Reverzibilná de-identifikácia v klinickom výskume
Dlhodobé štúdie čelia náročnému kompromisu. Pacienti musia zostať skrytí počas štúdie. Vyžadujú to pravidlá IRB. Dôvera pacientov na tom závisí. Výsledok však môže vyžadovať neskoršie nadviazanie kontaktu. Trvalá de-identifikácia túto cestu uzatvára. Reverzibilná de-identifikácia ju ponecháva otvorenú.
Spôsob, akým to podporujeme, nájdete v prehľade súladu a bezpečnostných postupoch.
Problém opätovného kontaktovania
Onkologické centrum vedie štúdiu s 5 000 pacientmi. V polovici štúdie 47 pacientov preukáže markery spojené s agresívnym typom rakoviny. Toto nebolo v pôvodnom rozsahu. Etická komisia preskúma nález. Schváli opätovné kontaktovanie. Uplatňuje sa povinnosť varovať.
Ak bola pôvodná de-identifikácia trvalá, tím je zablokovaný. Náhodné kódy bez mapy neposkytujú cestu späť. 47 záznamov nemožno prepojiť so skutočnými pacientmi. Na nález nemožno reagovať. Pacienti, ktorí môžu potrebovať starostlivosť, nemôžu byť oslovení. Nastavenie ochrany súkromia zlyhalo v najkritickejšom momente.
Toto nie je zriedkavé. Akákoľvek dlhá štúdia môže naraziť na neočakávaný nález. Doktrína povinnosti varovať vyžaduje konanie pri zistení rizika. Bez cesty re-identifikácie toto konanie nie je možné.
Pravidlá GDPR o oddelení kľúčov
Smernice EDPB 05/2022 sa týmto problémom priamo venujú. Pseudonymizácia je platným krokom ochrany dát. Zachováva možnosť re-identifikácie. Schválený proces ju môže použiť v prípade potreby.
Základné pravidlo je oddelenie kľúčov. Dešifrovací kľúč musí byť uchovavaný oddelene od pseudonymizovaných dát. Kontroly musia blokovať akýkoľvek prístup, ktorý nie je schválený. Tím pracujúci s dátami nesmie súčasne držať kľúč. Re-identifikácia musí vyžadovať formálny, zaznamenaný krok.
Prieskum IAPP z roku 2024 zistil, že iba 23 % nástrojov na anonymizáciu ponúka skutočnú reverzibilitu. Väčšina uplatňuje trvalé maskovanie alebo nahrádzanie. Tieto metódy blokujú opätovné kontaktovanie, ktoré si povinnosť varovať vyžaduje.
Ako architektúra funguje
Vyhovujúce nastavenie používa reverzibilné šifrovanie s AES-256-GCM. Každé ID pacienta sa zmení na token. Ten istý pacient sa mapuje na ten istý token vo všetkých súboroch štúdie. Prepojenia dát zostávajú nedotknuté. V pracovnom súbore sa neobjavujú žiadne nespracované ID.
Dešifrovací kľúč drží správca dát. Uchováva sa oddelene od dát. Akékoľvek použitie kľúča vyžaduje písomný, schválený požiadavok.
Tím pracuje počas analýzy iba s tokenmi. Keď je 47 zasiahnutých pacientov označených, etická komisia schváli re-identifikáciu. Správca aplikuje kľúč iba na týchto 47 záznamov. Tím dostane skutočné ID pre týchto 47. Ostatných 4 953 pacientov zostáva chránených.
Možná je iba cielená re-identifikácia. Zvyšok súboru dát sa nikdy nedotkne.
Viac o tom, ako sa pseudonymizácia líši od úplnej anonymizácie, nájdete v sprievodcovi GDPR anonymizáciou vs pseudonymizáciou.