Caso d’uso · Caso d'uso · Sanità
Usare i dati sanitari per la ricerca medica con le giuste garanzie
Team Anonimatum
In breve
I dati relativi alla salute sono categorie particolari. In Italia la ricerca medica senza consenso è ammessa nei casi dell'art. 110 del Codice privacy, con le garanzie individuate dal Garante, il parere del comitato etico e dati pseudonimizzati.
Una cardiologia vuole condividere cinque anni di lettere di dimissione con un gruppo che studia le riammissioni. Un registro tumori fornisce casi a un'università. Un IRCCS partecipa a uno studio multicentrico europeo. Ogni volta la domanda è la stessa: che cosa bisogna fare ai dati prima che escano dal contesto di cura?
La risposta dipende dal fatto che i ricercatori debbano poter risalire al paziente (follow-up, collegamento con altre fonti, risultati clinicamente rilevanti) oppure possano lavorare su informazioni che non identificano più nessuno. Questa pagina riassume il quadro italiano ed europeo e propone un metodo pratico. Non sostituisce il comitato etico né il DPO della struttura.
Perché i dati sanitari seguono regole speciali
I dati relativi alla salute e i dati genetici sono categorie particolari di dati: l'art. 9 del GDPR ne vieta il trattamento salvo eccezioni. Per la ricerca, l'art. 9, par. 2, lett. j), rinvia alle garanzie dell'art. 89: minimizzazione e, quando la finalità lo consente, pseudonimizzazione. Se l'obiettivo può essere raggiunto con dati che non consentono più di identificare gli interessati, si deve procedere in questo modo.
Art. 110 del Codice privacy e garanzie del Garante
Il Codice in materia di protezione dei dati personali (d.lgs. 196/2003, modificato dal d.lgs. 101/2018) disciplina all'art. 110 la ricerca medica, biomedica ed epidemiologica. Di regola serve il consenso; si può prescindere quando la ricerca è prevista da una norma o quando informare gli interessati è impossibile o richiede uno sforzo sproporzionato, ad esempio per pazienti deceduti o non contattabili.
- Con il d.l. 19/2024, convertito dalla legge 56/2024, è venuto meno l'obbligo di consultazione preventiva del Garante: ora è il Garante a individuare le garanzie da osservare.
- Con provvedimento del 9 maggio 2024 il Garante ha indicato queste garanzie nell'ambito delle regole deontologiche per la ricerca scientifica: documentare nel progetto i motivi etici od organizzativi per cui non si può acquisire il consenso, svolgere e pubblicare la valutazione d'impatto e ottenere il parere favorevole del comitato etico competente.
- L'art. 110-bis disciplina il riutilizzo dei dati per finalità di ricerca scientifica o statistica da parte di terzi.
- Il titolare deve adottare misure che impediscano ai ricercatori di accedere ai dati identificativi quando non sono necessari.
Pseudonimizzare o anonimizzare: come scegliere
Un dato pseudonimizzato resta un dato personale: qualcuno conserva la tabella che permette di risalire all'identità. Un dato anonimo, secondo il considerando 26 del GDPR, non consente più di identificare nessuno con mezzi ragionevolmente utilizzabili ed esce dall'ambito del Regolamento.
| Aspetto | Pseudonimizzazione | Anonimizzazione |
|---|---|---|
| Natura giuridica | Dato personale di categoria particolare | Fuori dal GDPR se efficace |
| Follow-up del paziente | Possibile tramite chi custodisce la chiave | Impossibile |
| Adempimenti in Italia | Art. 110 Codice, garanzie del Garante, comitato etico | Dimostrare che il rischio di reidentificazione è trascurabile |
| Uso tipico | Coorti, sperimentazioni, registri | Open data, didattica, statistica |
Anonimizzare dati clinici è più difficile di quanto sembri: una data di ricovero, il comune di residenza e una diagnosi rara possono bastare a individuare una persona. Per questo molti progetti preferiscono una pseudonimizzazione rigorosa a una promessa di anonimato difficile da sostenere.
