La Policy EMA 0070 – seconda parte Anonimizzazione dei report clinici a fini di pubblicazione (II)

Verifica di anonimizzazione del data set

In coerenza con l’opinione 05/2014 sulle tecniche di anonimizzazione,[1] esistono due opzioni per stabilire se un data set è anonimizzato:

1. Dimostrare che, dopo l’anonimizzazione, non è più possibile:

• Identificabilità: possibilità di isolare alcune rilevazioni su un individuo nel dataset;[2]
• Interconnessione: capacità di collegare almeno due rilevazioni sullo stesso soggetto o gruppo di soggetti (nello stesso database o in due database diversi);
• Inferenza: possibilità di dedurre, con rilevante attendibilità, il valore di un attributo dai valori di un gruppo di altri attributi.[3]

Sarà compito dell’azienda tenere nel dovuto conto lo scopo ultimo e l’utilizzo dei report clinici per decidere:

• quale opzione adottare (dimostrare che dopo l’anonimizzazione tutti e tre i criteri – identificabilità, interconnessione, inferenza – sono rispettati oppure realizzare una valutazione di rischio)
• quali tecniche usare per ottenere un livello adeguato di anonimizzazione, pur mantenendo il massimo di informazioni scientificamente utili.

2. Svolgere una analisi del rischio di re-identificazione

Misurare il rischio di re-identificazione richiede una metrica appropriata, una soglia adeguata e la misura reale del rischio insito nei dati clinici oggetto di divulgazione. La scelta di una metrica dipende dal contesto del rilascio di dati.

La determinazione di una soglia accettabile implica:

• la valutazione dei controlli di mitigazione del rischio esistente (nessuno, nel caso di diffusione al pubblico)
• il punto al di là del quale una particolare pubblicazione invada la privacy dei partecipanti allo studio
• Le motivazioni e la capacità di re-identificare i dati da parte di chi desidera conoscerli.

Una volta che la soglia è stata determinata, la probabilità effettiva di re-identificazione può essere misurata.

I titolari / richiedenti di AIC sono incoraggiati a utilizzare metodi quantitativi per misurare il rischio di re-identificazione quando sono in grado di farlo.

Raccomandazioni di EMA ai titolari / richiedenti di AIC su come anonimizzare i dati personali dei partecipanti a studi clinici

Diverse sezioni dei report clinici possono contenere dati personali dei partecipanti a studi clinici.  Questi includono:

• la disposizione (reclutamento, preassegnazione, periodo/bracci dello studio, etc.) dei partecipanti alla sperimentazione
• le deviazioni dal protocollo
• il quadro demografico
• le altre caratteristiche basali,
• la conformità del trattamento (compliance)
• la farmacodinamica
• la farmacocinetica
• l’efficacia
• la sicurezza (eventi avversi, di laboratorio risultati, e segni vitali).

In generale, le clinical overiew e i clinical summary non contengono dati personali relativi ai partecipanti agli studi. Un’eccezione è la sezione 2.7.4.2.2 (Narratives) del Riassunto della sicurezza clinica. Inoltre, alcune delle tabelle presenti nelle clinical overiew e nei clinical summary possono contenere anche dati personali. [4]

Anonmizzazione di identificatori diretti e quasi-identificatori

I report clinici presentati all’EMA includono per lo più dati aggregati pseudo-anonimizzati e quindi è improbabile che identificatori diretti siano presenti nelle relazioni. Tuttavia, eventuali identificatori diretti ancora presenti dovrebbero essere mascherati, (ad esempio nome, e-mail, numero di telefono, firma e indirizzo completo). I numeri identificativi dei pazienti (Patient ID numbers), inclusi i numeri di randomizzazione / trattamento o i safety case ID, possono essere sia mascherati, sia ricodificati (sezione 6.2.2.1 della EMA Guidance anonymation techniques).

I quasi-identificatori non devono essere sempre mascherati. Ciò dipenderà da:

• numero di quasi-identificatori per ciascun partecipante allo studio
• frequenza di partecipanti allo studio con medesima categoria / valore su una serie di quasi-identificatori (dimensione del gruppo).
• dimensioni della popolazione.

Spetta ai titolari / richiedenti di AIC decidere quali quasi-identificatori necessitano di essere mascherati e quali no. Il razionale di tale decisione dovrebbe essere incluso nella sezione valutazione del rischio del rapporto anonimizzazione da fornire a EMA (Sezione 6.2.2.2). Di seguito un esempio di come procedere per quanto riguarda le date relative ai pazienti, l’ubicazione geografica e le piccole popolazioni, caratteristiche delle malattie rare:

• date: singole date relative al paziente possono essere rimosse o, in alternativa, è possibile applicare il Relative Study Day Method (Sezione 6.2.2.2.1)[5]
• posizioni geografiche: possono essere aggregate o generalizzate, passando dal livello Paese a quello regione o continente (sezione 6.2.2.2.2)
• piccole popolazioni / malattie rare: la valutazione del rischio è la chiave per garantire un’adeguata trasformazione in forma anonima (sezione 6.2.2.2.3)