Richiesta di esame de-identificare con anonym.plus

Soluzione sanità · Diagnostica per immagini · GDPR Art. 9 & L. 219/2017

De-identificare una richiesta di esame diagnostico significa rimuovere gli identificatori dall'impegnativa lasciando leggibili quesito clinico e priorità. Il numero della ricetta elettronica nasce nel Sistema Tessera Sanitaria istituito dall'<strong>art. 50 del D.L. 269/2003, convertito con L. 326/2003</strong>, e la richiesta confluisce nel Fascicolo Sanitario Elettronico previsto dall'<strong>art. 12 del D.L. 179/2012, convertito con L. 221/2012</strong>. Un export per analisi qualitativa è una finalità diversa da quella di erogazione: l'<strong>art. 5(1)(b) GDPR</strong> ne chiede la compatibilità. anonym.plus elabora il file localmente.

Quando si applica

Il RIS del Policlinico Umberto I deve esportare un batch di richieste per analisi qualitativa. Nome, codice fiscale e numero NRE devono essere rimossi prima dell'esportazione.

Come lo gestisce anonym.plus

1. Apri il file richiesta (PDF o XML HL7) in anonym.plus.
2. Il programma analizza i campi strutturati e il testo libero.
3. Rileva nome paziente, data, codice fiscale e numero NRE.
4. Verifica ogni rilevamento e proteggi i termini diagnostici.
5. Sostituisci ogni identificatore con un token o eliminalo.
6. Salva la copia de-identificata — l'originale rimane sul dispositivo.

Cosa serve fornire

• Il file richiesta (PDF, XML HL7 o stampa scansionata).
• Azione: sostituzione, oscuramento o cancellazione.
• Facoltativo: tabella di corrispondenza per tracciabilità interna.

Tipi di entità rilevati nei dati sanitari

Conformità raggiunta

• Prescrizione e Sistema TS — il numero della ricetta elettronica nasce nel Sistema Tessera Sanitaria istituito dall'art. 50 del D.L. 269/2003, convertito con L. 326/2003: è un identificativo indiretto e va trattato come tale.
• Fascicolo Sanitario Elettronico — richiesta ed esito confluiscono nel FSE disciplinato dall'art. 12 del D.L. 179/2012, convertito con L. 221/2012; l'export per analisi è un trattamento ulteriore, non la stessa finalità.
• Limitazione della finalità — l'art. 5(1)(b) GDPR impedisce di riusare per l'analisi qualitativa un archivio nato per l'erogazione della prestazione senza verificarne la compatibilità e senza ridurre gli identificatori.
• Registro dei trattamenti — l'estrazione dal RIS avviene sul posto, senza intermediari: le copie sono cifrate con AES-256-GCM + Argon2id e l'operazione è documentabile nel registro previsto dall'art. 30 GDPR.

Limiti & avvertenze

I campi HL7 strutturati vengono trattati campo per campo. Il testo libero nel campo 'quesito clinico' è analizzato con NLP; verificare che termini diagnostici rari non siano interpretati come PII.