Varnost obdelovanih podatkov

Namen dokumenta

Ta dokument opisuje varnostne vidike obdelave podatkov v sistemu ARIA. Namenjen je pojasnitvi, kateri podatki se obdelujejo, kako so shranjeni, kdo lahko do njih dostopa in kateri ukrepi zmanjšujejo tveganje nepooblaščenega dostopa, izgube, spremembe ali razkritja podatkov.

Dokument opisuje delovanje aplikacije v obstoječi zasnovi. Za produkcijsko uporabo ga je treba uskladiti tudi z internimi politikami upravljavca, pogodbenimi obveznostmi, oceno tveganja in veljavno zakonodajo.

Opis sistema

ARIA je spletna aplikacija za nalaganje, upravljanje in pregled slikovnih preiskav v formatu DICOM. Deluje po principu klient-strežnik.

Uporabnik se v aplikacijo prijavi, sprejme pogoje uporabe in naloži slikovno gradivo. Naložene datoteke se shranijo v zaščiteno objektno shrambo. Administrator nato upravlja naložene preiskave, po potrebi uvozi ali poveže študije v DICOM arhiv PACS ter uporabnikom dodeli dostop do posameznih študij. Dodeljene študije uporabnik pregleduje prek spletnega pregledovalnika OHIF.

Sistem sestavljajo naslednje glavne storitve:

Vrste obdelovanih podatkov

V aplikaciji se obdelujejo naslednje vrste podatkov:

Shranjevanje podatkov

Vsi podatki so shranjeni na strežnikih podjetja STATA.si. Strežniki so locirani v Sloveniji in ne gostujejo na nobeni oblačni platformi, ne v Sloveniji ne v tujini.

Podatki se hranijo v nadzorovanem strežniškem okolju, kjer se izvajajo vzdrževanje, varnostne posodobitve in spremljanje delovanja sistemov. Za zagotavljanje razpoložljivosti in celovitosti podatkov se uporabljajo varnostne kopije ter postopki za obnovitev podatkov v primeru tehničnih napak ali drugih izrednih dogodkov.

Naložene datoteke se hranijo v objektni shrambi MinIO.

Aplikacijski podatki se hranijo v PostgreSQL. Mednje sodijo uporabniki, soglasja, evidence nalaganj, podatki o PACS študijah in dodelitve dostopa uporabnikom. PACS za DICOM arhiv uporablja PostgreSQL za indeks in hrambo DICOM objektov.

Shramba MinIO, PostgreSQL in PACS niso javno dostopni kot neposredne storitve za končne uporabnike. Dostop poteka prek aplikacijskega vmesnika in reverznega posrednika (reverse proxy), ki preverjata prijavo, vlogo uporabnika in dodeljene pravice.

Prenos podatkov

Prenos podatkov med uporabnikom in informacijskim sistemom mora poteka prek šifriranih povezav HTTPS/TLS. S tem se zmanjša tveganje prestrezanja ali nepooblaščenega vpogleda v podatke med prenosom.

Nalaganje slikovnega gradiva poteka prek prijavljenega uporabniškega sejnega konteksta. Backend sprejme naložene datoteke, jih shrani v MinIO in zapiše evidenco nalaganja. Dostop do API klicev se izvaja z žetonom, ki ga izda Keycloak.

Pri interni komunikaciji med storitvami se uporabljajo zasebne omrežne povezave znotraj strežniškega okolja. Izpostavljene so samo poti, ki so potrebne za delovanje spletne aplikacije, prijave, administracije in prikaza študij.

Prijava in pooblastila

Prijava v sistem je urejena prek Keycloak. Uporabniki se prijavijo z individualnim uporabniškim računom. Aplikacija ob API zahtevkih preverja veljavnost prijavnega žetona, izdajatelja, potek veljavnosti in pripadnost odjemalcu aplikacije.

