Odwracalna de-identyfikacja w badaniach klinicznych
Długoterminowe badania kliniczne wiążą się z trudnym kompromisem. Pacjenci muszą pozostać anonimowi przez cały czas trwania badania — wymagają tego zasady komisji etycznych (IRB), a zaufanie pacjentów zależy od ich przestrzegania. Jednak wynik badania może wymagać późniejszego ponownego nawiązania kontaktu. Trwała de-identyfikacja zamknęłaby tę drogę na zawsze. Odwracalna de-identyfikacja pozostawia ją otwartą.
Dowiedz się, jak wspieramy ten proces, w naszym przeglądzie zgodności oraz opisie praktyk bezpieczeństwa.
Problem ponownego nawiązania kontaktu
Centrum onkologiczne prowadzi badanie z udziałem 5 000 pacjentów. W trakcie badania u 47 pacjentów wykryto markery powiązane z agresywnym typem nowotworu — wynik niezaplanowany w pierwotnym zakresie badania. Komisja etyczna analizuje to odkrycie i zatwierdza ponowne nawiązanie kontaktu. Zastosowanie ma doktryna obowiązku ostrzegania.
Jeżeli pierwotna de-identyfikacja była trwała, zespół badawczy jest w impasie. Losowe kody bez tablicy mapowania nie oferują żadnej drogi powrotnej. 47 rekordów nie można powiązać z rzeczywistymi pacjentami. Na odkrycie nie można zareagować. Pacjenci wymagający opieki medycznej pozostają nieosiągalni. System ochrony prywatności zawiódł w najważniejszym momencie.
To nie jest sytuacja wyjątkowa. Każde długoterminowe badanie może natrafić na niespodziewane odkrycie. Doktryna obowiązku ostrzegania nakazuje działanie w przypadku wykrycia ryzyka. Bez ścieżki re-identyfikacji działanie to jest niemożliwe.
Zasady separacji kluczy według RODO
Wytyczne EDPB 05/2022 odnoszą się bezpośrednio do tego problemu. Pseudonimizacja jest uznanym krokiem ochrony danych — pozostawia otwartą możliwość ponownej identyfikacji. Zatwierdzony proces może z niej skorzystać w razie potrzeby.
Kluczową zasadą jest separacja kluczy. Klucz deszyfrujący musi być przechowywany oddzielnie od pseudonimizowanych danych. Mechanizmy kontroli dostępu muszą blokować każdy dostęp, który nie został zatwierdzony. Zespół pracujący z danymi nie może jednocześnie dysponować kluczem. Re-identyfikacja musi wymagać formalnego, rejestrowanego w dzienniku audytu kroku.
Badanie IAPP z 2024 roku wykazało, że jedynie 23% narzędzi do anonimizacji oferuje prawdziwą odwracalność. Większość stosuje trwałe maskowanie lub zastępowanie danych — metody, które uniemożliwiają ponowny kontakt wymagany przez doktrynę obowiązku ostrzegania.
Jak działa architektura
Zgodna z przepisami konfiguracja wykorzystuje odwracalne szyfrowanie z algorytmem AES-256-GCM. Każdy identyfikator pacjenta zostaje zamieniony na token. Ten sam pacjent mapuje się na ten sam token we wszystkich plikach badania — powiązania danych pozostają nienaruszone, a w zbiorze roboczym nie pojawia się żaden surowy identyfikator.
Klucz deszyfrujący przechowuje wyznaczony opiekun danych, przechowując go oddzielnie od danych. Każde użycie klucza wymaga pisemnego, zatwierdzonego wniosku.
Zespół pracuje wyłącznie na tokenach podczas analizy. Gdy 47 pacjentów zostaje oznaczonych jako zagrożonych, komisja etyczna zatwierdza re-identyfikację. Opiekun stosuje klucz wyłącznie do tych 47 rekordów. Zespół otrzymuje prawdziwe dane identyfikacyjne dla tych 47 osób. Pozostałych 4 953 pacjentów jest nadal chronionych.
Możliwa jest wyłącznie celowa re-identyfikacja. Reszta zestawu danych pozostaje nienaruszana.
Więcej informacji o różnicach między pseudonimizacją a pełną anonimizacją znajdziesz w naszym przewodniku po anonimizacji a pseudonimizacji RODO.