Como anonimizar historiais clínicos para investigación médica segundo o RXPD

A investigación médica é unha das actividades nas que máis claramente se esixe anonimizar: os historiais clínicos conteñen datos de categoría especial —saúde— e o RXPD aplícalles o nivel máis alto de protección. Ao mesmo tempo, os datos de pacientes son unha materia prima esencial para a ciencia. Esta guía explica, paso a paso, como anonimizar historiais clínicos para proxectos de investigación cumprindo o RXPD, a LOPDGDD e a normativa sanitaria estatal e autonómica.

Que esixe a lei cando se manexan historiais clínicos

O marco normativo aplicable é máis denso ca noutros sectores porque concorren varias normas:

• RXPD — art. 9: os datos de saúde son categoría especial e requiren unha das excepcións do apartado 2 (consentimento explícito, interese público no ámbito da saúde, investigación científica…).
• LOPDGDD — arts. 6.bis e 9: reforza a necesidade de avaliación de impacto e de medidas de seguridade específicas en tratamentos con datos de saúde.
• Lei 41/2002 reguladora da autonomía do paciente — fixa o contido mínimo do historial e as condicións de acceso.
• Lei 14/2007 de investigación biomédica — regula especificamente os proxectos con mostras biolóxicas e datos clínicos.
• Normativa autonómica — cada comunidade ten a súa propia lei de saúde con requisitos adicionais para a cesión de datos.

O denominador común: a anonimización real e irreversible é a porta de saída do réxime reforzado. Unha vez anonimizado, o dato clínico pode usarse para investigación sen consentimento explícito. Mentres siga a ser persoal (pseudonimizado ou en claro), fai falta unha base legal específica e medidas técnicas reforzadas.

Que datos contén un historial clínico e cales hai que eliminar

Un historial clínico estándar contén moitas máis capas de información identificable das que se adoita asumir:

Identificadores directos (obrigatorio eliminar):

• Nome e apelidos do paciente
• DNI, NIE, pasaporte, tarxeta sanitaria
• Número da Seguridade Social
• Número de historia clínica
• Teléfono e email de contacto
• Enderezo postal

Identificadores da contorna asistencial:

• Nome do centro (ás veces é identificador, p. ex. un hospital de zona pequena)
• Nome do médico ou do equipo
• Planta, habitación, cama
• Datas exactas de ingreso, alta, consulta

Cuasi-identificadores (obrigatorio xeneralizar):

• Data de nacemento → substituír por grupo de idade (quinquenio)
• Código postal → xeneralizar a provincia ou CCAA
• Profesión → agrupar por sectores amplos
• Datos de familiares (se aparecen)

Contido narrativo:

• Informes de ingreso, evolución e alta
• Notas de enfermaría
• Xuízo clínico
• Datos referidos polo paciente (“a miña veciña tamén tivo isto”)

É no contido narrativo onde fallan os procesos de anonimización simples. Os campos estruturados son fáciles de limpar; os textos libres requiren procesamento da linguaxe natural porque conteñen nomes, referencias a terceiros, localizacións e datas inseridas en prosa.

O risco de reidentificación en datos clínicos

A literatura académica documentou numerosos casos nos que conxuntos de datos supostamente anónimos puideron reidentificarse:

• Un famoso estudo do MIT demostrou que con catro datos de localización aproximada dun teléfono móbil, o 95% das persoas son únicas nunha cidade media.
• En sanidade, combinar idade quinquenal, sexo, código postal e unha condición rara abonda a miúdo para identificar unha persoa nunha comarca de 50.000 habitantes.
• Os diagnósticos codificados en CIE-10 agrupados cunha data aproximada permiten a reidentificación cando o diagnóstico é inusual.

Por iso a anonimización clínica require un enfoque máis agresivo ca a doutros documentos: non abonda con borrar nomes, hai que xeneralizar cuasi-identificadores e, en ocasións, eliminar ou modificar datas e diagnósticos raros para que un episodio non sexa singularizable.

Proceso recomendado de anonimización clínica

1. Definir o caso de uso — o investigador necesita seguimento lonxitudinal? Só datos agregados para un estudo transversal? O nivel de anonimización depende do uso previsto.
2. Clasificar os campos — separa os tres tipos anteriores: identificadores directos, identificadores da contorna e cuasi-identificadores.
3. Aplicar a eliminación total aos identificadores directos. Non substituír por códigos (iso sería pseudonimización).
4. Xeneralizar os cuasi-identificadores — data exacta → mes; idade exacta → quinquenio; código postal → provincia.
5. Procesar o texto narrativo — usar NLP adestrado en español clínico para detectar nomes, referencias e localizacións nos campos libres.
6. Eliminar os metadatos do ficheiro — autor, data de creación, nome do dispositivo, historial de cambios.
7. Avaliar o risco k-anonimato — para cada combinación de cuasi-identificadores, asegurar que hai polo menos k rexistros iguais (recomendado k≥5 para datos clínicos).
8. Documentar o procedemento — data, responsable, técnicas aplicadas, resultado do test de reidentificación.

