Pwnc 4.10 — Amgylcheddau Data Diogel a Mynediad at Ddata Ymchwil

Ym maes iechyd a gofal, mae ailddefnyddio data cleifion yn ddiogel ar gyfer ymchwil a chynllunio yn dibynnu ar un egwyddor a enillwyd yn galed — dod â'r dadansoddwr at y data, byth y data at y dadansoddwr — a orfodir drwy amgylcheddau diogel, llywodraethiant haenog ac atebolrwydd cyhoeddus gweladwy.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Mae systemau iechyd a gofal yn dal peth o'r data hydredol cyfoethocaf am fywydau dynol a gasglwyd erioed: genedigaethau, diagnosisau, presgripsiynau, llawdriniaethau, marwolaethau, a'r amgylchiadau cymdeithasol o'u cwmpas. O'i ailddefnyddio'n dda, mae'r data hwnnw'n canfod meddyginiaethau mwy diogel, yn gweld gwasanaethau sy'n methu, yn targedu adnoddau prin, ac yn pweru darganfod triniaethau sy'n achub bywydau. O'i ailddefnyddio'n wael, mae'n torri hyder miliynau o bobl na ddewisodd erioed fod yn destunau data, yn erydu'r ymddiriedaeth y mae'r system gyfan yn rhedeg arni, ac — oherwydd bod ymddiriedaeth, unwaith y'i collir, yn araf i'w hailadeiladu — yn gosod yn ôl yr union ymchwil yr oedd i fod i'w galluogi.

Mae'r tensiwn yn strwythurol, nid damweiniol. Mae'r cyhoedd yn cefnogi'n gyson ddefnyddio eu data ar gyfer ymchwil er budd y cyhoedd, ac yr un mor gyson yn gwrthwynebu data'n gadael dalfa ddiogel, yn cael ei werthu heb atebolrwydd, neu'n llifo i ddwylo masnachol ar delerau na allant eu gweld. Mae arweinydd digidol yn eistedd yn union ar y llinell ddiffygiol honno. Gofynnir i chi ddatgloi gwerth o ddata (dyletswydd i gleifion sydd eto i'w geni, ac i'r pwrs cyhoeddus) tra'n dal dyletswydd cyfrinachedd yr un mor ddifrifol i'r bobl y mae'r data'n eu disgrifio.

Amgylcheddau Data Diogel (SDEs), a elwir hefyd yn Amgylcheddau Ymchwil Dibynadwy, yw'r ateb gweithredol y mae'r DU wedi cydgyfeirio arno. Maent yn newid y rhagosodiad o gopïo data allan i ymchwilwyr, tuag at ymchwilwyr yn dod i mewn i weithio ar ddata nad yw byth yn symud. Nid manylyn technegol yw hyn; dyma'r mecanwaith y mae'r system yn cadw addewid cyhoeddus drwyddo. Mae ei gael yn iawn yn gyfrifoldeb sy'n agos at ddiogelwch clinigol, tegwch ac ymddiriedaeth y cyhoedd (gweler Pwnc 1.8 — Moeseg Data, Caniatâd ac Ymddiriedaeth y Cyhoedd), ac mae'n gynyddol yn ddisgwyliad statudol, nid mater o ddisgresiwn lleol.

Cysyniadau craidd#

Mae Amgylchedd Data Diogel (SDE) — y term sy'n well gan bolisi'r GIG bellach — yn blatfform storio a dadansoddi lle mae ymchwilwyr cymeradwy yn cael mynediad at ddata cymeradwy at ddibenion cymeradwy, heb i'r data gael ei dynnu na'i gopïo allan. Yr enw hŷn a chyffredin yn rhyngwladol yw Amgylchedd Ymchwil Dibynadwy (TRE); mae'r ddau yn disgrifio'r un model. Y syniad llywodraethol yw dod â'r dadansoddwr at y data, nid y data at y dadansoddwr: mae cyfrifiadura'n digwydd y tu mewn i'r waliau, a dim ond canlyniadau wedi'u gwirio, cyfanredol sy'n gadael.

Y fframwaith sy'n strwythuro hyn yw'r Pum Diogel, a ddatblygwyd yn Swyddfa Ystadegau Gwladol y DU. Mae'n dadelfennu mynediad diogel at ddata'n bum dimensiwn: pobl ddiogel (a yw'r ymchwilwyr wedi'u hyfforddi, eu hachredu ac yn atebol?), prosiectau diogel (a yw'r defnydd hwn yn gyfreithlon, yn foesegol ac er budd y cyhoedd?), lleoliadau diogel (a yw'r amgylchedd yn atal gollyngiad?), data diogel (a yw'r data wedi'i leihau a'i ddad-adnabod i'r graddau y mae'r prosiect yn ei ganiatáu?), ac allbynnau diogel (a yw'r canlyniadau'n cael eu gwirio cyn eu rhyddhau fel na ellir adnabod unrhyw unigolyn?). Nid yw'r un rheolaeth sengl yn ddigonol; mae diogelwch yn gynnyrch pob un o'r pump.

