Protokół re-kontaktu IRB: Przewodnik po odwracalnym szyfrowaniu
Komisje IRB wymagają dziś czegoś więcej niż tylko planu de-identyfikacji. Potrzebują również planu re-kontaktu. Musisz wykazać dwie rzeczy. Po pierwsze, że strony zewnętrzne nie mają dostępu do prawdziwych danych pacjentów. Po drugie, że Twój zespół może je uzyskać — gdy komisja etyczna wyrazi na to zgodę.
Ta dwuelementowa zasada wynika z realnych doświadczeń. Długoterminowe badania ujawniały pilne wyniki w trakcie trwania, ale rekordy były zablokowane. Ścieżka powrotna nie istniała. To uniemożliwiało udzielenie opieki pacjentom. Regulatorzy wzięli to pod uwagę.
Dowiedz się, jak wspieramy ten proces, w naszym przeglądzie zgodności oraz opisie praktyk bezpieczeństwa.
Dlaczego IRB potrzebuje drzwi dwustronnych
Kary z RODO wzrosły o 56% w 2024 roku (Raport Roczny DLA Piper 2025). Artykuł 89 RODO odpowiada na ten trend. Wymaga pseudonimizacji — nie pełnego usunięcia — danych badawczych. Przepis uznaje, że badania naukowe potrzebują niekiedy ścieżki powrotnej do oryginalnego rekordu.
Badanie NEJM AI z 2024 roku analizowało de-identyfikację opartą na dużych modelach językowych (LLM). Wskazało na kluczowy problem: oczyszczone notatki kliniczne pozostają powiązane z tożsamością pacjenta poprzez te same wzorce kliniczne, które czynią je użytecznymi. Autorzy zalecają pseudonimizację z udokumentowanym planem zarządzania kluczem — co zachowuje otwartą ścieżkę re-kontaktu.
Twoja komisja IRB musi zobaczyć obie strony tych drzwi. Kto może re-identyfikować? Na jakich warunkach? Kto przechowuje klucz? Co jest rejestrowane w dzienniku?
Jak działa konfiguracja
AES-256-GCM działa w trybie deterministycznym. Każdy identyfikator pacjenta zawsze mapuje się na ten sam token. „Pacjent_001” daje ten sam wynik za każdym razem. Token pojawia się przy badaniu wstępnym, po 3 miesiącach i przy ostatecznym przeglądzie. Zespół śledzi każdego pacjenta wyłącznie za pomocą tokenu. Żadne prawdziwe dane identyfikacyjne nie trafiają do plików roboczych.
Podział klucza spełnia wymóg EDPB. Zespół badawczy przechowuje zaszyfrowane dane. Opiekun danych przechowuje klucz w oddzielnym systemie. Żadna ze stron nie może samodzielnie przeprowadzić re-identyfikacji — zespół nie może odszyfrować danych, opiekun nie może powiązać kluczy z pacjentami bez danych.
Gdy re-kontakt jest zatwierdzony, opiekun stosuje klucz wyłącznie do wskazanych rekordów. Każdy krok jest rejestrowany: które rekordy, kiedy, kto zatwierdził. Dziennik ten stanowi dowód wymagany przez Artykuł 89 RODO.
Jak to wygląda w praktyce
Centrum onkologiczne prowadzi kohortę 5 000 pacjentów w trzech krajach. Każda placówka pracuje wyłącznie na tokenach. Oficer ds. danych ośrodka wiodącego przechowuje klucz.
W trakcie badania skan identyfikuje 47 pacjentów wysokiego ryzyka. Komisja etyczna zatwierdza re-kontakt. Oficer odszyfrowuje 47 rekordów. Zespół kliniczny nawiązuje kontakt z tymi 47 pacjentami. Pozostałe 4 953 rekordy są nadal ukryte we wszystkich trzech placówkach.
Klucz nie zmienia miejsca przechowywania. Dane pozostają zaszyfrowane. Tylko te 47 rekordów jest kiedykolwiek powiązanych z prawdziwymi danymi.
Więcej informacji o różnicach między pseudonimizacją a pełną anonimizacją znajdziesz w naszym przewodniku po odwracalnej de-identyfikacji.