137. Identyfikator uczestnika – jak tworzyć go bez danych osobowych?

W badaniu naukowym często trzeba połączyć kilka pomiarów tej samej osoby: ankietę wstępną z ankietą końcową, wynik badania laboratoryjnego z informacją o leczeniu albo dane z kolejnych wizyt. Nie oznacza to jednak, że w arkuszu analitycznym powinno znaleźć się imię i nazwisko uczestnika. Do tego celu służy identyfikator uczestnika, czyli specjalnie utworzony kod, który pozwala rozpoznawać rekordy w obrębie badania, ale nie powinien sam w sobie ujawniać tożsamości osoby.

W tej lekcji pokazano, jak zaprojektować taki identyfikator, gdzie przechowywać klucz łączący kod z danymi osobowymi oraz dlaczego „brak imienia i nazwiska” nie zawsze oznacza pełną anonimowość. Temat jest ważnym elementem modułu o skalach pomiarowych i kodowaniu, ponieważ identyfikator także jest zmienną zakodowaną, choć jego funkcja jest organizacyjna, a nie pomiarowa.

1. Czym jest identyfikator uczestnika?

Identyfikator uczestnika to unikatowa wartość przypisana jednej osobie lub jednostce obserwacji w konkretnym projekcie badawczym. Może mieć postać liczby, ciągu znaków albo kombinacji liter i cyfr, na przykład BAD-0001, PL07-0248 lub U00157.

Najważniejszą właściwością identyfikatora jest unikatowość w ramach danego badania. Jeżeli dwie osoby otrzymają ten sam kod, dane zostaną pomieszane. Jeżeli jedna osoba otrzyma różne kody w kolejnych etapach, nie będzie można prawidłowo połączyć jej pomiarów, chyba że istnieje dodatkowa procedura dopasowania.

Identyfikator nie opisuje cechy uczestnika. Kod U0042 nie oznacza, że osoba ma określony wiek, płeć, rozpoznanie albo poziom ryzyka. Jest etykietą rekordu. Z tego powodu nie należy nadawać mu znaczenia klinicznego ani traktować go jako zmiennej nominalnej przeznaczonej do interpretacji merytorycznej.

Identyfikator, pseudonim i anonimowość

W praktyce trzeba odróżnić trzy sytuacje:

• Dane bezpośrednio identyfikujące – zawierają na przykład imię, nazwisko, numer telefonu, adres e-mail albo numer dokumentu.
• Dane zakodowane lub pseudonimizowane – bezpośrednie identyfikatory zastąpiono kodem, ale istnieje osobny klucz pozwalający powiązać kod z konkretną osobą.
• Dane anonimowe – nie ma dostępnego sposobu przypisania danych do osoby, a ryzyko identyfikacji jest odpowiednio niskie w danych warunkach.

Jeżeli badacz przechowuje tabelę, w której U0042 można połączyć z imieniem i nazwiskiem, dane nie są całkowicie anonimowe. Są raczej zakodowane lub pseudonimizowane. Rozróżnienie to ma znaczenie etyczne, organizacyjne i prawne. Amerykańskie wytyczne dotyczące deidentyfikacji informacji zdrowotnych wskazują, że sam kod nie może być traktowany automatycznie jako dowód pełnej anonimowości; znaczenie ma także możliwość połączenia go z innymi informacjami (HHS, 2012).

2. Zasada minimalizacji: kod nie powinien zawierać danych osobowych

Dobry identyfikator powinien być neutralny. Nie powinien kodować nazwiska, daty urodzenia, numeru telefonu, inicjałów, miejsca zamieszkania ani rozpoznania. Niewłaściwy byłby na przykład identyfikator:

• JK1985KRA – może ujawniać inicjały, rok urodzenia i miejsce;
• DM2-1974-POZ – może ujawniać rozpoznanie, rok urodzenia i lokalizację;
• anna.nowak – jest bezpośrednim identyfikatorem, a nie bezpiecznym kodem.

Znacznie lepsze są kody pozbawione znaczenia, na przykład U-0001, U-0002 i U-0003. Sam numer porządkowy nie mówi nic o osobie. Nie należy jednak mylić neutralności z bezpieczeństwem absolutnym. Jeżeli lista uczestników jest bardzo mała, a kolejność numerów jest znana zespołowi, nawet prosty numer może ułatwić domyślenie się, komu odpowiada dany rekord.

W badaniach wieloośrodkowych można dodać kod ośrodka, ale trzeba ocenić, czy nie zwiększa to ryzyka identyfikacji. Przykład OS03-0142 może oznaczać trzeci ośrodek i 142. uczestnika w tym ośrodku. Jest to przydatne organizacyjnie, lecz ujawnia miejsce rekrutacji. Jeżeli ośrodek prowadzi badanie dotyczące rzadkiej choroby, sam kod lokalizacji może być informacją wrażliwą.

