14.5. Prowadzenie e-dokumentacji i ochrona danych osobowych (RODO): Polityka retencji danych, archiwizacja i anonimizacja — szczegółowy opis

6. Polityka retencji danych, archiwizacja i anonimizacja — szczegółowy opis

1. Cele i zasady polityki retencji

Polityka retencji powinna być dokumentem operacyjnym ściśle powiązanym z celami klinicznymi i prawnymi placówki. Jej zadania to:

określenie, które kategorie danych są przechowywane, dlaczego i jak długo (zasada celowości i minimalizacji danych);
wskazanie warunków przechowywania — formatów (papier, plik elektroniczny), lokalizacji (serwer lokalny, chmura certyfikowana) oraz odpowiedzialnych ról;
ustalenie reguł dla transferu do archiwum, migracji formatów i bezpiecznego usuwania po upływie okresu retencji;
przewidzenie wyjątków (np. zawieszenie usuwania przy toczącym się postępowaniu prawnym lub medycznym) oraz mechanizmu ich zatwierdzania.

Polityka powinna być skonstruowana jako matryca decyzji: dla każdej kategorii dokumentu (np. karta zabiegu, zapis obrazowy, zgody pacjenta, dane billingowe) wskazać osobno: podstawę prawną/operacyjną, okres retencji, sposób archiwizacji oraz sposób i warunki anonimizacji lub usunięcia. Takie podejście upraszcza kontrolę i audyt oraz ułatwia automatyzację procesów.

2. Klasyfikacja i katalogowanie danych

Podstawą dobrego zarządzania jest precyzyjna klasyfikacja. Dla praktyki terapeutycznej zalecane elementy katalogu:

identyfikator kategorii (np. K1 – karta zabiegu, K2 – zdjęcia medyczne, K3 – zgody elektroniczne),
opis zawartości i przykładowe pola (np. K1: imię, PESEL, przebieg zabiegu, notatki terapeutyczne),
wymóg poufności (niski/średni/wysoki),
wskazana metoda archiwizacji (np. szyfrowana baza, zaszyfrowane archiwum plików),
domyślny okres retencji z możliwością przedłużenia.

Tak uporządkowany katalog jest jednocześnie słownikiem metadanych używanym do tworzenia polityk automatycznych (retencja, backup, anonimizacja) oraz do komunikacji między systemami informatycznymi.

3. Procedury archiwizacji — technika i governance

Archiwizacja powinna łączyć gwarancję integralności danych z dostępnością przez wymagany okres. Kluczowe elementy procedury archiwizacyjnej:

Format i normalizacja: wybór formatów trwałych (np. PDF/A dla dokumentów tekstowych, DICOM dla obrazów) i zapis metadanych opisujących kontekst kliniczny (data, wykonawca, numer sprawy).
Wersjonowanie i unikatowe identyfikatory: każdy zapis archiwalny powinien mieć unikalny identyfikator i wersję; zmian nie usuwa się, tylko dopisuje nową wersję.
Mechanizmy zapewnienia integralności: sumy kontrolne (checksums), podpisy cyfrowe, okresowe walidacje archiwum i raporty zgodności.
Strategia przechowywania: wielowarstwowa – szybki dostęp (hot storage) dla ostatnich lat, tańsze, trwałe nośniki (cold archive) dla długoterminowych kopii. Migracje formatów powinny być zaplanowane (np. co 5–7 lat) i dokumentowane.
Kopie zapasowe i georedundancja: co najmniej dwie niezależne kopie w różnych lokalizacjach fizycznych lub strefach chmurowych, z szyfrowaniem i kontrolą dostępu.
Kontrola dostępu i audyt: dostęp do archiwum według ról; każdy odczyt i każda operacja musi być logowana w audit trail.

Procedury powinny być testowane (restore tests) i audytowane cyklicznie, a wyniki testów archiwizacji zapisywane w rejestrze.

4. Mechanizmy i reguły usuwania (bezpieczne wyrejestrowanie)

Usuwanie danych po okresie retencji musi być trwałe i nieodwracalne, z zachowaniem śladu operacji (kto, kiedy, powód). Zasady praktyczne:

Usuwanie fizyczne: niszczenie nośników, przemiał dokumentów papierowych; protokoły z potwierdzeniem (kwit z datą i podpisem).
Usuwanie cyfrowe: bezpieczne wymazywanie zgodne z uznanymi standardami (wielokrotne nadpisanie, kryptograficzne wymazywanie kluczy) przy czym wybór metody zależy od nośnika i ryzyka reidentyfikacji.
Wyjątki: zawieszenie usuwania w sytuacji 'legal hold' — musi być formalnie dokumentowane i zatwierdzone przez uprawnioną osobę.
Rejestr usunięć: log, zawierający UUID rekordu, kategorię, metodę usunięcia, wykonawcę operacji i potwierdzenie.

Dobrą praktyką jest zastosowanie trybu „soft delete” (oznaczenie jako usunięte, blokada dostępu) przez pewien okres, a dopiero potem wykonanie procesu trwałego usunięcia, co chroni przed błędami operacyjnymi.

5. Anonimizacja i pseudonimizacja — koncepcje i metody praktyczne

Anonimizacja i pseudonimizacja to różne techniki — w polityce trzeba jasno rozgraniczyć ich zastosowanie i ograniczenia.

Pseudonimizacja: zastępowanie bezpośrednich identyfikatorów (np. PESEL, nazwisko) tokenem powiązanym z danymi w oddzielnym, bezpiecznym rejestrze. Zaletą jest zachowanie łączności z oryginałem (możliwość odwrotnego odtworzenia przez uprawnionego), przy jednoczesnym ograniczeniu ekspozycji. Jednak pseudonimizacja nie likwiduje statusu danych osobowych według RODO — podlega nadal regulacjom.

