IRB 재접촉 프로토콜: 가역적 암호화 가이드
IRB는 이제 비식별화 계획 이상을 요구합니다. 재접촉 계획도 필요합니다. 두 가지를 증명해야 합니다. 첫째, 외부 당사자는 실제 환자 이름에 접근할 수 없습니다. 둘째, 귀사 팀은 윤리 승인이 있을 때 접근할 수 있습니다.
이 양방향 규칙은 실제 경험에서 나왔습니다. 장기 연구들이 시험 중반에 긴급 결과를 발견했습니다. 그러나 기록이 잠겨 있었습니다. 돌아갈 경로가 없었습니다. 환자 치료가 차단되었습니다. 규제 기관이 이를 주목했습니다.
당사가 이를 어떻게 지원하는지는 규정 준수 개요와 보안 관행에서 확인할 수 있습니다.
IRB에 양방향 문이 필요한 이유
GDPR 과징금은 2024년에 56% 증가했습니다(DLA Piper 연간 보고서 2025). GDPR 제89조는 이 추세에 대응합니다. 연구 데이터에 완전한 삭제가 아닌 가명화를 요구합니다. 이 규칙은 연구가 때로 실제 기록으로 돌아가는 경로가 필요함을 인정합니다.
2024년 NEJM AI 논문은 LLM 기반 비식별화를 연구했습니다. 핵심 문제를 발견했습니다. 스크럽된 임상 메모는 유용하게 만드는 바로 그 임상 패턴을 통해 환자 신원과 계속 연결됩니다. 논문은 이렇게 말합니다. 문서화된 키 계획과 함께 가명화를 사용하십시오. 그것이 재접촉 경로를 열어둡니다.
IRB는 그 문의 양쪽을 모두 볼 필요가 있습니다. 누가 재식별할 수 있습니까? 어떤 조건 하에서? 누가 키를 보유합니까? 무엇이 기록됩니까?
설정 작동 방식
AES-256-GCM이 고정 모드로 실행됩니다. 각 환자 ID는 항상 동일한 토큰으로 매핑됩니다. "Patient_001"은 매번 동일한 출력을 생성합니다. 해당 토큰이 기준점, 3개월 차, 최종 검토에 나타납니다. 팀은 토큰만으로 각 환자를 추적합니다. 실제 이름은 작업 파일에 들어가지 않습니다.
키 분리가 EDPB 규칙을 충족합니다. 연구팀은 암호화된 데이터를 보유합니다. 데이터 관리자는 별도 시스템에서 키를 보유합니다. 어느 쪽도 단독으로 재식별할 수 없습니다. 팀은 복호화할 수 없습니다. 관리자는 데이터 없이 키를 환자와 연결할 수 없습니다.
재접촉이 승인되면, 관리자가 지정된 기록에 키를 적용합니다. 각 단계가 기록됩니다. 어떤 기록, 언제, 누가 승인했는지. 그 로그가 귀사의 GDPR 제89조 증거입니다.
실제로 어떻게 보이는가
한 종양학 센터가 3개국에서 5,000명 환자 코호트를 운영합니다. 각 현장은 토큰만으로 작업합니다. 주관 센터의 데이터 책임자가 키를 보유합니다.
연구 중반에 스캔에서 47명의 환자에게 높은 위험이 표시됩니다. 윤리위원회가 재접촉을 승인합니다. 책임자가 해당 47개 기록을 복호화합니다. 치료팀이 그 47명의 환자에게 연락합니다. 나머지 4,953명은 세 현장 모두에서 계속 숨겨져 있습니다.
키는 이동하지 않습니다. 데이터는 암호화된 상태를 유지합니다. 그 47개 기록만이 실제 이름과 연결됩니다.
가명화 대 완전한 익명화에 대한 자세한 내용은 가역적 비식별화 가이드를 참조하십시오.