La gestione sicura del dato rappresenta uno dei temi centrali nell’evoluzione dei sistemi informativi sanitari e assume un’importanza ancora maggiore quando immagini e informazioni cliniche devono essere utilizzate per ricerca, formazione, studi multicentrici e trial clinici.
In questo contesto, grazia al prezioso contributo di Vincenzo e Luigi Giacalone, nasce AITASIT DICOM Anonymizer, un progetto software sviluppato nell’ambito delle iniziative collegate a LIME – Learning Imaging Medical Ecosystem, con particolare riferimento alla branca dedicata alla gestione dei dati per i trial clinici e alla protezione del dato sanitario.
Il progetto è già disponibile pubblicamente su GitHub e rappresenta il primo passo di un percorso più ampio che AITASIT intende sviluppare attorno ai temi della de-identificazione, pseudonimizzazione e gestione controllata degli oggetti DICOM.
AITASIT DICOM Anonymizer nasce con un obiettivo preciso: rendere facilmente accessibile, anche a chi non possiede competenze di programmazione, un primo ambiente nel quale osservare e sperimentare concretamente cosa significa intervenire sui metadati di un file DICOM prima del suo utilizzo al di fuori del normale percorso assistenziale.
L’attuale versione è distribuita come applicazione standalone per Windows.
Non richiede installazione e il processo viene eseguito localmente sul computer dell’utente, senza la necessità di trasferire i file verso servizi cloud o server esterni.
L’utilizzo è volutamente semplice:
- si seleziona o si trascina la cartella contenente gli oggetti DICOM;
- si indica una cartella separata di destinazione;
- il programma elabora i file e produce gli oggetti risultanti nella cartella di output.
Il motore attuale interviene su diversi attributi DICOM potenzialmente identificativi, applicando operazioni di sostituzione, rimozione o svuotamento e introducendo meccanismi di pseudonimizzazione e rimappatura di alcuni identificativi UID.
Il progetto è stato pensato fin dall’inizio con una struttura sufficientemente semplice da poter diventare anche un laboratorio didattico sulla struttura del dato DICOM.
Un file DICOM non contiene soltanto un’immagine.
Ogni oggetto può includere centinaia di attributi relativi al paziente, allo studio, alla serie, alla modalità, alle apparecchiature, agli operatori e al contesto nel quale il dato è stato prodotto.
La de-identificazione non può quindi essere ridotta alla semplice cancellazione del nome del paziente.
Il problema diventa ancora più complesso quando si considerano:
- identificatori e UID;
- date e riferimenti temporali;
- attributi privati;
- sequenze DICOM annidate;
- riferimenti tra diversi oggetti;
- Structured Report e altri oggetti strutturati;
- annotazioni e overlay;
- informazioni eventualmente incorporate direttamente nei pixel.
Per questo motivo AITASIT considera l’attuale anonimizzatore non soltanto un software, ma il punto di partenza per la costruzione di una base di conoscenza tecnica condivisa sulla de-identificazione DICOM.
Il riferimento tecnico principale per questo percorso è il DICOM Standard PS3.15 – Security and System Management Profiles, e in particolare l’Annex E – Attribute Confidentiality Profiles.
Lo standard definisce il Basic Application Level Confidentiality Profile, un approccio molto conservativo alla de-identificazione degli oggetti DICOM pensato espressamente anche per scenari come trial clinici, ricerca, teaching files e registri.
Il profilo stabilisce come determinati attributi debbano essere rimossi, sostituiti, svuotati, mantenuti o trasformati e affronta anche aspetti particolarmente complessi come la consistenza degli UID, le sequenze annidate e le informazioni identificative presenti in elementi diversi dai normali metadati.
È importante sottolineare che lo stesso standard DICOM precisa che l’applicazione di un profilo di confidenzialità non equivale automaticamente alla completa anonimizzazione dell’intero oggetto informativo: il contesto d’uso, le normative applicabili e il rischio di re-identificazione devono comunque essere valutati.
L’attuale release di AITASIT DICOM Anonymizer rappresenta una prima implementazione del processo di de-identificazione.
Non deve essere interpretata, allo stato attuale, come una implementazione completa o certificata del DICOM Basic Application Level Confidentiality Profile.
Alcune delle componenti previste dall’Annex E richiedono infatti una gestione più articolata rispetto alla prima versione del motore.
Tra gli aspetti che costituiscono oggetto del percorso di sviluppo e validazione rientrano, ad esempio:
- applicazione ricorsiva delle regole alle sequenze DICOM;
- gestione estesa dei riferimenti UID;
- trattamento delle informazioni temporali;
- verifica degli attributi privati anche nelle strutture annidate;
- gestione di oggetti strutturati;
- controllo di annotazioni, overlay e contenuti encapsulati;
- identificazione del possibile rischio di informazioni personali incorporate direttamente nei pixel;
- costruzione di procedure automatiche di verifica dell’output.