3. Dwa podstawowe modele tworzenia identyfikatora

Model A: numer nadawany przez zespół badawczy

Najprostszy model polega na nadawaniu kolejnych kodów w momencie włączenia osoby do badania:

U-0001, U-0002, U-0003, ..., U-0250

Wzór organizacyjny można zapisać następująco:

IDi = P + format(i)

• IDi – identyfikator osoby i;
• P – stały prefiks projektu, na przykład U-;
• i – kolejny numer rekrutacyjny;
• format(i) – sposób zapisu numeru, na przykład cztery cyfry: 0001.

Ten model jest łatwy do wdrożenia i dobrze sprawdza się w badaniach, w których rekrutacją zajmuje się upoważniony członek zespołu. Należy jednak prowadzić rejestr wydanych kodów, aby uniknąć powtórzeń, luk trudnych do wyjaśnienia oraz przypadkowego ponownego użycia kodu po wycofaniu uczestnika.

Model B: kod generowany losowo

W drugim modelu identyfikator tworzy się za pomocą generatora losowego lub kryptograficznie bezpiecznego generatora ciągów znaków. Przykładem jest Q7M4-2K9P. Kod nie wynika z kolejności rekrutacji i trudniej na jego podstawie wnioskować o liczbie uczestników lub ośrodku.

Model losowy może być korzystny w badaniach, w których zespół analityczny otrzymuje dane z kilku źródeł albo gdy identyfikatory będą przekazywane poza jednostkę rekrutującą. Wymaga jednak odpowiedniego zarządzania, ponieważ ręczne przepisywanie długich kodów zwiększa ryzyko błędów. Kod powinien być sprawdzany automatycznie pod kątem unikatowości, a jego format trzeba określić w protokole badania.

Nie należy tworzyć identyfikatora przez prostą funkcję skrótu z imienia, nazwiska lub daty urodzenia, na przykład hash(AnnaNowak1985), bez dodatkowej oceny ryzyka. Jeśli dane wejściowe są przewidywalne, możliwe może być odtworzenie lub przetestowanie prawdopodobnych wartości. W wytycznych HHS podkreślono, że kod używany do późniejszej reidentyfikacji nie powinien być wyprowadzony z informacji o osobie ani umożliwiać jej identyfikacji po samym kodzie (HHS, 2012).

4. Klucz kodowy i rozdzielenie danych

W badaniach podłużnych często potrzebny jest klucz kodowy, czyli oddzielna tabela łącząca identyfikator z danymi kontaktowymi lub dokumentacją źródłową. Przykładowo:

Identyfikator badawczy	Imię i nazwisko	Telefon	Data zgody
U-0001	informacja dostępna wyłącznie dla upoważnionych osób	informacja dostępna wyłącznie dla upoważnionych osób	2026-03-02
U-0002	informacja dostępna wyłącznie dla upoważnionych osób	informacja dostępna wyłącznie dla upoważnionych osób	2026-03-04

W analizowanym zbiorze powinny pozostać przede wszystkim kolumny takie jak participant_id, age, sex, outcome_baseline i outcome_followup. Imię, nazwisko, adres i telefon powinny znajdować się w oddzielnym, chronionym systemie lub pliku.

Rozdzielenie nie polega na umieszczeniu dwóch arkuszy w jednym folderze o nazwie „dane badania”. Klucz i dane analityczne powinny mieć odrębne uprawnienia dostępu, a najlepiej także odrębne lokalizacje. Dostęp do klucza powinny mieć tylko osoby, które rzeczywiście muszą kontaktować się z uczestnikami lub weryfikować dokumentację. NIH wskazuje, że plany zarządzania i udostępniania danych powinny uwzględniać ograniczenia wynikające z prywatności, zgody uczestników i ryzyka ponownej identyfikacji (NIH, 2020).

5. Czy uczestnik może sam utworzyć swój kod?

W anonimowych lub częściowo anonimowych ankietach, w których nie powinien istnieć klucz przechowywany przez badacza, można zastosować kod generowany przez uczestnika. Uczestnik odpowiada na kilka pytań według instrukcji, a odpowiedzi tworzą kod pozwalający połączyć pomiary w czasie. Przykładowo instrukcja może wykorzystywać pierwszą literę imienia matki, liczbę urodzenia i wybrane znaki z ulubionego słowa.

