Juleartikel: Er nissehuer og rensdyrgevir lige så effektive som sorte bjælker over øjnene til anonymisering af fotos? Et randomiseret, kontrolleret studium

I den medicinske litteratur er der tradition for at forsøge at anonymisere patientfotos ved at placere sorte felter hen over øjnene på patienterne. Teknikken er dog ikke nødvendigvis effektiv, og Slue skrev allerede i 1989, at: »Masking may make the author or publisher think that the patient's identity is hidden, but all that the bars do is ruin the photograph«[1]. Selvom der heldigvis er kommet opmærksomhed på vigtigheden af at få informeret samtykke til offentliggørelse fra patienten, fortsætter de tvivlsomme forsøg på »anonymisering« af fotos. I de seneste år har Ugeskrift for Læger bragt talrige artikler, som var illustreret med patientfotos, hvor identiteten var forsøgt sløret med sorte felter (i tillæg til indhentelse af samtykke) [2-17]. Størrelsen af de anvendte felter varierede meget – fra to helt små firkanter, der kun lige netop dækkede øjnene [8], til felter, der dækkede store dele af ansigtet [4].

HYPOTESE

Sammenlignet med det originale billede er den relative risiko for genkendelse stadig > 50%, når et portrætfoto forsøges »anonymiseret« vha. tildækning af mindre områder af ansigtet.

METODE

Studiedesign

Randomiseret, kontrolleret studium baseret på besvarelse af spørgeskemaer indeholdende portrætfotos. 

Billeder og modificering heraf

Fotos af 24 danske politikere blev beskåret, så kun hovedet var synligt, og tilrettet i seks versioner hver, som illustreret i Figur 1 A-F: ingen ændring, lille bjælke (en sammenhængende sort bjælke, der kun netop dækkede sclerae bilateralt), stor bjælke (en sammenhængende sort bjælke, der vertikalt gik fra og med arcus supraciliaris til og med margo infraorbitalis, og som horisontalt gik til begge sider af ansigtet), T-form (som den store bjælke, men tilføjet en ekstra sort firkant, der også dækkede hele næsen samt hele prolabium), nissehue, og rensdyr (gevir, rensdyrører og en fin rød næse). Alle billeder brugt i studiet kan ses i online appendix 1 [18].

Studiepopulation

Data blev indsamlet i august-september 2021. Deltagerne blev rekrutteret ved convenience sampling. I alt 119 læger og sygeplejersker på en dansk hospitalsafdeling blev inviteret, og 20 af dem deltog (responsrate 16,8%). Yderligere 80 personer blev inviteret blandt forfatterens familie/venner/bekendte, og 13 af dem deltog (responsrate 16,3%). Den samlede studiepopulation var 33 personer (responsrate 16,6%).

Dataindsamling

Hver inviteret person modtog et link til et elektronisk spørgeskema implementeret i systemet KoboToolbox. Ved hjælp af en pseudotilfældig talgenerator blev hver potentiel deltager tildelt ét ud af seks mulige spørgeskemaer med portrætbilleder, som de skulle identificere ved at anføre personens fulde navn i fritekst.

De seks spørgeskemaer indeholdt de samme billeder i den samme rækkefølge, og de indeholdt altid det samme antal billeder med små bjælker, store bjælker, nissehuer osv. Forskellen på de seks spørgeskemaer bestod udelukkende i, hvilke af billederne der var modificeret med hvilken type tildækning. På tværs af spørgeskemaerne optrådte hvert portrætfoto præcis én gang med hver type tildækning.

Kildekoden til de elektroniske spørgeskemaer er tilgængelig i online appendix 2 [18]. En oversigt over, hvordan besvarelser blev kodet som korrekte/forkerte, kan ses i online appendix 3 [18], og et anonymiseret datasæt med alle deltageres besvarelser er tilgængeligt i online appendix 4 [18].

Etik

Alle deltagere i projektet gav informeret samtykke forud for inklusion, og alle gav separat tilladelse til, at deres besvarelser måtte publiceres sammen med artiklen. Da der ikke var tale om sundhedsvidenskabelig eller sundhedsdatavidenskabelig forskning, blev projektet ikke anmeldt til en videnskabsetisk komité, hvilket er i overensstemmelse med retningslinjer fra den Nationale Videnskabsetiske Komité.

Statistisk analyse

Data blev oprenset og analyseret i Stata 15 (StataCorp, College Station, Texas, USA). Før dataindsamlingen gik i gang, blev analysestrategien besluttet, den tilhørende Stata-kode skrevet, og dokumentet uploadet på en preprint-server [19].

I den primære analyse beregnedes for hver type tildækning den relative risiko for genkendelse af den portrætterede person (med »ingen tildækning« som reference) vha. en generaliseret lineær model, der var justeret for rækkefølgen, hvori billederne var blevet præsenteret. Konfidensintervaller for estimaterne blev deriveret vha. en bootstrap-procedure under hensyntagen til, at de enkelte besvarelser ikke var indbyrdes uafhængige (idet hver deltager havde forsøgt at identificere 24 billeder). Robustheden af resultaterne blev undersøgt i sensitivitetsanalyser, der af hensyn til omfanget af artiklen ikke beskrives nærmere her. Den interesserede læser henvises til online appendix 5 [18].

I en sekundær analyse beregnedes den relative risiko for genkendelse, når billeder var ændret med nissehue eller rensdyrforklædning, relativt til mere traditionelle metoder (lille bjælke, stor bjælke og T-form).

