende: por lo menos una fuente de datos capaz de generar un código de enlace anónimo utilizando una función de comprobación aleatoria digitada y una segunda función de comprobación aleatoria, el código de enlace anónimo basado al menos en parte en la porción de la información personalmente identificable, la por lo menos una fuente de datos capaz de transmitir datos de asistencia médica con el código de enlace anónimo anexado a los datos de asistencia médica; y un almacén de datos capaz de recibir los datos de asistencia médica con el código de enlace anónimo anexado y almacenar los datos de asistencia médica con el código de enlace anónimo anexado, el almacén de datos asociando los datos de asistencia médica recibidos con los datos de asistencia médica almacenados comparando los códigos de enlace anónimos anexados . 10.- El sistema de conformidad con la reivindicación 9, caracterizado porque al menos una de las fuentes de datos codifica los datos de asistencia médica con el código de enlace anónimo antes de transmitirlos. 11.- El sistema de conformidad con la reivindicación 9, caracterizado porque el almacén de datos forma un reporte con base en parte en los datos de asistencia médica almacenados . 12. - El sistema de conformidad con la reivindicación 9, caracterizado porque la función de comprobación aleatoria digitada es una función de comprobación aleatoria SHA-256. 13. - El sistema de conformidad con la reivindicación 9, caracterizado porgue la segunda función de comprobación aleatoria es una función de comprobación aleatoria SHA-256. 14. - El sistema de conformidad con la reivindicación 9, caracterizado porque al menos una fuente de datos transmite los datos de asistencia médica y el código de enlace anónimo anexado a través de una trayectoria de datos segura. 15. - Un método para la protección y desidentificación de los datos de asistencia médica, caracterizado porque comprende los pasos de: utilizar una función de comprobación aleatoria digitada para convertir una porción de la información personalmente identificable en una primera salida; utilizar una segunda función de comprobación aleatoria para convertir la primera salida en un código de enlace anónimo; anexar el código de enlace anónimo a los datos de asistencia médica; y eliminar la información personalmente identificable de los datos de asistencia médica. 16. - El método de conformidad con la reivindicación 15, caracterizado porque además comprende el paso de transmitir los datos de asistencia médica con el código de enlace anónimo anexado al almacén de datos . 17. - El método de conformidad con la reivindicación 16, caracterizado porque además comprende el paso de codificar los datos de asistencia médica y el código de enlace anónimo anexado antes de la transmisión. 18. - El método de conformidad con la reivindicación 15, caracterizado porque el paso de enlazar los datos de asistencia médica con los datos de asistencia médica de otro origen y en otro momento a través del código de enlace anónimo anexado . 19. - El método de conformidad con la reivindicación 15, caracterizado porque la función de comprobación aleatoria digitada es una función de comprobación aleatoria SHA-256. 20.- El método de conformidad con la reivindicación 15, caracterizado porque la segunda función de comprobación aleatoria es una función de comprobación aleatoria SHA-256. 21.- Un sistema para la protección y desprotección de datos de asistencia médica, caracterizado porque comprende: un módulo para la recuperación de datos que recibe datos de asistencia médica y su información personalmente identificable asociada; un módulo de extracción y codificación en comunicación con el módulo de recuperación de datos, el módulo de extracción y codificación extrae porciones de la información personalmente identificable para formar un código de enlace anónimo y codificar las porciones de la información personalmente identificable,- un módulo de encadenamiento en comunicación con el módulo de extracción y codificación, el módulo de encadenamiento enlaza juntos en una secuencia predeterminada las porciones de la información personalmente identificable ; un primer módulo de función de comprobación aleatoria en comunicación con el módulo de encadenamiento, el primer módulo de función de comprobación aleatoria captura las porciones de la información personalmente identificable en una primera función de comprobación aleatoria que convierte la porciones de la información personalmente identificable en una primera salida; un segundo módulo de función de comprobación aleatoria en comunicación con el primer módulo de función de comprobación aleatoria, el segundo módulo de función de comprobación aleatoria captura la primera salida en una segunda función de comprobación aleatoria que convierte la primera salida en un código de enlace anónimo; un módulo de des-identificación en comunicación con el segundo módulo de función de comprobación aleatoria, el módulo de des-identificación anexa el código de enlace anónimo a los datos de asistencia médica y sustancialmente remueve la información personalmente identificable de los datos de asistencia médica; una codificación para el módulo de transmisión en comunicación con el módulo de des-identificación, la codificación del módulo de transmisión codifica la transmisión de los datos de asistencia médica y el código de enlace anónimo anexado; un módulo de la transmisión de datos en comunicación con la codificación para el módulo de transmisión, el módulo de transmisión de datos transmite los datos de asistencia médica codificados y el código de enlace anónimo anexado en una trayectoria de datos; la trayectoria de datos en comunicación con el módulo de transmisión de datos; un módulo para la recepción de los datos en comunicación con la trayectoria de datos, en módulo para la recepción de datos recibe los datos de asistencia médica codificados y el código de enlace anónimo anexado de la trayectoria de datos; un módulo de descodificación en comunicación con el módulo de recepción de datos, el módulo de descodificación descodifica los datos de asistencia médica codificados y el código de enlace anónimo anexado; un módulo de enlace del paciente en comunicación con el módulo de descodificación, el módulo de enlace del paciente enlaza los datos de asistencia médica relacionados con la misma persona; y un módulo para la creación del reporte en comunicación con el módulo de descodificación, el módulo para la creación del reporte dando salida a un reporte con base en los datos de asistencia médica. RESüMEEg DB LA lE EBSCIOB? Un sistema para proteger y des-identificar datos de asistencia médica incluyen un dispositivo de almacenamiento para almacenar los datos de asistencia médica y la información personalmente identificable para una persona y un procesador en comunicación con la base datos. El procesador genera un código de enlace anónimo utilizando una función de condensación digitada y una segunda función de condensación. El código de enlace anónimo basado al menos en parte en una porción de la información personalmente identificable . El procesador además anexa el código de enlace anónimo a los datos de asistencia médica para la persona.