1. 临床研究数据匿名化合规工程导论
临床研究数据天然带有高敏感属性：一份受试者随访表中，往往同时包含姓名缩写、住院号、出生日期、基因检测结果、用药剂量与不良事件记录。这些字段一旦与可识别个人的信息组合，就构成受法规严格约束的个人数据。匿名化合规工程要解决的，不是"把名字删掉"这么简单，而是让数据在可用性与不可识别性之间取得可验证、可审计、可复现的平衡。
三个核心术语的边界
课程首先必须厘清三个最容易被混用的概念，因为它们的法律后果完全不同。
去标识化（De-identification）是范围最宽的上位概念，泛指移除或替换直接标识符的任何处理，包括假名化、泛化、抑制、扰动等手段。它描述的是"动作"，不承诺结果。
假名化（Pseudonymization）指用代号替换直接标识符，同时另行保存代号与真实身份的映射表。GDPR 第4条明确：假名化后的数据仍属个人数据，因为只要映射表存在，理论上就可重新识别。映射表因此成为必须单独保护的高风险资产。
匿名化（Anonymization）是结果导向的概念：处理后数据无法再关联到任何特定个人，且该不可逆性需经得起合理攻击评估。GDPR 序言第26条指出，匿名信息不属于个人数据，不受 GDPR 约束——但举证责任在数据控制者一方。
法规框架的三条主线
本课程贯穿三部法规，它们对匿名化的态度存在实质差异，工程实现必须同时满足最严约束。
| 法规 | 核心机制 | 对匿名化的关键要求 |
|---|---|---|
| GDPR（欧盟） | 假名化+匿名化双轨，强调"合理可能性"评估 | 需考虑技术手段、成本、时间，判断重识别是否"合理可能" |
| HIPAA（美国） | Privacy Rule 提供两条路径 | Safe Harbor：移除18类标识符；Expert Determination：专家证明重识别风险"非常小" |
| 个人信息保护法（中国） | 区分"去标识化"与"匿名化" | 匿名化信息不属于个人信息；去标识化信息仍属个人信息，需继续保护 |
三条主线的共同工程含义是：匿名化不是一次性操作，而是一条需要留痕的证据链。你必须能回答：移除了哪些字段、采用了什么算法、残余风险如何量化、由谁在何时批准。
工程化落地全景
把法规要求翻译成可执行流程，需要一条从原始数据到可发布数据集的完整链路。下图给出本课程后续章节将逐层展开的工程全景：左侧是数据与元数据的输入，中部是识别、变换、评估三类核心处理，右侧是发布与审计产物，底部贯穿的是贯穿全程的合规证据与角色责任。
这张全景图的关键在于：识别、变换、评估三者不是串行流水线，而是迭代回路。当评估发现残余风险过高时，必须回到变换层调整策略，甚至回到识别层补充遗漏的准标识符。工程实践中，一次完整的匿名化通常需要2～4轮迭代才能达到发布阈值。
本课程的能力目标
学完本课程，你应当能够独立完成以下任务：
- 对一份临床研究数据集执行标识符清单编制，区分直接标识符与准标识符，并标注每类字段的法规依据；
- 根据数据用途选择假名化或匿名化路径，设计映射表的隔离存储与访问控制方案；
- 对日期、邮编、年龄等准标识符实施泛化或扰动，并用 k-匿名、l-多样性等指标量化残余风险；
- 针对自由文本病历，部署命名实体识别与规则替换相结合的脱敏流程，并抽样验证漏检率；
- 编写符合 GDPR 第30条与个人信息保护法要求的数据处理活动记录与匿名化证据包。