Atgriezeniska De-Identifikācija Klīniskajos Pētījumos
Ilgie izmēģinājumi saskaras ar grūtu kompromisu. Pacienti ir jāslēpj pētījuma laikā. IRB noteikumi to prasa. Pacientu uzticība no tā ir atkarīga. Taču rezultāts vēlāk var prasīt atkārtotu kontaktu. Pastāvīgā de-identifikācija noņem šo ceļu. Atgriezeniskā de-identifikācija to saglabā atvērtu.
Skatiet, kā mēs to atbalstām mūsu atbilstības pārskatā un drošības praksēs.
Atkārtotas Saziņas Problēma
Onkoloģijas centrs veic 5000 pacientu pētījumu. Pētījuma vidū 47 pacientiem parādās marķieri, kas saistīti ar agresīvu vēža veidu. Tas nebija sākotnējā tvērumā. Ētikas padome pārskata atradumu. Tā apstiprina atkārtotu kontaktu. Piemērojama brīdinājuma pienākuma doktrīna.
Ja sākotnējā de-identifikācija bija pastāvīga, komanda ir iestiguusi. Nejaušas kodes bez kartes nedod ceļu atpakaļ. 47 ierakstus nevar saistīt ar reāliem pacientiem. Ar atradumu nevar rīkoties. Pacienti, kuriem var būt vajadzīga aprūpe, nav sasniedzami. Privātuma iestatījums ir izgāzies savā kritiskākajā brīdī.
Tas nav rets gadījums. Jebkurš ilgtermiņa izmēģinājums var saskarties ar negaidītu atradumu. Brīdinājuma pienākuma doktrīna prasa rīkoties, kad risks ir atrasts. Bez re-identifikācijas ceļa šī rīcība nav iespējama.
GDPR Atslēgas Nodalīšanas Noteikumi
EDPB Vadlīnijas 05/2022 tieši risina šo problēmu. Pseidonimizācija ir derīgs datu aizsardzības solis. Tā saglabā re-identifikācijas iespēju atvērtu. Apstiprināts process to var izmantot, kad nepieciešams.
Pamatnoteikums ir atslēgas nodalīšana. Atšifrēšanas atslēga ir jātur atsevišķi no pseidonimizētajiem datiem. Kontrolēm ir jābloķē jebkura piekļuve, kas nav apstiprināta. Komanda, kas izmanto datus, nedrīkst arī turēt atslēgu. Re-identifikācijai ir jāprasa formāls, reģistrēts solis.
IAPP 2024. gada aptauja atklāja, ka tikai 23% anonimizācijas rīku piedāvā patieso atgriezeniskumu. Lielākā daļa izmanto pastāvīgu maskēšanu vai aizstāšanu. Šīs metodes bloķē atkārtoto kontaktu, ko prasa brīdinājuma pienākums.
Kā Arhitektūra Darbojas
Atbilstīgs iestatījums izmanto atgriezenisku šifrēšanu ar AES-256-GCM. Katrs pacienta ID tiek pārvērsts par marķieri. Viens un tas pats pacients tiek kartēts uz vienu un to pašu marķieri visos pētījuma failos. Datu saites paliek neskartas. Darba kopā neparādās nekādi neapstrādāti ID.
Atšifrēšanas atslēgu tur datu glabātājs. Tā tiek glabāta atsevišķi no datiem. Jebkurai atslēgas izmantošanai nepieciešams rakstisks, apstiprināts pieprasījums.
Komanda analīzes laikā strādā tikai ar marķieriem. Kad tiek atzīmēti 47 skartie pacienti, ētikas padome apstiprina re-identifikāciju. Glabātājs pielieto atslēgu tikai tiem 47 ierakstiem. Komanda saņem reālos ID tiem 47. Pārējie 4953 pacienti paliek aizsargāti.
Iespējama ir tikai mērķtiecīga re-identifikācija. Pārējais datu kopums nekad netiek skarts.
Plašāku informāciju par to, kā pseidonimizācija atšķiras no pilnīgās anonimizācijas, skatiet mūsu GDPR anonimizācijas pret pseidonimizāciju ceļvedī.