Il nodo del testo libero
Una banca dati strutturata si pseudonimizza sostituendo l'identificativo del paziente. I documenti sono diversi: lettere di dimissione, diari clinici, referti di anatomia patologica o PDF scansionati contengono nomi di pazienti e familiari, numeri di cartella, medici, indirizzi e date sparsi nel testo. È qui che i processi manuali falliscono più spesso.
Preparare documenti clinici per la ricerca
- Concordare con lo sperimentatore principale le variabili davvero necessarie.
- Separare i ruoli: chi pseudonimizza e custodisce la chiave non fa parte del gruppo di ricerca.
- Individuare gli identificativi diretti: nome, codice fiscale, numero di cartella, tessera sanitaria, telefono, indirizzo.
- Trattare gli identificativi indiretti: date esatte, comune, professione, reparto di provenienza.
- Sostituire in modo coerente: lo stesso paziente ha lo stesso codice in tutti i documenti.
- Eliminare i metadati e controllare un campione prima della consegna.
- Documentare il processo nella valutazione d'impatto e nel fascicolo per il comitato etico.
Lo spazio europeo dei dati sanitari
Il regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari (EHDS) stabilisce un quadro per l'uso secondario dei dati sanitari elettronici a fini di ricerca, innovazione e politiche pubbliche, tramite organismi responsabili dell'accesso ai dati sanitari in ogni Stato membro. Si applicherà gradualmente nei prossimi anni e privilegia i dati anonimizzati, mettendo a disposizione quelli pseudonimizzati in ambienti di trattamento sicuri.
Il contributo di Anonimatum
Anonimatum tratta documenti clinici in PDF (anche scansionati, con OCR), Word, Excel e immagini con un'IA proprietaria eseguita su server nell'Unione europea, senza inviare il testo a modelli linguistici esterni. Rileva nomi, indirizzi, date e importi; con pattern personalizzati si aggiungono i numeri di cartella della struttura.
- La pseudonimizzazione sostituisce ogni dato in modo coerente in tutto il lotto e conserva la tabella cifrata, che può restare alla funzione che custodisce la chiave.
- I fogli di calcolo si trattano colonna per colonna: mantenere, oscurare, sostituire o pseudonimizzare ogni variabile.
- Ogni rilevamento si verifica prima della consegna, e l'elaborazione in batch gestisce estrazioni voluminose.
- Politeia Soft, che sviluppa Anonimatum, è certificata secondo lo schema spagnolo ENS (categoria MEDIA); non si rivendicano altre certificazioni.
Per l'attività quotidiana dei reparti, vedi anche anonimizzare cartelle cliniche.
Domande frequenti
Serve sempre il consenso del paziente per la ricerca?
Di regola sì, ma l'art. 110 del Codice ammette eccezioni, ad esempio quando contattare gli interessati è impossibile o sproporzionato, rispettando le garanzie individuate dal Garante e con il parere del comitato etico.
I dati pseudonimizzati sono fuori dal GDPR?
No. Restano dati personali e, se riguardano la salute, categorie particolari. Solo un'anonimizzazione efficace li esclude dall'ambito del Regolamento.
Occorre ancora la consultazione preventiva del Garante?
Dopo le modifiche del 2024 all'art. 110 non è più richiesta come passaggio generale; restano le garanzie fissate dal Garante, tra cui la valutazione d'impatto pubblicata.
Chi deve custodire la chiave di reidentificazione?
Una funzione distinta dai ricercatori, di norma presso la struttura di origine, con misure che ne impediscano l'accesso al gruppo di ricerca.
State preparando estrazioni cliniche per la ricerca?
Scoprite i piani e iniziate a pseudonimizzare lotti di documenti clinici con sostituzione coerente e verifica prima della consegna.