شناساییزدایی برگشتپذیر در تحقیقات بالینی
کارآزماییهای طولانی با یک معامله دشوار روبرو هستند. بیماران باید در طول مطالعه پنهان بمانند. قوانین IRB آن را الزامی میکند. اعتماد بیمار به آن بستگی دارد. اما یک نتیجه ممکن است بعداً نیاز به تماس مجدد داشته باشد. شناساییزدایی دائمی آن مسیر را حذف میکند. شناساییزدایی برگشتپذیر آن را باز نگه میدارد.
ببینید که چگونه از این در مرور انطباق و شیوههای امنیتی ما پشتیبانی میکنیم.
مشکل تماس مجدد
یک مرکز انکولوژی یک مطالعه ۵,۰۰۰ بیماره اجرا میکند. در میانه کارآزمایی، ۴۷ بیمار نشانگرهایی مرتبط با یک نوع سرطان تهاجمی نشان میدهند. این در محدوده اصلی نبود. هیئت اخلاق یافته را بررسی میکند. تماس مجدد را تأیید میکند. وظیفه هشدار اعمال میشود.
اگر شناساییزدایی اصلی دائمی بود، تیم گیر کرده است. کدهای تصادفی بدون نقشه هیچ مسیر برگشتی ندارند. ۴۷ سابقه نمیتوانند به بیماران واقعی مرتبط شوند. یافته نمیتواند عمل شود. بیمارانی که ممکن است به مراقبت نیاز داشته باشند نمیتوانند تماس گرفته شوند. راهاندازی حریم خصوصی در حیاتیترین نقطه شکست خورده است.
این نادر نیست. هر کارآزمایی طولانی میتواند با یافته غیرمنتظرهای مواجه شود. دکترین وظیفه هشدار وقتی خطر پیدا میشود اقدام میطلبد. بدون مسیر شناسایی مجدد، آن اقدام ممکن نیست.
قوانین جداسازی کلید GDPR
رهنمودهای EDPB 05/2022 این مشکل را مستقیماً مورد توجه قرار میدهند. شبهناشناسسازی یک مرحله حفاظت از داده معتبر است. گزینه شناسایی مجدد را باز نگه میدارد. یک فرآیند تأیید شده میتواند از آن استفاده کند.
قانون اصلی جداسازی کلید است. کلید رمزگشایی باید جدا از دادههای شبهناشناس نگه داشته شود. کنترلها باید هر دسترسی که تأیید نشده است را مسدود کنند. تیمی که از دادهها استفاده میکند نباید کلید را نیز نگه دارد. شناسایی مجدد باید نیاز به یک مرحله رسمی، ثبتشده داشته باشد.
نظرسنجی IAPP در سال ۲۰۲۴ نشان داد که تنها ۲۳٪ از ابزارهای ناشناسسازی برگشتپذیری واقعی ارائه میدهند. اکثر ماسکگذاری یا جایگزینی دائمی اعمال میکنند. آن روشها تماس مجدد مورد نیاز وظیفه هشدار را مسدود میکنند.
چگونه معماری کار میکند
یک راهاندازی مطابق از رمزگذاری برگشتپذیر با AES-256-GCM استفاده میکند. هر شناسه بیمار به یک توکن تبدیل میشود. همان بیمار در تمام فایلهای مطالعه به همان توکن نگاشت میشود. پیوندهای داده سالم میمانند. هیچ شناسه خامی در مجموعه کاری ظاهر نمیشود.
کلید رمزگشایی توسط یک سرپرست داده نگه داشته میشود. جدا از دادهها نگه داشته میشود. هر استفاده از کلید نیاز به یک درخواست کتبی و تأیید شده دارد.
تیم در طول تحلیل تنها با توکنها کار میکند. وقتی ۴۷ بیمار تحت تأثیر پرچمگذاری میشوند، هیئت اخلاق شناسایی مجدد را تأیید میکند. سرپرست کلید را تنها روی آن ۴۷ سابقه اعمال میکند. تیم شناسههای واقعی آن ۴۷ را دریافت میکند. ۴,۹۵۳ بیمار دیگر محافظتشده باقی میمانند.
تنها شناسایی مجدد هدفمند ممکن است. بقیه مجموعه داده هرگز لمس نمیشود.
برای اطلاعات بیشتر در مورد تفاوت شبهناشناسسازی با ناشناسسازی کامل، به راهنمای GDPR: ناشناسسازی در برابر شبهناشناسسازی مراجعه کنید.