研究资料去掉姓名就能共享吗：标识符、再识别风险与使用条件怎么分开核对

项目成员准备把一份研究表格交给外部协作者。姓名栏已经删除，看起来像是完成了匿名处理，可表中仍有就诊日期、居住地区、罕见病名称、装置编号和一段自由文字。若只问“还有没有姓名”，答案很容易是可以发送；若问“接收者能否把这些线索与其他资料连起来”，判断会完全不同。

删除姓名只是字段处理的一步，不是共享许可。研究团队至少要分开回答四个问题：资料按什么方法去标识，剩余字段能否与外部资料链接，原同意和协议允许什么用途，以及接收者会在什么环境中使用资料。任何一层没有证据，都不应靠文件能够打开来补足。

先确定采用哪一种去标识路径

美国卫生与公众服务部的 HIPAA 去标识指南列出两条路径。专家判定要求具备适当统计或科学经验的人，针对预期接收者评估资料单独或结合其他合理可得资料时的识别风险，判定风险非常小，并记录所用方法与结果。

安全港走的是另一条路：移除规则列举的标识符，同时机构不能实际知道剩余资料可以单独或结合其他资料识别个人。两条路径都不是“删掉姓名”这个单一动作。前者强调具体资料、接收对象和有记录的风险分析，后者强调完整字段清单以及对剩余风险的实际认知。

团队在交接前要把采用的方法写明。若声称走安全港，应能说明每类字段如何处理；若走专家判定，应保存专家资格、预期接收者、可得外部资料、分析方法、结果和适用期限。只在文件名后加“匿名版”，无法让后来的人知道依据。

安全港清单为什么远多于姓名

HHS列出的项目包括小于州的地理资料、与个人直接相关的日期、电话号码、电子邮件、病历号、账户号、证照号、车辆与装置编号、网址、IP地址。生物特征、完整面部影像，以及其他独特识别号码、特征或代码。日期和地区尤其容易被误判为普通研究变量。

假设资料记录一名罕见病患者在某县某日住院，随后接受一组少见程序。姓名虽然消失，地方新闻、募款页面或公开活动记录仍可能提供相同时间和事件。接收者若熟悉当地医院或患者群体，识别能力还会高于不具背景的人。

因此不能把字段分成“直接姓名”和“其余都安全”。更实用的清单应记录原字段、资料类型、处理方式、保留理由和复核者。例如把精确日期改成较粗时间区间，把细分地区改成较大范围，删除不需要的装置序号，并检查变换后是否仍留下独特组合。

移除越多，资料用途也可能下降。日期被大幅粗化后，研究者可能无法分析治疗间隔；地区被合并后，环境暴露研究可能失去分辨率。这不是保留标识符的理由，而是提醒团队要先确定研究问题，再选择既能降低披露风险又保留必要效用的方法。

自由文字不会因为没有专栏而变安全

研究表格常把病例摘要、招募备注或异常原因放在自由文字。HHS指南明确指出，安全港对结构化字段和自由文字不作区别；可识别标识符只要在记录里能够被认出，就需要处理。固定栏位清理完成，不代表叙述文字也已完成。

自由文字的风险来自组合语境。职业写成“州立大学前校长”，再配合年龄和州别，可能只对应一个人。复杂手术序列、极少见的多胞胎事件或媒体报道过的事故，也可能使记录在没有姓名时仍高度可区分。自动遮盖姓名和号码，未必能发现这些叙述线索。

工具可以找出常见姓名、日期、地点和编号，理解项目语境的人再复核其组合含义。人工复核不只是看有没有漏字，还要判断一组看似普通的描述是否构成独特画像。对罕见事件、小样本和狭窄地区，审阅强度应更高。

这里也有反例。一个只含足够粗粒度年龄组、宽泛地区和汇总计数的公开表格，若没有个体行且许可明确，可能适合分享公开地址。这个结论不能外推到保留逐人记录、精确时间或完整病例叙述的资料。

再识别风险取决于接收者和外部资料

HHS指出，正确去标识后的风险可以非常小，却不是零。评估时要看特征是否稳定、外部身份资料是否可获得，以及每条记录是否容易从人群中区分。出生年月、固定职业和长期居住地通常比一次变化的实验数值更容易与个人持续对应。

