La de-identificazione dello Study Data Tabulation Model (SDTM) sostituisce le variabili personali del soggetto prima della submission ad AIFA o EMA tramite CTIS. Il <strong>GDPR Art. 9</strong> richiede la protezione di questi record di categoria speciale. anonym.plus elabora il file interamente sul dispositivo e non altera alcun valore clinico.
Quando si applica
Il team di biostatistica deve inviare all'autorità i domini di tabulazione. Le variabili di identificazione del partecipante vanno oscurate senza danneggiare la struttura del dominio.
Come lo gestisce anonym.plus
- Apri il file di tabulazione (XPT convertito in CSV, o XLSX) in anonym.plus.
- Il programma rileva automaticamente le variabili SUBJID, USUBJID, RFSTDTC e BRTHDTC.
- Esamina le colonne evidenziate e conferma quali contengono identificatori diretti.
- Scegli Sostituisci per mantenere la tracciabilità, o Elimina per cancellare il valore.
- Applica l'azione all'intero dominio o colonna per colonna secondo il piano di pseudonimizzazione.
- Esporta la copia pulita: nessun dato del soggetto ha lasciato il dispositivo.
Cosa serve fornire
- Il file del dominio di tabulazione (CSV, XLSX o XPT convertito).
- Piano di mascheramento: quali variabili sostituire e quali eliminare.
- Facoltativo: tabella pseudonimi per coerenza tra domini diversi.
Tipi di entità rilevati nei dati sanitari
| Categoria | Tipo di entità anonym.plus | Esempio |
|---|---|---|
| SUBJID / USUBJID | MEDICAL_RECORD_NUMBER | IT-001-0042 → [SOGGETTO_42] |
| RFSTDTC (prima somministrazione) | DATE_TIME | 2026-01-15 → [DATA_T1] |
| BRTHDTC (data di nascita) | DATE_TIME | 1968-07-22 → [DATA_NASCITA] |
| Medico sperimentatore | PERSON | Dott.ssa Giulia Ferretti → [SPERIMENTATORE] |
| Codice centro | LOCATION | Centro Istituto Mario Negri Milano-03 → [CENTRO_03] |
| Numero EudraCT | MEDICAL_RECORD_NUMBER | 2024-003456-78 → [EUDRACT] |
Conformità raggiunta
- Struttura del dominio — l'export conserva le variabili attese da CDISC SDTM, compresa la chiave USUBJID presente su ogni record: la sostituzione agisce sul valore, non sulla colonna, e i domini DM, AE, CM ed EX restano validi.
- Un codice soggetto resta dato personale — un numero di identificazione rientra nella definizione di dato personale dell'art. 4(1) GDPR; sostituirlo con un codice stabile è pseudonimizzazione ex art. 4(5) GDPR, cioè una garanzia e non un'anonimizzazione, finché esiste la tabella di corrispondenza.
- Gestione dei dati elettronici — l'ICH E6(R2) §5.5.3 chiede allo sponsor sistemi validati, audit trail e procedure documentate per ogni modifica del dato: la de-identificazione va descritta nel data management plan come passaggio tracciato.
- Riuso illecito — la re-identificazione deliberata di un export condiviso può integrare il trattamento illecito di dati personali punito dall'art. 167 del D.Lgs. 196/2003: vincola il destinatario nell'accordo di trasferimento. Elaborazione 100% locale, copie di lavoro cifrate con AES-256-GCM + Argon2id.
Anonimizza dataset SDTM offline — vedi piani & inizia gratis →
Limiti & avvertenze
Il programma ripulisce i valori delle celle ma non ristruttura i metadati del file XPT. Controlla le etichette delle variabili nell'intestazione prima della submission finale.
Domande frequenti
Quali variabili SDTM contengono dati personali?
Le principali sono SUBJID, USUBJID, RFSTDTC (data prima somministrazione) e BRTHDTC (data di nascita). Nel dominio DM possono comparire anche date rare o nomi in campi di testo libero.
Posso mantenere la tracciabilità tra domini dopo la de-identificazione?
Sì. Con l'operatore Sostituisci e una tabella pseudonimi, lo stesso partecipante riceve lo stesso token in tutti i domini (DM, AE, CM …), consentendo l'analisi inter-dominio.
Il programma modifica i valori clinici?
No. Agisce esclusivamente sulle variabili di identificazione selezionate. Dati di laboratorio, dosaggi ed eventi avversi restano invariati.