Klinik Araştırma Verisi Paylaşımı: Uyumluluk Rehberi

Klinik araştırma verisinin paylaşımı — sponsorlar, CRO'lar, araştırma merkezleri ve düzenleyiciler arasında hasta düzeyinde kayıtları, laboratuvar sonuçlarını, advers olay raporlarını ve vaka rapor formlarını taşımak — HIPAA, GDPR Madde 9, ICH E6(R3) GCP ve 21 CFR Bölüm 11'e uymayı gerektiriyor. CRF verisinin takma adlı CSV dışa aktarımları, .xpt formatında SDTM/ADaM veri kümeleri, PDF olarak taranan onay formları ve DICOM görüntüleme gibi ilgili dosyalar; uçtan uca şifreleme, doğrulanabilir denetim izleri ve deneme kapandıktan yıllar sonra düzenleyici denetime dayanabilecek saklama denetimleri gerektiriyor. Türkiye'deki araştırma merkezleri için KVKK (6698 sayılı Kanun) ve USOM'un siber güvenlik rehberlikleri ek bir uyumluluk katmanı oluşturuyor.

Araştırma Verisini Sıradan PHI'den Daha Zor Yapan

Araştırma veri kümesi yalnızca korunan sağlık bilgisi değil. FDA, EMA veya PMDA'nın on yıl sonra denetleyebileceği düzenlenmiş bir ürün. Faz III onkoloji çalışması, merkez başına 800 GB kaynak belge, 120 GB tıbbi görüntüleme ve her transfer günlüğüne karşı mutabık kılınmak zorunda olan kilitli bir veritabanı üretebilir. Tek bir advers olay dosyasının transfer geçmişini kaybederseniz, EMA'nın elektronik kaynak veriye ilişkin Yansıma Kağıdı kapsamında Form 483 gözlemi veya veri bütünlüğü bulgusuna maruz kalırsınız.

Bu nedenle Outlook'taki 250 MB ek limiti veya Dropbox'ın genel bağlantı yaklaşımı yeterli olmuyor. Dosya A'nın merkezden çıktığına, sponsora bozulmadan ulaştığına ve aktarım sırasında değiştirilmediğine dair kriptografik kanıt gerekiyor.

Verinizi Doğru Düzenleyici Çerçeveyle Eşleştirme

Transfer yöntemi seçmeden önce, gerçekte ne taşıdığınızı sınıflandırın:

Kaynak belgeler (CRF'ler, onay, SAE raporları): 21 CFR Bölüm 11 kapsamında. Bölüm 11.10(e) güvenli, bilgisayar tarafından oluşturulan ve zaman damgalı denetim izleri gerektiriyor.
Takma adlı hasta veri kümeleri: GDPR Madde 4(5) kapsamında sözde anonim veri — hâlâ kişisel veri, hâlâ Madde 6 kapsamında yasal dayanak ve Madde 32 kapsamında güvence gerektiriyor.
ClinicalStudyDataRequest.com veya Vivli gibi depolarda yayımlanan anonim veri: ICH E3 veri paylaşımı rehberliğini karşılamalı.
AB dışına çıkan AB verisi: Bölüm V transfer kurallarını tetikliyor. 2021 AB Komisyonu Kararı kapsamındaki Standart Sözleşme Maddeleri varsayılan mekanizmadır.
HIPAA kapsamındaki ABD klinik verisi: PHI'ya dokunan her satıcıyla, transfer platformunuz dahil, İş Ortağı Sözleşmesi gerektirir.

Dosya türünü, transfer aracını açmadan önce ilgili düzenlemeyle eşleştirin. Bu eşleme şifreleme seçimlerini ve saklama süresini belirler.