Mae dwy ddisgyblaeth yn amddiffyn y data ei hun. Mae lleihau data yn golygu darparu dim ond y meysydd a'r cofnodion sydd eu hangen ar brosiect mewn gwirionedd, byth y cofnod cyfan "rhag ofn". Dad-adnabod yw'r term ymbarél ar gyfer lleihau gallu data i adnabod. O'i fewn, mae ffugenwi yn disodli dynodwyr uniongyrchol (enw, Rhif GIG) â thocyn sy'n gysylltiedig ag allwedd, fel mai dim ond drwy ddal yr allwedd ar wahân y mae ail-adnabod yn bosibl — mae'r data'n parhau'n ddata personol yn y gyfraith. Nod dienwi yw gwneud data'n ddata nad yw'n bersonol mwyach o gwbl, sy'n llawer anoddach nag y mae'n swnio, oherwydd mae ail-adnabod — paru data tybiedig ddienw yn erbyn setiau data eraill i ddatgelu pwy yw rhywun — yn dod yn haws wrth i fwy o ddata fodoli yn y byd. Mae dienwi gwirioneddol data clinigol cyfoethog yn aml yn amhosibl; dyna'n union pam mae'r model SDE yn bodoli.

Cyn i ganlyniadau adael yr amgylchedd, maent yn pasio gwirio allbynnau, y porth dynol a gweithdrefnol sy'n cymhwyso rheoli datgeliad ystadegol — technegau sy'n atal cyfrifon celloedd bach, allgleifion unigryw neu ymosodiadau gwahaniaethu rhag datgelu unigolion. Gelwir y porth yn aml yn gloeon aer: mae canlyniadau'n mynd i ardal ddal, mae gwiriwr hyfforddedig yn eu hadolygu, a dim ond allbynnau wedi'u clirio sy'n pasio i'r ymchwilydd. Mae technegau preifatrwydd newydd fel preifatrwydd gwahaniaethol, sy'n ychwanegu sŵn ystadegol wedi'i galibro i rwymo'r hyn y mae unrhyw un cofnod yn ei gyfrannu at ganlyniad, yn ategu'r rheolaeth ddynol hon yn hytrach na'i disodli.

Mae dau gysyniad pellach yn llunio'r dyfodol. Mae dysgu ffederal a dadansoddeg ffederal yn gadael i ymholiad neu fodel redeg ar draws sawl SDE, pob un yn dal ei ddata ei hun, fel bod mewnwelediadau'n cael eu cyfuno heb i unrhyw ddata crai gael ei gronni — y cam nesaf naturiol ar gyfer rhwydwaith cenedlaethol dosbarthedig. A thrwydded gymdeithasol — y caniatâd anffurfiol, parhaus gan y cyhoedd y mae rhaglen ddata'n gweithredu oddi tano — yw'r ased anniriaethol y mae'r holl beirianwaith uchod yn bodoli i'w ddiogelu. Y stori rybuddiol yw care.data, rhaglen GIG Lloegr 2013–2016 i dynnu data meddygon teulu, a roddwyd heibio ar ôl iddi fethu esbonio ei hun i'r cyhoedd a cholli eu hyder.

Arferion gorau#

1. Gwnewch yr amgylchedd, nid yr allforio, yn rhagosodiad. Y penderfyniad dylunio pwysicaf yw nad yw data'n gadael. Darparwch gyfrifiadura, offer a setiau data wedi'u curadu i ymchwilwyr y tu mewn i'r SDE, a thynnwch y llwybrau yr arferai data ddiferu allan drwyddynt — lawrlwythiadau swmp, echdyniadau a anfonwyd mewn e-bost, taenlenni wedi'u copïo. Mae pob cytundeb rhannu data etifeddol sy'n gorffen â chopi'n gadael yr adeilad yn rhwymedigaeth y dylech fod yn ei hymddeol yn weithredol o blaid mynediad yn y fan a'r lle.

2. Gweithredwch bob un o'r Pum Diogel, nid dim ond y dechnoleg. Mae'n demtasiwn prynu platfform diogel a datgan bod y broblem wedi'i datrys, ond mae lleoliad caled â gwirio prosiectau gwan neu ddim gwirio allbynnau yn doriad yn aros i ddigwydd. Adeiladwch brosesau penodol, wedi'u tystiolaethu ar gyfer pob diogel: achredu a hyfforddi ymchwilwyr, barn annibynnol ar a yw prosiect yn gyfreithlon ac er budd y cyhoedd, darparu data wedi'i leihau a'i ddad-adnabod, a gwirio allbynnau disgybledig. Trinwch y pump fel system lle mae'r ddolen wannaf yn gosod eich lefel wirioneddol o ddiogelwch.

