क्लिनिकल शोध के लिए प्रतिवर्ती डी-आईडेंटिफ़िकेशन
दीर्घकालिक परीक्षण एक कठिन समझौते का सामना करते हैं। अध्ययन के दौरान रोगियों को छिपा रहना चाहिए। IRB नियम इसकी आवश्यकता करते हैं। रोगियों का विश्वास इस पर निर्भर करता है। लेकिन एक परिणाम बाद में पुनः संपर्क की आवश्यकता कर सकता है। स्थायी डी-आईडी वह रास्ता बंद कर देती है। प्रतिवर्ती डी-आईडी उसे खुला रखती है।
हम इसे कैसे सपोर्ट करते हैं, देखें कम्प्लायंस अवलोकन और सुरक्षा अभ्यास।
पुनः-संपर्क की समस्या
एक ऑन्कोलॉजी सेंटर 5,000 रोगियों का अध्ययन चलाता है। परीक्षण के बीच में, 47 रोगी आक्रामक कैंसर प्रकार से जुड़े मार्कर दिखाते हैं। यह मूल दायरे में नहीं था। नैतिकता बोर्ड निष्कर्ष की समीक्षा करता है। वह पुनः संपर्क को मंजूरी देता है। सूचित करने का कर्तव्य लागू होता है।
अगर मूल डी-आईडी स्थायी थी, तो टीम फँसी है। बिना मानचित्र के यादृच्छिक कोड वापस जाने का कोई रास्ता नहीं देते। 47 रिकॉर्ड वास्तविक रोगियों से नहीं जुड़ सकते। निष्कर्ष पर कार्रवाई नहीं की जा सकती। जिन रोगियों को देखभाल की आवश्यकता हो सकती है, उन तक नहीं पहुँचा जा सकता। प्राइवेसी सेटअप अपने सबसे महत्वपूर्ण बिंदु पर विफल हो गया है।
यह दुर्लभ नहीं है। कोई भी दीर्घकालिक परीक्षण एक अप्रत्याशित निष्कर्ष तक पहुँच सकता है। ड्यूटी-टू-वार्न सिद्धांत के लिए आवश्यक है कि जोखिम मिलने पर कार्रवाई हो। रे-आईडी रास्ते के बिना, वह कार्रवाई संभव नहीं है।
GDPR मुख्य पृथक्करण नियम
EDPB दिशानिर्देश 05/2022 इस समस्या को सीधे संबोधित करते हैं। स्यूडोनिमाइज़ेशन एक वैध डेटा सुरक्षा कदम है। यह ज़रूरत पड़ने पर पुनः-पहचान का विकल्प खुला रखता है। एक अनुमोदित प्रक्रिया इसका उपयोग कर सकती है।
मुख्य नियम है मुख्य पृथक्करण। डिक्रिप्शन कुंजी को स्यूडोनिमाइज़्ड डेटा से अलग रखा जाना चाहिए। नियंत्रण किसी भी ऐसी पहुँच को रोकने चाहिए जो अनुमोदित नहीं है। डेटा का उपयोग करने वाली टीम के पास कुंजी भी नहीं होनी चाहिए। रे-आईडी के लिए एक औपचारिक, लॉग किया गया चरण आवश्यक है।
IAPP के 2024 सर्वेक्षण में पाया गया कि केवल 23% अनामीकरण टूल्स वास्तविक प्रतिवर्तनीयता प्रदान करते हैं। अधिकांश स्थायी मास्किंग या प्रतिस्थापन लागू करते हैं। वे विधियाँ उस पुनः-संपर्क को रोकती हैं जो ड्यूटी-टू-वार्न के लिए आवश्यक है।
आर्किटेक्चर कैसे काम करता है
एक अनुपालक सेटअप AES-256-GCM के साथ प्रतिवर्ती एन्क्रिप्शन का उपयोग करता है। हर रोगी ID को एक टोकन में बदला जाता है। एक ही रोगी सभी अध्ययन फ़ाइलों में एक ही टोकन से मैप होता है। डेटा लिंक अपरिवर्तित रहते हैं। कार्यशील सेट में कोई कच्ची ID नहीं दिखती।
डिक्रिप्शन कुंजी एक डेटा संरक्षक के पास होती है। इसे डेटा से अलग रखा जाता है। कुंजी के किसी भी उपयोग के लिए एक लिखित, अनुमोदित अनुरोध आवश्यक है।
टीम विश्लेषण के दौरान केवल टोकन के साथ काम करती है। जब 47 प्रभावित रोगियों को चिह्नित किया जाता है, तो नैतिकता बोर्ड रे-आईडी को मंजूरी देता है। संरक्षक केवल उन 47 रिकॉर्ड पर कुंजी लागू करता है। टीम को उन 47 के लिए वास्तविक ID मिलती है। शेष 4,953 रोगी सुरक्षित रहते हैं।
केवल लक्षित रे-आईडी संभव है। बाकी डेटासेट को कभी नहीं छुआ जाता।
स्यूडोनिमाइज़ेशन पूर्ण अनामीकरण से कैसे भिन्न है, इस पर अधिक जानकारी के लिए, देखें GDPR अनामीकरण बनाम स्यूडोनिमाइज़ेशन गाइड।