Reverzibilní de-identifikace pro klinický výzkum
Dlouhodobé studie čelí obtížnému kompromisu. Pacienti musejí zůstat anonymní po celou dobu výzkumu — vyžadují to pravidla IRB a závisí na tom důvěra pacientů. Výsledek studie však může vyžadovat pozdější opětovný kontakt. Trvalá de-identifikace tuto cestu uzavírá. Reverzibilní de-identifikace ji nechává otevřenou.
Informace o tom, jak tuto oblast podporujeme, viz náš přehled souladu s předpisy a bezpečnostní postupy.
Problém opětovného kontaktu
Onkologické centrum provádí studii s 5 000 pacienty. V průběhu studie vykazuje 47 pacientů markery spojené s agresivním typem rakoviny. To nebylo součástí původního záměru. Etická komise případ přezkoumá a schválí opětovný kontakt. Uplatňuje se povinnost varování.
Pokud byla původní de-identifikace trvalá, tým nemá žádnou cestu vpřed. Náhodné kódy bez mapování nenabídnou žádný způsob návratu. 47 záznamů nelze propojit se skutečnými pacienty. Nález nelze využít. Pacienti, kteří mohou potřebovat péči, nemohou být kontaktováni. Nastavení ochrany soukromí selhalo v nejkritičtějším okamžiku.
To není výjimečná situace. Jakákoli dlouhodobá studie může narazit na nečekaný nález. Doktrína povinnosti varování vyžaduje akci při zjištění rizika. Bez cesty k opětovné identifikaci tato akce není možná.
Pravidla GDPR pro oddělení klíčů
Pokyny EDPB 05/2022 se tímto problémem výslovně zabývají. Pseudonymizace je platný krok ochrany dat, který zachovává možnost opětovné identifikace. Schválený postup ji může využít v případě potřeby.
Zásadní pravidlo je oddělení klíčů. Dešifrovací klíč musí být uchováván odděleně od pseudonymizovaných dat. Kontroly musejí blokovat jakýkoli neoprávněný přístup. Tým pracující s daty nesmí zároveň držet klíč. Opětovná identifikace musí vyžadovat formální a protokolovaný krok.
Průzkum IAPP z roku 2024 zjistil, že pouze 23 % anonymizačních nástrojů nabízí skutečnou reverzibilitu. Většina aplikuje trvalé maskování nebo nahrazení. Tyto metody znemožňují opětovný kontakt vyžadovaný povinností varování.
Jak architektura funguje
Kompatibilní uspořádání využívá reverzibilní šifrování pomocí AES. Každé ID pacienta je převedeno na token. Stejný pacient se mapuje na stejný token ve všech studijních souborech. Datové propojení zůstává zachováno. V pracovní sadě se neobjevují žádná skutečná ID.
Dešifrovací klíč drží správce dat. Je uchováván odděleně od dat. Jakékoli použití klíče vyžaduje písemnou, schválenou žádost.
Tým pracuje při analýze výhradně s tokeny. Když je identifikováno 47 dotčených pacientů, etická komise schválí opětovnou identifikaci. Správce dat aplikuje klíč výhradně na těchto 47 záznamů. Tým obdrží skutečná ID pouze pro těchto 47 pacientů. Zbývajících 4 953 pacientů zůstává chráněno.
Možná je pouze cílená opětovná identifikace. Zbytek datové sady se nedotýká.
Pro více informací o tom, jak se pseudonymizace liší od úplné anonymizace, viz náš průvodce anonymizací a pseudonymizací dle GDPR.