Die Integrität von Daten bildet, sowohl bei Nutzern als auch bei Auditoren, eine wichtige Grundlage für deren Glaubwürdigkeit. Dem Begriff „Datenintegrität“ wurde in den letzten Jahren im GxP-regulierten Umfeld erhöhte Aufmerksamkeit zuteil. Was genau sich hinter dem Begriff verbirgt und wieso das Thema an Bedeutung gewonnen hat, wollen wir nachfolgend näher beleuchten.
Was bedeutet Datenintegrität?
Die britische Medicines and Healthcare products Regulatory Agency (MHRA) definiert die Datenintegrität als den Umfang, in dem Daten vollständig, konsistent, genau, vertrauenswürdig und zuverlässig sind. Zudem beinhaltet Datenintegrität auch, dass die aufgeführten Merkmale während des gesamten Datenlebenszyklus, also von der Generierung bis zum endgültigen Löschen, erhalten bleiben. Nach MHRA sollten die Daten auf sichere Weise gesammelt und aufbewahrt werden, sodass sie zuordenbar, lesbar, zeitgenau erfasst, original (oder in Form einer zertifizierten Kopie) und korrekt sind. Um dies zu gewährleisten, sind angemessene Qualitäts- und Risikomanagementsysteme, einschließlich der Einhaltung fundierter wissenschaftlicher Grundsätze und guter Dokumentationspraktiken notwendig.
Diese Inhalte sind keinesfalls Unbekannte. Das ALCOA Prinzip wird z. B. bereits seit mehr als 20 Jahren von regulierten Industrien im Rahmen der Guten Dokumentationspraxis (GDP) verwendet. Auch diverse Regularien, wie bspw. die Arzneimittel- und Wirkstoffherstellungsverordnung (AMWHV), beinhalten Anforderungen an die Integrität und den Umgang mit Daten. Einen gewissen „Kultstatus“ erlangte der Begriff jedoch erst, als die MHRA die Anforderungen 2016 mit dem Erscheinen der „GxP Data Integrity Definitions and Guidance for Industry“ unter dem Begriff „Datenintegrität“ zusammenfasste. Daraufhin wurden etliche Leitlinien, wie die „Data Integrity and Compliance with cGMP Guidance for Industry“ (FDA, Draft 2016) und der „GAMP Guide: Records & Data Integrity“ (ISPE, 2017), innerhalb kürzester Zeit veröffentlicht.
Die Prinzipien ALCOA und ALCOA Plus
Den Begriffen „ALCOA“ und „ALCOA Plus“ begegnet man im Zusammenhang mit dem Thema Datenintegrität zwangsläufig. Die englische Abkürzung ALCOA gibt es seit den 90er Jahren. Das Prinzip dahinter wird von GxP-regulierten Industrien als Rahmen für die Gewährleistung der Datenintegrität und als Schlüssel zur Guten Dokumentationspraxis (GDP) verwendet. ALCOA beschreibt die Anforderungen im Zusammenhang mit der Integrität von Daten und ist ein Akronym bestehend aus:
- Attributable (zuordenbar): Eine Aktion kann einer Person oder einem System zugeordnet werden.
- Legible (lesbar): Die Lesbarkeit muss permanent gegeben sein.
- Contemporaneous (zeitgenau): Die Generierung der Daten erfolgt zum Zeitpunkt ihrer Entstehung.
- Original (original): Die Speicherung erfolgt in originaler Form oder zertifizierter Kopie (true copy).
- Accurate (korrekt): Die Daten müssen richtig sein und es darf keine Bearbeitung ohne Dokumentation der Änderungen erfolgen.
Da ALCOA nicht alle Aspekte der Datenintegrität abdeckt, erweitert ALCOA Plus dieses Prinzip um Attribute, wie bspw.:
- Complete (vollständig): Die Vollständigkeit der Daten (z. B. auch von Wiederholungen von Tests) ist gegeben.
- Consistent (konsistent): Alle Elemente, z. B. die zeitliche Abfolge von Ereignissen, sind in chronologischer Reihenfolge und mit entsprechendem Datums- und Zeitstempel versehen.
- Enduring (langlebig, beständig): Die Speicherung sollte auf geeigneten Speichermedien (als Papierversion oder elektronisch) erfolgen, sodass die Verfügbarkeit über den gesamten Aufbewahrungszeitraum sichergestellt ist.
- Available (verfügbar): Über die gesamte Lebensdauer sollen Daten, z. B. für eine Inspektion, abgerufen werden können.
Was ist der Unterschied zwischen Datenintegrität und Datensicherheit?
Datenintegrität zielt unter anderem darauf ab, (un)beabsichtigte Änderungen an Informationen zu verhindern. Wie unterscheidet sich dies von der Datensicherheit?
