Trasferimento dati della ricerca medica: collaborazione sicura

Il Garante per la protezione dei dati personali ha ribadito nel Parere del 2021 sul Registro Tumori che anche la ricerca scientifica deve rispettare il principio di minimizzazione dei dati del GDPR: l'interesse scientifico non sospende le tutele previste dall'articolo 9. Il trasferimento dei dati della ricerca medica significa spostare dataset de-identificati o limitati tra centri clinici accademici, centri di coordinamento, laboratori centrali e repository pubblici, rispettando il GDPR Articolo 89 sulle misure di salvaguardia per la ricerca scientifica, il Regolamento UE 536/2014 per i dati degli studi clinici, e il Data Use Agreement specifico che governa lo studio. I file spaziano da un export REDCap di 5 MB a un archivio BAM di genomica da 2 TB, e il metodo di trasferimento cambia di conseguenza.

Il Data Use Agreement definisce le regole

Prima che un byte si muova, il DUA tra le istituzioni stabilisce cosa è consentito. Un DUA tipico per uno studio multicentrico specifica:

Elementi dei dati inclusi (regole di spostamento delle date, troncamento del codice postale, limite di età a 89 anni per evitare quasi-identificatori)
Requisiti di archiviazione presso il sito destinatario (cifrato a riposo, accesso controllato)
Metodo di trasferimento (SFTP su VPN, SCP con autenticazione a chiave pubblica, portale web approvato)
Divieto di re-identificazione e regole di soppressione delle piccole celle
Periodo di revisione prima della pubblicazione
Data e metodo di distruzione

Quando il DUA dice "trasferire tramite il portale sicuro designato dallo sponsor", si usa quel portale anche se è più lento dell'endpoint Globus dell'istituzione. Quando il DUA non specifica il metodo, si ricade sui meccanismi approvati dal Comitato Etico istituzionale. Non inventare flussi di lavoro tra istituzioni.

Livelli di de-identificazione nella ricerca

Il GDPR riconosce tre categorie, con implicazioni diverse per il trasferimento:

Dati completamente anonimizzati — applicando tecniche che rendono praticamente impossibile la re-identificazione (Safe Harbor: rimozione di 18 identificatori; o valutazione di un esperto). Fuori dal campo GDPR una volta anonimizzati, ma il Parere EDPB 05/2014 fissa un'asticella alta per la verifica.
Dataset limitati — rimuovono la maggior parte degli identificatori ma conservano le date e i dettagli geografici. Richiedono un Data Use Agreement. Ancora dati personali ai sensi del GDPR.
Dati codificati con chiave di collegamento al sito di origine — tecnicamente ancora dati personali presso il sito di origine; il dataset codificato presso il sito ricevente può qualificarsi come pseudonimizzato in circostanze specifiche.

La maggior parte della ricerca multicentrica funziona su Dataset Limitati. La data di ricovero è importante. La regione geografica è importante. L'età in anni è importante. I flussi di trasferimento devono trattare questi come dati regolamentati, non come dataset open science pronti per GitHub.

Policy NIH per la gestione e la condivisione dei dati: implicazioni per la ricerca italiana

Le istituzioni italiane che ricevono finanziamenti NIH (frequente nelle collaborazioni con centri americani) sono soggette alla NIH Data Management and Sharing Policy (NOT-OD-21-013), in vigore dal gennaio 2023. I piani DMS specificano come i dati saranno condivisi, dove (dbGaP, NIMH Data Archive, repository specializzati) e quando.

Per i dati genomici, il controlled-access tier di dbGaP ha requisiti specifici di trasferimento: Aspera per l'upload ad alta velocità, autorità firmataria istituzionale pre-approvata, autenticazione a due fattori. Se il piano DMS dice "i dati saranno condivisi tramite Vivli entro 12 mesi dal completamento dello studio", il flusso di trasferimento deve produrre pacchetti Vivli-ready nei tempi previsti.

Genomica: terabyte in movimento

Un file BAM di whole-genome sequencing pesa 50-200 GB. I FASTQ a lettura corta di un singolo soggetto si comprimono a 80 GB. Moltiplicato per la dimensione della coorte, si spostano 10-100 TB per batch di analisi. Gli strumenti di trasferimento web non possono gestire questi volumi. Opzioni:

Globus Connect — trasferimento dati ad alta prestazione su GridFTP, usato da praticamente tutti i centri di calcolo per la ricerca finanziati dal NIH. Endpoint disponibili presso i principali centri italiani (CINECA, centri IRCCS)
Aspera (IBM) — trasferimento basato su UDP con controllo della congestione, usato da dbGaP, SRA e provider di sequenziamento commerciali
AWS Snowball Edge — dispositivi fisici da 80 TB spediti tramite corriere quando il trasferimento di rete richiederebbe settimane
Cloud-to-cloud — se sorgente e destinazione si trovano entrambe su AWS S3 o GCP Cloud Storage, S3 Batch Replication o Storage Transfer Service sposta petabyte in ore

Per i file più piccoli che circondano i grandi — spreadsheet di fenotipo, report QC, protocolli di studio — un trasferimento web cifrato mantiene la pipeline dei metadati attiva senza attendere il completamento dell'upload BAM.

Il livello intermedio: REDCap, spreadsheet e revisioni di cartelle

La maggior parte dei trasferimenti di dati di ricerca non riguarda la genomica. Sono un export REDCap da 40 MB, uno spreadsheet di astrazione di cartelle de-identificato da 15 MB, una cartella di miniature TC de-identificate da 200 MB per uno studio di validazione AI. Il trasferimento web sicuro si adatta bene a questo intervallo.

