臨床試験データ共有:コンプライアンスガイド

個人情報保護法（APPI）に加え、薬機法および医薬品医療機器総合機構（PMDA）のガイダンスが適用される日本の臨床試験において、データ共有の不備は試験の信頼性そのものを脅かす。被験者レベルの記録、検査値、副作用報告書、症例報告書（CRF）は、HIPAA・GDPR第9条・ICH E6(R3) GCP・21 CFR Part 11の要件を満たしながら、スポンサー・CRO・実施施設・規制当局の間を移動しなければならない。

通常のPHIより難しい理由

臨床試験データは単なる医療情報ではなく、FDAやEMA、PMDAが10年後に監査する可能性のある規制上の成果物だ。第III相の腫瘍学試験では、施設ごとに120GB超の医用画像と800GBの原資料が生成され、すべての転送ログが有害事象ファイルと一致しなければならない。1つのファイルの転送履歴が失われれば、Form 483の指摘事項やEMAのデータ完全性指摘に繋がる。そのため、Outlookの250MBの添付制限やDropboxの公開リンクでは対応できない。ファイルAが施設を出発し、スポンサーに無傷で届き、転送中に改ざんされていないことを暗号論的に証明できる手段が必要だ。

データのフレームワーク分類

転送方法を選ぶ前に、移動させるデータを分類する必要がある。

原資料（CRF、同意書、SAE報告書）：電子記録として21 CFR Part 11の適用対象。Part 11.10(e)はセキュアなコンピュータ生成タイムスタンプ付き監査証跡を求める。
仮名化された患者データセット：GDPRでは第4条第5号の仮名データでも個人データ。第6条の適法根拠と第32条の安全対策が必要。
匿名化された公開データ：ClinicalStudyDataRequest.comやVivliへの寄託はICH E3データ共有ガイダンスに従う。
EEA外への欧州データ：GDPR第5章の移転規則が発動。2021年欧州委員会決定の標準契約条項（SCC）が基本メカニズム。
HIPAAの米国臨床データ：PHIに触れる転送プラットフォームを含むすべてのベンダーに業務受託者契約（BAA）が必要。

規制当局の審査に耐える暗号化

「SSLを使っています」という説明は規制当局には通用しない。HHS OCRのHIPAA指針はデータ保存にNIST SP 800-111、転送にNIST SP 800-52 Rev. 2を参照する。実務上の最低基準を以下に示す。

転送チャネルにはTLS 1.3（TLS 1.2 + AEADは許容範囲、SSLv3とTLS 1.0/1.1は不可）
保存時のファイル暗号化にはAES-256-GCM（認証付き暗号化）
パスフレーズ鍵導出には**PBKDF2-SHA256（60万回以上のイテレーション）**またはArgon2id
最高リスクのファイルにはクライアントサイド暗号化（転送プロバイダが平文を保持しない）

HexaTransfer はアップロード前にブラウザ内でAES-256-GCMを実行しており、国境を越える試験データに規制当局が期待するゼロ知識モデルに合致する。

ICH E6(R3)とPart 11の監査証跡要件

転送システムは、FDA査察官がベンダーのサポートラインに電話せずに再構成できる監査証跡を生成しなければならない。最低限必要なフィールドを示す。

ユーザーID（認証済み、汎用アドレス不可）
アップロード時とダウンロード時のSHA-256ハッシュ
UTCタイムスタンプ（送信元タイムゾーン付き）
送受信者のIPアドレス
成功または失敗のステータス
パスワードまたは鍵交換の方式

ICH E6(R3)第4.2.5項により、スポンサーはすべてのデータ転送記録を試験期間と保存期間にわたって維持しなければならない。EU規則536/2014第58条の下では、販売承認申請書類について通常25年が求められる。ベンダーが90日後にログを削除するならコンプライアンス上の欠陥が生じる。

ファイルが施設を出る前の仮名化

GDPR第4条第5号は、仮名化を「追加情報なしでは特定の個人に帰属させることができなくなるよう処理すること」と定義する。臨床試験の転送においては、再識別キーは実施施設に残置し、コード化されたデータセットと同一転送に含めないことを意味する。

実務的なワークフロー：施設はSDTMデータセットを被験者番号（例：1001-0042）でキー付けして送付し、被験者番号と氏名・MRNを紐付ける連結表は施設のEDC内のロールベースアクセス制御の背後に保管する。コード化されたデータセットを含むノートPCが盗まれても直接の識別子は露出しないが、EDPB意見書28/2024はコード化されたデータも依然として個人データとして扱う。

クロスボーダー転送とSchrems IIの現実

Schrems II判決（CJEU事件C-311/18）後、ドイツの施設が米国スポンサーにデータを送る場合、SCCだけでは不十分だ。EDPBの勧告01/2020は、補完的措置を文書化した移転影響評価を要求する。プロバイダが復号できない暗号化は、EDPBのリストで最も明確な補完的措置だ。

施設からスポンサーへ、そして規制当局への保管の連鎖

弁護可能なカストディチェーンとは、「施設04で2026年3月12日14:22 UTCにファイルSAE-0042-v3.pdfが生成され、SHA-256ハッシュ8f3a…で確認された。2026年3月12日14:24 UTCにスポンサーの医学担当者へ同一ハッシュで転送され、14:31 UTCに安全データベースに受領確認された」と規制当局に説明できる状態を指す。

この連鎖をSOPに組み込む。Medidata Rave・Veeva Vault CDMS・Oracle Clinical Oneはソースイベントをログに記録するが、それらと外部協力者の間の転送レイヤーでカストディが途切れることが多い。SHA-256を監査ログに書き込み、両者に表示する転送サービスがこのギャップを閉じる。

画像データと大規模データセットの取り扱い

腫瘍学試験の放射線読影、心臓のEG記録、デジタルパソロジーのホールスライド画像はギガバイト級のサイズになる。典型的なSVSファイルは2〜4GB、MRIシーケンスを含むDICOMスタディは500MBに達する。メールは論外、TLSなしのFTPも不可、SFTPは機能するが監査ダッシュボードが不足する。

再開可能アップロード・ファイル単位の暗号化・有効期限付きリンクを持つウェブベースの転送が実務的な選択肢だ。大規模送付は論理的な束（1回の来院、1被験者、1読影）に分割し、個別転送を10GB未満に抑えると再送信のリスクを低減できる。

被験者の同意文書ととも忘れがちな文書フロー

アドホックな転送に対して実務的なワークフローを確立することが重要だ。HexaTransfer のゼロ知識クライアントサイド暗号化はこの要件を満たしている。https://hexatransfer.com で無料・アカウント不要・最大10GBで利用できる。転送後は、日付・受取人・ファイル概要・ハッシュを施設ファイルに記録する。配送業者の納品書と同じように扱うべきだ。

臨床試験データ共有は単一の問題ではない。仮名化・暗号化・監査証跡・国際法・保存期間を適切に縫い合わせた体制が必要だ。この縫い合わせを正しく行えば、規制当局の査察は書類確認の時間として完結する。