Sistem ločuje navadne uporabnike in administratorje. Administrativni dostop temelji na vlogi admin v Keycloak. Administratorji imajo razširjene pravice za pregled nalaganj, upravljanje uporabnikov, iskanje študij v PACS, dodeljevanje dostopa do študij, izvoz podatkov in brisanje nalaganj.

Navaden uporabnik lahko dostopa samo do svojih nalaganj in do študij, ki so mu bile izrecno dodeljene. Dostop do študije v pregledovalniku OHIF je omejen s kratkotrajnim strežniškim žetonom oziroma piškotkom, ki velja omejen čas in je vezan na določeno študijo.

Nalaganje slikovnega gradiva

Pred nalaganjem mora biti uporabnik prijavljen in mora sprejeti trenutno veljavne pogoje uporabe. Ob nalaganju uporabnik potrdi kontaktni e-poštni naslov in vnese zahtevane spremne podatke, kot je indikacija oziroma napotna diagnoza.

Sistem shrani naložene datoteke v MinIO in o nalaganju zapiše evidenco v PostgreSQL. Administrator prejme obvestilo o novem nalaganju prek SMTP. Obvestilo lahko vsebuje podatke o uporabniku, identifikator nalaganja, pot v shrambi in uporabnikove spremne opombe.

Pred nadaljnjo obdelavo se izvede ustrezna kontrolo gradiva (preverjanje ustreznosti DICOM in drugega gradiva) in deidentifikacijo, kadar je to zahtevano. To izvede administrator.

DICOM arhiv in prikaz študij

DICOM študije se hranijo in upravljajo v PACS. PACS zagotavlja DICOM arhiv in DICOMweb dostop za pregledovalnik OHIF. OHIF je namenjen prikazu dodeljenih študij v spletnem brskalniku.

Dostop do OHIF in DICOMweb ni javen. Spletni strežnik za te poti uporablja preverjanje dostopa prek backend aplikacije. Backend preveri, ali ima uporabnik veljaven kratkotrajen dostopni žeton in ali se zahteva nanaša na študijo, za katero je bil dostop izdan. Uporabnik ne more odpreti poljubne študije samo z neposrednim poznavanjem URL-ja.

Administrator lahko išče študije v PACS in jih dodeli uporabnikom. Dodelitev je zapisana v aplikacijski bazi in predstavlja osnovo za uporabnikov dostop do študije.

Obdelava podatkov z modeli UI

Podatki študije se obdelujejo po spodnji shemi:

Shema obdelave podatkov v sistemu ARIA

Z aplikacijo v tem delu upravlja le administrator in je ta del aplikacije ločen od osnovne aplikacije za delo z uporabniki.

Komentar posameznih korakov

  1. PACS (DICOM Studies) predstavlja izvor radioloških preiskav. V tej implementaciji vlogo lokalnega PACS/DICOM arhiva opravlja Orthanc, ki hrani študije in jih prek DICOMweb posreduje OHIF pregledovalniku.
  2. Get Study Data pomeni nalaganje študije, serij, instanc in izbranih DICOM metapodatkov. Aplikacija pri tem ne pošilja celotne študije v AI kontekst samodejno, ampak frontend pripravi omejen povzetek metapodatkov in vzorčenih instanc.
  3. Indication (Clinical Context) je klinični kontekst, ki ga vnese uporabnik ob nalaganju svoje študije v sistem ali pa uporabniki naloži predhodno dokumentacijo v sistem.
  4. Protocol (Series Selection) se izvede ob kompleksnih študijah, kjer se pripravi načrt interpretacije kombinacije posameznih serij, kot so predvidene po protokolih slikanja.
  5. Visual Interpretation (AI Vision + Prior Reports) je AI podprta interpretacija izbranih slik in besedilnega konteksta. Model prejme samo tisto, kar aplikacija ali uporabnik vključi v zahtevek: izbrane slike, posnetke zaslona, sistemski poziv, klinično vprašanje, DICOM kontekst in morebitna predhodna poročila oziroma PDF besedilo.
  6. Generate Report (Editable report) pomeni pripravo osnutka poročila. Osnutek poročila se pripravi po vseh interpretacijah vizualnega gradiva. To poročilo se lahko v tem delu še popravlja.
  7. Store to PACS (Report / SEG / DICOM) pomeni shranjevanje potrjenega rezultata nazaj v DICOM okolje. Trenutna implementacija podpira shranjevanje poročila kot DICOM Encapsulated PDF v PACS. Workflow predvideva tudi možnost širših DICOM rezultatov, kot so segmentacije (SEG) ali drugi DICOM objekti, če so implementirani v nadaljnjem razvoju.

