Gabet som kolonne-sletning overser
Opdateret for 2026
Forskningsdatasæt bevæger sig mellem universiteter som CSV-filer. Når teams forbereder en CSV til deling, er arbejdet kolonnebaseret. Find personoplysningerne. Slet eller erstat dem.
Den metode fungerer til faste felter. En kolonne kaldet "e-mail" indeholder e-mailadresser — slet den. En kolonne kaldet "telefon" indeholder telefonnumre — slet den. En kolonne kaldet "deltager_navn" indeholder navne — erstat dem med en kode.
Men fritekst-svarkolonner er et blint punkt. Fjernelse af mærkede kolonner rører ikke ved dem.
Et spørgeskema med 5.000 rækker kan have fem strukturerede PII-kolonner og femten åbne tekstsvarkolonner. De strukturerede indeholder navne, e-mails, telefonnumre, ID'er og fødselsår. De åbne tekstkolonner indeholder kommentarer, noter og forslag.
De strukturerede kolonner renses. De åbne tekstkolonner forbliver rå. Men folk skriver ting som disse tre eksempler.
Først: "Min læge på Boston Medical Center, Dr. Maria Santos, sagde, at behandlingen var ny." Andet: "Jeg har haft dette siden min ulykke i 2019." Tredje: "Du kan kontakte min plejer på margaret.wells@gmail.com for detaljer."
Hver post navngiver en reel person. Nogen inkluderer helbredsoplysninger eller kontaktinfo. Intet af dette optræder i en kolonneoverskrift. Intet af det fanges af kolonne-sletning.
Hvorfor dette ikke opfylder GDPR-standarden
GDPR betragtning 26 definerer anonyme poster som poster, der ikke kan knyttes til nogen person. Standarden er høj. Poster er kun virkelig anonyme, når re-identifikation ikke er rimeligt mulig.
En CSV med rene faste kolonner men navngivne mennesker i åben tekst består ikke den test. De navne er identificerbare. Datasættet er stadig personligt. GDPR artikel 89-reglerne gælder stadig. Så disse tre risici opstår.
Artikel 89-forskningsfritagelsen: Artikel 89 lader forskere behandle personoplysninger til videnskab med færre pligter. Men kun hvor "passende sikkerhedsforanstaltninger" eksisterer. At dele en fil med åbentekst-PII og påstå artikel 89-dækning er en juridisk fejl.
Etikgodkendelse: De fleste IRB'er og etikudvalg kræver fuld anonymisering af delte datasæt. Delvist arbejde — faste kolonner renset, åben tekst efterladt rå — fejler typisk. Udvalget kan afvise indgivelsen.
Datadelingsaftaler: DSA'er mellem institutioner fastlægger det krævede anonymiseringsniveau. Delvist arbejde, der ikke opfylder GDPR betragtning 26, kan bryde DSA'en. Se vores juridiske compliance-oversigt for, hvordan dette passer ind i et bredere program.
Hvorfor åben tekst er så svær at rense
Fritekst-spørgeskema-svar er blandt de sværeste PII-mål. Her er grunden.
Navne i kontekst: "Dr. Maria Santos på Boston Medical Center" kræver named entity recognition (NER) til at markere en person og en organisation. Nøgleordslister kan ikke finde dette.
Navne i historier: "John Hendersons bil ramte min" sætter et rigtigt navn ind i en historie. Det er en person nævnt i forbifarten. Kun NER fanger det.
Ikke-standardformater: Kontaktinfo kan læse "kontakt mig på margaret punkt wells på gmail." Simple regex-værktøjer overser disse.
Forskningsspecifikke termer: Kliniske spørgeskemaer indeholder ofte hospital-ID'er, stedkoder og stednavne. Disse kan identificere en person, selv om de ser generiske ud.
Så mønstermatchning alene er ikke nok. NLP-baserede værktøjer er nødvendige til reel spørgeskema-anonymisering. Se Sikkerhed & Compliance for tekniske muligheder.
Et reelt eksempel fra tre universiteter
Et forskerhold ved tre europæiske universiteter gennemførte en patientoplevelses-undersøgelse. Datasættet havde 5.000 respondenter, 3 faste PII-kolonner og 8 åbne tekstkolonner. Planen var at dele filen på tværs af sites under en DSA og GDPR artikel 89.
Med kolonne-sletning alene:
- Faste PII-kolonner: fjernet
- Åbne tekstkolonner: efterladt rå
- Påstand: "PII-kolonner slettet"
- Efterladt PII: 47 navngivne personer, 23 e-mailadresser i kommentarer, 18 stednavne, der kunne identificere respondenter
Med NLP-baseret detektion:
- Faste PII-kolonner: erstattet med konsistente tokens
- Åbne tekstkolonner: 47 navne erstattet, 23 e-mails maskeret, 18 stednavne gjort generiske ("Boston Medical Center" → "[Sundhedsinstitution]")
- Resultat: en fil, der opfylder GDPR betragtning 26
- Etikudvalget godkendte metoden
- DPO bekræftede DSA-compliance
Gabet er reelt. Det første output ser rent ud. Det andet output er rent.
En fem-trins pre-delingsprotokol
Brug disse trin, inden du deler nogen spørgeskema- eller interviewfil.
Trin 1: Mærk hver kolonne Mærk hver kolonne som fast PII, fast ikke-PII eller åben tekst. Skriv det ned.
Trin 2: Håndter fast PII Slet poster, der ikke er nødvendige for analyse. Erstat poster, der er nødvendige for at linke registreringer. Optegn de anvendte koder.
Trin 3: Scan åbne tekstkolonner Kør NLP-detektion på alle åbne tekstkolonner. Gennemgå hvert resultat. Bekræft, hvilke der er reel PII.
Trin 4: Anvend erstatninger
Erstat bekræftet PII i åbentekst-outputtet. Brug klare etiketter som [PERSON], [EMAIL] eller [LOKATION].
Trin 5: Verificer og dokumenter Sample 50–100 rækker fra outputtet. Kontroller åbentekst-posterne manuelt. Skriv et kort resumé: anvendte værktøjer, fundne enhedstyper, behandlede kolonner. Del det med filen til etikgennemgang.
Dette omdanner "vi slettede navnekolonnen" til en klar, dokumenteret proces. Det opfylder GDPR artikel 89 og de anonymiseringsstandarder, de fleste etikudvalg kræver. Besøg vores docs-hub for relaterede vejledninger.
Kilder
- GDPR artikel 89: Beskyttelsesforanstaltninger for videnskabelig forskning — VERIFICERET-EKSTERNT
- GDPR betragtning 26: Anonymiseringsprincippet — VERIFICERET-EKSTERNT
- ICO: Anonymisering og databeskyttelsesrisiko — VERIFICERET-EKSTERNT