Il Regolamento Europeo in materia di protezione dei dati personali (“GDPR”) definisce la pseudonimizzazione come «il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l’utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile» (art. 4.5), GDPR).
Perché inserire cognome e nome non viola la privacy?
L’implementazione sul sito del Registro avviene come segue:
all’aggiunta di un paziente nuovo si immettono i dati cognome, nome, data di nascita. Questi dati sensibili vengono tradotti da un algoritmo (cosiddetto di “hash”) in un codice di identificazione tale che gli stessi dati sensibili diano sempre lo stesso codice, ma dal codice non si possa risalire ai dati sensibili (neanche conoscendo l’algoritmo, o avendo pieno accesso al database ecc.)
Il codice viene creato sul browser dell'utente e i dati sensibili vengono eliminati subito dopo la creazione senza essere stati trasmessi (1) (2).
Questo metodo fornisce la dovuta anonimizzazione ma rende molto improbabile la creazione di un duplicato involontario di un paziente, poiché cercando di inserire come nuovo un paziente già immesso risulterà che il codice è già presente (3).
Questo significa che si può cercare un paziente conoscendo i tre dati di cui sopra, ma non si può risalire all'identità del paziente guardando le sue schede. Per farlo occorre prendere nota del codice (o parte di esso).
Ricerca di un paziente:
La ricerca per cognome + nome + data di nascita funzionerà invece inserendo i tre dati completi che a loro volta creano il codice paziente, in base al quale avviene la ricerca (anche in questo caso i dati sensibili non lasciano il browser).
Se il codice paziente viene memorizzato/scritto altrove si può cercare direttamente per codice; in questo caso vale anche la classica ricerca parziale (solo l'inizio del codice).
Ricerca di un paziente (vecchia codifica):
I pazienti inseriti prima del 1 ottobre 2018 prevedevano la codifica nel formato:
prime due lettere del cognome + prime due lettere del nome + data nascita formato ggmmaa + sesso
Non essendo ovviamente possibile riottenere sistematicamente nome e cognome di ogni paziente da questo codice, per la ricodifica sono state usate le sole lettere disponibili.
Quindi Mario Rossi n. 11/11/11, che sarebbe presente nel database vecchia codifica come MARO111111M, non andrebbe cercato con cognome e nome interi ma con cognome=MA + nome=RO + data di nascita.
(1) la non trasmissione è in linea di principio verificabile visualizzando il codice delle pagine di aggiornamento.
(2) la data di nascita avendo valenza medica viene conservata anche in chiaro nel database, ma ovviamente non costituisce “dato sensibile” se disgiunta da nome e cognome.
(3) In certa misura viene tenuto conto anche di alcuni errori di battitura, alcune possibili italianizzazioni del nome (usando un 'phonetic hash', ovvero pronuncia uguale = codifica uguale), numero variabili di spazi, maisucole/minuscole.
Ad es. 'Derossi Yolanda', 'De Rossi Jolanda ' e 'De rossi Iolanda ' vengono codificati nello stesso modo (se con stessa data di nascita ovviamente), come pure 'Kamila'='Camilla', 'Jimmy'=Gimmi', 'Amoz'='Amotz' ecc.
Con questa informativa, resa anche ai sensi dell’art. 13 Reg. UE 2016/679, vengono descritte le modalità di gestione del sito web www.ridp.it con riferimento al trattamento dei dati degli utenti che lo consultano.
Questa informativa riguarda soltanto i dati trattati dal sito web riferito al nome a dominio www.ridp.it e non anche i dati trattati da altri siti web a cui si rimanda tramite link.
Titolare del trattamento
Titolare del trattamento è il dr. Enrico Verrina, il quale può essere contattato ai seguenti recapiti: ℅ Istituto Gaslini, largo G. Gaslini 16100 Genova; 0105636642; e-mail enrico.verrina@gaslini.it;