4. 伦理审查与患者隐私保护

多模态医学影像数据集往往同时包含CT、MRI、PET、病理切片、超声视频以及配套的临床文本与基因信息，一旦泄露，患者身份、疾病状态甚至家族遗传风险都可能被推断出来。因此，数据集构建的第一道工程门槛不是标注质量，而是合规：先通过IRB/伦理委员会审查，再以知情同意书界定数据用途，最后用去标识化与匿名化技术把“可识别”降到“不可识别”。本节按“审查—同意—合规—脱敏—策略”的顺序展开，重点讲清每一步实际怎么做。

一、IRB/伦理委员会申请：把研究方案翻译成可审查的材料

IRB（Institutional Review Board，机构审查委员会）或医院伦理委员会审查的核心，是判断研究风险与受试者权益是否平衡。提交前需要准备的材料通常包括：研究方案（背景、目的、纳入/排除标准、样本量）、数据来源与采集流程、数据字典草案、知情同意书、数据安全与访问控制方案、风险与获益分析、以及研究者资质与利益冲突声明。

对多模态数据集而言，审查中最容易被追问的是三点：数据是否包含直接标识符（姓名、住院号、身份证号、检查日期精确到日）、是否涉及敏感信息（HIV、精神疾病、遗传病、生殖健康）、是否计划共享或二次使用。若涉及跨机构共享，还需说明数据出境或跨院传输的合法性基础。建议在方案中直接给出“数据流图”：从设备采集→PACS调取→脱敏工作站→标注平台→存储服务器→对外发布，每一跳都标注访问角色与加密方式，审查通过率会明显提高。

二、知情同意书设计：从“签字”到“可撤回、可追溯”

知情同意书不是法律免责声明，而是患者对“我的数据将被如何使用”的授权记录。设计时应包含：研究目的与流程、采集哪些模态与字段、存储位置与期限、谁可以访问、是否用于商业或AI训练、是否共享给第三方、隐私保护措施、自愿参与与随时撤回的权利、联系方式与投诉渠道。

对于回顾性数据，若逐一重新获取同意不可行，可申请“豁免知情同意”或“泛知情同意”（broad consent），但必须满足：数据已去标识化、不涉及额外风险、研究目的与原始诊疗一致或经伦理批准。实操中建议把同意书拆成可勾选模块：基础诊疗使用、科研使用、AI模型训练、未来未知研究、国际共享。患者可逐项授权，撤回时只需删除对应授权范围内的数据副本，并保留撤回记录。

三、HIPAA与GDPR合规：两套规则的差异与落地

HIPAA（美国）与GDPR（欧盟）是跨境数据集最常遇到的两套隐私法规。HIPAA的安全港（Safe Harbor）要求移除18类标识符，包括姓名、地理细分、日期、电话、传真、邮箱、SSN、病历号、设备标识、URL、IP、生物识别、面部照片等；GDPR则强调“个人数据”与“特殊类别数据”，要求合法性基础（同意、合同、法律义务、公共利益等）、数据最小化、目的限制、存储限制、完整性与保密性，并赋予数据主体访问、更正、删除、可携带等权利。

落地时，若数据集面向全球发布，建议按“最严格交集”处理：既移除HIPAA的18类标识符，又满足GDPR的数据最小化与目的限制。对于欧盟患者数据，还需明确是否依赖“同意”或“科研例外”，并记录数据保护影响评估（DPIA）。若涉及数据出境，需采用SCC或充分性认定机制。

四、DICOM脱敏与面部重建：从像素到元数据的双重清理

DICOM文件包含两层信息：元数据（header）与像素数据（pixel data）。元数据中常见需要处理的标签包括：PatientName(0010,0010)、PatientID(0010,0020)、PatientBirthDate(0010,0030)、StudyDate(0008,0020)、InstitutionName(0008,0080)、ReferringPhysicianName(0008,0090)、DeviceSerialNumber(0018,1000)等。脱敏时不能只做“删除”，还要考虑“替换为一致假名”以保留纵向随访关系。

像素层面最容易被忽视的是面部重建：CT/MRI的3D容积渲染可以还原患者面部轮廓，属于生物识别信息。常见做法包括：在重建前对头部区域做去面部化（defacing），即用掩膜覆盖或模糊眼眶、鼻、口、耳等区域；或仅保留脑组织而剥离颅骨与皮肤。对于需要保留颅骨的研究，可采用颅骨剥离+面部模糊组合，并在数据说明中标注“已去面部化”。

五、匿名化与假名化策略：选择取决于“是否需要纵向追踪”

匿名化（Anonymization）指不可逆地移除所有标识符，使数据无法再关联到个人。GDPR下真正匿名化的数据不再属于个人数据，但医学影像中“绝对匿名”很难证明，因为罕见病、独特解剖结构仍可能被重识别。假名化（Pseudonymization）则是用假名替换直接标识符，并单独保存映射表，仍属于个人数据，但风险显著降低。

选择策略时问三个问题：是否需要跨时间点追踪同一患者？是否需要与外部数据链接？是否允许撤回？若需要纵向随访，选假名化，映射表离线加密保存，访问需双人授权；若仅做单次横断面研究且不链接外部数据，可选匿名化，但需在数据说明中声明“已尽合理努力去标识化，不保证绝对不可重识别”。

最后，合规不是一次性动作，而是贯穿数据集生命周期的持续过程。建议建立“数据合规档案”：IRB批件编号与有效期、知情同意模板与版本、脱敏脚本与验证记录、访问审计日志、数据使用协议（DUA）签署记录。当数据集对外发布时，这些档案就是最有力的合规证明。