IRB 重新联系协议：可逆加密指南
IRB 的要求已不仅限于去标识化方案，还需要重新联系方案。你必须证明两件事：其一，外部各方无法获取真实患者姓名；其二，你的团队在获得伦理批准时可以做到。
这一双重要求来自现实经验。长期研究曾在试验中期发现紧急结果，但记录已被锁死，没有任何回溯路径，患者医疗因此受阻。监管机构注意到了这一问题。
IRB 为何需要一扇双向门
根据 DLA Piper 2025 年年度报告，GDPR 罚款在 2024 年增长 56%。GDPR 第 89 条对这一趋势作出回应，要求对研究数据实施假名化而非完全删除。该规则承认，研究有时需要一条回溯到真实记录的路径。
2024 年《NEJM AI》的一篇论文研究了基于 LLM 的去标识化，发现一个核心问题：脱敏后的临床记录通过使其具有研究价值的同一临床规律仍与患者身份相关联。论文建议：使用假名化并配备记录在案的密钥管理方案，以保持重新联系的路径畅通。
IRB 需要看到这扇门的两面：谁可以重新识别？在什么条件下？谁持有密钥？记录什么？
架构原理
可逆加密把每个患者 ID 替换为加密令牌。团队使用令牌工作；工作文件中不会出现真实姓名。
密钥分割满足 EDPB 要求：研究团队持有加密数据，数据托管人在独立系统中持有密钥。双方均无法单独完成重新识别——团队无法解密，托管人没有数据无法建立密钥与患者的对应关系。
重新联系获批后，托管人对指定记录应用密钥，每个步骤均有日志记录：哪些记录、时间、谁给予了批准。该日志是 GDPR 第 89 条要求的合规证明。
实践中的样子
一家肿瘤中心在三个国家开展一项纳入 5,000 名患者的队列研究。每个研究中心仅使用令牌，牵头中心的数据专员持有密钥。
研究进行中，影像检查标记出 47 名高风险患者。伦理委员会批准重新联系，专员仅对这 47 条记录解密，医疗团队联系这 47 名患者，另外 4,953 名患者在三个研究中心均保持匿名。
密钥不移动，数据保持加密，只有这 47 条记录被与真实姓名关联。
关于假名化与完全匿名化的更多区别，请参阅我们的可逆去标识化指南。