Die Omkeerbare de-identifikasie-kwessie
Kliniese navorsingsteams het 'n unieke probleem: hulle moet pasiëntdata verwerk sonder identifikasie (vir privaatverskaffing), maar mag ook moontlik moet identifiseer weertoe (vir vervolgwerk, metaanalise, ensovoorts).
Gadink maak daarvoor "omkeerbare de-identifikasie" — jy verwyder die nome, e-pos, telefoonnomme, maar jy behou 'n "private sleutel" wat (slegs jy) kan terugskerm.
HIPAA noem dit "Limited Data Set." Europese jurisdiksies het 'n sterker siening.
HIPAA: Omkeerbare OK, as daar 'n Bepalingsmaatreël is
HIPAA se Privacy Reël (45 CFR § 164.514(b)(2)) sê dat een manier om "de-identified data" te skep, is:
- Verwyder 18 bepaalde identifiseerbare data-elementen (name, adresse, dagte, ensovoorts)
- Behou dit "Limited Data Set"
Wanneer jy 'n Limited Data Set skep, mag jy 'n "Data Use Agreement" (DUA) met die navorsingsteam onderteken wat die Limited Data Set mag gebruik, maar dit mag nie hom terugskerm ne.
As die navorsingsteam EKomplettelijk het die sleutels nodig voor terug-identifisering (bv. vir pasiënten-vervolgwerk), dan is dit nie meer "de-identified data" onder HIPAA nie — dit is "Protected Health Information" (PHI), wat HIPAA-sekureheid-maatreëls nodig het.
GDPR: Omkeerbare = Persoonlike Data
GDPR Rondskrif 05/2014 van die Werkgroep sê duidurend dat omkeerbare anonimering GDPR nie voorbygaan nie:
- As jy 'n sleutel hê wat die gegevens terug kan skerm, dan is dit "persoonlike data"
- Dit maak nie saak hoeveel oefeninge dit neem om terug te skerm nie
- As dit "prakties moontlik" is, dan is dit nog steeds persoonlike data
Vir Europese navorsingsteame, mag omkeerbare de-identifikasie nou hierdie gevolge hê:
- Die data is persoonlike data: Jy het 'n GDPR Artikel 6 regmatige grond nodig (gelyk: toestemming, wetlik belang, ensovoorts)
- Meer transparansie: Jy moet pasiënte vertel dat hulle data omkeerbaar geanonimiseer is en jy dit mag terugruzie
- Sterkere sekuriteit: Jy moet 'n Data Processing Agreement (DPA) met elke navorsingsteam hê
De-identifikasie-standaarde oor Jurisdiksies
| Standaard | Omkeerbare toegelaat? | Noot |
|---|---|---|
| HIPAA | Ja (Limited Data Set) | Vereist DUA |
| GDPR | Nee (persoonlike data) | Vereist Artikel 6 grond |
| PDPA (Thailand) | Ja, as prakties moeilik | Soek "praktieslike vermoeiing" |
| CCPA (Kalifornië) | Ja, met private identifiseerder | Vereist separate opslag van sleutel |
| LGPD (Brasilie) | Nee (soos GDPR) | Pseudonomiseering = persoonlike data |
Vir internasionale navorsingsteame, is dit kritiek om:
- Die jurisdiksies wat jy bedien, te identifiseer
- Die de-identifikasie-skaatsie van elk te verstaan
- Jou data-protokolle dienooreenkomstig aan te pas