Deidentifikacija in psevdoanonimizacija

Pri varovanju zasebnosti upoštevamo principe deidentifikacije in psevdoanonimizacije podatkov.

Deidentifikacija pomeni odstranitev podatkov, ki bi lahko neposredno ali posredno razkrili identiteto posameznika. Psevdoanonimizacija pomeni zamenjavo identifikatorjev z umetnimi oznakami, pri čemer povezava z dejansko osebo ostane mogoča samo z ločeno hranjenim ključem.

To se izvede v naši aplikaciji pred prvim klicem AI modelov. In skozi celotni potek obdelave ostanejo podatki deindetificirani. Na koncu pri tvorbi končnega poročila, pa se deidentificirane vrednosti nadomestijo z dejanskimi podatki.

Aplikacija ima konfiguracijo za deidentifikacijo DICOM polj. Privzeto so med občutljivimi polji:

Način deidentifikacije je lahko:

V poteku priprave poročila se uporablja funkcije za čiščenje znanih občutljivih vrednosti iz uporabniškega besedila, zgodovine klepeta in PDF administrativnih podatkov.

Dodatno se pred vsakim klicem LLM-ja preveri, ali se katera od znanih občutljivih vrednosti pojavi v odhodnem payloadu. Če jo aplikacija najde, se zahtevek blokira in uporabniku prikaže sistemsko sporočilo.

Vizualna obdelava in slikovni podatki

Pri vizualni obdelavi se modelu vLLM pošljejo slike brez metapodatkov.

Aplikacija pri klicih validira osnovne lastnosti posnetkov, na primer data: URL, PNG/JPEG podpis, velikost in dimenzije. To pomaga preprečiti napačne ali pokvarjene slikovne payload-e, ne izvaja pa se preverjanje, ali slika vsebuje osebne podatke. Novejše študije DICOM takih podatkov neposredno na slikah ne vsebujejo več.

Priprava radiološkega poročila

Po končani vizualni intepretaciji in pogovoru z AI asistentom se lahko pripravi končno poročilo. Pri tvorbi končnega poročila se deidentificirane vrednosti nadomestijo z dejanskimi podatki.

Poročilo lahko še uredimo in shranimo v sistem PACS kot DICOM Encapsulated PDF objekt.

S tem je obdelava na ARIA strežniku končana.

Shranjevanje DICOM študije in generiranih poročil

Po obdelavi podatkov na ARIA strežniku in tvorbi končnega poročila se DICOM študija shrani na ARIA-strežnik in se prenese na PACS ARIA klienta. Prenos poteka po DICOMweb protokolu preko spletnih povezav in je šifriran.

Dostop do PACS strežnika ni mogoč navadinim uporabnikom, pač pa le administratorju.

PACS strežnika ARIA-klienta in ARIA-strežnika sta ločena in sta locirana na različnih lokacijah na lokalnih strežnikih STATA.si.

Generiranje sporočila uporabniku in dostop do svojih študij

Ko se DICOM podatki z generiranim poročilom prenesejo na PACS ARIA-klienta, se študija dodeli uporabniku in pošlje se sporočilo uporabniku, da lahko v ARIA-klientu dostopa do svoje študije.

