Обратимое обезличивание в клинических исследованиях
Долгосрочные исследования сталкиваются с жёстким компромиссом. В ходе исследования пациенты должны оставаться скрытыми. Этого требуют правила IRB. На этом держится доверие пациентов. Но результаты могут потребовать повторного контакта впоследствии. Необратимое обезличивание закрывает этот путь. Обратимое обезличивание оставляет его открытым.
См. как мы обеспечиваем это в нашем обзоре соответствия и описании практик безопасности.
Проблема повторного контакта
Онкологический центр проводит исследование с участием 5000 пациентов. В середине исследования у 47 пациентов обнаруживаются маркеры, связанные с агрессивным типом рака. Это выходило за рамки первоначального протокола. Этический комитет рассматривает находку. Он одобряет повторный контакт. Применяется доктрина обязанности предупреждения.
Если первоначальное обезличивание было необратимым, команда в тупике. Случайные коды без ключа не дают пути назад. 47 записей не удаётся связать с реальными пациентами. Находку невозможно использовать. Пациентов, которым может потребоваться лечение, невозможно найти. Система защиты конфиденциальности дала сбой в самый критический момент.
Это не редкость. В любом долгосрочном исследовании может возникнуть неожиданная находка. Доктрина обязанности предупреждения требует действий при выявлении риска. Без возможности реидентификации это действие невозможно.
Правила разделения ключей по GDPR
Руководство EDPB 05/2022 напрямую регулирует эту проблему. Псевдонимизация — допустимый шаг защиты данных. Она сохраняет возможность реидентификации. Одобренная процедура может прибегнуть к ней при необходимости.
Основное правило — разделение ключей. Ключ дешифровки должен храниться отдельно от псевдонимизированных данных. Контроль должен блокировать любой доступ, не получивший одобрения. Команда, работающая с данными, не должна одновременно хранить ключ. Реидентификация должна требовать формального документированного шага.
Опрос IAPP 2024 года показал, что лишь 23% инструментов анонимизации предлагают истинную обратимость. Большинство применяют необратимое маскирование или замену. Эти методы блокируют повторный контакт, которого требует доктрина обязанности предупреждения.
Как работает архитектура
Соответствующая требованиям система использует обратимое шифрование AES-256-GCM. Каждый идентификатор пациента преобразуется в токен. Один и тот же пациент соответствует одному и тому же токену во всех файлах исследования. Связи данных сохраняются. В рабочем наборе не появляется ни одного необработанного идентификатора.
Ключ дешифровки хранится у хранителя данных — отдельно от самих данных. Любое использование ключа требует письменного одобренного запроса.
В ходе анализа команда работает только с токенами. Когда 47 затронутых пациентов идентифицированы, этический комитет одобряет реидентификацию. Хранитель данных применяет ключ только к этим 47 записям. Команда получает реальные идентификаторы только для них. Остальные 4953 пациента остаются под защитой.
Возможна только целевая реидентификация. Остальной массив данных никогда не затрагивается.
Подробнее о различии между псевдонимизацией и полной анонимизацией — в нашем руководстве GDPR: анонимизация против псевдонимизации.