Деидентификация исследовательских данных

Деидентификация исследовательских данных

Деидентификация — это не удаление фамилии из файла. Это процесс, который снижает вероятность узнать человека по оставшимся сведениям. Чаще всего риск сохраняется в деталях: дате, редком диагнозе, учреждении, возрасте.

Разберём, какие признаки нужно убрать и как проверить результат.

Прямые и косвенные идентификаторы

Прямые идентификаторы однозначно указывают на человека: имя, номер документа, адрес, телефон.

Косвенные по отдельности безобидны, но в сочетании позволяют вычислить человека: дата рождения, редкая профессия, дата госпитализации, населённый пункт.

Задача деидентификации — убрать и те, и другие настолько, насколько позволяет цель исследования.

Почему одной фамилии недостаточно

Если в таблице остаются точные даты и редкий диагноз, человек может быть узнан.

Исследователь, знакомый с клиникой, часто может сопоставить данные.

Поэтому оценивают не только набор полей, но и контекст распространения.

Профили деидентификации в DICOM

Для медицинских изображений стандарт описывает профили, которые определяют набор обрабатываемых атрибутов.

Профиль может удалять идентификаторы или заменять их на фиктивные.

Выбор профиля зависит от того, нужна ли сохраняемость связей между исследованиями.

Табличные данные

В таблицах убирают имена, номера, точные даты.

Даты часто заменяют на интервалы: «через 3 дня после поступления» вместо календарной даты.

Возраст можно оставить, но иногда его огрубляют до диапазона.

Свободный текст

В заметках и заключениях остаются имена родственников, названия учреждений, редкие детали.

Автоматическая обработка находит не всё.

Поэтому текстовые поля просматривают вручную или выборочно, фиксируя проверку.

Изображения

На снимках бывают выжженные надписи с именем и датой.

Метаданные могут содержать данные устройства и учреждения.

Проверяйте и сам кадр, и теги, а не только одно из двух.

Риск повторной идентификации

Даже после обработки остаётся остаточный риск.

Он выше для маленьких выборок и редких состояний.

Оцените риск и опишите его в документации: это часть честной работы с данными.

Проверка результата

Откройте файлы и просмотрите их как пользователь.

Проверьте теги, текстовые поля и изображения.

Сравните с исходным списком идентификаторов.

Документирование

Опишите, какие поля удалены, какие заменены, какие сохранены.

Укажите профиль или правила обработки.

Храните журнал: кто и когда выполнял деидентификацию.

Ограничения

Деидентификация не делает данные анонимными автоматически.

Она не заменяет организационные меры и контроль доступа.

Часть данных вообще не стоит публиковать, даже в обработанном виде: польза не оправдывает риск.

Частые ошибки

• удаление только фамилии;
• сохранение точных дат;
• забытые метаданные;
• отсутствие проверки изображений;
• отсутствие журнала обработки.

Пример проверки набора

Представьте таблицу наблюдений, где остались год рождения, город, дата поступления и редкий диагноз. Формально имени нет, но сочетание признаков делает человека узнаваемым для коллег из того же отделения. Исправление начинается с замены точных дат на интервалы и огрубления возраста до пятилетних диапазонов, а также с удаления названия учреждения.

После обработки набор нужно проверить глазами постороннего человека. Полезно попросить коллегу, не участвовавшего в проекте, попробовать определить, о ком идёт речь, по одной строке. Если это удаётся хотя бы для части записей, обработку нужно продолжить.

Отдельно проверяются метаданные и служебные поля: программа, устройство, имя оператора, путь к файлу. Эти сведения часто остаются без внимания, хотя именно они выдают учреждение и дату. Журнал обработки должен фиксировать, какие поля удалены, какие заменены и кто проверял результат.

Как учитывать внешние источники

Риск зависит не только от самого набора, но и от того, что доступно вокруг. Публичные реестры, социальные сети и новости могут дополнить оставшиеся сведения. Если человек упоминается в новостях в связи с редким событием, а в данных остались дата и город, сопоставление становится простым.

Поэтому оценку проводят с учётом контекста публикации. Для внутреннего анализа риск ниже, чем для открытого набора. Для набора, который будет передан внешним партнёрам, требования выше.

Хорошая практика — записать, какие внешние источники учитывались при оценке. Это делает решение проверяемым и помогает при повторной оценке, если появятся новые данные.

Как поступить с малыми выборками

В небольших исследованиях риск особенно высок: редкий диагноз в маленьком городе может указывать на конкретного человека. Даже удаление имени не всегда достаточно.

В таких случаях помогает огрубление: возрастные диапазоны вместо точного возраста, более крупные территориальные единицы, объединение редких категорий. Если и этого мало, данные агрегируют или не публикуют вовсе.

Решение фиксируется в документации проекта. Оно должно быть понятно человеку, который через год будет решать, можно ли передать набор третьей стороне.

Чек-лист

• Перечень идентификаторов составлен.
• Прямые идентификаторы удалены.
• Косвенные оценены.
• Профиль выбран.
• Текст и изображения проверены.
• Риск описан.
• Журнал ведётся.

Частые вопросы

Достаточно ли удалить имя и адрес?

Обычно нет: косвенные признаки могут позволить идентификацию.

Можно ли оставить точные даты?

Только если риск обоснован и это разрешено.

Кто должен проверять результат?

Человек, не выполнявший обработку, и ответственный за данные.