IRB visszakapcsolási protokoll: útmutató a visszafordítható titkosításhoz
Az etikai bizottságok (IRB) ma már a de-azonosítási tervnél is többet kérnek. Visszakapcsolási tervet is megkövetelnek. Két dolgot kell igazolnia. Először: a külső felek nem tudják visszakövetni a betegek valódi neveit. Másodszor: a saját csapata meg tudja tenni – ha az etikai jóváhagyás lehetővé teszi.
Ez a kétirányú szabály valós tapasztalatokból fakad. Hosszú távú tanulmányok sürgős eredményeket produkáltak a vizsgálat közepén. A nyilvántartások azonban elérhetetlenek voltak. Nem létezett visszaút. Ez megakasztotta a betegellátást. A szabályozó hatóságok levonták a tanulságokat.
Támogatásunk e folyamathoz a megfelelőségi áttekintőnkben és a biztonsági gyakorlatokban ismerhető meg.
Miért kér az etikai bizottság kétirányú kaput
A GDPR-bírságok 56%-kal emelkedtek 2024-ben (DLA Piper Annual Report 2025). A GDPR 89. cikke reagál erre a tendenciára. Kutatási adatoknál pszeudoanonimizálást követel – nem teljes eltávolítást. A szabályozás elismeri, hogy a kutatásnak esetenként szüksége van visszautra a valódi nyilvántartáshoz.
Egy 2024-es NEJM AI-tanulmány LLM-alapú de-azonosítást vizsgált. Alapvető problémát azonosított. A megtisztított klinikai jegyzetek az orvosi mintákon keresztül megőrzik a kapcsolatot a beteg személyazonosságával – pontosan azon minták révén, amelyek hasznosakká teszik azokat. A tanulmány azt ajánlja: dokumentált kulcskezelési tervvel rendelkező pszeudoanonimizálást kell alkalmazni. Ez nyitva tartja a visszakapcsolás lehetőségét.
Az etikai bizottságnak mindkét oldalt ellenőriznie kell. Ki végezhet visszaazonosítást? Milyen feltételek mellett? Ki őrzi a kulcsot? Mit rögzítenek?
A konfiguráció működése
A visszafordítható titkosítás minden betegazonosítót titkosított tokenre cserél. A csapat a tokenekkel dolgozik; a munkafájlokba nem kerül valódi név.
A kulcs elkülönítése kielégíti az EDPB szabályát. A kutatócsoport a titkosított adatokat tárolja. Az adatgondnok a kulcsot egy külön rendszerben őrzi. Egyik fél sem képes önállóan visszaazonosítani. A csapat nem tudja visszafejteni. Az adatgondnok nem tudja a kulcsokat a betegekhez kötni az adatok nélkül.
Ha a visszakapcsolást jóváhagyják, az adatgondnok a kulcsot alkalmazza a névalapú nyilvántartásokra. Minden lépést rögzítenek: mely nyilvántartásokat, mikor, ki adta a jóváhagyást. Ez a nyilvántartás a bizonyíték a GDPR 89. cikke alapján.
Hogyan néz ki ez a gyakorlatban
Egy onkológiai centrum 5000 beteget magában foglaló kohorszt kezel három országban. Minden helyszín kizárólag tokenekkel dolgozik. A vezető centrum adatkezelője őrzi a kulcsot.
A tanulmány felénél egy elemzés 47 magas kockázatú beteget azonosít. Az etikai bizottság jóváhagyja a visszakapcsolást. Az adatkezelő visszafejti ezt a 47 nyilvántartást. A klinikai csapat kapcsolatba lép ezzel a 47 beteggel. A többi 4953 beteg anonimizált marad mindhárom helyszínen.
A kulcs nem mozdul. Az adatok titkosítva maradnak. Csak ez a 47 nyilvántartás kerül valaha is valódi névhez kapcsolásra.
A pszeudoanonimizálás és a teljes anonimizálás összehasonlításáért tekintse meg a visszafordítható de-azonosítási útmutatónkat.