Tıbbi Araştırma Verisi Transferi: Güvenli İş Birliği

KVKK Kurumu, tıbbi araştırma verilerini anonimleştirilmiş olsun ya da olmasın özel nitelikli kişisel veri kategorisinde değerlendirir; bu durum kurumlar arası her veri akışını düzenleme kapsamına sokar. Tıbbi araştırma verisi transferi; akademik tıp merkezleri, koordinasyon merkezleri, çekirdek laboratuvarlar ve kamuya açık veri depoları arasında gerçekleşirken aynı anda Ortak Kural (45 CFR 46), HIPAA'nın araştırma istisnaları, GDPR Madde 89 kapsamındaki bilimsel araştırma güvenceleri ve ilgili araştırma Veri Kullanım Anlaşması (VKA) koşullarına uymayı gerektirir.

Veri Kullanım Anlaşması Kuralları Belirler

Tek bir bayt bile taşınmadan önce kurumlar arasındaki VKA nelere izin verildiğini belirler. Tipik bir çok merkezli çalışma VKA'sı şunları kapsar:

Dahil edilen veri öğeleri (tarih kaydırma kuralları, posta kodu kısaltma, 89 yaş sınırlama)
Alıcı kurumda depolama gereksinimleri (bekleyen veride şifreleme, erişim kontrolü)
Transfer yöntemi (VPN üzerinden SFTP, ortak anahtarla SCP, onaylı web portalı)
Yeniden tanımlama yasağı ve küçük hücre gizleme kuralları
Yayın öncesi inceleme süresi
İmha tarihi ve yöntemi

VKA "sponsor'ın belirlediği güvenli portal üzerinden transfer" diyorsa, kurumunuzun Globus uç noktası daha hızlı olsa bile o portal kullanılır. VKA yöntem konusunda sessizse kurumunuzun ETİK Kurulu onaylı mekanizmalarına başvurulur.

Araştırmada Kimliksizleştirme Kademeleri

HIPAA üç kategori tanır:

Tam kimliksizleştirilmiş veri (45 CFR 164.514(b)) — Güvenli Liman yöntemiyle 18 tanımlayıcının kaldırılması ya da Uzman Belirleme yöntemiyle istatistiksel değerlendirme. Kimliksizleştirme sonrası HIPAA kapsamı dışına çıkar.
Sınırlı Veri Seti (45 CFR 164.514(e)) — Çoğu tanımlayıcıyı kaldırır; tarihler ve eyalet altı coğrafi ayrıntıları korur. VKA gerektirir. Hâlâ PHI sayılır.
Bağlantı anahtarı kaynak kurumda saklanan kodlu veri — Teknik olarak kaynak kurumda hâlâ PHI; alıcı kurumda ise belirli koşullarda kimliksizleştirilmiş sayılabilir.

Çoğu çok merkezli araştırma Sınırlı Veri Setleri üzerinden yürür. Transfer iş akışları bu verileri GitHub'a hazır açık bilim veri seti gibi değil, düzenlemeye tabi veri olarak ele almalıdır.

NIH Veri Yönetimi ve Paylaşım Politikası

Ocak 2023'ten itibaren NIH Veri Yönetimi ve Paylaşım Politikası (NOT-OD-21-013), finanse edilen her çalışma için bir VYP (Veri Yönetim Planı) zorunlu kılar. Planlar verilerin nasıl, nerede (dbGaP, NIMH Data Archive, ulusal kaynaklar vb.) ve ne zaman paylaşılacağını belirtir.

VYP'niz "veriler çalışmanın tamamlanmasından 12 ay içinde Vivli aracılığıyla paylaşılacak" diyorsa, transfer iş akışınızın zamanında Vivli'ye hazır paketler üretmesi gerekir. Ardından planlayın, son anda telaşa düşmeyin.

Genomik Ölçek: Terabaytlar Hareket Halinde

Tam genom dizileme BAM dosyası 50–200 GB arasında yer kaplar. Tek bir bireyin kısa okuma FASTQ dosyaları sıkıştırılmış halde 80 GB'a ulaşır. Kohort boyutuyla çarpıldığında analiz partisi başına 10–100 TB taşınır hale gelir. Web tabanlı transfer araçları bu ölçekte yetersiz kalır. Seçenekler:

Globus Connect — GridFTP üzerinden yüksek performanslı veri transferi; neredeyse tüm NIH destekli araştırma bilgisayar merkezleri tarafından kullanılır.
Aspera (IBM) — dbGaP, SRA ve ticari dizileme sağlayıcılarının tercih ettiği, tıkanıklık kontrolüne sahip UDP tabanlı transfer.
AWS Snowball Edge — Ağ üzerinden transferin haftalarca süreceği durumlarda FedEx ile gönderilen 80 TB'lık fiziksel cihazlar.
Bulut'tan buluta transfer — Kaynak ve hedef aynı AWS S3 veya GCP Cloud Storage bölgesindeyse, S3 Batch Replication veya Storage Transfer Service saatler içinde petabaytları taşır.

Büyük dosyaların çevresindeki küçük dosyalar (fenotip elektronik tabloları, QC raporları, çalışma protokolleri) için şifreli web transferi, BAM yüklemesi tamamlanmayı beklemeksizin meta veri akışını canlı tutar.

Orta Katman: REDCap, Elektronik Tablolar ve Grafik İncelemeleri

Araştırma verisi transferlerinin büyük çoğunluğu genomik değildir. 40 MB'lık bir REDCap dışa aktarımı, 15 MB'lık kimliksizleştirilmiş grafik özeti elektronik tablosu ya da YZ doğrulama çalışması için 200 MB'lık kimliksizleştirilmiş BT küçük görüntüleri — güvenli web transferi bu aralığa tam uygundur.

