Выгрузка обезличенных медицинских данных
Выгрузка из МИС нужна для аналитики, обучения и исследований, но содержит идентификаторы пациентов. Обезличивание — это не удаление фамилии, а проверка всех полей, по которым человека можно узнать. Ниже — как подготовить выгрузку и не потерять полезность данных.
Сначала цель
Опишите, какие вопросы должна решить выгрузка. Состав полей определяется задачей: лишние поля увеличивают риск и не добавляют пользы.
Прямые идентификаторы
ФИО, номер полиса, телефон, адрес, номер карты, дата рождения в полном виде. Эти поля удаляют или заменяют псевдонимом до выгрузки.
Косвенные признаки
Дата приёма с точностью до дня, редкий диагноз, возраст старше 90 лет, населённый пункт — комбинация таких полей иногда позволяет узнать человека. Проверяйте сочетания, а не только отдельные столбцы.
Псевдонимизация
Если нужна связь записей одного пациента, используйте устойчивый псевдоним, а таблицу соответствия храните отдельно с ограниченным доступом.
Проверка перед передачей
Пройдитесь по файлу: нет ли свободного текста с именами, вложенных комментариев, скрытых листов. Проверьте, что даты приведены к нужной точности.
Документы
Зафиксируйте состав выгрузки, основание, получателя, срок хранения и ответственного. Это защищает и пациентов, и организацию.
Границы
Обезличивание снижает риск, но не делает данные полностью анонимными. Оценивайте риск повторной идентификации для конкретного набора.
Пример
Для учебного набора удалили ФИО и полис, но оставили точные даты приёмов и редкие диагнозы. Проверка показала, что сочетание полей выделяет отдельных пациентов; даты укрупнили до месяца, и риск снизился.
Итог
Обезличивание начинается с цели и заканчивается проверкой сочетаний полей. Псевдонимы, укрупнение дат и письменные документы о передаче — обязательная часть работы.
Как составить перечень полей
Начните с вопроса исследования и выпишите минимальный набор. Затем отметьте каждое поле: нужен, нужен с укрупнением, не нужен. Такой список легче согласовать, чем готовый файл.
Проверьте его с юристом или ответственным за данные.
Сохраните версию перечня.
Как проверять свободный текст
Заключения и комментарии содержат имена, адреса и детали. Просматривайте их выборочно и удаляйте лишнее, если текст не нужен для задачи. Если нужен — ограничьте точность формулировок.
Не полагайтесь только на автоматику.
Фиксируйте, что удалено.
Кто принимает решение
Владелец данных, а не автор выгрузки. Решение фиксируется письменно: состав полей, получатель, срок, основание. Без этого обезличивание остаётся личной инициативой сотрудника.
Назначьте ответственного за проверку.
Храните решение вместе с файлом.
Частые ошибки
Ошибка первая — удалить только ФИО. Вторая — оставить точные даты и редкие диагнозы. Третья — не проверять свободный текст.
Четвёртая — передавать файл без документов.
Пятая — хранить псевдонимы вместе с таблицей соответствия.
Каждая из них сводит обезличивание к формальности.
План на четыре недели
Неделя 1 — цель и перечень полей. Неделя 2 — правила удаления и псевдонимы. Неделя 3 — проверка сочетаний и свободного текста. Неделя 4 — документы и передача.
Коротко о главном
Обезличивание — это минимальный набор полей, проверка сочетаний и документы о передаче. Удаление фамилии само по себе ничего не гарантирует.
Как выбрать способ передачи
Защищённый канал, носитель с шифрованием или внутренний сервис — зависит от правил организации. Пароль передавайте отдельно от файла. Фиксируйте, кто получил и когда.
Проверяйте целостность файла.
Не отправляйте данные на личную почту.
Как поступить с повторной выгрузкой
Каждая новая выгрузка проверяется заново: состав полей мог измениться, а правила — обновиться. Не копируйте старый файл с пометкой «то же самое».
Сравните перечни полей.
Зафиксируйте версию.
Короткое правило
Минимум полей, проверка сочетаний, документы и защищённая передача. Если хотя бы одного пункта нет, выгрузку лучше не передавать.
Как оценить риск повторной идентификации
Посмотрите на самые редкие сочетания: возраст, редкое состояние, дата, населённый пункт. Если такое сочетание встречается один раз, риск высок. Укрупняйте поля до тех пор, пока группа не станет достаточной.
Оценивайте вместе с владельцем данных.
Записывайте решение.
Как поступить с изображениями
Снимки и сканы могут содержать подписи и метки на плёнке. Удаляйте метаданные и проверяйте кадр визуально. Для учебных наборов используйте только разрешённые материалы.
Проверяйте каждый файл.
Фиксируйте источник.
Как поступить с датами
Точная дата нужна редко: чаще достаточно месяца или квартала. Укрупнение снижает риск и почти не мешает анализу. Исключение — задачи, где важна сезонность внутри месяца.
Обоснуйте точность.
Запишите решение.
Что важно запомнить
Выгрузка начинается с цели и заканчивается документами. Укрупнение дат, псевдонимы и проверка свободного текста — минимальный набор действий, без которых передача данных рискованна.
Что проверить в последний момент
Перечень полей, отсутствие прямых идентификаторов, укрупнение дат, свободный текст, документы о передаче. Пять пунктов занимают меньше времени, чем разбор инцидента.
Как оформить сопровождение
К файлу приложите краткое описание: цель, состав полей, правила обезличивания, дата, ответственный. Одна страница экономит часы переписки.
Чек-лист
- Цель выгрузки и минимальный состав полей описаны.
- Прямые идентификаторы удалены.
- Даты укрупнены до нужной точности.
- Свободный текст проверен.
- Псевдонимы хранятся отдельно от таблицы соответствия.
- Документы о передаче оформлены.
- Канал передачи защищён.
Частые вопросы
Достаточно ли удалить ФИО?
Нет. Номер полиса, телефон и точная дата тоже позволяют идентифицировать человека.
Можно ли передавать данные во внешний сервис?
Только если это допускают правила организации и обработка соответствует требованиям.
Что делать со свободным текстом?
Просматривать вручную или выносить в отдельный контроль: имена и адреса часто попадают именно туда.