Die Integrität befasst sich in erster Linie mit der Gültigkeit und Vertrauenswürdigkeit von Daten, während die Sicherheit den Schutz von Daten vor Verlust und unbefugtem Zugriff beinhaltet. Alle unbeabsichtigten Änderungen an Daten als Folge eines Speicher- oder Verarbeitungsvorgangs, einschließlich böswilliger Absichten, unerwarteter Hardwarefehler und menschlicher Fehler, stellen einen Fehler der Datenintegrität dar. Wenn die Änderungen oder der Verlust jedoch aufgrund des unberechtigten Zugriffs erfolgen, kann es sich auch um ein Versagen der Datensicherheit handeln.
Welche Anforderungen werden bei der Validierung computergestützter Systeme an die Datenintegrität gestellt?
Die Integrität von Daten wird, wie eingangs erwähnt, in vielen Richtlinien thematisiert. Im Anhang 11 (EudraLex – Volume 4) wird bspw. die Sicherstellung der Datenintegrität im Zusammenhang mit der Validierung als Teil des Risikomanagementsystems beschrieben. Der Umfang der Validierungsaktivitäten diesbezüglich soll auf einer begründeten und dokumentierten Risikobewertung des computergestützten Systems basieren.
Spätestens jedoch seit dem „Hype“ durch die Veröffentlichung der MHRA Guidance 2016 ist das Thema Datenintegrität stärker ins Blickfeld von Behörden und Inspektionen gerückt. Bei Überprüfungen wird intensiver darauf geachtet, ob z.B. Validierungsmasterpläne, Risikoanalysen, Qualifizierungs- und Validierungspläne in der vorgegebenen Reihenfolge erstellt und die Unterschriften unter Prüfplänen, Testdurchführungen und Berichten in der richtigen chronologischen Reihenfolge geleistet wurden.
Wie kann die Datenintegrität gewährleistet werden?
Es gibt verschiedene Möglichkeiten, um die Integrität von Daten z. B. während der Datenübertragung zu gewährleisten. Eine Möglichkeit wäre die Zyklische Redundanzprüfung (englisch cyclic redundancy check, daher meist CRC). CRCs dienen dazu Fehler in übertragenen Daten zu erkennen. Basierend auf einer mathematischen Interpretation der zu übertragenden Daten wird ihnen eine Prüfsumme zugeordnet, die die Dateigröße erhöht, aber die zu übertragenden Daten nicht verändert. Beim Empfang der Daten führt das System die gleiche Berechnung durch und vergleicht den neu berechneten Wert mit dem im Datensatz übertragenen Wert. Wenn die beiden übereinstimmen, dann sind die übertragenen Daten während der Übertragung aus dem Quellsystem nicht verändert worden.
Ein weiteres Beispiel ist die Verschlüsselung. Die CRCs können den Datensatz nicht vor vorsätzlicher Manipulation schützen. Hierfür ist eine Datenverschlüsselung erforderlich. Dabei werden die zu übertragenden Daten erfasst und mit einem Verschlüsselungsalgorithmus in einen Chiffriertext überführt. Um diesen Text wieder zu entschlüsseln und in ein lesbares Format zu konvertieren, wird ein Schlüssel benötigt. Die Verschlüsselung von Daten kann auch die Verwendung digitaler Signaturen beinhalten, um die Authentizität der Daten zu gewährleisten.
Da auch die Verschlüsselung keine „ultimative“ Sicherung der Integrität bietet, werden kritische Daten zumeist durch eine Kombination mehrerer Verfahren, wie bspw. der Verwendung eines Message Authentication Code (MAC), geschützt.
Fazit
Obwohl das Konzept der Datenintegrität schon seit langem existiert, hat es in jüngster Zeit durch den vermehrten Einsatz computergestützter Systeme und den verstärkten Fokus der Regulierungsbehörden an Relevanz gewonnen. Die Wahrung der Integrität von Daten ist im GxP-regulierten Umfeld ein bekanntes und wichtiges Thema – die Datenintegrität während des gesamten Datenlebenszyklus zu gewährleisten, wird jedoch in der Praxis aufgrund verschiedener Systeme und Tools immer komplizierter. Da die Auswirkungen der Verletzung der Datenintegrität enorm sein können, sollten stets geeignete und validierte Verfahren zum Schutz der Integrität verwendet werde.
Die Softwarelösungen der Roxtra GmbH unterstützen Sie dabei die Integrität Ihrer Daten zu sichern. Nutzen Sie beispielsweise roXtra Dokumentenlenkung, um Ihre Dokumentation langfristig normgerecht zu verwalten und zu lenken.
Referenzen:
Gengenbach, R. (2008). GMP-Qualifizierung und Validierung von Wirkstoffanlagen. WILEY-VCH Verlag GmbH & Co. KGaA.
López, O. (2015). EU Annex 11 Guide to Computer Validation Compliance for the Worldwide Health Agency GMP . CRC Press.
Medicines & Healthcare products Medicines & Healthcare products. (2018). ‘GXP’ Data Integrity Guidance and Definitions.
Bildnachweis:
iStock.com/LeoWolfert
