Anonimización de historiais clínicos para clínicas, hospitais e grupos de investigación
Un historial clínico concentra datos de categoría especial —saúde— e o RXPD aplícalles o nivel máis alto de protección. Á vez, son a materia prima da investigación, a docencia e a mellora asistencial. A anonimización real e irreversible é a porta de saída do réxime reforzado: unha vez anonimizado, o dato clínico pódese usar sen consentimento explícito; mentres siga a ser persoal, cómpre unha base legal específica. anonimiza.do procesa informes, notas e exportacións en segundos, incluídos os textos libres, e deixa rexistro de cada operación.
Que documentos clínicos levan datos identificables
Un historial contén máis capas de información identificable das que se adoita supoñer:
- Informes de ingreso, evolución e alta, notas de enfermaría e xuízo clínico: o contido narrativo, con nomes, referencias a terceiros, datas e lugares inseridos na prosa.
- Datos de filiación: nome e apelidos, DNI, NIE ou pasaporte, tarxeta sanitaria, número da Seguridade Social, número de historia clínica, teléfono, email e enderezo.
- Identificadores do contorno asistencial: centro (nunha zona pequena identifica por si só), médico ou equipo, planta, habitación e cama, datas exactas de ingreso, alta e consulta.
- Probas diagnósticas, resultados de laboratorio e imaxe, coa etiqueta identificativa do hospital.
- Exportacións da historia clínica electrónica a folla de cálculo para un estudo, cos metadatos do ficheiro e as columnas de identificación que se ocultan pero non se borran.
- Documentación de investigación: consentimentos informados, cadernos de recollida de datos, informes ao Comité de Ética.
Cando hai que anonimizar historiais clínicos
A asistencia ao paciente, a facturación e o acceso do propio paciente á súa historia teñen base legal propia. O que esixe anonimizar é o uso secundario:
Investigación con datos retrospectivos
Un estudo transversal sobre historiais xa existentes non necesita a identidade do paciente. Con anonimización real e irreversible o dato deixa de ser persoal e o proxecto non depende do consentimento explícito do RXPD, aínda que a Lei de investigación biomédica e a normativa autonómica sigan a esixir informar sobre o uso secundario.
Estudos lonxitudinais e con mostras biolóxicas
Cando hai que seguir o paciente no tempo, ligar mostras con novos datos ou poder contactar con el ante un achado relevante, non se pode anonimizar: a técnica correcta é a pseudonimización con dobre clave, na que a táboa de correspondencia a custodia un responsable independente do equipo investigador.
Docencia, sesións clínicas e publicacións
Presentar un caso nunha sesión, un congreso ou unha revista esixe que ninguén poida reidentificar o paciente cruzando idade, sexo, localidade e unha condición pouco frecuente. En diagnósticos raros cómpre ir máis alá de borrar o nome.
Cesión a outros centros, universidades ou empresas
Compartir historiais cun grupo doutro hospital, unha universidade ou unha empresa que desenvolve un modelo require anonimización previa ou, se se pseudonimiza, contrato de encargo e, fóra da UE, as garantías do capítulo V do RXPD. Anonimizado, pode compartirse sen esas restricións.
Reclamacións, peritaxes e auditorías de calidade
O perito, o auditor de calidade ou o comité que revisa un episodio necesitan o contido clínico, non a identidade dos demais pacientes que aparecen no mesmo informe ou na mesma exportación. Anonimízanse os terceiros.
Contornos de proba e migracións da historia clínica
Cargar historiais reais nun contorno de probas ao cambiar de sistema, ou envialos ao provedor para reproducir unha incidencia, é unha cesión sen base legal. Anonimízanse antes ou xéranse datos sintéticos.
Que hai que eliminar, que xeneralizar e que vixiar
A anonimización clínica é máis esixente que a doutros documentos: borrar nomes non abonda cando o propio diagnóstico singulariza.
- Identificadores directos, para eliminar por completo: nome, DNI, NIE, pasaporte, tarxeta sanitaria, Seguridade Social, número de historia clínica, teléfono, email, enderezo. Substituílos por un código sería pseudonimización, non anonimización.
- Identificadores do contorno: centro, médico, planta, cama e datas exactas de ingreso, alta e consulta.
- Cuasi-identificadores, para xeneralizar: data de nacemento a grupo de idade, código postal a provincia, profesión a sector, datas exactas a mes.
- Contido narrativo: é onde fallan os procesos simples. Os campos estruturados límpanse ben; as notas de evolución levan nomes, familiares, veciños e lugares en texto libre.