Questi aspetti non vengono nascosti: costituiscono precisamente il terreno di lavoro delle prossime release.
Parallelamente allo sviluppo del software, AITASIT sta impostando una base di conoscenza dedicata al DICOM Basic Application Level Confidentiality Profile.
L’obiettivo è trasformare progressivamente il progetto in qualcosa di più ampio di un semplice eseguibile.
La roadmap prevede la costruzione di:
- una matrice delle regole previste dall’Annex E;
- una documentazione degli attributi DICOM interessati;
- casi di test riproducibili;
- dataset sintetici contenenti informazioni identificative note;
- strumenti automatici di controllo dei file prodotti;
- verifiche della consistenza degli UID;
- procedure di analisi degli attributi privati;
- documentazione delle funzioni implementate e delle relative limitazioni;
- una futura dichiarazione di conformità del motore.
L’obiettivo delle prossime release sarà quindi quello di avvicinare progressivamente il software a una implementazione documentata e verificabile del Basic Application Level Confidentiality Profile, trasformando contemporaneamente il repository in una risorsa tecnica utilizzabile dalla comunità.
In questa prima fase il progetto assume soprattutto una forte valenza formativa e sperimentale.
I soci AITASIT possono già utilizzare il software per:
- osservare la struttura degli attributi DICOM prima e dopo una procedura di de-identificazione;
- sperimentare su dataset didattici o appositamente predisposti;
- comprendere la differenza tra anonimizzazione e pseudonimizzazione;
- analizzare il ruolo di Patient ID, Study Instance UID, Series Instance UID e SOP Instance UID;
- valutare il comportamento dei Private Tags;
- confrontare il risultato con le indicazioni contenute nel DICOM PS3.15;
- costruire piccoli dataset destinati alla formazione;
- approfondire le problematiche che caratterizzano i flussi di ricerca e i trial clinici.
Il progetto vuole quindi diventare anche uno strumento per imparare il DICOM attraverso il DICOM.
Una precauzione importante
In questa fase consigliamo di utilizzare AITASIT DICOM Anonymizer esclusivamente su copie di file destinate a formazione, test e sperimentazione, mantenendo sempre separata la cartella contenente i DICOM originali dalla cartella di output.
L’attuale release non deve essere utilizzata come unica misura di garanzia per dichiarare anonimo un dataset destinato a un trial clinico, a una pubblicazione scientifica o alla diffusione verso soggetti terzi.
Particolare attenzione deve inoltre essere posta agli oggetti nei quali informazioni identificative possono essere incorporate direttamente nell’immagine o in altre strutture non ancora trattate integralmente dall’attuale versione.
La scelta di pubblicare il codice ha anche un significato preciso.
AITASIT vuole favorire una modalità di sviluppo nella quale software, documentazione tecnica, casi di test e conoscenze sullo standard possano evolvere insieme.
Il repository permette quindi di seguire l’evoluzione del progetto, studiare il codice e contribuire alla discussione tecnica.
L’iniziativa si inserisce nella visione di LIME – Learning Imaging Medical Ecosystem, che considera interoperabilità, gestione del dato e strumenti aperti elementi essenziali per costruire un ecosistema di imaging medicale capace di supportare non soltanto l’attività clinica, ma anche ricerca, formazione e innovazione.
AITASIT DICOM Anonymizer – repository GitHub
Il repository contiene il codice sorgente, l’applicazione Windows e le istruzioni essenziali per iniziare a utilizzare il programma.
Repository:
https://github.com/CapVinkus/aitasit-anonimizzatore
LIME – Learning Imaging Medical Ecosystem
AITASIT DICOM Anonymizer è un progetto autonomo collegato al filone di LIME dedicato alla gestione sicura dei dati e ai trial clinici.
DICOM PS3.15 – Security and System Management Profiles
È il documento di riferimento per gli aspetti di sicurezza e per gli Attribute Confidentiality Profiles.
Per lo studio del progetto suggeriamo in particolare:
Annex E – Attribute Confidentiality Profiles
E.2 – Basic Application Level Confidentiality Profile
E.3 – Basic Application Level Confidentiality Options
Il progetto è appena iniziato
Questa prima release non rappresenta il punto di arrivo.
Rappresenta il punto dal quale iniziare a costruire, insieme, conoscenza.
Nei prossimi aggiornamenti di AITASIT DICOM Anonymizer il software, la documentazione e la validation suite cresceranno parallelamente, con l’obiettivo di rendere progressivamente verificabili le regole implementate e il loro rapporto con il DICOM Standard.
Per AITASIT la gestione sicura del dato non è soltanto una funzione software.
È una competenza che deve essere conosciuta, sperimentata, documentata e condivisa.
AITASIT DICOM Anonymizer è il nostro nuovo laboratorio aperto sulla DICOM de-identification.