RESULTATER

I alt 33 personer deltog i undersøgelsen, hvor de forsøgte at identificere 24 billeder hver. Besvarelser til to billeder blev slettet, fordi deltageren pga. en teknisk fejl i spørgeskemaet ikke kunne se billederne. Det endelige datasæt indeholdt derfor 790 observationer, fordelt på de seks forskellige typer »anonymisering«. I Tabel 1 opsummeres antallet af besvarelser inden for hver kategori af »anonymisering« og andelen af korrekte svar. Den samlede andel af korrekte svar var 74,8% med kun små variationer mellem kategorierne.

Figur 2 viser resultaterne fra den primære analyse. Højden af hver søjle repræsenterer den relative risiko for genkendelse af den portrætterede person med »ingen ændring« som reference. De vertikale sorte streger repræsenterer 95% konfidens-interval. Med »ingen ændring« som reference var der for alle de fem andre typer »anonymisering« en relativ risiko for genkendelse på 0,9-1,1. Alle estimaterne er statistisk signifikant forskellige fra 0,5. Sensitivitetsanalyser gav lignende resultater (se online appendix 6 [18]).

Tabel 2 viser resultaterne fra den sekundære analyse, i hvilken effektiviteten af »anonymisering« med nissehue og rensdyrforklædning blev sammenlignet med mere traditionelle teknikker.

DISKUSSION

I den primære analyse var den relative risiko for genkendelse af den portrætterede person ca. 1 (med »ingen ændring« som reference), uanset hvilken metode der blev brugt til »anonymisering«. Bredden på konfidensintervallerne illustrerer, at studiet ikke havde statistisk styrke til påvisning af mindre effekter af forsøgene på »anonymisering«, men resultaterne giver ikke grund til at tro, at nogen af de afprøvede metoder nedsætter risikoen for genkendelse i et omfang, der er relevant i praksis. Den sekundære analyse viste, at forsøg på »anonymisering« med nissehue eller rensdyrforklædning kun var en smule mindre effektiv end mere traditionelle metoder.

Den primære svaghed ved dette studium er den lave deltagerprocent (16,6). Nogle potentielle deltagere kan have valgt at lukke testen og annullere deres deltagelse, hvis de generelt havde meget svært ved at genkende de portrætterede personer, og et sådant frafald kan have medført falsk forhøjede resultater for andelen af korrekte svar. Men frafaldet vil dog kun medføre bias i analyserne af den relative risiko for genkendelse, såfremt det var bestemte kategorier af fotos (»ingen ændring«, »lille bjælke« osv.), som den potentielle deltager ikke kunne genkende, og derfor fik vedkommende til at annullere. En anden svaghed ved studiet er deltagerrekrutteringen vha. convenience sampling blandt de ansatte på en hospitalsafdeling samt blandt forfatterens familie og venner. Dette kan nedsætte generaliserbarheden af studiets resultater. Men det viser dog, at der eksisterer populationer, blandt hvem traditionelle (og julede) teknikker til anonymisering af portrætbilleder ikke er effektive.

I et tidligere studium [20] af teknikker til »anonymisering« af fotos af ansigter undersøgte Clover et al 126 medicinstuderende, der hver skulle prøve at genkende personerne på 30 fotos. De studerende genkendte i gennemsnit 82,1% af personerne på de originale fotos, 68,6% på fotos med en sort bjælke, der dækkede øjnene, og 58,4% på fotos dækket med en T-form. Forskellene mellem de originale og de »anonymiserede« fotos var statistisk signifikant. Mens Clover et al fandt en noget større effekt af »anonymisering« af fotos end i dette studium, var genkendelsesraten stadig høj, og ingen af teknikkerne til »anonymisering« nedsatte genkendelsesraten med 50% eller mere [20].

Man kan argumentere for, at en hvilken som helst reduktion i sandsynlighed for genkendelse af patienter på kliniske fotos er gavnlig, også når patienten har givet informeret samtykke til publicering af billederne. Men som påvist i både dette studium og af Clover et al [20] er den relative risiko for genkendelse stadig > 50% sammenlignet med utilslørede fotos. Jeg vil derfor argumentere for, at man ikke bør publicere fotos, der inkluderer vedkommendes ansigt, hvis patienten er bekymret for at blive identificeret, da evt. tilsløring blot giver falsk tryghed. Alternativt kan man forsøge »anonymisering« med en kæk lille nissehue – for praktiske formål virker det nemlig næsten lige så godt (eller rettere: lige så ringe) som traditionelle metoder, og så giver det meget bedre julehumør end en sort bjælke hen over øjnene på fotoet.

KONKLUSION

Placering af sorte bjælker hen over ansigtet kan reelt ikke bruges til at anonymisere fotos, da det er effektivt i under 50% af tilfældene.

Korrespondance Martin Rune Hassan Hansen. E-mail: maruha@rm.dk; martinrunehassanhansen@ph.au.dk

Antaget 2. november 2021

Publiceret på ugeskriftet.dk 13. december 2021

Interessekonflikter Forfatteren har som barn modtaget nonmonetære gaver af en hvidskægget ældre mandsperson iført beklædningsgenstanden, der er vist i Figur 1E. Forfatters ICMJE-formular er tilgængelig sammen med artiklen på ugeskriftet.dk

Taksigelser Wajd Abbas Hassan Hansen takkes for sin assistance som humorkonsulent.

Referencer findes i artiklen publiceret på ugeskriftet.dk

Artikelreference Ugeskr Læger 2021;183:V20213