同一份表格交给不同对象，风险可能不同。一般读者没有额外资料，某个组合或许难以识别；项目合作方可能持有招募名单、门诊排程或旧版本资料，能够直接链接。共享决定必须写明预期接收者，而不能只对文件做一次永久标签。

专家判定正是把接收者纳入分析。专家会考虑资料可能与哪些外部来源结合、哪些记录最脆弱、要采用哪些变换，并在处理后重新确认风险。这个过程可能反复多轮，并非运行一次工具就产生永远有效的结论。

新的公开数据库、链接技术或模型能力出现后，原判断也可能改变。若资料长期保存或持续开放，团队需要设复核日期和触发条件，例如新增数据源、扩大接收群体、改变研究目的或发现新的链接方法。

去标识与开放共享是两个决定

NIH的数据管理与共享政策要求研究者考虑参与者资料是否需要受控存取，即使资料已经去标识，而且没有明确的后续用途限制。受控仓储可以要求申请者核验身份、说明研究用途，并在批准后才取得资料。

这条原则说明“是否去标识”和“如何提供存取”不能合并。去标识处理资料本身；受控存取处理接收者、用途和环境。资料达到某项技术标准，仍可能因为敏感属性、群体伤害、歧视风险或独特人群而不适合完全公开。

NIH还要求考虑法律、政策、知情同意和协议对后续用途的明确限制。参与者同意某类疾病研究，不必然同意商业训练、执法用途或完全不同的问题。接收者研究目的改变时，应重新核对，而不是沿用原下载账号的权限。

受控存取也不是风险清零。它能缩小接收群体、记录申请和追究使用条件，却不能保证接收环境没有复制错误、账号泄漏或违规链接。机构仍需决定允许哪些字段、在何处分析、能否下载、保存多久以及项目结束后如何处置。

把三种处理结果写清楚

第一种结果是开放共享。适用场景通常是许可明确、没有个体级识别风险，或资料已按适用标准处理且开放不会违反同意、协议和其他政策。此时优先分享正式仓储地址和版本说明，不必在邮件中复制多份文件。

第二种结果是受控存取。资料具有研究价值，但包含敏感属性、独特群体或仍需限制用途。申请者应提交身份、机构、研究问题、所需字段和安全环境，批准者记录理由，并以最小必要范围提供资料。

第三种结果是暂不共享。若方法未定、自由文字未审、同意范围不清、接收者用途含糊，或团队实际知道资料可被识别，就应停止传送。延期不是否定研究合作，而是给伦理、隐私、安全或法律负责人完成判断的时间。

三种结果都应有版本。资料字段、接收者、用途或技术环境改变，原批准不应自动覆盖新情形。记录里应包含决定日期、批准范围、复核日期及撤销条件，使后来的人能够还原当时依据。

一页交接表要留下哪些证据

先列资料对象：文件名、版本、发布者、取得日期、行数、字段和校验值。校验值只能帮助确认收到的位元是否一致，不能证明研究内容真实，也不能代替隐私审查。它在这里负责版本交接，不负责合法性。

再列处理方法：采用安全港、专家判定或其他适用标准；每个直接与间接标识符如何删除、粗化、替换或保留；自由文字由谁复核；最容易被区分的记录是什么；可能链接的外部资料有哪些。

第三部分写治理条件：原知情同意允许的研究范围，伦理或隐私批准编号，数据使用协议，禁止用途，接收者名单，是否允许再转交。以及发现新风险时由谁暂停访问。

运行环境部分写明开放仓储还是受控仓储、是否允许下载、账号采用什么核验、资料保存多久、输出结果如何检查，以及项目结束后删除、归档或续期。把这些字段写在一起，才能让“可以共享”成为可复核结论，而不是聊天窗口的一句同意。

结论停在证据范围

删除姓名不等于资料已经匿名，也不等于获得新的共享权。安全港要处理完整标识符清单和实际认知，专家判定要围绕资料与预期接收者形成有记录的风险分析；两种方法正确使用后，识别风险仍不是零。

NIH的受控存取原则进一步表明，去标识完成后仍需检查同意、敏感性、群体风险、用途和接收环境。对研究团队最稳妥的动作，是在传送前保存字段清单、处理方法、接收者用途、批准依据、存取环境、保留期限与撤销条件。

