De-identificação reversível para pesquisa clínica
Estudos longos enfrentam um dilema difícil. Os pacientes devem permanecer anônimos durante o estudo. As regras do comitê IRB exigem isso. A confiança dos pacientes depende disso. Mas um resultado pode exigir recontato posterior. A de-identificação permanente elimina essa opção. A de-identificação reversível a mantém aberta.
Veja como apoiamos isso em nossa visão geral de conformidade e práticas de segurança.
O problema do recontato
Um centro de oncologia conduz um estudo com 5.000 pacientes. No meio do estudo, 47 pacientes apresentam marcadores ligados a um tipo agressivo de câncer. Isso não estava no escopo original. O comitê de ética analisa o achado. Aprova o recontato. A obrigação de aviso se aplica.
Se a de-identificação original foi permanente, a equipe está bloqueada. Códigos aleatórios sem tabela de correspondência não oferecem caminho de volta. Os 47 registros não podem ser vinculados a pacientes reais. O achado não pode ser colocado em prática. Pacientes que possam precisar de cuidados não podem ser contatados. O sistema de privacidade falhou em seu momento mais crítico.
Isso não é um caso raro. Qualquer estudo longo pode encontrar um achado inesperado. A obrigação de aviso exige ação quando um risco é encontrado. Sem um caminho de re-identificação, essa ação não é possível.
RGPD e separação de chaves
As Diretrizes EDPB 05/2022 tratam desse problema diretamente. A pseudonimização é uma etapa válida de proteção de dados. Ela mantém a opção de re-identificar aberta. Um processo aprovado pode usá-la quando necessário.
A regra central é a separação de chaves. A chave de descriptografia deve ser mantida separada dos dados pseudonimizados. Os controles devem bloquear qualquer acesso não aprovado. A equipe que usa os dados não deve também deter a chave. A re-ID deve exigir uma etapa formal e documentada.
A pesquisa IAPP 2024 descobriu que apenas 23% das ferramentas de anonimização oferecem verdadeira reversibilidade. A maioria aplica mascaramento permanente ou substituição. Esses métodos bloqueiam o recontato que a obrigação de aviso exige.
Como a arquitetura funciona
Uma configuração em conformidade usa criptografia reversível com AES. Cada ID de paciente é convertido em um token. O mesmo paciente é mapeado para o mesmo token em todos os arquivos do estudo. Os vínculos de dados permanecem intactos. Nenhum ID bruto aparece no conjunto de trabalho.
A chave de descriptografia é mantida por um custodiante de dados. Ela é mantida separada dos dados. Qualquer uso da chave requer uma solicitação escrita e aprovada.
A equipe trabalha apenas com tokens durante a análise. Quando os 47 pacientes afetados são sinalizados, o comitê de ética aprova a re-ID. O custodiante aplica a chave apenas a esses 47 registros. A equipe obtém IDs reais para esses 47. Os outros 4.953 pacientes permanecem protegidos.
Somente re-ID direcionada é possível. O restante do conjunto de dados nunca é tocado.
Para saber mais sobre como a pseudonimização difere da anonimização completa, veja nosso guia RGPD anonimização vs pseudonimização.