Takie rozwiązanie może ograniczać konieczność gromadzenia danych bezpośrednio identyfikujących. W badaniu dotyczącym edukacji pielęgniarskiej wykazano możliwość łączenia odpowiedzi studentów w kilku punktach czasowych z użyciem kodu tworzonego przez samych uczestników (Lippe, Johnson i Carter, 2019). Metoda ma jednak ograniczenia: uczestnicy mogą zapomnieć instrukcji, pomylić kolejność odpowiedzi albo utworzyć ten sam kod. Zbyt szczegółowe pytania użyte do budowy kodu mogą ponadto nieoczekiwanie ujawniać dane osobowe.

Ten model nie jest dobrym rozwiązaniem dla każdego badania klinicznego. Jeżeli trzeba szybko skontaktować się z uczestnikiem, zweryfikować zdarzenie medyczne lub przypisać wynik laboratoryjny do dokumentacji, potrzebny jest kontrolowany klucz utrzymywany przez upoważniony zespół.

6. Przykład praktyczny: badanie pacjentów po interwencji edukacyjnej

Załóżmy, że zespół pielęgniarski bada, czy edukacja dotycząca samokontroli ciśnienia tętniczego poprawia regularność pomiarów w domu. Każdy uczestnik wypełnia kwestionariusz przed szkoleniem, po czterech tygodniach i po trzech miesiącach.

Nieprawidłowe rozwiązanie

W arkuszu zapisano: Jan_Kowalski_1958, Maria_Nowak_1964. Identyfikator zawiera nazwisko i rok urodzenia. Każda kopia pliku z wynikami staje się jednocześnie nośnikiem bezpośrednich danych osobowych i informacji o zdrowiu.

Rozwiązanie poprawne

Koordynator nadaje kody BP-0001, BP-0002 i BP-0003. W bazie analitycznej zapisuje:

participant_id	timepoint	self_monitoring_days	systolic_bp
BP-0001	baseline	2	148
BP-0001	week_4	6	139
BP-0001	month_3	5	137

Klucz łączący BP-0001 z dokumentacją pacjenta przechowywany jest oddzielnie. Dzięki temu można połączyć trzy pomiary tej samej osoby bez wpisywania jej nazwiska do pliku przeznaczonego dla analityka. W raporcie można opisać zmianę ciśnienia, ale nie należy sugerować, że sama konstrukcja identyfikatora zapewnia anonimowość całego zbioru. Połączenie wieku, rzadkiej choroby, daty wizyty i małego ośrodka nadal może umożliwiać identyfikację pośrednią.

7. Kontrola jakości identyfikatorów

Identyfikator powinien być sprawdzany tak samo starannie jak inne elementy bazy. Minimalna kontrola obejmuje:

1. sprawdzenie, czy każdy rekord ma identyfikator;
2. sprawdzenie, czy identyfikator jest unikatowy w tabeli osób;
3. sprawdzenie, czy wszystkie pomiary podłużne odwołują się do istniejącego uczestnika;
4. wykrycie literówek, spacji i różnic w wielkości liter;
5. kontrolę, czy nie użyto kodu osoby wycofanej dla nowego uczestnika;
6. udokumentowanie procedury nadawania, zmiany i wycofania kodu.

Warto stosować walidację automatyczną. Jeżeli identyfikator ma format U-0001, można sprawdzić regularnym wyrażeniem, czy każda wartość składa się z litery U, łącznika i czterech cyfr. Walidacja formatu nie zastępuje jednak kontroli unikatowości.

Najczęstsze błędy

• Używanie imienia, nazwiska lub inicjałów. Kod przestaje pełnić funkcję ochronną.
• Włączanie daty urodzenia do identyfikatora. Rok lub pełna data może być daną identyfikującą albo ułatwiać identyfikację.
• Wykorzystywanie numeru dokumentacji medycznej jako identyfikatora analitycznego. Taki numer jest związany z systemem źródłowym i może umożliwiać dostęp do dodatkowych informacji.
• Tworzenie kodu z diagnozy. Identyfikator DEP-004 ujawnia potencjalnie wrażliwą informację.
• Przechowywanie klucza w tym samym pliku co dane analityczne. W razie wycieku oba elementy są dostępne jednocześnie.
• Ponowne użycie kodu. Może spowodować połączenie danych dwóch różnych osób.
• Traktowanie pseudonimizacji jak pełnej anonimizacji. Jeżeli istnieje klucz lub realistyczna możliwość połączenia danych, ryzyko identyfikacji nadal istnieje.
• Brak informacji w protokole. Nieudokumentowany sposób tworzenia kodów utrudnia audyt, replikację i wyjaśnienie rozbieżności.
• Umieszczanie kodu w nazwie pliku razem z dodatkowymi szczegółami. Nazwa U-0042-rak-pluca-wizyta-12-03-2026.xlsx może ujawniać więcej niż sama kolumna identyfikatora.

