Jak bezpiecznie udostępniać dane medyczne do badań naukowych

Szpitale gromadzą ogromne ilości danych, które mogą przyspieszyć rozwój medycyny. Problem polega na tym, że te same dane są wrażliwe i chronione prawem. Jak je udostępnić naukowcom, nie narażając pacjentów?

Problem: między potencjałem a ryzykiem

Każdego dnia w polskich szpitalach powstają tysiące notatek lekarskich, wyników badań i diagnoz. To kopalnia wiedzy dla badaczy pracujących nad nowymi terapiami, lekami czy algorytmami diagnostycznymi. Jednocześnie te informacje należą do kategorii danych szczególnie chronionych przez RODO.

Dyrektorzy placówek medycznych stają przed dylematem. Z jednej strony chcą wspierać rozwój nauki i czerpać korzyści ze współpracy z uczelniami czy firmami badawczymi. Z drugiej muszą chronić prywatność pacjentów i unikać kar za naruszenie przepisów, które mogą sięgać nawet 20 milionów euro.

Dodatkowym wyzwaniem jest brak jasnych procedur wewnętrznych. Kto odpowiada za przygotowanie danych? Jakie zabezpieczenia zastosować? Jak udokumentować proces? Te pytania często pozostają bez odpowiedzi, co prowadzi do paraliżu decyzyjnego lub, co gorsza, do udostępniania danych w sposób niebezpieczny.

Ramy prawne: co mówi RODO o badaniach naukowych

RODO nie blokuje badań naukowych. Wręcz przeciwnie, przewiduje specjalne podstawy prawne umożliwiające przetwarzanie danych medycznych w celach badawczych.

Kluczowe przepisy

Artykuł 9 ust. 2 lit. j RODO pozwala na przetwarzanie danych dotyczących zdrowia, gdy jest to niezbędne do celów badań naukowych. Warunek jest taki, że przetwarzanie musi być proporcjonalne do wyznaczonego celu i przewidywać odpowiednie środki ochrony praw osób, których dane dotyczą.

Artykuł 89 RODO mówi wprost o zabezpieczeniach dla danych przetwarzanych w celach badawczych. Kluczowa jest zasada minimalizacji danych, zgodnie z którą powinniśmy przetwarzać tylko te informacje, które są faktycznie niezbędne do osiągnięcia celu badawczego.

Ustawa o systemie informacji w ochronie zdrowia doprecyzowuje, że dane z rejestrów medycznych mogą być udostępniane do badań naukowych tylko w formie uniemożliwiającej identyfikację konkretnej osoby.

Co to oznacza w praktyce

Szpital może udostępnić dane do badań bez zgody każdego pacjenta, ale musi spełnić kilka warunków. Po pierwsze, cel badawczy musi być jasno określony i udokumentowany. Po drugie, dane powinny być zanonimizowane lub co najmniej spseudonimizowane. Po trzecie, placówka musi wdrożyć odpowiednie zabezpieczenia techniczne i organizacyjne.

Warto podkreślić, że dane zanonimizowane nie podlegają już przepisom RODO. Jeśli skutecznie usuniemy możliwość identyfikacji pacjenta, możemy swobodnie przekazywać takie informacje badaczom. Tu jednak pojawia się pytanie: jak przeprowadzić anonimizację prawidłowo?

Anonimizacja vs pseudonimizacja: zasadnicza różnica

Te dwa terminy często są mylone, a różnica między nimi ma kluczowe znaczenie prawne i praktyczne.

Anonimizacja

Anonimizacja to proces nieodwracalny. Po jego przeprowadzeniu nie istnieje żaden sposób, aby powiązać dane z konkretną osobą, nawet przy użyciu dodatkowych informacji. Dokumenty zanonimizowane nie są już danymi osobowymi i nie podlegają RODO.

Skuteczna anonimizacja wymaga usunięcia lub przekształcenia wszystkich elementów umożliwiających identyfikację: imion, nazwisk, numerów PESEL, adresów, ale także kombinacji cech, które mogłyby wskazać na konkretną osobę. Na przykład informacja o 47-letnim mężczyźnie z rzadką chorobą, hospitalizowanym konkretnego dnia w małym mieście, może pozwolić na identyfikację nawet bez podania nazwiska.

Pseudonimizacja

Pseudonimizacja polega na zastąpieniu identyfikatorów kodami lub losowymi ciągami znaków, przy czym klucz pozwalający na odtworzenie powiązania jest przechowywany osobno. To proces odwracalny, a dane pseudonimizowane nadal są danymi osobowymi w rozumieniu RODO.