Anonimizacja: proces, po którym dane nie mogą być przypisane do konkretnej osoby w rozsądnym zakresie środków. W praktyce stosuje się:

Usuwanie bezpośrednich identyfikatorów (imiona, PESEL, adres email).
Maskowanie i generalizacja (np. zamiana daty urodzenia na rocznik, dokładnej lokalizacji na region).
Agregacja (zamiast indywidualnych pomiarów – średnie grupowe).
Dodawanie szumu/differential privacy w zestawieniach statystycznych, gdy wymagane jest publikowanie raportów.
Ocena ryzyka reidentyfikacji – testy ataku, sprawdzenie, czy pozostałe cechy umożliwiają identyfikację osoby (złożona kombinacja atrybutów).

Wskazówka praktyczna: anonimizacja powinna być przeprowadzana przez zespół łączący kompetencje IT, prawne i kliniczne — to minimalizuje ryzyko „pseudo-anonimizacji” (pozornej utraty identyfikowalności). Materiały regulacyjne i praktyczne wytyczne nadzorcy danych wskazują, że przy ocenie skuteczności anonimizacji należy brać pod uwagę dostępne techniki reidentyfikacji i kontekst zewnętrzny.

6. Automatyzacja polityk retencji i anonimizacji

W praktyce małych gabinetów i większych placówek warto zautomatyzować:

reguły retencji w systemie elektronicznej dokumentacji (np. automatyczne przeniesienie do archiwum po X latach),
skrypty migracyjne i walidacyjne przy zmianie formatów,
moduły do pseudonimizacji z odseparowanym, szyfrowanym rejestrem kluczy,
automatyczne raporty audytowe (kto i kiedy wykonał operację usunięcia, kto przywrócił dane itp.).

Automatyzacja redukuje ryzyko ludzkich błędów, ale wymaga ścisłych testów i procedur przywracania.

7. Dokumentacja decyzji i dowód zgodności

Każda polityka i wykonana operacja powinna być oparta na udokumentowanej analizie ryzyka i decyzji: rejestr retencji, decyzje o przedłużeniu okresów, decyzje o anonimizacji i oświadczenia o usunięciu. Dla audytów i ewentualnych kontroli niezbędne jest prowadzenie rejestru wszystkich działań archiwizacyjnych i usuwających (audit trail).

8. Role, odpowiedzialności i szkolenia

Polityka musi przypisywać konkretne role: właściciel danych (data owner), administrator danych (data steward), administrator systemu, inspektor ochrony danych (jeśli jest). Każda osoba powinna znać procedury usuwania, migracji i anonimizacji. Regularne szkolenia oraz ćwiczenia odtwarzania z archiwum (restore drills) są obowiązkowe.

9. Specjalne uwagi dotyczące danych wykorzystywanych do badań i publikacji

Dane do badań klinicznych i publikacji powinny być udostępniane wyłącznie po procesie anonimizacji, z oceną ryzyka reidentyfikacji i dokumentacją zgody tam, gdzie wymagana. W polityce należy przewidzieć wzorzec zgłoszenia żądania danych do badań, formę umowy i obowiązki badacza w zakresie zabezpieczenia i zniszczenia danych po zakończeniu projektu.

Krótki przykład (ilustracja procesu)

Placówka tworzy regułę: „Karta zabiegu — etap elektroniczny: po 3 latach przeniesienie do warstwy archiwalnej; po 10 latach pseudonimizacja rekordu (usunięcie nazwiska, PESEL; zastąpienie tokenem), po 25 latach trwałe usunięcie”. Proces:

System identyfikuje rekordy spełniające kryteria i generuje raport.
Administrator uruchamia proces przeniesienia i wykonuje checksum.
Po upływie kolejnego terminu proces pseudonimizacji wykonuje zamianę identyfikatorów, klucz trafia do oddzielnego, szyfrowanego repozytorium.
Wszystkie kroki logowane, powiadomienie do inspektora ochrony danych.

(Taki przykład pokazuje spójność reguł: extract → archive → pseudonymize → delete).

Krótkie ćwiczenie praktyczne (warsztat, 30–45 minut)

Cel: przećwiczyć podstawową anonimityzację i ocenę ryzyka reidentyfikacji.

Przygotowanie (5 min): zespół otrzymuje fikcyjny, króciutki zestaw danych (10 wierszy) z polami: ID, imię, nazwisko, rok urodzenia, miejscowość, procedura, data zabiegu.
Zadanie (25 min):
- Krok A: Wskaż bezpośrednie identyfikatory i zaproponuj regułę maskowania (np. rok urodzenia → dekada).
- Krok B: Zastosuj pseudonimizację: stwórz token dla pola „ID pacjenta” i zapisz mapę token→ID w osobnym dokumencie (zaszyfrowanym).
- Krok C: Oceń ryzyko reidentyfikacji: czy kombinacja (dekada urodzenia + miejscowość + procedura + data zabiegu) pozwala na identyfikację osoby? Zaznacz największe ryzyka i zaproponuj dodatkową generalizację.
Omówienie (10–15 min): przedstawcie decyzje, wskażcie które dane pozostawić jako agregaty, a które pociągają za sobą ryzyko reidentyfikacji.

To proste ćwiczenie uczy praktycznej separacji zadań: które dane można łatwo pseudonimizować, które wymagają agregacji, i jakie zapisy powinny znaleźć się w polityce retencji.

Odniesienia i praktyczne wytyczne

Podczas formułowania polityki warto odwołać się do aktów i wytycznych dotyczących przechowywania dokumentacji oraz anonymizacji i pseudonimizacji, a także korzystać z krajowych i europejskich rekomendacji nadzorcy ochrony danych i ministerstw odpowiedzialnych za zdrowie.