Reversibel de-identifisering i klinisk forskning
Langvarige studier står overfor et vanskelig kompromiss. Pasienter må være skjult under studien. IRB-reglene krever det. Pasienttilliten avhenger av det. Men et funn kan kreve gjenopptak av kontakt senere. Permanent de-identifisering fjerner den muligheten. Reversibel de-identifisering holder den åpen.
Se hvordan vi støtter dette i vår samsvarsovervisning og sikkerhetspraksis.
Gjenopptak-av-kontakt-problemet
Et onkologisenter kjører en studie med 5 000 pasienter. Midtveis i studien viser 47 pasienter markorer knyttet til en aggressiv krefttype. Dette var ikke innenfor det opprinnelige omfanget. Etikkomiteen gjennomgår funnet. Den godkjenner gjenopptak av kontakt. Varslingsplikt gjelder.
Hvis den opprinnelige de-identifiseringen var permanent, er teamet fast. Tilfeldige koder uten nøkkelkart gir ingen vei tilbake. De 47 journalene kan ikke kobles til ekte pasienter. Funnet kan ikke handles på. Pasienter som kan trenge behandling kan ikke nås. Personvernoppsettet har sviktet på sitt mest kritiske punkt.
Dette er ikke sjeldent. Alle langvarige studier kan støte på et uventet funn. Varslingsliktdoktrin krever handling når risiko oppdages. Uten en re-identifiseringsvei er den handlingen ikke mulig.
GDPR-regler for nøkkelseparasjon
EDPB-retningslinjer 05/2022 adresserer dette problemet direkte. Pseudonymisering er et gyldig datavernsteg. Det holder muligheten for re-identifisering åpen. En godkjent prosess kan bruke det når det er nødvendig.
Kjerneregelen er nøkkelseparasjon. Dekrypteringsnøkkelen må holdes separat fra de pseudonymiserte dataene. Kontroller må blokkere all tilgang som ikke er godkjent. Teamet som bruker dataene må ikke også inneha nøkkelen. Re-identifisering må kreve et formelt, loggført steg.
IAPPs undersøkelse fra 2024 fant at bare 23 % av anonymiseringsverkøy tilbyr ekte reversibilitet. De fleste bruker permanent maskering eller erstatning. Disse metodene blokkerer den gjenopptak-av-kontakt som varslingsplikten krever.
Slik fungerer arkitekturen
Et kompatibelt oppsett bruker reversibel kryptering med AES-256-GCM. Hver pasient-ID gjøres om til et token. Den samme pasienten tilordnes det samme tokenet på tvers av alle studiefiler. Datalenker forblir intakte. Ingen rå ID-er vises i arbeidssettet.
Dekrypteringsnøkkelen holdes av en dataforvaltner. Den holdes separat fra dataene. All bruk av nøkkelen krever en skriftlig, godkjent forespørsel.
Teamet arbeider bare med tokens under analysen. Når de 47 berørte pasientene er flagget, godkjenner etikkomiteen re-identifisering. Forvaltningspersonen anvender nøkkelen kun på de 47 journalene. Teamet får reelle ID-er for disse 47. De andre 4 953 pasientene forblir beskyttet.
Bare målrettet re-identifisering er mulig. Resten av datasettet røres aldri.
For mer om hvordan pseudonymisering skiller seg fra fullstendig anonymisering, se vår GDPR-guide for anonymisering vs. pseudonymisering.