臨床研究における可逆的匿名化
長期試験は難しいジレンマを抱えています。研究期間中、患者は匿名のままでなければなりません。IRB規則がそれを要求します。患者の信頼もそれに依存しています。しかし、結果によっては後から再連絡が必要になる場合があります。永続的な匿名化はその手段を奪います。可逆的な匿名化はそれを維持します。
詳細はコンプライアンス概要とセキュリティ実践をご覧ください。
再連絡の問題
ある腫瘍センターが5,000名の患者を対象とした研究を実施しています。研究の途中で、47名の患者が攻撃的ながんタイプに関連するマーカーを示しました。これは当初のスコープには含まれていませんでした。倫理委員会が所見を検討します。再連絡を承認します。警告義務が適用されます。
元の匿名化が永続的だった場合、チームは行き詰まります。対応表のないランダムコードでは戻る手段がありません。47件の記録を実際の患者に結びつけることはできません。所見を実行に移すことができません。ケアが必要な患者に連絡することができません。プライバシーの枠組みが最も重要な瞬間に失敗しています。
これは珍しいケースではありません。長期試験ならどれでも予期しない所見に直面する可能性があります。警告義務は、リスクが発見された場合に行動を要求します。再識別の手段がなければ、その行動は不可能です。
GDPRと鍵の分離
EDPBガイドライン05/2022はこの問題に直接対処しています。仮名化は有効なデータ保護手順です。再識別のオプションを開いたままにします。承認されたプロセスは必要に応じてそれを使用できます。
核心的なルールは鍵の分離です。復号化キーは仮名化されたデータとは別に保管しなければなりません。管理策は承認されていないすべてのアクセスをブロックする必要があります。データを使用するチームがキーも保持してはなりません。再識別には正式で記録された手順が必要です。
IAPP 2024年調査によると、匿名化ツールのわずか23%のみが真の可逆性を提供しています。ほとんどは永続的なマスキングまたは置換を適用しています。これらの方法は、警告義務が要求する再連絡をブロックします。
アーキテクチャの仕組み
準拠したセットアップは、AES-GCMを使用した可逆暗号化を採用します。各患者IDはトークンに変換されます。同じ患者は研究のすべてのファイルで同じトークンにマッピングされます。データリンクは intact のままです。生のIDは作業データセットに表示されません。
復号化キーはデータカストディアンが保持します。データとは別に保管されます。キーの使用には書面による承認済みリクエストが必要です。
チームは分析中にトークンのみで作業します。47名の影響を受けた患者がフラグを立てられると、倫理委員会が再識別を承認します。カストディアンはその47件の記録にのみキーを適用します。チームはその47名の実際のIDを取得します。他の4,953名の患者は保護されたままです。
ターゲットを絞った再識別のみが可能です。データセットの残りの部分には触れません。
仮名化と完全な匿名化の違いについては、GDPR匿名化vs仮名化ガイドをご覧ください。