Düzenleyici Denetime Dayanan Şifreleme

Düzenleyiciler artık "SSL kullanıyoruz" demekle yetinilmesini kabul etmiyor. Ayrıntı istiyorlar. HHS OCR'nin HIPAA rehberlikleri beklemedeki veri için NIST SP 800-111'e ve aktarım verisini için NIST SP 800-52 Rev. 2'ye atıfta bulunuyor. Pratik taban:

Transfer kanalı için TLS 1.3 (AEAD şifre paketleriyle TLS 1.2 kabul edilebilir; SSLv3 ve TLS 1.0/1.1 geçersiz)
Kimlik doğrulamalı şifrelemeyle beklemedeki dosya şifreleme için AES-256-GCM
Parola cümleciği kullanıyorsanız parola türetilmiş anahtarlar için 600.000+ yineleme ile PBKDF2-SHA256 veya Argon2id
En yüksek riskli dosyalar için istemci tarafı şifreleme, böylece transfer sağlayıcısı hiçbir zaman düz metni elinde bulundurmuyor

HexaTransfer, sınır ötesi araştırma verisi için düzenleyicilerin giderek daha fazla beklediği sıfır-bilgi modeliyle örtüşen biçimde, yüklemeden önce tarayıcıda AES-256-GCM çalıştırıyor.

ICH E6(R3) ve Bölüm 11 Kapsamında Denetim İzi Gereksinimleri

Transfer sisteminiz, FDA müfettişinin satıcınızın destek hattını aramadan yeniden inşa edebileceği bir denetim izi üretmek zorunda. Asgari alanlar:

Kullanıcı kimliği (kimliği doğrulanmış, yalnızca "site03@hospital.org" değil)
Yükleme ve indirmede dosya hash'i (SHA-256)
UTC'de, kaynak saat dilimiyle birlikte zaman damgaları
Gönderenin ve alıcının IP adresi
Başarı veya başarısızlık durumu
Parola veya anahtar değişim yöntemi

ICH E6(R3) Bölüm 4.2.5 kapsamında, sponsorlar deneme süresince artı saklama dönemi boyunca tüm veri transferlerinin kayıtlarını tutmak zorunda — AB Tüzüğü 536/2014 Madde 58 kapsamında pazarlama yetkilendirme dosyaları için genellikle 25 yıl. Satıcınız günlükleri 90 gün sonra siliyorsa, bir uyumluluk boşluğunuz var demektir.

Dosyalar Merkezden Çıkmadan Önce Takma Ad Kullanımı

GDPR Madde 4(5), takma ad kullanımını, verinin artık ayrı tutulan ek bilgi olmadan belirli bir veri sahibine atfedilemeyeceği şekilde işleme olarak tanımlıyor. Araştırma transferleri için bu, yeniden tanımlama anahtarının araştırmacı merkezinde kalması, kodlanmış veri kümesiyle hiçbir zaman aynı transferde bulunmaması anlamına geliyor.

Pratik iş akışı: merkez, konu numarasıyla (örneğin 1001-0042) anahtarlanan SDTM veri kümelerini gönderiyor, konu numaralarını ad ve MRN'lere eşleyen bağlantı tablosu ise merkezdeki EDC'nin arkasında rol tabanlı erişimle kalıyor. Kodlanmış veri kümesini içeren bir dizüstü bilgisayar trende çalınırsa, doğrudan tanımlayıcı ifşası yaşanmıyor — ancak EDPB Görüşü 28/2024 kodlanmış veriyi hâlâ kişisel olarak ele alıyor.

Sınır Ötesi Transferler ve Schrems II Gerçekliği

Schrems II'nin (CJEU Davası C-311/18) ardından bir Alman merkezin ABD sponsoruna veri göndermesi SCC'lerden fazlasını gerektiriyor. EDPB Tavsiyeleri 01/2020, tamamlayıcı tedbirleri belgeleyen Aktarım Etki Değerlendirmesi istiyor. Sağlayıcının gerçekten şifre çözemeyeceği şifreleme, EDPB'nin listesindeki en temiz tamamlayıcı tedbirdir.

Çin'i kapsayan denemeler için Kişisel Bilgilerin Korunması Kanunu (PIPL) Madde 38, CAC güvenlik değerlendirmesi, sertifikasyon veya standart sözleşme gerektiriyor; İnsan Genetik Kaynakları Yönetmelikleri kapsamındaki insan genetik kaynakları başka bir katman ekliyor. Rusya'nın Federal Kanun 152-FZ'si yerelleştirme talep ediyor. Bir transfer iş akışının her merkeze uyduğunu varsaymayın.