Dodelitev študije uporabniku se zapiše v aplikacijsko bazo podatkov. Zapis vsebuje povezavo med uporabnikom in študijo ter predstavlja podlago za preverjanje dostopa v spletnem vmesniku. Uporabnik po prijavi v aplikacijo vidi samo tiste študije, ki so povezane z njegovim uporabniškim računom oziroma so mu bile izrecno dodeljene.

Obvestilo uporabniku se pošlje prek SMTP storitve na e-poštni naslov, ki je povezan z uporabniškim računom ali je bil potrjen v postopku nalaganja. Namen sporočila je uporabnika obvestiti, da je obdelava zaključena in da je študija na voljo za pregled. Sporočilo ne vsebuje slikovnih podatkov DICOM in ne vsebuje priponk z medicinsko dokumentacijo. Vsebina sporočila je omejena na nujne podatke za obveščanje, kot so informacija o zaključeni obdelavi, povezava do aplikacije in osnovni identifikatorji postopka, kadar so potrebni.

Dostop do študije poteka šele po prijavi uporabnika v ARIA-klient. Sama e-poštna povezava ne omogoča neposrednega dostopa do študije brez preverjene prijave in veljavnih pravic. Ob odpiranju študije backend preveri identiteto uporabnika, veljavnost seje in obstoj dodelitve študije. Če uporabnik ni prijavljen, če seja ni veljavna ali če študija ni dodeljena temu uporabniku, dostop ni dovoljen.

Za prikaz slikovnega gradiva se uporabniku izda kratkotrajen dostopni žeton oziroma sejni piškotek, ki je vezan na določeno študijo. S tem se omeji možnost dostopa do drugih študij ali ponovne uporabe povezave zunaj predvidenega uporabniškega konteksta. Dostop se izvaja prek aplikacijskega vmesnika in reverznega posrednika, zato PACS in DICOMweb storitve niso neposredno izpostavljene končnim uporabnikom.

Na ta način je uporabnikov dostop omejen na njegove lastne študije, sistem pa zagotavlja sledljivo dodelitev pravic, preverjanje prijave in zmanjšanje tveganja nepooblaščenega vpogleda v študije drugih uporabnikov.

Splošen povzetek varovanja podatkov in skladnost z GDPR

Sistem ARIA je zasnovan tako, da se osebni podatki in zdravstveni podatki obdelujejo samo za namen nalaganja, obdelave, pregleda, poročanja in dodeljevanja dostopa do slikovnih študij. Obdelava podatkov je omejena na uporabnike, administratorje in tehnične storitve, ki so potrebne za delovanje sistema.

Podatki se hranijo na lokalnih strežnikih podjetja STATA.si v Sloveniji. Sistem ne uporablja javnih oblačnih platform za hrambo podatkov. Dostop do podatkov je omejen z uporabniško prijavo, vlogami, preverjanjem dodeljenih pravic in tehničnimi omejitvami dostopa do PACS, MinIO, PostgreSQL in DICOMweb storitev.

Pri obdelavi se uporabljajo načela najmanjšega potrebnega obsega podatkov, omejitve dostopa, sledljivosti, deidentifikacije oziroma psevdoanonimizacije, kadar je to potrebno, ter šifriranega prenosa podatkov prek HTTPS/TLS. Uporabnik lahko dostopa samo do svojih nalaganj in do študij, ki so mu bile izrecno dodeljene. Administrativni dostop je omejen na pooblaščene administratorje.

Na podlagi opisanih tehničnih in organizacijskih ukrepov je sistem zasnovan skladno z zahtevami Splošne uredbe o varstvu podatkov (GDPR), zlasti z načeli zakonitosti, poštenosti in preglednosti obdelave, omejitve namena, najmanjšega obsega podatkov, točnosti, omejitve hrambe, celovitosti, zaupnosti in odgovornosti upravljavca.