Pseudonimizzazione nella ricerca clinica e nei dati real world: chiave, ruoli e rischi
La ricerca clinica si basa su dati che identificano persone: cartelle cliniche, lettere di dimissione, referti di laboratorio, immagini. E sempre più spesso su dati real world, riutilizzati dall'attività assistenziale per studi osservazionali, registri o valutazioni di farmaci e dispositivi. La tecnica che consente di lavorare su queste informazioni senza esporre i pazienti, mantenendo una strada controllata per risalire a loro quando serve, è la pseudonimizzazione.
Un chiarimento preliminare: i dati pseudonimizzati restano dati personali ai sensi del GDPR (art. 4, punto 5, e considerando 26). Cambia il livello di rischio, non l'applicabilità della normativa. Le Linee guida 01/2025 del Comitato europeo per la protezione dei dati sulla pseudonimizzazione ribadiscono questo punto e legano l'efficacia della tecnica a chi può accedere alle informazioni aggiuntive.
Pseudonimizzare non è anonimizzare
| Pseudonimizzazione | Anonimizzazione | |
|---|---|---|
| È ancora un dato personale? | Sì, per chi può invertirla | No, se nessuno può ragionevolmente identificare la persona |
| Si può risalire al paziente? | Sì, con la chiave o la tabella di corrispondenza | No |
| Uso tipico | Sperimentazioni, coorti, follow-up, registri | Pubblicazione dei risultati, open data, didattica |
| Obblighi GDPR | Tutti, con rischio ridotto | Non si applicano al dataset risultante |
Sperimentazioni e studi di coorte richiedono di norma la pseudonimizzazione: bisogna collegare le visite, segnalare gli eventi avversi al centro, comunicare al paziente un risultato rilevante. Approfondisci il concetto nella voce di glossario sulla pseudonimizzazione.
Il quadro italiano: artt. 110 e 110-bis del Codice
- Art. 110 del Codice privacy: il consenso non è necessario quando la ricerca medica, biomedica o epidemiologica è effettuata in base a disposizioni di legge o regolamento o al diritto UE, con una valutazione d'impatto condotta e resa pubblica. Non lo è neppure quando informare gli interessati è impossibile, sproporzionato o pregiudica la ricerca: in tal caso servono misure appropriate e il parere favorevole motivato del comitato etico territoriale.
- Dal 2024 (d.l. 19/2024, convertito dalla l. 56/2024) in questi casi non serve più la consultazione preventiva del Garante: è il Garante a individuare le garanzie da osservare ai sensi dell'art. 106, comma 2, lett. d). Lo ha fatto con il provvedimento del 9 maggio 2024 sulle regole deontologiche per la ricerca scientifica.
- Art. 110-bis: il Garante può autorizzare il trattamento ulteriore a fini di ricerca da parte di terzi, a condizione che siano adottate misure appropriate, comprese forme preventive di minimizzazione e anonimizzazione.
- Restano applicabili il Regolamento (UE) 536/2014 sulla sperimentazione clinica e, per l'uso secondario a livello europeo, il Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari, applicabile in modo graduale.
La chiave di codifica e la separazione dei ruoli
In concreto, pseudonimizzare significa dividere i dati in due parti: il dataset di ricerca, con un codice al posto dell'identità, e le informazioni aggiuntive (tabella di corrispondenza o chiave crittografica) che permettono di tornare indietro. La sicurezza dipende da chi custodisce questa seconda parte.
- Custode della chiave separato dal gruppo di analisi: centro sperimentale, struttura di data management, soggetto terzo fiduciario.
- Codici privi di significato: casuali o generati con una funzione crittografica a chiave segreta. Niente iniziali più data di nascita, niente numero di cartella troncato.
- Pseudonimi diversi per ogni studio, per impedire collegamenti tra dataset senza passare dal custode.
- Accesso ristretto, cifratura e tracciamento di ogni reidentificazione e del suo motivo.
- Procedura documentata per i casi in cui occorre tornare al paziente, ad esempio per un reperto incidentale clinicamente rilevante.
Dove rientra la reidentificazione
Sostituire il nome con un codice è la parte semplice. Il rischio vero sta nei quasi-identificatori e soprattutto nel testo libero.
| Fonte | Esempio (fittizio) | Misura |
|---|---|---|
| Date esatte | Ricovero il 14 marzo, intervento il 16 marzo | Spostamento delle date per paziente o intervalli relativi |
| Malattie rare, casi unici | L'unica paziente con quella mutazione nel centro | Aggregazione, soglie minime di casi |
| Testo libero dei referti | «Farmacista del paese, il fratello è il sindaco» | Rilevamento delle entità e sostituzione coerente nel testo |
| CAP, centri piccoli | Frazione di poche centinaia di abitanti | Generalizzare a provincia o regione |
| Metadati e intestazioni | Nome del paziente nell'intestazione DICOM o nelle proprietà del PDF | Rimuovere i metadati prima della condivisione |
Il rischio si valuta sull'intero dataset consegnato e su ciò che il destinatario può ragionevolmente incrociare, non documento per documento. Vedi la voce sulla reidentificazione.
Checklist per il protocollo
Prima di consegnare dati pseudonimizzati ai ricercatori
- Base giuridica individuata (consenso, art. 110, art. 110-bis) e parere del comitato etico.
- Valutazione d'impatto che analizza espressamente il rischio di reidentificazione.
- Custode della chiave separato tecnicamente e organizzativamente dal gruppo di analisi.
- Pseudonimi casuali o a chiave, distinti per studio quando possibile.
- Date, luoghi e testo libero trattati, non solo gli identificativi diretti.
- Impegni di riservatezza e di non reidentificazione sottoscritti.
Pseudonimizzare documenti clinici con Anonimatum
Molti dati real world arrivano sotto forma di documenti: lettere di dimissione, cartelle scansionate, impegnative, schede raccolta dati. Anonimatum consente una pseudonimizzazione coerente: ogni paziente, medico o struttura riceve lo stesso sostituto in tutto il documento e, con lo stesso identificativo di progetto, in tutti i documenti dello studio. Le date possono essere spostate dello stesso numero di giorni in tutto il progetto per conservare gli intervalli, e la tabella di corrispondenza è conservata cifrata: solo chi la custodisce può invertire la sostituzione. È la separazione dei ruoli applicata: chi pseudonimizza tiene la tabella, i ricercatori ricevono solo i documenti trasformati.
Il rilevamento combina un'IA proprietaria (nomi, indirizzi, date, organizzazioni) con pattern per email, telefoni e IBAN, e puoi aggiungere espressioni regolari per il numero di cartella o l'identificativo paziente locale. Le scansioni passano per l'OCR e tutto viene elaborato su server nell'Unione europea, senza inviare il testo ad API esterne di modelli linguistici. Scopri di più su come anonimizzare le cartelle cliniche.
Domande frequenti
I dati pseudonimizzati sono fuori dal GDPR?
No. Restano dati personali e si applicano tutti gli obblighi, anche se la pseudonimizzazione riduce il rischio ed è riconosciuta come garanzia adeguata per la ricerca.
Il numero di cartella clinica può fare da pseudonimo?
È sconsigliato: chiunque abbia accesso ai sistemi dell'ospedale può ricollegarlo al paziente. Meglio un codice casuale o generato con una chiave segreta custodita fuori dal gruppo di ricerca.
Serve ancora la consultazione preventiva del Garante per la ricerca senza consenso?
Dopo la modifica dell'art. 110 del 2024 non più: occorrono il parere del comitato etico e il rispetto delle garanzie individuate dal Garante, oltre alla valutazione d'impatto.