Merkezden Sponsora, Sponsordan Düzenleyiciye Gözetim Zinciri

Savunulabilir bir gözetim zinciri, bir düzenleyiciye şunları söyleyebilmek demektir: "SAE-0042-v3.pdf dosyası SHA-256 hash'i 8f3a... ile 2026-03-12 14:22 UTC'de Merkez 04'te oluşturuldu; özdeş hash ile 2026-03-12 14:24 UTC'de Sponsor Tıbbi İzleyiciye transfer edildi; 14:31 UTC'de güvenlik veritabanında onaylandı."

Bu zinciri SOP'a sonradan ekleme olarak değil, transfer SOP'una dahil edin. Medidata Rave, Veeva Vault CDMS ve Oracle Clinical One gibi araçlar kaynak olayları günlüklüyor, ancak bu araçlar ile dış iş birlikçiler arasındaki transfer katmanı çoğunlukla gözetim zincirinin koptuğu yer. SHA-256'yı denetim günlüğüne yazan ve her iki tarafa da gösteren bir transfer hizmeti bu boşluğu kapatıyor.

Görüntüleme ve Büyük Veri Kümelerini Yönetme

Onkoloji denemeleri için radyoloji okumaları, kardiyoloji EKG kayıtları ve dijital patoloji tam slayt görüntüleri dosya boyutlarını gigabaytlara taşıyor. Tipik bir tam slayt SVS dosyası 2-4 GB; MRI dizilerini içeren DICOM çalışması 500 MB'a ulaşabilir. E-posta dışarıda. TLS olmadan FTP dışarıda. SFTP çalışıyor ancak denetçilerin istediği kullanıcıya yönelik denetim panosundan yoksun.

Özgeçmişli yüklemeler, dosya başına şifreleme ve son kullanma tarihli bağlantılar içeren web tabanlı transfer bu aralığı yönetiyor. Başarısız bir yüklemenin saatlerce yeniden iletme gerektirmemesi için bireysel transferleri 10 GB'ın altında tutun ve daha büyük gönderimleri mantıksal paketlere bölün (bir ziyaret, bir konu, bir okuma).

Saklama, İmha ve Unutulma Hakkı

GDPR Madde 17, katılımcılara silme hakkı veriyor, ancak Madde 17(3)(c) silmenin araştırma hedeflerini bozacağı bilimsel araştırmaları kapsam dışında bırakıyor. Transfer yapılarına — araştırma ana dosyasındaki kopyalara değil, transfer sunucusundaki kopyalara — ilişkin bir silme politikasına hâlâ ihtiyacınız var.

Transferleri 7 veya 14 gün sonra otomatik olarak sona erecek şekilde yapılandırın. Çalışma kopyası kayboluyor; yetkili kopya doğrulanmış eTMF'inizde yaşıyor. Bunu Veri Yönetim Planınızda belgeleyin, böylece EMA müfettişi, bir dosya paylaşım aracındaki yanlışlıkla kalan kalıntılar değil, kasıtlı yaşam döngüsü yönetimi görüyor.

İş Akışını Merkezler için Pratik Kılma

Araştırmacı merkezleri, her biri farklı portal, her biri taze giriş isteyen çok sayıda sponsorla ilgilenebilir. Dosyaların kişisel Gmail'e düşmesi bu şekilde oluyor. Bunu basit tutun: sponsor başına tek transfer iş akışı, merkez başlangıç cildinde açık talimatlar ve transfer kanalından ayrı bir parola kanalı (bağlantı için SMS, parola için telefon görüşmesi işe yarıyor).

Tek seferlik transferler için — geç gelen bir onay taraması, beklenmedik bir görüntüleme talebi — hesapsız şifreli transfer hizmeti sürtünmeyi ortadan kaldırıyor. Ücretsiz deneyin: https://hexatransfer.com — hesap gerekmez, maksimum 10 GB. Ardından transferi, tıpkı kurye gönderisi gibi günlüğe kaydedin: tarih, saat, alıcı, dosya açıklaması, onay numarası.

Klinik araştırma verisi paylaşımı tek bir sorun değil. Takma ad kullanımı, şifreleme, denetim, sınır ötesi hukuk ve saklama bir arada örülüyor. Bu örgüyü doğru yapın; denetimler kriz yerine evrak işlerine dönüşsün.