Вимога IRB щодо протоколу повторної ідентифікації
IRB тепер зазвичай вимагають від дослідників документувати свій протокол повторної ідентифікації — не лише метод деідентифікації. Документація повинна одночасно доводити дві речі: що деідентифікований набір даних не може бути повторно ідентифікований несанкціонованими сторонами, і що авторизована повторна ідентифікація можлива за визначених умов.
Ця подвійна вимога відображає уроки лонгітюдних досліджень, де клінічно значущі висновки з'явились у середині дослідження, але постійна анонімізація перешкоджала вжиттю заходів. Кількість санкцій GDPR зросла на 56% у 2024 році (DLA Piper Annual Report 2025), а дослідницьке виключення ЄС за Статтею 89 прямо вимагає псевдонімізації, а не постійної анонімізації для дослідницьких даних — визнаючи, що дослідження вимагає оборотності за контрольованих умов.
Оборотне шифрування як технічна відповідь
Оборотне шифрування задовольняє обидві вимоги IRB технічно:
Захист від несанкціонованої повторної ідентифікації: Patient_001 — це зашифровані дані, а не неструктуровані замінники. Зворотне відображення від Patient_001 до реальних даних пацієнта вимагає ключа шифрування. Без ключа повторна ідентифікація є обчислювально неможливою для будь-якого, хто має доступ лише до деідентифікованого набору даних.
Авторизована повторна ідентифікація за визначених умов: Дослідницьке IRB або головний дослідник тримає ключ шифрування в сховищі з контрольованим доступом. За наявності клінічно значущих висновків, що вимагають дій, авторизований персонал відновлює ключ, деанонімізує конкретні ідентифікатори Patient_001, і зв'язується з відповідним учасником — залишаючи повний журнал аудиту авторизованого доступу.
Це на відміну від постійної анонімізації (немає технічного шляху назад) або псевдонімізації без шифрування (відповідна таблиця є файлом, яким можна поділитися, скопіювати або викрасти).
Структури для зберігання ключів IRB
Ключі шифрування для лонгітюдних досліджень вимагають управління ключами, які відповідають дослідницьким часовим рамкам — часто 5-20 років. Практичні структури зберігання:
Зберігання ключів при IRB: Ключ шифрування зберігається інституційним IRB у зашифрованому сховищі ключів. Доступ вимагає затвердження IRB та ведення журналу аудиту. Повторна ідентифікація вимагає офіційного дозволу IRB так само, як і будь-яка інша суттєва поправка до протоколу.
Спільне зберігання ключів: Ключ розбивається на частки за допомогою порогового секретного розподілу Шаміра. N часток розподіляються між головним дослідником, IRB та незалежним радником з безпеки даних. Повторна ідентифікація вимагає M з N часток — жоден учасник не може діяти поодинці.
Часове зберігання ключів: Ключ шифрується під поточним датою стандарту часу NIST. Повторна ідентифікація можлива лише протягом визначеного вікна — наприклад, ключ доступний лише протягом 12-річного вікна дослідження. Після цього вікна деідентифікація стає постійною.
Документація DPIA для дослідницьких протоколів
GDPR Стаття 35 вимагає Оцінки впливу на захист даних для досліджень, що обробляють чутливі дані (включаючи дані про здоров'я). DPIA для лонгітюдних досліджень з оборотним шифруванням має документувати:
- Технічну специфікацію схеми шифрування (алгоритм, довжина ключа, режим)
- Технічні та організаційні заходи для захисту ключів шифрування
- Протокол авторизованої повторної ідентифікації (хто може запитувати, хто авторизує, як логується)
- Зобов'язання щодо видалення ключів (коли ключ буде знищений, роблячи деідентифікацію постійною)
- Оцінку ризику несанкціонованого доступу до ключів шифрування протягом ефективного терміну ключа
Регуляторне визнання дослідницької псевдонімізації
Стаття 89 GDPR прямо визнає дослідницьку обробку особливою категорією зі специфічними допустимими захисними заходами. Рекомендація EDPB 01/2021 щодо мінімізації даних для досліджень підтверджує псевдонімізацію — включаючи шифровану псевдонімізацію — як прийнятний захисний захід для дослідницьких контекстів, що вимагають повторного залучення учасників.
Практичний результат: оборотне шифрування (псевдонімізація зі зберіганням ключів) є регуляторно захищеним підходом до дослідницьких даних під GDPR. Постійна анонімізація може не відповідати вимогам GDPR, якщо протокол дослідження вимагає можливості повторного залучення учасників — постійна анонімізація забороняє те, що дослідницька мета може вимагати.
Джерела:
- GDPR Article 89 — Safeguards and derogations for processing for archiving in the public interest (gdpr.eu)
- EDPB Recommendations 01/2021 on Data Minimisation (edpb.europa.eu)
- DLA Piper GDPR Annual Fines Report 2025 (dlapiper.com)
- NEJM AI: LLM-based de-identification study (nejm.org)