《医疗机构临床试验受试者个人健康信息脱敏与跨机构交互标准（2026试行）》印发，删掉姓名身份证不算脱敏了

临床研究里的脱敏，过去常常就是把姓名、身份证号、电话号码这几列删掉。

2026年9月13日印发的这份标准，把这种做法定性为浅层打码规避，并且明确要斩断另一种常见操作，离散明文交互。

为什么删掉那几列不够

受试者健康数据的特征是多维、稀疏、高关联。

对高通量测序位点、多维罕见病表型、三维容积影像这类资产，删掉直接标识符之后剩下的内容，依然是接近唯一的指纹。

攻击路径也不是理论上的：借助外部公开数据库做差分攻击或链接攻击，就能把已脱敏的记录逆向关联回具体的人。

一个罕见病表型组合加一段基因变异，在全国范围内可能只对应个位数的患者。姓名删不删，不改变这一点。

标准因此按数据形态建立了分模态去标识化技术参数，而不是给出一份统一的要删哪几列清单。

高维数据里,身份不是写在姓名那一列的,是分散在所有列里的。

标准确立的核心范式是三句话：源头分类分级去标识化、算法流动替代明文传输、全链路国密加密与存证审计闭环。

中间那句是变化最大的。过去多中心研究的常规做法是各中心把数据导出汇总；新范式的方向是把计算送到数据所在地，而不是把数据搬到计算所在地。

影像原始DICOM文件是重点提及的对象，它的头文件里藏着大量标识信息，而重建后的三维面部轮廓本身就是生物识别特征。

管辖范围覆盖多中心药物临床试验、体外诊断器械试验，以及利用医院电子病历开展的真实世界研究。

主体	角色	责任要点
医疗机构	原始信息第一保管者	源头分类分级、字段脱敏、脱敏前后一致性校验、编码对应表物理隔离
制药企业	申办方	对跨院汇聚数据的安全承担连带责任，CDMS/EDC 须具备标准接口的密码学防护与动态鉴权
CRO／中心实验室／第三方	受托处理者	全面接受接口审计追踪，严禁未认证私有脚本、明文 U 盘、普通网盘导出

对申办方而言，数据是CRO处理的不再是一个可用的抗辩，连带责任写在标准里。

编码对应表(Key Code)的物理隔离也是一条硬要求：它是重标识的钥匙，与脱敏数据放在一起就等于没脱敏。