La Lacuna che l'Eliminazione delle Colonne Non Colma
Aggiornato per il 2026
I dataset di ricerca circolano tra le università come file CSV. Quando i team preparano un CSV per la condivisione, il lavoro si concentra sulle colonne. Si identificano le informazioni personali. Si eliminano o si sostituiscono.
Questo metodo funziona per i campi fissi. Una colonna chiamata "email" contiene indirizzi email — si elimina. Una colonna chiamata "telefono" contiene numeri di telefono — si elimina. Una colonna chiamata "nome_partecipante" contiene nomi — si sostituisce con un codice.
Ma le colonne di risposta in testo libero sono un punto cieco. La rimozione delle colonne etichettate non le tocca.
Un sondaggio con 5.000 righe potrebbe avere cinque colonne PII strutturate e quindici colonne di risposta aperta. Le colonne strutturate contengono nomi, email, numeri di telefono, ID e anni di nascita. Le colonne aperte contengono commenti, note e suggerimenti.
Le colonne strutturate vengono ripulite. Le colonne aperte rimangono grezze. Ma le persone scrivono cose come queste.
Prima: «Il mio medico al Policlinico di Milano, la Dottoressa Maria Conti, ha detto che il trattamento era nuovo.» Seconda: «Mi occupo di questo problema dall'incidente del 2019.» Terza: «Potete contattare il mio assistente a margaret.wells@gmail.com per i dettagli.»
Ogni voce nomina una persona reale. Alcune includono informazioni sanitarie o dati di contatto. Nulla di tutto ciò compare in un'intestazione di colonna. Nulla viene intercettato dall'eliminazione delle colonne.
Perché Questo Non Supera il Test del GDPR
Il Considerando 26 del GDPR definisce i dati anonimi come dati che non possono essere collegati a nessuna persona. L'asticella è alta. I dati sono veramente anonimi solo quando la re-identificazione non è ragionevolmente possibile.
Un CSV con colonne fisse pulite ma persone nominate nel testo libero non supera questo test. Quei nomi sono identificativi. Il dataset è ancora personale. Le regole dell'Articolo 89 del GDPR si applicano ancora. Ne emergono tre rischi.
Esenzione per la ricerca dell'Articolo 89: L'Articolo 89 consente ai ricercatori di trattare dati personali a fini scientifici con obblighi ridotti, ma solo in presenza di "garanzie adeguate". Condividere un file con PII in testo libero rivendicando la copertura dell'Articolo 89 è una violazione legale.
Approvazione etica: La maggior parte dei comitati etici e degli IRB richiede la piena anonimizzazione per i dataset condivisi. Un lavoro parziale — colonne fisse ripulite, testo libero lasciato grezzo — fallisce tipicamente. Il comitato può respingere la presentazione.
Accordi di condivisione dei dati: Gli ACD tra istituzioni fissano il livello di anonimizzazione richiesto. Un lavoro parziale che non supera il Considerando 26 del GDPR può violare l'ACD. Consulta la nostra panoramica sulla Conformità Legale per come questo si inserisce in un programma più ampio.
Perché il Testo Libero è così Difficile da Ripulire
Le risposte aperte dei sondaggi sono tra i target PII più difficili. Ecco perché.
Nomi in contesto: «Dott.ssa Maria Conti al Policlinico di Milano» richiede il riconoscimento delle entità nominate (NER) per segnalare una persona e un'organizzazione. Le liste di parole chiave non possono trovarlo.
Nomi nelle narrazioni: «L'auto di Giovanni Bianchi ha urtato la mia» inserisce un nome reale all'interno di una storia. È una persona citata di passaggio. Solo il NER lo intercetta.
Formati non standard: Le informazioni di contatto possono essere scritte come «contattatemi a margaret punto wells at gmail». I semplici strumenti regex le mancano.
Termini specifici della ricerca: I sondaggi clinici spesso contengono ID ospedalieri, codici di sito e nomi di luoghi. Questi possono identificare una persona anche quando sembrano generici.
Il solo pattern matching non è sufficiente. Per una vera anonimizzazione dei sondaggi sono necessari strumenti basati su NLP. Consulta Sicurezza e Conformità per le opzioni tecniche.
Un Esempio Reale da Tre Università
Un team di ricerca in tre università europee ha condotto un sondaggio sull'esperienza dei pazienti. Il dataset aveva 5.000 rispondenti, 3 colonne PII fisse e 8 colonne di testo aperto. Il piano era condividere il file tra i siti ai sensi di un ACD e dell'Articolo 89 del GDPR.
Con la sola eliminazione delle colonne:
- Colonne PII fisse: rimosse
- Colonne di testo aperto: lasciate grezze
- Dichiarazione: «Colonne PII eliminate»
- PII residui: 47 persone nominate, 23 indirizzi email nei commenti, 18 nomi di luoghi che potrebbero identificare i rispondenti
Con il rilevamento basato su NLP:
- Colonne PII fisse: sostituite con token coerenti
- Colonne di testo aperto: 47 nomi sostituiti, 23 email mascherate, 18 nomi di luoghi resi generici («Policlinico di Milano» → «[Struttura Sanitaria]»)
- Risultato: un file che supera il Considerando 26 del GDPR
- Il comitato etico ha approvato il metodo
- Il DPO ha confermato la conformità all'ACD
La lacuna è reale. Il primo output sembra pulito. Il secondo output è pulito.
Un Protocollo in Cinque Fasi Prima della Condivisione
Seguire questi passaggi prima di condividere qualsiasi file di sondaggio o intervista.
Fase 1: Etichettare ogni colonna Classificare ogni colonna come PII fisso, non-PII fisso o testo aperto. Documentarlo.
Fase 2: Gestire le PII fisse Eliminare le voci non necessarie per l'analisi. Sostituire le voci necessarie per il collegamento dei record. Registrare i codici utilizzati.
Fase 3: Scansionare le colonne di testo aperto Eseguire il rilevamento NLP su tutte le colonne di testo aperto. Esaminare ciascun risultato. Confermare quali sono PII reali.
Fase 4: Applicare le sostituzioni
Sostituire le PII confermate nell'output di testo aperto. Usare etichette chiare come [PERSONA], [EMAIL] o [LUOGO].
Fase 5: Verificare e documentare Campionare da 50 a 100 righe dell'output. Verificare manualmente le voci di testo aperto. Scrivere un breve riepilogo: strumenti utilizzati, tipi di entità trovati, colonne elaborate. Condividerlo con il file per la revisione etica.
Questo trasforma «abbiamo eliminato la colonna dei nomi» in un processo chiaro e documentato. Soddisfa l'Articolo 89 del GDPR e gli standard di anonimizzazione richiesti dalla maggior parte dei comitati etici. Visita il nostro hub documentazione per guide correlate.
Fonti
- Articolo 89 del GDPR: Garanzie per la Ricerca Scientifica — VERIFICATO-ESTERNO
- Considerando 26 del GDPR: Principio di Anonimizzazione — VERIFICATO-ESTERNO
- ICO: Anonimizzazione e Rischio di Protezione dei Dati — VERIFICATO-ESTERNO