Diferenza coa pseudonimización para investigación lonxitudinal

Non sempre se pode anonimizar. Algúns proxectos requiren seguimento a longo prazo, ligar mostras biolóxicas con novos datos clínicos ou contactar co paciente se aparece un achado clinicamente relevante.

Neses casos, a técnica correcta é a pseudonimización con dobre clave:

• O paciente recibe un código aleatorio (ID de estudo).
• A táboa de correspondencia entre o ID de estudo e a identidade real custódiaa un responsable independente (normalmente o CEIm ou o departamento de calidade do hospital), nunca o equipo investigador.
• O investigador só pode solicitar a revinculación a través dun procedemento formal e xustificado.

Este esquema chámase safe haven e é o que esixe a Lei de investigación biomédica para proxectos con mostras biolóxicas.

O papel do Comité de Ética da Investigación con medicamentos (CEIm)

Ningún proxecto de investigación biomédica debería iniciarse sen pasar polo CEIm correspondente. O comité avalía:

• A necesidade do acceso a datos persoais fronte á posibilidade de traballar con datos anonimizados.
• A suficiencia das medidas de anonimización ou pseudonimización propostas.
• O contido do consentimento informado (se procede).
• As garantías fronte á reidentificación.

Un informe favorable do CEIm é tamén un factor clave se un día houbese que defender ante a AEPD a licitude do tratamento.

Erros que observamos con frecuencia

Erro 1 — “Exportamos a Excel e xa está” — os nomes quedan, as datas exactas tamén, e os metadatos do ficheiro delatan que médico o xerou.

Erro 2 — Borrar o nome pero deixar o DNI — parece obvio, pero ocorre cando se edita manualmente e a columna queda oculta pero non eliminada.

Erro 3 — Confiar en que “o texto libre non o le ninguén” — as notas de evolución conteñen tantos datos persoais coma os campos estruturados, e son as que máis casos de reidentificación facilitan.

Erro 4 — Usar a mesma técnica para todos os estudos — un estudo sobre hipertensión non require a mesma agresividade na anonimización ca un sobre unha enfermidade rara na que unha persoa pode ser única en toda a comunidade autónoma.

Preguntas frecuentes

Fai falta o consentimento do paciente para usar o seu historial en investigación se se anonimiza?

Unha vez que o dato está correctamente anonimizado, non hai dato persoal e, polo tanto, non se aplica o consentimento do RXPD. Porén, a Lei de investigación biomédica e a normativa autonómica esixen, en moitos casos, informar o paciente con antelación sobre o uso secundario dos seus datos, aínda que estean anonimizados.

Podo compartir historiais anonimizados con investigadores de fóra da UE?

Si, unha vez anonimizados poden compartirse sen as restricións do capítulo V do RXPD. Se están pseudonimizados, aplícanse as regras de transferencias internacionais (cláusulas contractuais tipo, decisión de adecuación, etc.).

Canto se tarda en anonimizar manualmente un historial de 50 páxinas?

Entre 2 e 4 horas, e o resultado é inconsistente porque cada operario aplica criterios distintos. Cunha ferramenta especializada o mesmo historial procésase en segundos e con criterios homoxéneos.

Os sistemas de historia clínica electrónica (HCE) teñen anonimización integrada?

Algúns ofrecen exportación con borrado de identificadores directos, pero case ningún aplica xeneralización de cuasi-identificadores nin avalía o risco de reidentificación. Para unha investigación seria fai falta unha capa adicional.

Conclusión

Anonimizar correctamente historiais clínicos é a diferenza entre un proxecto de investigación viable e un expediente sancionador. Require criterio técnico, ferramentas axeitadas e documentación rigorosa. Os hospitais e grupos de investigación que profesionalizan este proceso non só cumpren a norma: tamén aceleran os seus proxectos e reducen o tempo que pasan discutindo co DPO e o CEIm.

Se necesitas anonimizar historiais clínicos con garantías, proba anonimiza.do. A ferramenta recoñece identificadores propios do sistema sanitario español (tarxeta sanitaria, número de HC, CIAS) e aplica anonimización con log auditable.

O esencial desta guía, resumido para o teu centro ou o teu grupo de investigación, está na páxina anonimización de historiais clínicos para clínicas e hospitais.

O informe médico non se queda no centro sanitario: viaxa tamén dentro do expediente de sinistro, cara a peritos, médicos avaliadores e reaseguro. Ese percorrido, e o que o art. 99 da LOSSEAR permite enviar del, están na páxina de anonimización de expedientes de sinistros para aseguradoras.