Requisiti:

Crittografia AES-256-GCM, idealmente lato client
Trasporto TLS 1.3
Scadenza del link (7-30 giorni secondo il DUA)
Log di audit con hash del file e IP del destinatario
Canale della passphrase separato dal canale del link

HexaTransfer soddisfa queste specifiche con crittografia zero-knowledge lato client. Prova su https://hexatransfer.com — gratuito, senza registrazione, fino a 10 GB. Registra il trasferimento nel binder dello studio di ricerca con data, destinatario, descrizione del file e hash.

GDPR Articolo 89 e la ricerca internazionale

I dati di ricerca dell'UE hanno salvaguardie specifiche ai sensi del GDPR Articolo 89: pseudonimizzazione, minimizzazione dei dati e limitazione delle finalità allineata con lo scopo della ricerca. Per i trasferimenti da istituzioni UE a collaboratori di paesi terzi dopo Schrems II, si applicano le Linee guida EDPB 03/2020 sul trattamento dei dati per la ricerca scientifica.

Misure supplementari per i trasferimenti extra-SEE:

Pseudonimizzazione con la chiave trattenuta presso il sito UE
Crittografia lato client in modo che il provider di trasferimento non abbia accesso al testo in chiaro
Divieto contrattuale di rispondere a richieste di divulgazione governativa
Valutazione d'Impatto del Trasferimento documentata

La UK Data Protection Act 2018 aggiunge disposizioni specifiche per la ricerca; l'MHRA e la HRA sovrintendono all'uso dei dati di ricerca nel Regno Unito. Non assumere che un unico flusso di lavoro copra tutti i partner europei.

Pacchetti di riproducibilità e open science

Riviste come Nature, Science e The Lancet richiedono sempre più frequentemente pacchetti di riproducibilità alla submission: codice, dati de-identificati sufficienti a riprodurre l'analisi, e specifiche dell'ambiente (container Docker, Singularity, lockfile renv/conda). Questi pacchetti pesano tipicamente da 100 MB a 10 GB.

Il trasferimento al sistema di submission della rivista o a un repository (Zenodo, Figshare, Dryad) richiede:

Assegnazione del DOI per la citazione
Autenticazione ORCID per il depositante
Metadati di licenza (CC0, CC-BY, riferimento DUA personalizzato)
Formato di archiviazione persistente (.tar.gz, .csv.gz invece di .xlsx)

Open science non significa trasporto non cifrato. Significa accesso aperto dopo il deposito. Il trasferimento al repository richiede ancora TLS 1.3 e controlli di integrità.

Audit trail per l'integrità della ricerca

Oltre ai requisiti dei Comitati Etici, le indagini sull'integrità della ricerca avvengono. L'HHS Office of Research Integrity e gli organismi nazionali equivalenti (il Comitato Nazionale per la Bioetica in Italia) gestiscono indagini ogni anno. Se sorgono accuse, gli investigatori ricostruiscono chi aveva accesso a quali dati e in quale momento. Il log di audit del trasferimento supporta questa ricostruzione.

Retention: il NIH richiede la conservazione dei dati di ricerca per almeno 3 anni dopo il rapporto finale del progetto. Molte istituzioni italiane richiedono 7 anni. Per i dati degli studi clinici a supporto di un dossier registrativo, si estende a 25+ anni.

Campi del log:

Timestamp UTC
Identità del mittente (account istituzionale autenticato)
Identità del destinatario (autenticato, non una casella generica)
SHA-256 del file
Riferimento al protocollo del Comitato Etico
Riferimento al DUA

Centri di coordinamento e mappatura dei flussi di dati

Gli studi multicentrico instradano i dati attraverso un Centro di Coordinamento dei Dati. Il DCC mantiene il dataset master, gestisce il controllo qualità e distribuisce i dataset derivati ai laboratori analitici e ai singoli siti. I flussi di trasferimento tipici:

Sito → DCC: upload cifrato di dati CRF e PDF di documenti sorgente
DCC → Core Lab: dataset derivato per un obiettivo analitico specifico
DCC → Siti: report periodici di avanzamento con benchmark per sito
DCC → Repository: dataset finale dello studio alla pubblicazione o secondo il piano DMS

Ogni collegamento ha il proprio metodo di trasferimento, DUA e requisito di audit. Mappare i flussi in un diagramma prima dell'apertura dello studio. Aggiornare il diagramma quando si aggiunge un nuovo core.

Quando i dati di ricerca diventano dati regolatori

Una readout di sperimentazione clinica che scatta un emendamento al protocollo o una segnalazione SUSAR sposta i dati di ricerca in territorio regolatorio. In quel momento, il trasferimento deve soddisfare il 21 CFR Parte 11 (per gli studi con FDA) e il Regolamento UE 536/2014, oltre alle protezioni della ricerca. La pipeline deve cambiare modalità — o, meglio, deve già soddisfare questi requisiti per tutti i trasferimenti, rendendo il cambio non necessario.

Il trasferimento dei dati della ricerca medica vive all'intersezione di open science, conformità regolatoria e ingegneria di rete pratica. Lo strumento giusto per un file di fenotipo da 10 MB è quello sbagliato per un BAM da 2 TB. Costruire un flusso di lavoro a strati che abbini ogni trasferimento al proprio canale appropriato, documentarlo nel piano DMS, e il resto è esecuzione attenta.