Dezidentyfikacja i użyteczność badawcza

Usunięcie (0010,0010) PatientName nie jest tym samym co uczynienie wydania danych obrazowych anonimowym. Informacje ujawniające tożsamość mogą pozostać w innych atrybutach lub tekście dowolnym, w polach instytucji i urządzenia, datach i czasach, możliwych do łączenia UIDs albo w samych pikselach. Twarzy, wypalonej adnotacji ani rozpoznawalnej cechy wizualnej nie usuwa skrypt kasujący tagi.

Możliwe jest również przeciwne niepowodzenie. Zgrubne przekształcenie może usuwać daty i identyfikatory niezależnie dla każdej instancji oraz zniszczyć wewnętrzne odwołania i parowanie podłużne potrzebne w badaniu naukowym. Dezidentyfikacja jest zatem kontrolowanym przekształceniem prowadzonym dla określonego celu i w określonym kontekście ryzyka. Nie jest ani pojedynczym usunięciem, ani pozwoleniem na zachowanie wszystkiego, co wydaje się użyteczne.

Poufność jest zbiorem decyzji o określonym zakresie

DICOM zapewnia słownictwo profili poufności atrybutów. Podejście profilowe jest użyteczne, ponieważ ujawnia kompromis: informacje są usuwane, zmieniane lub zachowywane zależnie od zamierzonego użycia, a sam profil nie zastępuje szerszego procesu dezidentyfikacji. Działanie zastosowane do atrybutu zależy od profilu, jego opcji oraz treści, którą rzeczywiście przenosi atrybut lub dane pikselowe.

Typowe kody działań tworzą zwarty model myślowy:

Działanie	Znaczenie robocze
D	Zastąp wartością o długości większej niż zero.
Z	Zastąp wartością o długości zero albo niezerową wartością fikcyjną, jeśli wymaga jej IOD lub VR.
X	Usuń atrybut.
K	Zachowaj atrybut.
C	Oczyść wartość, zachowując w miarę możliwości jej zamierzone znaczenie.
U	Zastąp UIDs spójnie w obrębie chronionego zakresu.

Kody te nie są uniwersalną receptą dla poszczególnych atrybutów. Działanie określa tabela profilu wraz z jego opcjami, a proces wydania musi zweryfikować wynik zamiast wnioskować o bezpieczeństwie z samej obecności kodu.

Kilka powierzchni wymaga oddzielnej uwagi. Identyfikatory pacjentów i personelu mogą występować w zwykłych atrybutach, numerach akcesyjnych, komentarzach tekstu dowolnego, opisach protokołów i treści raportów. Daty i czasy mogą ujawniać harmonogramy albo umożliwiać łączenie danych; gdy cel naukowy wymaga zachowania odstępów, jednym z możliwych rozwiązań jest spójne przesunięcie dat na poziomie uczestnika. Spójne przesunięcie może zachować odstępy i zastąpić daty bezwzględne, ale skuteczne ukrycie i resztkowa możliwość łączenia zależą od sposobu obsługi przesunięcia, zachowanego kontekstu, dodatkowych informacji i okoliczności wydania. Jest to udokumentowany kompromis dotyczący ryzyka, a nie uniwersalna zasada postępowania z datami.

UIDs są identyfikatorami nieprzenoszącymi bezpośrednio znaczenia, ale nadal można je łączyć. Spójne zastępowanie może zachować odwołania między instancjami badania lub serii. Samo w sobie nie tworzy powiązania między dwoma punktami czasowymi tej samej osoby. Takie powiązanie podłużne wymaga oddzielnego stabilnego pseudonimowego klucza uczestnika albo kontrolowanego mapowania, zaprojektowanego i chronionego dla kontekstu wydania.

Atrybuty prywatne, treść raportów ustrukturyzowanych, nakładki, adnotacje prezentacyjne i grafika stanowią oddzielne powierzchnie kontroli. Prywatne dane dostawcy mogą zawierać nieoczekiwane wartości. Tekst osadzony w obiekcie ustrukturyzowanym lub grafice może ujawniać tożsamość nawet po przetworzeniu zwykłych atrybutów pacjenta. Dane pikselowe wymagają własnej inspekcji, ponieważ wypalony tekst i rozpoznawalne cechy wizualne nie są wykrywane przez samo przetwarzanie metadanych. Opcje poufności DICOM mogą wskazywać właściwe wybory dotyczące oczyszczania, lecz proces implementacyjny nadal musi odnaleźć i obsłużyć rzeczywistą treść.

