By · Last updated 2026-04-21

ブログに戻る医療

臨床研究における可逆的な非識別化:プライバシーと患者フォローアップの両方が必要なとき

研究が5,000人の参加者のうち47人に予期しないバイオマーカーリスクを発見した場合、研究者は実際の患者に連絡する必要があります。非識別化ツールのうち、真の可逆性を提供するものはわずか23%です(IAPP 2024)。永続的な非識別化は、臨床的に必要なフォローアップを不可能にします。

April 21, 20269 分で読めます
reversible de-identificationclinical research pseudonymizationpatient re-contact protocolIRB data managementHIPAA reversible encryption

臨床研究における可逆的匿名化

長期試験は難しいジレンマを抱えています。研究期間中、患者は匿名のままでなければなりません。IRB規則がそれを要求します。患者の信頼もそれに依存しています。しかし、結果によっては後から再連絡が必要になる場合があります。永続的な匿名化はその手段を奪います。可逆的な匿名化はそれを維持します。

詳細はコンプライアンス概要セキュリティ実践をご覧ください。

再連絡の問題

ある腫瘍センターが5,000名の患者を対象とした研究を実施しています。研究の途中で、47名の患者が攻撃的ながんタイプに関連するマーカーを示しました。これは当初のスコープには含まれていませんでした。倫理委員会が所見を検討します。再連絡を承認します。警告義務が適用されます。

元の匿名化が永続的だった場合、チームは行き詰まります。対応表のないランダムコードでは戻る手段がありません。47件の記録を実際の患者に結びつけることはできません。所見を実行に移すことができません。ケアが必要な患者に連絡することができません。プライバシーの枠組みが最も重要な瞬間に失敗しています。

これは珍しいケースではありません。長期試験ならどれでも予期しない所見に直面する可能性があります。警告義務は、リスクが発見された場合に行動を要求します。再識別の手段がなければ、その行動は不可能です。

GDPRと鍵の分離

EDPBガイドライン05/2022はこの問題に直接対処しています。仮名化は有効なデータ保護手順です。再識別のオプションを開いたままにします。承認されたプロセスは必要に応じてそれを使用できます。

核心的なルールは鍵の分離です。復号化キーは仮名化されたデータとは別に保管しなければなりません。管理策は承認されていないすべてのアクセスをブロックする必要があります。データを使用するチームがキーも保持してはなりません。再識別には正式で記録された手順が必要です。

IAPP 2024年調査によると、匿名化ツールのわずか23%のみが真の可逆性を提供しています。ほとんどは永続的なマスキングまたは置換を適用しています。これらの方法は、警告義務が要求する再連絡をブロックします。

アーキテクチャの仕組み

準拠したセットアップは、AES-256-GCMを使用した可逆暗号化を採用します。各患者IDはトークンに変換されます。同じ患者は研究のすべてのファイルで同じトークンにマッピングされます。データリンクは intact のままです。生のIDは作業データセットに表示されません。

復号化キーはデータカストディアンが保持します。データとは別に保管されます。キーの使用には書面による承認済みリクエストが必要です。

チームは分析中にトークンのみで作業します。47名の影響を受けた患者がフラグを立てられると、倫理委員会が再識別を承認します。カストディアンはその47件の記録にのみキーを適用します。チームはその47名の実際のIDを取得します。他の4,953名の患者は保護されたままです。

ターゲットを絞った再識別のみが可能です。データセットの残りの部分には触れません。

仮名化と完全な匿名化の違いについては、GDPR匿名化vs仮名化ガイドをご覧ください。

出典

データを保護する準備はできましたか?

48言語で285以上のエンティティタイプを使用してPIIを匿名化し始めましょう。

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.