임상 연구를 위한 가역적 비식별화
장기 임상시험은 어려운 상충 관계에 직면합니다. 연구 기간 동안 환자 신원은 반드시 보호되어야 합니다. IRB 규정이 이를 요구하며, 환자의 신뢰도 여기에 달려 있습니다. 그러나 결과에 따라 나중에 재접촉이 필요할 수 있습니다. 영구적 비식별화는 그 경로를 차단합니다. 가역적 비식별화는 경로를 열어둡니다.
당사가 이를 어떻게 지원하는지는 규정 준수 개요와 보안 관행에서 확인할 수 있습니다.
재접촉 문제
한 종양학 센터에서 5,000명 환자를 대상으로 연구를 진행합니다. 연구 중반에 47명의 환자에서 공격적인 암 유형과 관련된 마커가 발견됩니다. 이는 원래 연구 범위에 없던 것이었습니다. 윤리위원회가 이 발견을 검토하고 재접촉을 승인합니다. 위험 고지 의무가 적용됩니다.
원래 비식별화가 영구적이었다면, 팀은 난관에 봉착합니다. 매핑 없는 무작위 코드로는 돌아갈 경로가 없습니다. 47개 기록을 실제 환자와 연결할 수 없습니다. 발견 사항에 대한 조치를 취할 수 없습니다. 치료가 필요할 수 있는 환자들에게 연락할 수 없습니다. 개인 정보 보호 체계가 가장 중요한 순간에 실패한 것입니다.
이런 상황은 드물지 않습니다. 모든 장기 연구는 예상치 못한 발견에 직면할 수 있습니다. 위험 고지 의무 원칙은 위험이 발견될 때 조치를 요구합니다. 재식별 경로 없이는 그 조치가 불가능합니다.
GDPR 키 분리 규칙
EDPB 가이드라인 05/2022는 이 문제를 직접 다룹니다. 가명화는 유효한 데이터 보호 단계입니다. 재식별 가능성을 열어둡니다. 승인된 절차가 필요할 때 이를 활용할 수 있습니다.
핵심 규칙은 키 분리입니다. 복호화 키는 가명화된 데이터와 분리하여 보관해야 합니다. 승인되지 않은 접근을 차단하는 통제 장치가 있어야 합니다. 데이터를 사용하는 팀이 키도 보유해서는 안 됩니다. 재식별에는 공식적이고 로그가 기록된 단계가 필요합니다.
IAPP의 2024년 조사에 따르면 익명화 도구의 23%만이 진정한 가역성을 제공합니다. 대부분은 영구적인 마스킹이나 대체를 적용합니다. 이런 방법들은 위험 고지 의무가 요구하는 재접촉을 차단합니다.
아키텍처 작동 방식
규정 준수 설정은 AES-256-GCM을 사용한 가역적 암호화를 활용합니다. 각 환자 ID는 토큰으로 변환됩니다. 동일한 환자는 모든 연구 파일에서 동일한 토큰으로 매핑됩니다. 데이터 연결이 유지됩니다. 실제 ID는 작업 세트에 나타나지 않습니다.
복호화 키는 데이터 관리자가 보유합니다. 데이터와 분리하여 보관됩니다. 키를 사용하려면 서면으로 작성된 승인된 요청이 필요합니다.
팀은 분석 중에는 토큰만으로 작업합니다. 영향을 받은 47명의 환자가 식별되면, 윤리위원회가 재식별을 승인합니다. 관리자는 해당 47개 기록에만 키를 적용합니다. 팀은 그 47명에 대한 실제 ID를 받습니다. 나머지 4,953명의 환자는 계속 보호됩니다.
특정 대상에 대한 재식별만 가능합니다. 나머지 데이터셋은 절대 건드리지 않습니다.
가명화와 완전한 익명화의 차이에 대한 자세한 내용은 GDPR 익명화 vs 가명화 가이드를 참조하십시오.