Należy również zadeklarować przekształcenie. DICOM zapewnia atrybuty wskazujące, że tożsamość pacjenta została usunięta, oraz zapisujące informacje o metodzie dezidentyfikacji. Encrypted Attributes Data Set może wspierać autoryzowany proces ponownej identyfikacji, jeśli pozwala na to kontekst zarządzania. Z kolei niezaszyfrowany skrót identyfikatora może pozostać podatny na ataki słownikowe. Ani deklaracja, ani skrót nie zastępuje kontroli dostępu, analizy zagrożeń lub przeglądu wydania.

Techniczna poufność nie jest anonimowością prawną

Techniczna dezidentyfikacja, pseudonimizacja i anonimizacja są pojęciami powiązanymi, ale odrębnymi. Profil DICOM opisuje przekształcenia zbioru danych; nie rozstrzyga o wszystkich środkach, za pomocą których można zidentyfikować osobę w wydaniu.

Terminologia prawna zależy od jurysdykcji. Jako jeden ograniczony przykład, RODO posługuje się pojęciem pseudonimizacji dla przetwarzania, w którym przypisanie danych osobie wymaga dodatkowych informacji przechowywanych oddzielnie. Pojęcie to nie jest tym samym co anonimizacja. Granicę anonimizacji w RODO ocenia się w kontekście, z uwzględnieniem środków, których użycie w celu zidentyfikowania osoby jest racjonalnie prawdopodobne; nie jest to właściwość, którą może stwierdzić atrybut DICOM. Rzadkie ustalenia, małe grupy, cechy wizualne i możliwość łączenia z innym wydaniem mogą zmienić tę ocenę.

Jest to rozróżnienie na potrzeby przeglądu technicznego i ochrony prywatności, a nie porada prawna. Zastosowanie profilu poufności DICOM, nawet staranne, samo w sobie nie ustanawia anonimowości prawnej konkretnego wydania. Właściwa jurysdykcja, zasady dostępu, dodatkowe dane i kontekst wydania muszą zostać ocenione w odpowiedzialnych procesach ochrony prywatności i przeglądu prawnego. Taka sama ostrożność dotyczy granicy między oprogramowaniem badawczym a produktem klinicznym: mechanizmy dezidentyfikacji nie rozstrzygają o zamierzonym zastosowaniu, kwalifikacji ani statusie regulacyjnym.

Zachowaj badanie, nie ukrywając ryzyka

Projekt podłużnego wydania badawczego powinien zapisywać co najmniej, które atrybuty daty pozostają i w jakiej postaci, jak odwzorowuje się UIDs, jak łączy się punkty czasowe, czy zbadano tekst dowolny i atrybuty prywatne oraz jak potraktowano wypaloną lub rozpoznawalną treść wizualną. Przepisywanie UID osobno dla każdej instancji może zerwać odwołania wewnątrz badania; niezależnie generowany klucz uczestnika może zerwać parowanie między punktami czasowymi. Z kolei zachowanie pierwotnych identyfikatorów lub dokładnych dat bez udokumentowanej podstawy ryzyka może utrzymać powiązanie, które wydanie miało usunąć.

Użytecznym wynikiem nie jest twierdzenie, że skrypt uczynił dane anonimowymi. Jest nim możliwe do prześledzenia określenie przekształcenia, zamierzonej użyteczności badawczej, pozostałych zagrożeń i decyzji dotyczącej zarządzania wydaniem. Tożsamość techniczna, tożsamość w przepływie pracy, pochodzenie, odpowiedzialność za przechowanie i klasyfikacja prawna pozostają różnymi pytaniami, nawet gdy dotyczą tych samych obiektów DICOM.

Gdy granice te są jawne, drogę od zapisanego wyniku do zastosowania klinicznego można oceniać bez traktowania sukcesu transportu lub dokładności modelu jako zamiennika dowodów na wdrożenie. Następny rozdział podejmuje temat tych dowodów klinicznych i dotyczących cyklu życia.