8. Identyfikator a zgoda i plan zarządzania danymi

Sposób kodowania należy opisać przed rozpoczęciem rekrutacji. W protokole warto wskazać: kto nadaje kod, kiedy jest on tworzony, gdzie przechowywany jest klucz, kto może go otworzyć, jak długo dane są przechowywane oraz w jakich okolicznościach możliwa jest reidentyfikacja.

Uczestnik powinien otrzymać jasną informację, czy dane będą anonimowe, zakodowane, czy możliwe do ponownego powiązania z jego osobą. Nie należy obiecywać „pełnej anonimowości”, jeżeli badacz zachowuje klucz kontaktowy. W badaniach jakościowych dodatkowym problemem mogą być rzadkie historie, charakterystyczne stanowiska pracy lub małe społeczności. Nawet po usunięciu nazwiska opis może umożliwiać identyfikację. Analizy dotyczące danych z mediów społecznościowych pokazują, że ujawnienie szczegółów kontekstu może prowadzić do tak zwanej identyfikacji odwrotnej, zwłaszcza gdy informacje można połączyć z publicznymi źródłami (Fiesler i in., 2018).

Dlatego identyfikator jest tylko jednym elementem ochrony. Potrzebne są także ograniczenie zakresu zbieranych danych, kontrola dostępu, szyfrowanie, bezpieczne kopie zapasowe, procedura reagowania na incydenty oraz ostrożne przygotowanie tabel i wykresów do publikacji.

Co warto zapamiętać?

• Identyfikator uczestnika służy do rozróżniania rekordów, a nie do opisywania cech osoby.
• Najbezpieczniejszy kod jest neutralny i nie zawiera nazwiska, inicjałów, daty urodzenia, diagnozy ani lokalizacji.
• Numer identyfikacyjny powinien być unikatowy w obrębie badania i pozostawać stabilny przez cały okres obserwacji.
• Klucz łączący kod z danymi osobowymi należy przechowywać oddzielnie i udostępniać tylko upoważnionym osobom.
• Dane zakodowane lub pseudonimizowane nie są automatycznie anonimowe.
• Kod tworzony przez uczestnika może być użyteczny w badaniach ankietowych, ale zwiększa ryzyko błędów i nie zawsze nadaje się do badań klinicznych.
• Procedura tworzenia identyfikatora powinna być opisana w protokole, planie zarządzania danymi i dokumentacji badania.

W ramach publicznego szkolenia na statystyk.edu.pl warto traktować identyfikator jako część całego systemu organizacji danych: obok słownika kodów, definicji zmiennych, zasad kodowania braków i dokumentacji rekodowania. Dobrze zaprojektowany identyfikator nie poprawia sam w sobie jakości pomiaru, ale chroni uczestników, ogranicza ryzyko pomieszania rekordów i ułatwia rzetelne prowadzenie badań podłużnych.

Źródła i dalsza lektura

1. U.S. Department of Health and Human Services, Office for Civil Rights (2012). Guidance Regarding Methods for De-identification of Protected Health Information in Accordance with the Health Insurance Portability and Accountability Act (HIPAA) Privacy Rule. U.S. Department of Health and Human Services. U.S. Department of Health and Human Services. Źródło.
2. National Institutes of Health (2020). Final NIH Policy for Data Management and Sharing. NIH Guide for Grants and Contracts, Notice Number NOT-OD-21-013. National Institutes of Health. Źródło.
3. Lippe, Megan; Johnson, Bailey; Carter, Patricia (2019). Protecting Student Anonymity in Research Using a Subject-Generated Identification Code. Journal of Professional Nursing, 35(2), 120-123. DOI: 10.1016/j.profnurs.2018.09.006.
4. Fiesler, Casey; Beard, Austin; Chivukula, Shruthi S.; Schlesinger, Ari; Pater, Jessica; Williams, Jed R.; Zimmer, Michael; Vitak, Jessica (2018). Don’t quote me: reverse identification in online social media studies. npj Digital Medicine, 1, 30. DOI: 10.1038/s41746-018-0036-2.
5. National Institute on Aging (2023). NIA Data Management and Sharing Guidance. National Institute on Aging. National Institute on Aging, National Institutes of Health. Źródło.
6. U.S. Department of Health and Human Services, Office of the Assistant Secretary for Planning and Evaluation (1997). Privacy and Health Research. U.S. Department of Health and Human Services. U.S. Department of Health and Human Services. Źródło.