Protokół re-kontaktu IRB: Przewodnik po odwracalnym szyfrowaniu
Komisje IRB wymagają dziś czegoś więcej niż tylko planu de-identyfikacji. Potrzebują również planu re-kontaktu. Musisz wykazać dwie rzeczy. Po pierwsze, że strony zewnętrzne nie mają dostępu do prawdziwych danych pacjentów. Po drugie, że Twój zespół może je uzyskać — gdy komisja etyczna wyrazi na to zgodę.
Ta dwuelementowa zasada wynika z realnych doświadczeń. Długoterminowe badania ujawniały pilne wyniki w trakcie trwania, ale rekordy były zablokowane. Ścieżka powrotna nie istniała. To uniemożliwiało udzielenie opieki pacjentom. Regulatorzy wzięli to pod uwagę.
Dowiedz się, jak wspieramy ten proces, w naszym przeglądzie zgodności oraz opisie praktyk bezpieczeństwa.
Dlaczego IRB potrzebuje drzwi dwustronnych
Kary z RODO wzrosły o 56% w 2024 roku (Raport Roczny DLA Piper 2025). Artykuł 89 RODO odpowiada na ten trend. Wymaga pseudonimizacji — nie pełnego usunięcia — danych badawczych. Przepis uznaje, że badania naukowe potrzebują niekiedy ścieżki powrotnej do oryginalnego rekordu.
Badanie NEJM AI z 2024 roku analizowało de-identyfikację opartą na dużych modelach językowych (LLM). Wskazało na kluczowy problem: oczyszczone notatki kliniczne pozostają powiązane z tożsamością pacjenta poprzez te same wzorce kliniczne, które czynią je użytecznymi. Autorzy zalecają pseudonimizację z udokumentowanym planem zarządzania kluczem — co zachowuje otwartą ścieżkę re-kontaktu.
Twoja komisja IRB musi zobaczyć obie strony tych drzwi. Kto może re-identyfikować? Na jakich warunkach? Kto przechowuje klucz? Co jest rejestrowane w dzienniku?
Jak działa konfiguracja
Szyfrowanie odwracalne zastępuje każdy identyfikator pacjenta zaszyfrowanym tokenem. Zespół pracuje na tokenach; do plików roboczych nie trafiają prawdziwe nazwiska.
Podział klucza spełnia wymóg EDPB. Zespół badawczy przechowuje zaszyfrowane dane. Opiekun danych przechowuje klucz w oddzielnym systemie. Żadna ze stron nie może samodzielnie przeprowadzić re-identyfikacji — zespół nie może odszyfrować danych, opiekun nie może powiązać kluczy z pacjentami bez danych.
Gdy re-kontakt jest zatwierdzony, opiekun stosuje klucz wyłącznie do wskazanych rekordów. Każdy krok jest rejestrowany: które rekordy, kiedy, kto zatwierdził. Dziennik ten stanowi dowód wymagany przez Artykuł 89 RODO.
Jak to wygląda w praktyce
Centrum onkologiczne prowadzi kohortę 5 000 pacjentów w trzech krajach. Każda placówka pracuje wyłącznie na tokenach. Oficer ds. danych ośrodka wiodącego przechowuje klucz.
W trakcie badania skan identyfikuje 47 pacjentów wysokiego ryzyka. Komisja etyczna zatwierdza re-kontakt. Oficer odszyfrowuje 47 rekordów. Zespół kliniczny nawiązuje kontakt z tymi 47 pacjentami. Pozostałe 4 953 rekordy są nadal ukryte we wszystkich trzech placówkach.
Klucz nie zmienia miejsca przechowywania. Dane pozostają zaszyfrowane. Tylko te 47 rekordów jest kiedykolwiek powiązanych z prawdziwymi danymi.
Więcej informacji o różnicach między pseudonimizacją a pełną anonimizacją znajdziesz w naszym przewodniku po odwracalnej de-identyfikacji.