Gereksinimler:

Tercihen istemci tarafında AES-256-GCM şifreleme
TLS 1.3 ile iletim
Bağlantı sona erme süresi (VKA'ya göre 7–30 gün)
Dosya özeti ve alıcı IP'li denetim günlüğü
Bağlantı kanalından ayrı parola kanalı

HexaTransfer bu özellikleri sıfır bilgi istemci tarafı şifrelemesiyle karşılar. hexatransfer.com adresini ücretsiz, hesap gerektirmeden, en fazla 10 GB ile deneyebilirsiniz. Transferi tarih, alıcı, dosya açıklaması ve özetiyle birlikte araştırma çalışma dosyanıza kaydedin.

GDPR Madde 89 ve Uluslararası Araştırma

AB araştırma verisinde GDPR Madde 89 kapsamında özel güvenceler uygulanır: bilimsel araştırma amacıyla uyumlu takma ad kullanımı, veri minimizasyonu ve amaç sınırlaması. Schrems II kararının ardından AB kurumlarından ABD'deki iş birlikçilere yapılan transferler için EDPB'nin 03/2020 Yönergeleri geçerlidir.

AB dışı transferler için ek tedbirler:

Anahtarın AB tarafında tutulduğu takma ad kullanımı
Transfer sağlayıcısının düz metin erişimini engelleyen istemci tarafı şifreleme
Hükümet emriyle ifşa taleplerine karşı sözleşmesel itiraz yasağı
Belgelenmiş Transfer Etki Değerlendirmesi

KVKK çerçevesinde de kişisel sağlık verilerinin yurt dışına aktarılması için açık rıza ya da yeterli koruma kararı (Madde 9) aranır.

Açık Bilim Yeniden Üretim Paketleri

Nature, Science ve The Lancet gibi dergiler giderek daha sık olarak gönderim sırasında yeniden üretim paketi talep eder: kod, analizi yeniden üretmeye yetecek kadar kimliksizleştirilmiş veri ve ortam özellikleri. Bu paketler genellikle 100 MB ile 10 GB arasında değişir.

Depo transferi için gerekenler:

Atıf için DOI ataması
Deposito yapan kişi için ORCID kimlik doğrulaması
Lisans meta verisi (CC0, CC-BY veya özel VKA referansı)
Kalıcı arşiv formatı (.csv.gz, .xlsx yerine)

Açık bilim şifresiz iletim anlamına gelmez; depolamadan sonra açık erişim anlamına gelir. Depoya yapılan transfer yine de TLS 1.3 ve bütünlük denetimleri gerektirir.

Araştırma Bütünlüğü İçin Denetim İzleri

IRB gerekliliklerinin ötesinde araştırma bütünlüğü soruşturmaları da yaşanmaktadır. HHS Araştırma Bütünlüğü Ofisi tipik bir yılda 40'tan fazla soru ele alır. Suçlamalar gündeme geldiğinde soruşturmacılar kimin hangi veriye ne zaman eriştiğini yeniden oluşturur. Transfer denetim günlüğünüz bu yeniden yapılandırmayı destekler.

Saklama süresi: NIH, araştırma verilerinin nihai proje raporundan itibaren en az 3 yıl, bazı programlar için daha uzun süre saklanmasını zorunlu kılar. Birçok kurum 7 yıl uygular.

Günlük alanları:

UTC zaman damgası
Gönderici kimliği (doğrulanmış kurumsal hesap)
Alıcı kimliği (doğrulanmış, genel bir posta kutusu değil)
Dosya SHA-256 özeti
IRB protokol referansı
VKA referansı

Koordinasyon Merkezleri ve Veri Akış Haritası

Çok merkezli çalışmalar verileri bir Veri Koordinasyon Merkezi (VKM) üzerinden yönlendirir. VKM ana veri setini korur, kalite kontrolü yapar ve türetilmiş veri setlerini analitik çekirdeklere ve bireysel sitelere dağıtır. Transfer akışları şöyle görünür:

Site → VKM: CRF verisi ve kaynak belge PDF'lerinin şifreli yüklenmesi
VKM → Çekirdek Lab: belirli analitik amaç için türetilmiş veri seti
VKM → Siteler: site düzeyinde kıyaslamalı periyodik ilerleme raporları
VKM → Depo: yayında veya VYP'ye göre nihai çalışma veri seti

Her bağlantı noktasının kendi transfer yöntemi, VKA'sı ve denetim gereksinimi vardır. Çalışma başlamadan önce akışları bir diyagramda haritalayın.

Araştırma Verisi Klinik Veri Olduğunda

Protokol değişikliği veya SUSAR raporlamasını tetikleyen bir klinik araştırma sonucu, araştırma verisini düzenleyici alana taşır. O anda transferin araştırma korumalarına ek olarak 21 CFR Bölüm 11'i de karşılaması gerekir. Boru hattınızın modu değiştirmesi gerekir — ya da tüm transferlerin zaten Bölüm 11'i karşıladığı daha iyi bir konumda olursunuz.

Tıbbi araştırma verisi transferi, açık bilim, düzenleyici uyumluluk ve pratik ağ mühendisliğinin kesişiminde yer alır. Doğru araç seçimi ölçeğe bağlıdır; iş akışını VYP'de belgeleyin ve her transferi uygun altyapıyla eşleştirin.

Güvenli transfer için hexatransfer.com adresini ziyaret edin.