Pseudonimizacja sprawdza się w badaniach longitudinalnych, gdzie naukowcy muszą śledzić pacjentów w czasie, lub gdy istnieje potrzeba ponownego kontaktu z uczestnikami badania. Klucz deszyfrujący powinien być przechowywany w oddzielnym, zabezpieczonym miejscu, najlepiej przez inny podmiot niż ten, który udostępnia dane.

Którą metodę wybrać

Jeśli cel badawczy pozwala na pracę z danymi całkowicie pozbawionymi możliwości identyfikacji, anonimizacja jest bezpieczniejszym wyborem. W innych przypadkach pseudonimizacja oferuje kompromis między ochroną prywatności a użytecznością danych.

Techniki anonimizacji danych medycznych

Skuteczna anonimizacja wymaga zastosowania kilku technik jednocześnie. Sama zamiana nazwiska na kod to za mało.

Usuwanie identyfikatorów bezpośrednich

Pierwszym krokiem jest usunięcie oczywistych elementów umożliwiających identyfikację: imion, nazwisk, numerów PESEL, NIP, adresów, numerów telefonów, adresów e-mail. To podstawa, ale samo w sobie nie wystarczy.

Generalizacja i kategoryzacja

Dokładne wartości zastępujemy przedziałami lub kategoriami. Zamiast podawać wiek 47 lat, używamy przedziału 45-50. Zamiast konkretnej daty hospitalizacji, podajemy miesiąc lub kwartał. Zamiast nazwy małego miasta, wskazujemy region lub województwo.

Ta technika zmniejsza precyzję danych, ale znacząco utrudnia identyfikację. Ważne jest odpowiednie dobranie przedziałów, tak aby w każdej kategorii znajdowało się wystarczająco wiele osób.

K-anonimowość

Metoda k-anonimowości gwarantuje, że w zbiorze danych istnieje co najmniej k osób o identycznym profilu demograficznym. Jeśli k równa się 10, to dla każdej kombinacji cech (np. przedział wiekowy, płeć, województwo, główna diagnoza) musi istnieć co najmniej 10 rekordów.

Ta technika jest szczególnie przydatna przy dużych zbiorach danych medycznych. Wymaga jednak starannego planowania, ponieważ zbyt agresywna generalizacja może uczynić dane bezużytecznymi dla celów badawczych.

Perturbacja i zakłócenia

Dodawanie kontrolowanego szumu do danych numerycznych utrudnia identyfikację przy zachowaniu ogólnych trendów statystycznych. Na przykład wartości laboratoryjne mogą być losowo przesunięte o kilka procent w górę lub w dół.

Maskowanie tekstów

Notatki lekarskie i opisy przypadków wymagają szczególnej uwagi. Mogą zawierać nazwiska pacjentów, członków rodziny, miejsca pracy i inne informacje identyfikujące wplecione w tekst. Ręczne maskowanie jest czasochłonne i podatne na błędy. Automatyczne narzędzia do rozpoznawania nazwanych encji (NER) znacząco przyspieszają ten proces i zwiększają jego skuteczność.

Przykładem takiego rozwiązania jest AnonimiNER – model NER zaprojektowany specjalnie do wykrywania danych osobowych w polskich tekstach medycznych. Automatycznie identyfikuje imiona, nazwiska, adresy, numery PESEL i inne wrażliwe informacje, które następnie można zamaskować lub usunąć przed udostępnieniem dokumentacji do badań.

Europejska Przestrzeń Danych Zdrowotnych: nowe możliwości

W marcu 2025 roku weszło w życie rozporządzenie o Europejskiej Przestrzeni Danych Zdrowotnych (EHDS). To przełomowa regulacja, która zmienia zasady gry w zakresie udostępniania danych medycznych.

Pierwotne i wtórne wykorzystanie danych

EHDS wprowadza rozróżnienie między pierwotnym wykorzystaniem danych (na potrzeby opieki zdrowotnej konkretnego pacjenta) a wtórnym (do badań, innowacji, statystyk i kształtowania polityki zdrowotnej).

W zakresie wtórnego wykorzystania rozporządzenie otwiera nowe możliwości. Dane zdrowotne, odpowiednio zanonimizowane, będą mogły być wykorzystywane przez naukowców, organy zdrowia publicznego i innowatorów z całej Unii Europejskiej.