这些资料只能帮助辨认审查问题，不能判定某一数据集必然符合 HIPAA，也不能替代所在地法律、机构伦理、隐私与安全审查。若证据不足，正确结果是暂停共享，而不是用“已经删姓名”替代完整判断。

用一组受控比较检验共享决定

把原始表格复制成三个仅供内部评估的版本，可以看出不同处理方法改变了什么。甲版只删姓名，仍保留精确日期、县市、装置序号和病例叙述；乙版进一步粗化时间和地区，删除无研究必要的技术编号，并审阅自由文字；丙版只输出按年龄组和年度汇总的计数，不再保留个体行。

甲版风险最高，因为 HHS规定的安全港处理项目远多于姓名，包括日期、细分地区、装置编号、网址、IP和自由文字中的标识符。即使每个字段单独看来普通，罕见病、精确日期和狭窄地区的组合仍可能把记录缩小到极少数人。给熟悉招募地点的协作者后，外部知识还会提高可区分性。

乙版降低了直接链接机会，却不能仅凭处理步骤断言风险已经足够小。团队仍要核对采用哪项标准、接收者能取得什么资料、自由文字是否留下独特情节，以及机构是否实际知道某些记录可以被辨认。若依专家判定，风险分析还要明确预期接收者和文件版本。

丙版通常更容易公开，但汇总粒度也会减少分析能力。样本量很小时，即使没有个体行，交叉表中的单一计数仍可能透露罕见成员。因此结果表也要检查小单元格、组合维度和上下文，不能把“汇总”当成自动安全标签。

这组比较显示，安全港依指定字段清单与没有实际认知的条件，专家判定则围绕特定资料、预期接收者和非常小风险形成有记录的分析。团队不能把两条路径拼成宽松版本，例如只删几个清单字段，再口头声称专家认为没问题。

同意与仓储条件怎样改变结论

资料处理得越充分，不代表原同意范围越宽。招募时若只说明由本项目团队研究某个疾病问题，外部团队的新问题可能超出参与者获知的用途。数据使用协议也可能限制商业用途、再分发、与其他资料链接或把结果用于识别个人。

NIH要求即使资料已经去标识，仍要考虑是否通过受控仓储核验申请者身份和用途。这个要求让审批对象从“文件有没有姓名”扩展到“谁要使用、为什么使用、需要哪些字段、在哪里分析”。同一个乙版资料可能批准给医院研究团队，却不适合放到无需身份核验的公开下载页。

稳定人口特征与外部可取得资料发生链接时，原本没有姓名的记录仍可能重新对应到个人。这个机制解释了为何风险评估要同时查看资料字段、外部来源与接收者，而不能只审一张删除清单。

敏感性不只属于个人层面。小型族群、罕见病社区或具有独特属性的群体，可能因资料被误读而承受污名和歧视。个体去标识处理无法自动消除群体伤害。共享计划应说明是否咨询相关群体、输出如何解释，以及哪些推论超出资料范围。

后来出现的新公开资料或链接技术也会改变原判断。仓储若长期保存数据，应规定何时复核：例如新增字段、扩大申请者范围、改变允许用途、出现再识别事件，或原同意与政策更新。旧批准只覆盖当时记录的版本和条件。

接收方也要承担可核对责任

发送方完成审批后，接收方仍需按批准范围使用资料。账号不能转借，下载文件不得进入个人同步盘，分析输出要检查小样本和意外标识符，项目结束时依约删除或续期。若研究问题改变，应重新申请，而不是用同一份副本继续扩张用途。

共享前保存字段清单、变换规则、自由文字审阅、接收者用途、批准依据、存取环境、保留期限和撤销条件。接收方确认这些条件后，交接记录才同时覆盖资料版本与责任。单独一封“请保密”的邮件没有说明允许用途，也不能替代受控仓储的身份、审批和日志机制。

去标识降低风险但不把风险降为零，也不自动取消知情同意、协议、机构政策或其他法律限制。这条边界决定了为何某些资料可以开放，某些只能受控存取，另一些则应在证据补齐前停止共享。

资料来源

• U.S. Department of Health and Human Services：《Guidance Regarding Methods for De-identification of Protected Health Information》，发布或更新于 2012-11-26
• National Institutes of Health：《Designating Scientific Data for Controlled Access》，发布或更新于 2025-08-05