The zipper: a method for using personal identifiers to link data while preserving confidentiality

Objective: This report describes a method for linking separate confidential data sets that contain personal identifying information while preserving required anonymity. Methods: Research data were linked with child abuse and neglect (CAN) report data by an independent “safe” analyst using an identical set of unique identifier codes assigned to each case in both data sets after all personal identifiers had been removed. Results: The research team never learned CAN report status of individuals, the state agency never saw the research data, and the desired analyses were completed using the merged data set. Conclusions: The method was successfully used to merge data from separate sources without divulging confidential information. Objectif: Ce rapport décrit une méthode pour connecter des ensembles de données individuelles confidentielles qui contiennent des renseignements personnels, tout en préservant l’anonymat. Méthode: Un analyste considéré comme sécurisé et indépendant a connecté des données de recherches à des données venant de rapports de mauvais traitements et de négligences. Ayant éliminé toute donnée personnelle qui pourrait identifier un individu, l’analyste s’est servi d’un ensemble identique de codes identificateurs qu’il a assigné aux deux groupes de données. Résultats: L’équipe de recherche n’a pas appris le statut de maltraitance ou de négligence des individus, l’agence de l’état n’a jamais vu les données issues des recherches et les analyses voulues ont été complétées en se servant des ensembles de données fusionnées. Conclusions: La méthode voulant fusionner des données de deux sources individuelles, tout en préservant l’anonymat, a été utilisée avec succès. Objetivos: Este artı́iculo describe un método para unir diferentes bloques de datos confidenciales que contienen información de identificación personal mientras se preserva el anonimato. Metodologı́a: Un analista independiente unió los datos de investigación con los datos sobre notificaciones de maltrato y abandono infantil. Para ello utilizó un grupo idéntico de códigos identificadores únicos asignados a cada caso en ambos bloques de datos, una vez que se habı́an eliminado todos los identificadores personales. Resultados: El equipo de investigación nunca conoció el estatus de los individuos en las notificaciones de maltrato y abandono infantil, la agencia estatal nunca vio los datos de la investigación, y se llevaron a cabo los análisis deseados utilizando los datos unificados. Conclusi