IRB-genkontaktprotokol: Guide til reversibel kryptering
IRB'er beder nu om mere end en de-identifikationsplan. De har også brug for en genkontaktplan. Du skal dokumentere to ting. For det første: eksterne parter kan ikke tilgå rigtige patientnavne. For det andet: dit team kan — når etikgodkendelsen siger det.
Denne tosidet regel udspringer af konkrete erfaringer. Langvarige studier har afsløret presserende resultater midt i forsøget. Men journalerne var låst. Der fandtes ingen vej tilbage. Det blokerede patientpleje. Tilsynsmyndighederne tog dette til efterretning.
Se, hvordan vi understøtter dette i vores overensstemmelsesoversigt og sikkerhedspraksis.
Hvorfor IRB'er kræver en tovejsdør
GDPR-bøder steg 56 % i 2024 (DLA Piper Årsrapport 2025). GDPR Artikel 89 svarer på denne tendens. Den kræver pseudonymisering — ikke fuld fjernelse — for forskningsdata. Reglen anerkender, at forskning sommetider kræver en vej tilbage til den reelle journal.
En NEJM AI-artikel fra 2024 undersøgte LLM-baseret de-identifikation. Den afslørede et kernepronem. Rensede kliniske noter er stadig knyttet til patientidentitet via de kliniske mønstre, der gør dem nyttige. Artiklen konkluderer: brug pseudonymisering med en dokumenteret nøgleplan. Det holder genkontaktstien åben.
Din IRB skal se begge sider af den dør. Hvem kan re-identificere? Under hvilke betingelser? Hvem holder nøglen? Hvad logfæres?
Sådan fungerer opsætningen
AES-256-GCM kører i fast tilstand. Hvert patient-ID mappes altid til det samme token. "Patient_001" giver det samme output hver gang. Det token optræder ved baseline, ved 3 måneder og ved den endelige gennemgang. Teamet sporer hver patient ved hjælp af token alene. Ingen rigtige navne indgår i arbejdsfilerne.
Nøgleopdeling opfylder EDPB-reglen. Forskerteamet opbevarer de krypterede data. En datavogter opbevarer nøglen i et separat system. Ingen af parterne kan re-identificere alene. Teamet kan ikke dekryptere. Datavogte kan ikke knytte nøgler til patienter uden dataene.
Når genkontakt er godkendt, anvender datavogte nøglen på navngivne journaler. Hvert trin logfæres: hvilke journaler, hvornår, hvem gav godkendelsen. Den log er dit GDPR Artikel 89-bevis.
Sådan ser det ud i praksis
Et kræftcenter kører en kohorte med 5.000 patienter i tre lande. Hvert center arbejder kun med tokens. Ledercenterets dataansvarlige opbevarer nøglen.
Midt i studiet markerer en scanning 47 patienter med høj risiko. Etikkomitéen godkender genkontakt. Den dataansvarlige dekrypterer de 47 journaler. Behandlingsteamet kontakter disse 47 patienter. De øvrige 4.953 forbliver skjult på alle tre centre.
Nøglen flyttes ikke. Dataene forbliver krypterede. Kun disse 47 journaler knyttes nogensinde til rigtige navne.
For mere om pseudonymisering versus fuld anonymisering, se vores guide til reversibel de-identifikation.