3. 匿名化法规与伦理基线

在医学影像数据治理中，“匿名化”不是一个纯技术动作，而是一个由法规、伦理和工程共同定义的合规状态。同一套 DICOM 数据，在不同法域下可能被判定为“已去标识”“假名化”或“仍属个人敏感信息”。因此，在动手写脱敏脚本之前，必须先建立本节所说的“基线”：明确适用哪部法规、该法规对匿名化的判定标准是什么、伦理审查与知情同意又额外提出了哪些约束。基线不清，后续所有技术处理都可能白做。

一、四部法规的核心判定逻辑

四部法规对匿名化的处理思路并不相同，理解差异比记住条文更重要。

HIPAA（美国）采用“两条路径”判定。其隐私规则把可识别信息归纳为 18 类标识符（PHI identifiers），包括姓名、地理细分、日期（除年份）、电话、传真、邮箱、社保号、病历号、设备标识、URL、IP、生物识别标识、面部照片以及影像本身可能携带的标识等。路径一是“专家判定法”：由具备统计学与科学知识的人认定再识别风险极低；路径二是“安全港法”：移除全部 18 类标识符，且不保留实际知识。安全港法更常用，但要注意它要求移除“日期”元素，而影像检查日期对随访研究往往关键，这正是工程上最常遇到的取舍点。

GDPR（欧盟）不采用清单式，而是以“可识别性”为核心。它区分“匿名化”与“假名化”：真正匿名化的数据不再属于个人数据，不受 GDPR 约束；而假名化数据（如用研究编号替换姓名，但保留映射表）仍属个人数据，只是降低了风险。GDPR 还强调“考虑到现有技术、实施成本、处理目的”，即再识别风险是动态的。这意味着欧盟语境下，仅删除姓名往往不够，还需评估准标识符组合（如年龄+性别+检查部位+机构）带来的再识别可能。

中国《个人信息保护法》（PIPL）把医疗健康信息列为敏感个人信息，处理需取得单独同意并具备特定目的、充分必要性。PIPL 的“匿名化”定义为“个人信息经过处理无法识别特定自然人且不能复原”，强调“不能复原”。因此，保留可逆映射表的假名化数据，在 PIPL 下仍属个人信息，不能以“已匿名”对外提供。这一点与 GDPR 的假名化定位接近，但 PIPL 对“复原”的要求更严格，工程上通常要求删除或隔离密钥。

《人类遗传资源管理条例》针对的是人类遗传资源信息，包括基因、基因组数据及相关信息。医学影像若与基因组数据关联，或本身用于遗传资源研究，就落入其管辖。条例要求外方单位不得未经批准获取我国人类遗传资源信息，向境外提供需审批或备案。对影像数据治理的直接含义是：即使影像已去标识，只要它与遗传资源信息可关联，出境或对外合作仍需走审批路径，不能仅凭技术脱敏放行。

二、伦理审查与知情同意：法规之上的额外约束

法规给出的是底线，伦理审查（IRB 或伦理委员会）和知情同意往往提出更具体、更严格的要求，且直接决定匿名化后数据能否使用。

第一，同意范围决定用途边界。如果知情同意书只写明“用于本研究”，那么即使数据已匿名，也不能直接用于另一项研究。此时通常需要重新取得同意，或由伦理委员会评估是否可豁免。工程上这意味着匿名化流程必须记录“数据来源的同意版本”，而不是只记录脱敏参数。

第二，撤回同意要求可追溯。受试者撤回同意后，其数据应能定位并删除。如果匿名化时把研究编号与原始身份彻底断开，反而可能无法定位该受试者的数据。因此实践中常采用“受控假名化”：保留加密映射表，由独立密钥管理，既满足日常使用，又保留撤回响应能力。这与 PIPL“不能复原”的要求存在张力，解决方式是把映射表置于受控环境、限定访问并记录审计，而非简单删除。

第三，伦理审查关注再识别风险而非仅看字段。委员会通常要求说明：数据接收方是谁、是否出境、是否与其它数据集链接、保留多久。对于影像，尤其要说明面部重建风险——头部 CT/MR 的三维重建可能恢复面部特征，仅删除 DICOM 标签并不足够，必要时需做面部模糊或颅骨去特征处理。

三、一个可执行的合规检查示例

下面给出一份可直接用于项目启动的匿名化合规检查表，字段均围绕本节法规与伦理要求设计，可按实际项目增删。

综上，匿名化的合规基线可以概括为一句话：先定法域，再定标识符集合，再定策略，最后用伦理审查和知情同意校验用途边界。技术实现只是这条链路的执行环节，判定标准始终来自法规与伦理。把这条基线固化到项目流程中，后续的 DICOM 脱敏、像素处理、映射表管理和审计留痕才有明确的验收依据。