医学研究データ転送:安全な共同研究

個人情報保護法（APPI）の研究目的例外（第76条）は無制限の免除ではない。次世代医療基盤法・ゲノム指針・国際共同研究に適用されるGDPR第89条まで、医学研究データの転送は多層の規制に拘束される。ファイルサイズは5MBのREDCapエクスポートから2TBのゲノムBAMアーカイブまで幅広く、転送方法もそれに応じて変わる。適切なワークフローを構築しなければ、データ提供協定（DUA）違反・研究不正疑義・規制当局への申告漏れというリスクが生じる。

データ利用協定がルールを定める

バイトが動く前に、機関間のDUAが何を許容するかを確認する。典型的な多施設研究のDUAには次の項目が含まれる。

含まれるデータ要素（日付のシフト規則、郵便番号の3桁切捨て、89歳上限のキャッピング）
受信施設の保管要件（暗号化保存、アクセス制御）
転送方法（VPN経由のSFTP、公開鍵認証付きSCP、承認されたウェブポータル）
再識別禁止と小セル抑制ルール
公表前のレビュー期間
消去日時と消去方法

DUAが「スポンサー指定のセキュアポータルを通じて転送すること」と規定していれば、機関のGlobusエンドポイントより遅くてもそのポータルを使う。DUAが方法を指定していない場合は、機関のIRB承認済み手続きに戻る。機関間で独自のワークフローを発明してはならない。

研究における識別解除の段階

HIPAAは3つのカテゴリを認識している。

完全識別解除データ（45 CFR 164.514(b)）：セーフハーバー法（18の識別子を除去）または専門家判定（再識別リスクが非常に小さいという統計的意見）。一度識別解除されればHIPAAの適用外。
限定データセット（45 CFR 164.514(e)）：ほとんどの識別子を除去するが日付と州未満の地理情報を保持する。DUAが必要。引き続きPHI。
コード付きデータ（発信施設が連結キーを保持）：技術的には発信施設ではPHIだが、特定の状況下では受信施設のコード付きデータセットが識別解除データと見なされる可能性がある。

多くの多施設研究は限定データセットで運用される。入院日が重要で、地域情報が重要で、年齢が重要だ。転送ワークフローはこれらをGitHubに公開できるオープンサイエンスデータセットとしてではなく、規制されたデータとして扱わなければならない。

ゲノムスケール：テラバイト単位の移動

全ゲノム配列BAMファイルは50〜200GB。1被験者の短鎖リードFASTQを圧縮しても80GBだ。コホートサイズを掛け合わせると、1回の解析バッチで10〜100TBを動かすことになる。ウェブベースの転送ツールではこの規模に対応できない。選択肢を示す。

Globus Connect：GridFTP上の高性能データ転送。NIH資金提供の研究計算センターのほぼすべてが採用している
Aspera（IBM）：輻輳制御付きUDPベース転送。dbGaP・SRA・商業シーケンシングプロバイダが使用する
AWS Snowball Edge：ネットワーク転送に数週間かかる場合の80TBの物理デバイス配送
クラウド間転送：ソースと宛先が共にAWS S3またはGCP Cloud Storageにある場合、S3バッチレプリケーションまたはStorage Transfer Serviceがペタバイトを数時間で移動する

大容量ファイルを囲む小さなファイル（表現型スプレッドシート・QCレポート・研究プロトコル）は、BAMのアップロード完了を待たずに暗号化ウェブ転送でメタデータパイプラインを動かし続けられる。

中間層：REDCap・スプレッドシート・カルテレビュー

研究データ転送の大部分はゲノミクスではない。40MBのREDCapエクスポート、15MBの識別解除カルテ抽出スプレッドシート、AI検証研究用の200MBの識別解除CT縮小画像フォルダがほとんどだ。安全なウェブ転送がこの規模にきれいに対応する。

要件を以下に示す。

AES-256-GCM暗号化、理想的にはクライアントサイド
TLS 1.3転送
リンク有効期限（DUAによる7〜30日）
ファイルハッシュと受信者IPを含む監査ログ
リンクチャネルとは別のパスフレーズチャネル

HexaTransfer はゼロ知識クライアントサイド暗号化でこの仕様を満たす。https://hexatransfer.com で無料・アカウント不要・最大10GBで利用できる。日付・受信者・ファイル概要・ハッシュを研究スタディバインダーに記録する。

GDPR第89条と国際共同研究

EU研究データには、GDPR第89条の下で特有の保護措置がある。仮名化・データ最小化・研究目的に沿った目的制限だ。Schrems II後のEU機関から米国協力者へのデータ転送には、EDPB科学研究データ処理ガイドライン03/2020が適用される。

EEA外への移転の補完的措置を示す。

EU施設でキーを保持した仮名化
転送プロバイダが平文にアクセスできないクライアントサイド暗号化
政府命令による開示への異議申立てを禁じる契約上の条項
文書化された移転影響評価

英国データ保護法2018はUK固有の研究規定を追加しており、MHRAとHRAがUKの研究データ使用を監督する。スイスのFADPはGDPRに近似しているが移転規則が異なる。1つのワークフローがすべての欧州パートナーをカバーするとは思わないことだ。

再現性パッケージとオープンサイエンス

Nature、Science、The Lancetをはじめとする多くのジャーナルが投稿時に再現性パッケージを要求する。コード・分析を再現するのに十分な識別解除データ・環境仕様（Dockerコンテナ、Singularity、renv/condaのロックファイル）だ。これらのパッケージは通常100MB〜10GBだ。

ジャーナルの投稿システムやZenodo/Figshare/Dryad等のリポジトリへの転送には以下が必要だ。

引用用のDOI付与
寄託者のORCID認証
ライセンスメタデータ（CC0、CC-BY、カスタムDUA参照）
永続的なアーカイブ形式（ソースツリーの.tar.gz、.xlsx ではなく .csv.gz）

オープンサイエンスは暗号化されていない転送を意味しない。寄託後のオープンアクセスを意味する。リポジトリへの転送にはTLS 1.3と完全性チェックが依然として必要だ。

研究の完全性のための監査証跡

IRB要件を超えて、研究不正調査は発生する。HHSの研究倫理局（ORI）は典型的な最近の年に40件以上の問い合わせを処理した。申し立てがあれば、調査員は誰がどの時点でどのデータにアクセスしたかを再構成する。転送の監査ログがその再構成を支える。

保存期間について、NIHは最終プロジェクト報告から少なくとも3年を義務付けており、特定のプログラムではそれ以上となる。多くの機関が7年を要求する。NDA（新薬承認申請）を支援する臨床試験データは25年以上に及ぶ。

必要なログフィールドを示す。

タイムスタンプ（UTC）
送信者ID（認証済み機関アカウント）
受信者ID（認証済み、汎用メールボックス不可）
ファイルのSHA-256
IRBプロトコル参照番号
DUA参照番号

医学研究データ転送はオープンサイエンス・規制コンプライアンス・実用的なネットワーク工学の交差点に存在する。10MBの表現型ファイルに適したツールは2TBのBAMには不適切だ。各転送を適切なレールに合わせた多層ワークフローを構築し、データ管理計画に文書化する。それが適切な実行への道だ。