4. 匿名化合规工程的需求分析与范围界定

匿名化合规工程最容易失败的地方，不是技术实现，而是需求没有对齐。申办方关心的是数据能否支持后续分析、能否满足监管递交；CRO 关心的是交付周期、数据质量和合同责任；伦理委员会关心的是受试者权益、知情同意范围与再同意问题；数据安全官（DSO）关心的是重识别风险、跨境传输与安全事件责任。如果这四方对“匿名化目标、数据用途、合规边界”没有形成书面共识，项目往往会在数据交付前夜才发现：申办方要的字段被删了，伦理批准的范围不覆盖新用途，DSO 认为残余风险不可接受。因此，需求分析的本质是把多方诉求翻译成可验证的匿名化需求规格。

一、先界定“匿名化目标”的三种口径

匿名化目标不能只写“去标识化”或“脱敏”，必须落到可判定的口径。实践中通常有三种：

• 直接标识符移除：删除姓名、身份证号、电话、住院号、精确日期等，使数据无法直接指向个人。这是最低要求，但单独使用不足以应对重识别。
• 可重识别风险控制：在移除直接标识符基础上，对准标识符（年龄、性别、邮编、入组日期、罕见诊断等）进行泛化、扰动或抑制，使攻击者结合外部数据也难以唯一锁定个体。目标通常表述为“在给定攻击模型下，单条记录被唯一识别的概率低于阈值”。
• 不可逆去关联：不仅移除标识，还切断与原始受试者编号、研究中心、源文件的映射关系，使数据接收方无法通过任何内部记录回溯到个人。这通常要求映射表由独立第三方保管或销毁。

三种口径对应不同的技术动作和验证方式。需求分析阶段必须明确：本项目采用哪一种，或者组合使用。例如，内部统计分析可能接受“可重识别风险控制”，而对外共享或公开发布则要求“不可逆去关联”。

二、数据用途决定字段保留与粒度

数据用途是范围界定的核心输入。同一份临床数据，用于“安全性汇总分析”和用于“个体化预测模型训练”，对字段和粒度的要求完全不同。需求分析时，应让申办方和 CRO 明确列出：

• 分析目的：主要终点、次要终点、亚组分析、探索性分析分别是什么；
• 所需变量：哪些字段必须保留原始精度，哪些可以分箱或泛化；
• 数据交付形式：是分析数据集、列表数据还是原始数据；
• 接收方与再共享：数据会传给哪些机构、是否跨境、是否允许二次使用。

例如，某多中心肿瘤试验需要分析“年龄对疗效的影响”，年龄不能简单删除，但可以按 10 岁分箱；需要分析“入组时间与不良事件关系”，入组日期可保留相对天数（以每例受试者首次给药为第 0 天），而不是绝对日历日期。这些决策必须在需求规格中写明，否则统计师拿到数据后无法复现分析。

三、合规边界：伦理、法规与合同的三重约束

合规边界不是一句“符合 GDPR”或“符合《个人信息保护法》”就能覆盖的。它至少包括三层：

• 伦理边界：知情同意是否覆盖匿名化后的数据使用？如果原始同意只允许“本研究使用”，那么将数据用于其他研究或共享给第三方，通常需要再次同意或伦理豁免。伦理委员会还会关注弱势群体、罕见病、遗传数据等特殊风险。
• 法规边界：数据出境、跨境传输、敏感个人信息处理、人类遗传资源管理等都有专门要求。例如，涉及中国人类遗传资源的数据对外提供，需要经过行政审批或备案。
• 合同边界：申办方与 CRO、数据安全服务商之间的数据处理协议（DPA）会约定数据用途、保存期限、安全措施和审计权。匿名化需求必须与合同条款一致，否则可能构成违约。

四、协作机制：把四方诉求变成需求规格

需求分析不是一次会议就能完成的，而是一个迭代过程。建议采用“需求工作坊 + 书面确认”的方式：

1. 需求工作坊：由数据管理负责人主持，申办方统计师、CRO 数据经理、伦理代表、DSO 共同参加。会上逐项确认数据用途、字段清单、匿名化口径和交付形式。
2. 风险初评：DSO 根据字段清单和接收方环境，初步评估重识别风险，提出泛化或抑制建议。
3. 伦理核对：伦理代表核对知情同意范围，标记需要再同意或豁免的用途。
4. 需求规格定稿：形成《匿名化需求规格说明书》，包含数据用途、字段保留/变换规则、匿名化目标、合规边界、验收标准和责任人。
5. 变更控制：任何用途或字段变更，都必须重新走上述流程，避免“先交付后补手续”。

下面这张图展示了四方协作中需求如何汇聚、冲突如何暴露、最终如何形成可执行规格的关系结构。

五、范围界定中的典型冲突与处理

需求分析阶段最常见的冲突有三类。第一类是字段精度冲突：统计师要求保留完整出生日期以计算精确年龄，DSO 认为完整日期是高重识别风险字段。处理方式是引入“相对日期”或“年龄分箱”，并在分析计划中说明对统计效能的影响。第二类是用途范围冲突：申办方希望数据用于“未来所有研究”，但知情同意只覆盖当前研究。处理方式是区分“当前研究分析”与“未来研究共享”，后者单独申请伦理审批或再次知情同意。第三类是交付形式冲突：CRO 希望交付带受试者编号的 SDTM 数据集以便追溯，DSO 要求切断编号与源文件的映射。处理方式是采用“假名化编号 + 独立映射表”，映射表由第三方保管，仅在监管核查时按程序调用。

六、需求规格说明书的可执行字段示例

为了让需求规格真正可执行，建议至少包含以下字段。以下示例为合理假设的教学示例，不是真实项目数据。

字段	示例内容	责任方
数据用途	主要疗效分析、安全性汇总、亚组分析	申办方统计师
匿名化目标	可重识别风险控制：单条记录唯一识别概率 < 0.05	DSO
字段变换规则	出生日期 → 年龄分箱（18-30, 31-45, 46-60, >60）；入组日期 → 相对天数	CRO 数据管理
合规边界	仅限当前研究分析；不跨境；不用于商业再共享	伦理 + DSO
验收标准	重识别风险报告通过；字段变换可复现；映射表已隔离	DSO + 数据管理
变更控制	新增用途需重新伦理审批并更新本规格	项目经理

需求分析与范围界定的最终产出，不是一份“看起来完整”的文档，而是一组可验证的约束：每个字段为什么保留、为什么变换、变换后是否仍满足分析需求、残余风险是否可接受、谁有权批准变更。只有四方在这些约束上签字确认，匿名化工程才具备可执行的起点。否则，后续的技术实现越精细，返工代价越大。