- Diagnósticos raros e datas: con idade quinquenal, sexo, código postal e unha condición infrecuente, unha persoa pode ser única nunha comarca de 50.000 habitantes. Hai que comprobar que cada combinación de cuasi-identificadores teña polo menos k rexistros iguais, con k de 5 como referencia para datos clínicos.
- Metadatos do ficheiro: autor, data de creación, dispositivo e historial de cambios delatan que médico xerou o documento.
Proceso recomendado de anonimización clínica
- Definir o caso de uso: seguimento lonxitudinal (pseudonimización con dobre clave) ou datos agregados para un estudo transversal (anonimización irreversible). O nivel depende do uso previsto.
- Clasificar os campos en identificadores directos, identificadores do contorno e cuasi-identificadores.
- Eliminar por completo os identificadores directos e xeneralizar os cuasi-identificadores.
- Procesar o texto narrativo con detección en español clínico: nomes, referencias a terceiros, localizacións e datas dentro da prosa.
- Eliminar os metadatos do ficheiro e avaliar o risco de reidentificación: k-anonimidade sobre cada combinación de cuasi-identificadores.
- Documentar o procedemento —data, responsable, técnicas, resultado do test— e pasar polo Comité de Ética da Investigación antes de iniciar o proxecto.
Que achega anonimiza.do a un centro sanitario ou a un grupo de investigación
- Detecta as 20 tipoloxías do catálogo —nome, NIF, NIE, pasaporte, Seguridade Social, enderezo, teléfono, email, datas— cos formatos españois validados polo seu díxito de control, e admite tipoloxías propias descritas en linguaxe natural para o que non está no catálogo: número de historia clínica, tarxeta sanitaria, CIAS, diagnóstico.
- Traballa sobre o texto libre de informes e notas de evolución, non só sobre campos estruturados, e sobre follas de cálculo columna por columna para as exportacións da historia clínica electrónica.
- Dous modos segundo o estudo: anonimización irreversible, ou pseudonimización reversible que mantén a trazabilidade do paciente dentro do lote; e verificación de k-anonimidade sobre o conxunto de datos.
- OCR para informes escaneados e procesamento por lotes, con eliminación dos metadatos do ficheiro antes da descarga.
- Log de auditoría de cada documento procesado: a evidencia que se presenta ao Comité de Ética e á AEPD.
- Datos sempre na Unión Europea (AWS Frankfurt), con opción de despregamento na rexión de AWS en España; Esquema Nacional de Seguridade categoría MEDIA e contrato de encargado do tratamento.
- Plan gratuíto de 3 documentos ao mes sen tarxeta; plan Profesional con OCR, lotes e API; plan Empresa con volume ilimitado e SSO para hospitais e grupos.
Probar gratis: 3 documentos ao mes
Preguntas frecuentes
Fai falta o consentimento do paciente para usar o seu historial en investigación se se anonimiza?
Unha vez que o dato está correctamente anonimizado non hai dato persoal, e non se aplica o consentimento do RXPD. Aínda así, a Lei de investigación biomédica e a normativa autonómica esixen en moitos casos informar o paciente con antelación sobre o uso secundario dos seus datos, aínda que sexa anonimizado.
Anonimizar ou pseudonimizar un historial clínico?
Se o estudo non necesita volver ao paciente, anonimización irreversible: elimínanse os identificadores directos e xeneralízanse os cuasi-identificadores. Se hai seguimento lonxitudinal, mostras biolóxicas ou posibilidade de contactar co paciente, pseudonimización con dobre clave e táboa de correspondencia custodiada por un responsable independente.
Podo compartir historiais anonimizados con investigadores de fóra da UE?
Si. Unha vez anonimizados de verdade poden compartirse sen as restricións do capítulo V do RXPD. Se están pseudonimizados, seguen a ser datos persoais e aplícanse as regras de transferencias internacionais.
Abonda con borrar o nome e o DNI?
Non. O texto libre das notas de evolución contén tantos datos persoais coma os campos estruturados, e un diagnóstico pouco frecuente combinado con idade, sexo e localidade pode identificar unha soa persoa. Hai que tratar o texto narrativo, xeneralizar os cuasi-identificadores e comprobar a k-anonimidade.
Canto se tarda en anonimizar á man un historial de 50 páxinas?
Entre dúas e catro horas, e o resultado é inconsistente porque cada persoa aplica criterios distintos. Cunha ferramenta especializada o mesmo historial procésase en segundos e con criterios homoxéneos.
A historia clínica electrónica non anonimiza xa ao exportar?
Algúns sistemas borran identificadores directos ao exportar, pero case ningún xeneraliza cuasi-identificadores, trata o texto libre nin avalía o risco de reidentificación. Para investigación cómpre unha capa adicional.