By · Last updated 2026-04-26

ブログに戻る医療

非識別化だが消えない:縦断研究再接触のための可逆暗号化

Patient_001にフォローアップ訪問のために連絡できません。IRBは、文書化された再識別プロトコルを要求しています — 無許可のアクセスを防ぎながら、制御された条件下で再識別が可能であることを証明します。2024年のGDPR施行は56%増加しました。

April 26, 20268 分で読めます
research re-identification protocollongitudinal study follow-upIRB pseudonymization requirementcontrolled re-identificationdeterministic encryption

IRB再連絡プロトコル:可逆暗号化ガイド

IRBは今や匿名化計画だけでなく、再連絡プロトコルも求めています。2つのことを証明しなければなりません。第一に、権限のない第三者が患者の本名にアクセスできないこと。第二に、倫理委員会が承認した場合、チームがアクセスできること。

この二重基準は実際の経験から生まれています。長期研究では試験中に緊急の知見が得られることがあります。しかし、データはロックされていました。戻る道がありませんでした。それが患者ケアを妨げました。規制当局はこれに注目しました。

これへのサポートはコンプライアンス概要セキュリティ対策をご覧ください。

IRBが双方向の扉を必要とする理由

GDPRの制裁金は2024年に56%増加しました(DLA Piper Annual Report 2025)。GDPR第89条はこの傾向に対応しています。研究データには完全削除ではなく、仮名化を求めています。この規則は、研究が時に実際の記録への戻り道を必要とすることを認めています。

2024年のNEJM AI論文はLLMベースの匿名化を研究しました。中心的な問題が見つかりました。匿名化された臨床ノートは、それを有用にする同じ臨床パターンを通じて患者のアイデンティティと結びついたままです。論文の推奨事項:文書化された鍵管理計画を伴う仮名化。これにより再連絡の道が開かれます。

IRBはその扉の両側を確認する必要があります。誰が再識別できるか。どのような条件で。誰が鍵を持つか。何が記録されるか。

システムの仕組み

AES-256-GCMは決定論的モードで動作します。各患者IDは常に同じトークンを生成します。「Patient_001」は毎回同じ出力を生成します。そのトークンはベースライン、3ヶ月後、最終分析に現れます。チームはトークンのみで各患者を追跡します。実際の名前は作業ファイルに入りません。

鍵の分離はEDPBの要件を満たします。研究チームは暗号化されたデータを持ちます。データカストディアンは別のシステムで鍵を持ちます。どちらの側も単独で再識別できません。チームは復号化できません。カストディアンはデータなしに鍵を患者と結びつけられません。

再連絡が承認されると、カストディアンは指定されたレコードに鍵を適用します。各ステップが記録されます:どのレコード、いつ、誰が承認を与えたか。この記録がGDPR第89条のコンプライアンス証明です。

具体的な例

腫瘍センターが3カ国で5,000人のコホートを運営しています。各サイトはトークンのみで作業します。調整センターのデータ保護責任者が鍵を保持しています。

研究の中間で、スキャンが47人の高リスク患者を特定します。倫理委員会が再連絡を承認します。責任者がその47件のレコードを復号化します。医療チームがその47人の患者に連絡します。残りの4,953人は3サイト全体で保護されたままです。

鍵は移動しません。データは暗号化されたままです。その47件のレコードだけが実際の名前と結びつけられます。

仮名化と完全匿名化の違いについては、可逆匿名化ガイドをご覧ください。

出典

データを保護する準備はできましたか?

48言語で285以上のエンティティタイプを使用してPIIを匿名化し始めましょう。

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.