Anonimització d’historials clínics per a clíniques, hospitals i grups de recerca
Un historial clínic concentra dades de categoria especial —salut— i el RGPD hi aplica el nivell més alt de protecció. Alhora, són la matèria primera de la recerca, la docència i la millora assistencial. L’anonimització real i irreversible és la porta de sortida del règim reforçat: un cop anonimitzada, la dada clínica es pot fer servir sense consentiment explícit; mentre continuï sent personal, cal base legal específica. anonimiza.do processa informes, notes i exportacions en segons, textos lliures inclosos, i deixa registre de cada operació.
Quins documents clínics porten dades identificables
Un historial conté més capes d’informació identificable de les que se solen assumir:
- Informes d’ingrés, evolució i alta, notes d’infermeria i judici clínic: el contingut narratiu, amb noms, referències a tercers, dates i llocs inserits en prosa.
- Dades de filiació: nom i cognoms, DNI, NIE o passaport, targeta sanitària, número de la Seguretat Social, número d’història clínica, telèfon, correu electrònic i adreça.
- Identificadors de l’entorn assistencial: centre (en una zona petita identifica per si sol), metge o equip, planta, habitació i llit, dates exactes d’ingrés, alta i consulta.
- Proves diagnòstiques, resultats de laboratori i imatge, amb l’etiqueta identificativa de l’hospital.
- Exportacions de la història clínica electrònica a full de càlcul per a un estudi, amb les metadades del fitxer i les columnes d’identificació que s’amaguen però no s’esborren.
- Documentació de recerca: consentiments informats, quaderns de recollida de dades, informes al Comitè d’Ètica.
Quan cal anonimitzar historials clínics
L’assistència al pacient, la facturació i l’accés del mateix pacient a la seva història tenen base legal pròpia. El que exigeix anonimitzar és l’ús secundari:
Recerca amb dades retrospectives
Un estudi transversal sobre historials ja existents no necessita la identitat del pacient. Amb anonimització real i irreversible la dada deixa de ser personal i el projecte no depèn del consentiment explícit del RGPD, tot i que la Llei d’Investigació Biomèdica i la normativa autonòmica continuïn exigint informar sobre l’ús secundari.
Estudis longitudinals i amb mostres biològiques
Quan cal seguir el pacient en el temps, lligar mostres amb noves dades o poder contactar-lo davant d’una troballa rellevant, no es pot anonimitzar: la tècnica correcta és la pseudonimització amb doble clau, en què la taula de correspondència la custodia un responsable independent de l’equip investigador.
Docència, sessions clíniques i publicacions
Presentar un cas en una sessió, un congrés o una revista exigeix que ningú pugui reidentificar el pacient creuant edat, sexe, localitat i una condició poc freqüent. En diagnòstics rars cal anar més enllà d’esborrar el nom.
Cessió a altres centres, universitats o empreses
Compartir historials amb un grup d’un altre hospital, una universitat o una empresa que desenvolupa un model requereix anonimització prèvia o, si es pseudonimitza, contracte d’encàrrec i, fora de la UE, les garanties del capítol V del RGPD. Anonimitzat, es pot compartir sense aquestes restriccions.
Reclamacions, peritatges i auditories de qualitat
El perit, l’auditor de qualitat o el comitè que revisa un episodi necessiten el contingut clínic, no la identitat dels altres pacients que apareixen al mateix informe o a la mateixa exportació. S’anonimitzen els tercers.
Entorns de prova i migracions de la història clínica
Carregar historials reals en un entorn de proves en canviar de sistema, o enviar-los al proveïdor per reproduir una incidència, és una cessió sense base legal. S’anonimitzen abans o es generen dades sintètiques.
Què cal eliminar, què generalitzar i què vigilar
L’anonimització clínica és més exigent que la d’altres documents: esborrar noms no n’hi ha prou quan el mateix diagnòstic singularitza.
- Identificadors directes, a eliminar del tot: nom, DNI, NIE, passaport, targeta sanitària, Seguretat Social, número d’història clínica, telèfon, correu, adreça. Substituir-los per un codi seria pseudonimització, no anonimització.
- Identificadors de l’entorn: centre, metge, planta, llit i dates exactes d’ingrés, alta i consulta.
- Quasi-identificadors, a generalitzar: data de naixement a franja d’edat, codi postal a província, professió a sector, dates exactes a mes.
- Contingut narratiu: és on fallen els processos simples. Els camps estructurats es netegen bé; les notes d’evolució porten noms, familiars, veïns i llocs en text lliure.