Mechanizm opt-out

EHDS wprowadza mechanizm opt-out, co oznacza, że dane medyczne mogą być wykorzystywane do celów wtórnych, chyba że pacjent wyrazi sprzeciw. To istotna zmiana w stosunku do obecnego modelu, gdzie często wymagana jest wyraźna zgoda.

Dla placówek medycznych oznacza to potencjalnie szerszy dostęp do danych dla projektów badawczych. Jednocześnie wymaga przygotowania procedur informowania pacjentów o ich prawach i obsługi ewentualnych sprzeciwów.

Harmonogram wdrożenia

Pełne wdrożenie EHDS będzie przebiegało etapowo. Do marca 2027 roku Komisja Europejska opracuje szczegółowe akty wykonawcze. Kluczowe przepisy dotyczące wtórnego wykorzystania danych zaczną obowiązywać od marca 2029 roku.

Polska, jako kraj przejmujący prezydencję w Radzie UE w pierwszej połowie 2025 roku, aktywnie uczestniczy w pracach nad wdrożeniem EHDS. Agencja Badań Medycznych uruchomiła już pilotaż udostępniania danych z Regionalnych Centrów Medycyny Cyfrowej.

Jak wdrożyć bezpieczne udostępnianie danych: praktyczny przewodnik

Krok 1: Określ cel i zakres

Przed udostępnieniem jakichkolwiek danych precyzyjnie określ cel badawczy. Jaki problem ma rozwiązać badanie? Jakie dane są faktycznie niezbędne? Zasada minimalizacji nakazuje ograniczenie się do absolutnego minimum.

Przygotuj dokumentację zawierającą opis projektu badawczego, uzasadnienie potrzeby dostępu do danych osobowych (jeśli pseudonimizacja zamiast pełnej anonimizacji) oraz przewidywany okres przechowywania danych.

Krok 2: Wybierz metodę ochrony danych

Na podstawie charakteru badania zdecyduj, czy wystarczy anonimizacja, czy konieczna jest pseudonimizacja. Pamiętaj, że anonimizacja uwalnia od większości obowiązków RODO, ale może ograniczyć użyteczność danych.

Jeśli wybierasz pseudonimizację, opracuj procedurę przechowywania klucza deszyfrującego. Idealnie powinien być on zarządzany przez niezależny podmiot lub komórkę organizacyjną niepowiązaną z zespołem badawczym.

Krok 3: Przeprowadź ocenę skutków (DPIA)

Dla projektów o wysokim ryzyku (a przetwarzanie danych medycznych na dużą skalę prawie zawsze takie jest) przeprowadź ocenę skutków dla ochrony danych. DPIA powinna zawierać opis planowanych operacji przetwarzania, ocenę niezbędności i proporcjonalności, analizę ryzyka oraz planowane środki zaradcze.

Krok 4: Wdróż zabezpieczenia techniczne

Minimalne zabezpieczenia powinny obejmować szyfrowanie danych w spoczynku i podczas transmisji, kontrolę dostępu opartą na rolach, rejestrowanie wszystkich operacji na danych (audytowalność) oraz regularne tworzenie kopii zapasowych.

W przypadku danych szczególnie wrażliwych rozważ udostępnienie w środowisku piaskownicy (sandbox), gdzie badacze mogą analizować dane bez możliwości ich wyeksportowania.

Krok 5: Przygotuj umowę

Umowa z podmiotem otrzymującym dane powinna określać cel i zakres przetwarzania, zobowiązanie do zachowania poufności, procedury postępowania w przypadku naruszenia bezpieczeństwa, warunki dalszego udostępniania (zwykle zakaz), termin usunięcia danych po zakończeniu badania.

Krok 6: Monitoruj i dokumentuj

Prowadź rejestr wszystkich udostępnień danych. Okresowo weryfikuj, czy dane są wykorzystywane zgodnie z umową. Po zakończeniu badania upewnij się, że dane zostały usunięte lub zanonimizowane zgodnie z ustalonymi warunkami.

Na co uważać: typowe błędy

Pozorna anonimizacja

Samo usunięcie nazwiska i numeru PESEL to nie anonimizacja. Kombinacja rzadkich cech (rzadka choroba, specyficzny wiek, mała miejscowość) może nadal umożliwiać identyfikację.

Brak procedur dla tekstów niestrukturalnych

Notatki lekarskie często zawierają nazwiska pacjentów, członków rodziny, współpracowników. Bez systematycznego przeglądu i maskowania tekstów ryzykujesz wyciek danych.

