Araştırmalarda Veri Koruma ve Gizlilik

Anonimleştirme (veya gerçek anonimleştirme), yeniden tanımlamanın teorik olarak bile mümkün olmadığı, tanımlayıcıların geri döndürülemez şekilde kaldırılmasıdır. Veri anonimleştirildikten sonra, artık kişisel veri (GDPR kapsamında) değildir ve veri koruma düzenlemelerine tabi değildir. Kimliksizleştirme, tanımlayıcıların kaldırılmasıdır, ancak yeniden tanımlama mevcut araçlarla makul olarak mümkün değildir, ancak teorik olarak mümkündür (örneğin, diğer veritabanlarıyla bağlantı yoluyla). Kimliksizleştirilmiş veriler hala bir miktar yasal koruma alır. Uygulamada, az sayıda araştırma veri kümesi gerçekten anonimleştirilmiştir; çoğu HIPAA Güvenli Liman veya uzman belirlemesi kullanılarak kimliksizleştirilir. Araştırma için, yeniden tanımlamanın makul olarak mümkün olmadığı durumlarda kimliksizleştirme genellikle yeterlidir.

Bu, yargı alanınıza bağlıdır. ABD'de, kimliksizleştirilmiş veriler Ortak Kural'a (45 CFR 46) tabi değildir ve etik inceleme gerekmez (muaf). HIPAA kapsamında, kimliksizleştirilmiş sağlık verileri rıza olmadan kullanılabilir. AB'de GDPR kapsamında, gerçek anlamda anonimleştirilmiş veriler muaftır, ancak takma adla ilişkilendirilmiş veri (tanımlayıcılar değiştirilmiş ancak anahtar tutulmuş) hala kişisel veridir ve yasal bir dayanak gerektirir (tipik olarak rıza). Verilerinizin Güvenli Liman veya uzman belirlemesine göre gerçekten kimliksizleştirildiğini doğrulayın. Mevcut kimliksizleştirilmiş verileri kullanıyorsanız ve kurumunuz bunu muaf tutuyorsa, etik inceleme hızlandırılabilir veya kaldırılabilir; IRB/REC'nizle görüşün.

Acil adımlar: (1) İhlali kontrol altına alın: ihlalin nasıl gerçekleştiğini belirleyin, sistemleri güvence altına alın, tehlikeye giren hesapları devre dışı bırakın, daha fazla yetkisiz erişimi önleyin. (2) Riski değerlendirin: hangi verilere erişildiğini, kaç katılımcının etkilendiğini, katılımcılar için zarar olasılığının ne olduğunu belirleyin. (3) Etkilenen katılımcıları bilgilendirin: ihlal katılımcı hakları/refahı için yüksek risk oluşturuyorsa (kimlik hırsızlığı riski, gizlilik ihlali), katılımcıları gerekli süre içinde bilgilendirin (GDPR: gereksiz gecikme olmaksızın, tipik olarak 30 gün içinde; HIPAA: 60 gün içinde). Bildirim, ne olduğunu, hangi verilerin dahil olduğunu, sorular için iletişim bilgilerini ve katılımcıların atabileceği adımları (kredi izleme, parola değişiklikleri) içermelidir. (4) Düzenleyicilere bildirin: GDPR, veri koruma yetkilisine bildirim yapılmasını gerektirir (tipik olarak yüksek riskliyse 72 saat içinde); HIPAA, HHS Sivil Haklar Ofisi'ne bildirim yapılmasını gerektirir. (5) Kök neden analizi yapın: ihlalin neden gerçekleştiğini belirleyin ve tekrarlanmasını önlemek için düzeltici önlemler uygulayın (ek eğitim, geliştirilmiş erişim kontrolleri, sistem yükseltmeleri). (6) Her şeyi belgeleyin: ihlal, müdahale ve düzeltici eylemlerin kayıtlarını tutun. Bildirim dilini gözden geçirmesi için hukuk danışmanınız olsun; kurumunuzun hukuk ekibiyle erken iletişim kurmak akıllıcadır.

Bu, katılımcı rızasına ve yargı alanına bağlıdır. Orijinal rıza 'veriler herhangi bir araştırma amacı için kullanılabilir' şeklinde belirtiyorsa, ikincil kullanım geniş çapta izin verilir. Rıza belirli ise ('veriler kardiyovasküler hastalığı incelemek için kullanılacaktır'), çoğu çerçevede farklı bir hastalık için ikincil kullanım yeni rıza gerektirir (veya gerekçelendirilirse muafiyet). GDPR, açık yeni rıza gerektirir veya ikincil kullanımın orijinal amaçla uyumlu olmasını gerektirir (kurumsal hukuki inceleme ile değerlendirilir; pratikte çok katı yorumlanır). En iyi uygulama: mümkünse, ikincil kullanımı sağlamak için geniş rıza ('veriler herhangi bir sağlık araştırması için kullanılabilir') kullanın. Belirli rızaya sahip mevcut veriler için, ikincil kullanımdan önce IRB/REC'niz veya veri yönetişim ofisinizle görüşün.