- Diagnòstics rars i dates: amb edat quinquennal, sexe, codi postal i una condició infreqüent, una persona pot ser única en una comarca de 50.000 habitants. Cal comprovar que cada combinació de quasi-identificadors tingui almenys k registres iguals, amb k de 5 com a referència per a dades clíniques.
- Metadades del fitxer: autor, data de creació, dispositiu i historial de canvis delaten quin metge va generar el document.
Procés recomanat d’anonimització clínica
- Definir el cas d’ús: seguiment longitudinal (pseudonimització amb doble clau) o dades agregades per a un estudi transversal (anonimització irreversible). El nivell depèn de l’ús previst.
- Classificar els camps en identificadors directes, identificadors de l’entorn i quasi-identificadors.
- Eliminar del tot els identificadors directes i generalitzar els quasi-identificadors.
- Processar el text narratiu amb detecció en castellà clínic: noms, referències a tercers, ubicacions i dates dins de la prosa.
- Eliminar les metadades del fitxer i avaluar el risc de reidentificació: k-anonimitat sobre cada combinació de quasi-identificadors.
- Documentar el procediment —data, responsable, tècniques, resultat del test— i passar pel Comitè d’Ètica de la Investigació abans d’iniciar el projecte.
Què aporta anonimiza.do a un centre sanitari o un grup de recerca
- Detecta les 20 tipologies del catàleg —nom, NIF, NIE, passaport, Seguretat Social, adreça, telèfon, correu, dates— amb els formats espanyols validats pel dígit de control, i admet tipologies pròpies descrites en llenguatge natural per al que no és al catàleg: número d’història clínica, targeta sanitària, CIAS, diagnòstic.
- Treballa sobre el text lliure d’informes i notes d’evolució, no només sobre camps estructurats, i sobre fulls de càlcul columna per columna per a les exportacions de la història clínica electrònica.
- Dos modes segons l’estudi: anonimització irreversible, o pseudonimització reversible que manté la traçabilitat del pacient dins del lot; i verificació de k-anonimitat sobre el conjunt de dades.
- OCR per a informes escanejats i processament per lots, amb eliminació de les metadades del fitxer abans de la descàrrega.
- Registre d’auditoria de cada document processat: l’evidència que es presenta al Comitè d’Ètica i a l’AEPD.
- Dades sempre a la Unió Europea (AWS Frankfurt), amb opció de desplegament a la regió d’AWS a Espanya; Esquema Nacional de Seguretat categoria MITJANA i contracte d’encarregat del tractament.
- Pla gratuït de 3 documents al mes sense targeta; pla Professional amb OCR, lots i API; pla Empresa amb volum il·limitat i SSO per a hospitals i grups.
Provar gratis: 3 documents al mes
Preguntes freqüents
Cal consentiment del pacient per fer servir el seu historial en recerca si s’anonimitza?
Un cop la dada està correctament anonimitzada no hi ha dada personal, i no aplica el consentiment del RGPD. Tot i així, la Llei d’Investigació Biomèdica i la normativa autonòmica exigeixen en molts casos informar el pacient amb antelació sobre l’ús secundari de les seves dades, encara que sigui anonimitzat.
Anonimitzar o pseudonimitzar un historial clínic?
Si l’estudi no necessita tornar al pacient, anonimització irreversible: s’eliminen els identificadors directes i es generalitzen els quasi-identificadors. Si hi ha seguiment longitudinal, mostres biològiques o possibilitat de contactar el pacient, pseudonimització amb doble clau i taula de correspondència custodiada per un responsable independent.
Puc compartir historials anonimitzats amb investigadors de fora de la UE?
Sí. Un cop anonimitzats de veritat es poden compartir sense les restriccions del capítol V del RGPD. Si estan pseudonimitzats, continuen sent dades personals i apliquen les regles de transferències internacionals.
N’hi ha prou d’esborrar el nom i el DNI?
No. El text lliure de les notes d’evolució conté tantes dades personals com els camps estructurats, i un diagnòstic poc freqüent combinat amb edat, sexe i localitat pot identificar una sola persona. Cal tractar el text narratiu, generalitzar els quasi-identificadors i comprovar la k-anonimitat.
Quant triga anonimitzar un historial de 50 pàgines a mà?
Entre dues i quatre hores, i el resultat és inconsistent perquè cada persona aplica criteris diferents. Amb una eina especialitzada el mateix historial es processa en segons i amb criteris homogenis.
La història clínica electrònica no anonimitza ja en exportar?
Alguns sistemes esborren identificadors directes en exportar, però gairebé cap generalitza quasi-identificadors, tracta el text lliure ni avalua el risc de reidentificació. Per a recerca cal una capa addicional.