Zbyt szeroki dostęp

Udostępnianie całej dokumentacji medycznej, gdy badanie wymaga tylko wyników konkretnych badań laboratoryjnych. Pamiętaj o zasadzie minimalizacji.

Brak kontroli po udostępnieniu

Dane przekazane badaczom żyją własnym życiem. Bez mechanizmów monitorowania nie wiesz, czy są właściwie chronione i czy zostały usunięte po zakończeniu projektu.

Rola technologii w bezpiecznym udostępnianiu danych

Automatyzacja procesów anonimizacji i zarządzania danymi znacząco zmniejsza ryzyko błędów ludzkich i przyspiesza przygotowanie danych do udostępnienia.

Automatyczne rozpoznawanie encji (NER)

Algorytmy NER potrafią automatycznie wykrywać w tekstach medycznych nazwiska, adresy, daty i inne elementy identyfikujące. Zamiast ręcznego przeszukiwania tysięcy notatek lekarskich, system wskazuje miejsca wymagające anonimizacji.

Ekstrakcja danych z dokumentów

Wyniki badań laboratoryjnych często są dostarczane w formie skanów lub plików PDF. Narzędzia OCR wyspecjalizowane w dokumentacji medycznej potrafią wyekstrahować dane do formatu strukturalnego, gotowego do dalszego przetwarzania.

Środowiska piaskownicy

Zamiast fizycznie przekazywać dane badaczom, można udostępnić im bezpieczne środowisko analityczne. Naukowcy pracują na danych bez możliwości ich skopiowania na zewnątrz. To podejście minimalizuje ryzyko wycieku.

Systemy zarządzania zgodami

Przy dużej liczbie projektów badawczych trudno ręcznie śledzić, kto ma dostęp do jakich danych i na jakiej podstawie prawnej. Dedykowane systemy automatyzują zarządzanie zgodami, umowami i terminami retencji.

Podsumowanie: kluczowe wnioski

• RODO nie blokuje badań naukowych, ale wymaga odpowiednich zabezpieczeń. Artykuł 9 ust. 2 lit. j daje podstawę prawną do przetwarzania danych medycznych w celach badawczych.

• Anonimizacja i pseudonimizacja to różne techniki. Anonimizacja jest nieodwracalna i uwalnia od RODO. Pseudonimizacja zachowuje możliwość identyfikacji i nadal podlega przepisom.

• Skuteczna anonimizacja wymaga wielu technik jednocześnie: usunięcia identyfikatorów, generalizacji, k-anonimowości, maskowania tekstów.

• EHDS otwiera nowe możliwości od 2029 roku. Warto już teraz przygotować się do wtórnego wykorzystania danych zdrowotnych.

• Dokumentacja i procedury są kluczowe. Określ cel, przeprowadź DPIA, wdróż zabezpieczenia, monitoruj wykorzystanie.

• Automatyzacja zmniejsza ryzyko błędów. Narzędzia NER, OCR i środowiska piaskownicy znacząco ułatwiają bezpieczne udostępnianie danych.

Chcesz dowiedzieć się więcej?

Medalion Technology wspiera szpitale i placówki medyczne w bezpiecznym przetwarzaniu danych do celów badawczych. Nasze rozwiązania, takie jak Anoniminer do automatycznej anonimizacji tekstów medycznych czy Medalioner do analizy notatek lekarskich, pomagają spełnić wymogi RODO przy zachowaniu użyteczności danych dla badań naukowych.

Skontaktuj się z nami, aby omówić wyzwania związane z udostępnianiem danych w Twojej placówce.

---

Źródła

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 9, 89 – https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679

2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2025/327 w sprawie europejskiej przestrzeni danych dotyczących zdrowia (EHDS) – https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space-regulation-ehds_en

3. Urząd Ochrony Danych Osobowych – Udostępnienie danych do badań naukowych – https://uodo.gov.pl/pl/352/1071

4. Ministerstwo Zdrowia – Europejska przestrzeń danych dotyczących zdrowia – https://www.gov.pl/web/zdrowie/europejska-przestrzen-danych-dotyczacych-zdrowia--przelomowa-inicjatywa-dla-pacjentow-w-ue

5. Grupa Robocza Art. 29 – Opinia 05/2014 w sprawie technik anonimizacji – https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/index_en.htm

6. Standardy otwartości danych – Standard bezpieczeństwa, dane.gov.pl – https://dane.gov.pl/media/ckeditor/2020/06/01/standard-bezpieczenstwa.pdf

---