3. Lleihewch a dad-adnabyddwch i'r adnabyddadwyedd isaf y gall y prosiect ei oddef. Peidiwch â throsglwyddo'r cofnod cyfan pan fyddai carfan a dwsin o feysydd yn ateb y cwestiwn. Ffugenwch ddynodwyr uniongyrchol yn ddiofyn, stripiwch neu fras-wnewch lled-ddynodwyr fel cod post llawn a dyddiad geni manwl gywir, a neilltuwch fynediad at ddata mwy adnabyddadwy ar gyfer y prosiectau prin sydd ei angen yn wirioneddol, dan gymeradwyaeth fwy llym. Cofiwch fod data ffugenwedig yn dal i fod yn ddata personol yn y gyfraith (gweler Pwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch), felly rheolaethau'r SDE, nid honiad o ddienwi, sy'n eich cadw'n gyfreithlon.

4. Rhowch gloeon aer go iawn a gwirwyr allbynnau hyfforddedig rhwng canlyniadau a rhyddhau. Yr eiliad o'r risg uchaf yw pan fydd rhywbeth yn gadael yr amgylchedd. Cyfeiriwch bob allbwn drwy ardal ddal lle mae gwiriwr hyfforddedig yn cymhwyso rheoli datgeliad ystadegol — atal celloedd bach, talgrynnu, a gwylio am wahaniaethu ar draws ceisiadau olynol ymchwilydd — cyn i unrhyw beth gyrraedd y tu allan. Adnoddwch hyn yn briodol: gwaith medrus yw gwirio allbynnau, ac mae ôl-groniad sy'n temtio pobl i "ei e-bostio" yn trechu'r model cyfan.

5. Gwnewch gymeradwyaeth llywodraethiant gwybodaeth yn drylwyr, yn annibynnol ac yn ddigon cyflym i'w defnyddio. Dylai mynediad ddibynnu ar farn annibynnol bod y prosiect yn gyfreithlon ac er budd y cyhoedd, drwy bwyllgor mynediad data fel arfer a, lle defnyddir gwybodaeth gyfrinachol am gleifion heb ganiatâd, y Grŵp Cynghori ar Gyfrinachedd (CAG) yn cynghori ar gymorth adran 251 o dan y rheoliadau perthnasol. Nid yw trylwyredd a chyflymder yn wrthgyferbyniol: mae pwyllgor tryloyw, â staff da a meini prawf clir yn cymeradwyo prosiectau da yn gyflymach ac yn gwrthod rhai gwael yn fwy amddiffynadwy nag un cuddiedig, araf. Mae proses mor araf nes bod ymchwilwyr yn mynd o'i chwmpas yn fethiant llywodraethiant, nid llwyddiant llywodraethiant.

6. Enillwch a chadwch drwydded gymdeithasol drwy dryloywder radical. Gwers care.data yw nad yw cyfreithlon yr un peth â bod yn ddibynadwy. Cyhoeddwch gofrestr defnyddiau data sy'n dangos pwy gafodd fynediad at ba ddata, at ba ddiben, a chyda pha ganlyniad; cynhaliwch ymgysylltu cyhoeddus a chleifion go iawn yn y modd y llywodraethir yr SDE; a chynigiwch optio allan data cenedlaethol clir, parchus. Nid ôl-ystyriaeth gyfathrebu wedi'i hychwanegu wrth lansio yw tryloywder — dyma'r amod gweithredu sy'n gadael i'r fenter gyfan barhau (gweler Pwnc 1.8 — Moeseg Data, Caniatâd ac Ymddiriedaeth y Cyhoedd).

7. Dyluniwch ar gyfer ffederasiwn ar draws y rhwydwaith SDE, nid un ardd furiog. Model Lloegr yw SDE cenedlaethol ochr yn ochr ag SDEs is-genedlaethol achrededig, ac mae ymchwil yn gynyddol angen cyfuno data na ellir ei gronni'n gyfreithlon. Mabwysiadwch safonau cyffredin, modelau data wedi'u curadu ac offer rhyngweithredol fel y gall prosiect, mewn amser, redeg ymholiadau ffederal neu hyfforddi modelau ar draws amgylcheddau tra bo'r data crai'n aros yn ei le ym mhob un (gweler Pwnc 4.3 — Rhyngweithredu a Safonau Data). Mae adeiladu amgylchedd pwrpasol, ynysig na all ryngweithredu yn ben marw strategol, pa mor dda bynnag y mae'n edrych yn lleol.

8. Llywodraethwch fynediad masnachol yn benodol, â gwerth yn llifo'n ôl. Mae mynediad diwydiant at ddata'r GIG yn gyfreithlon ac yn aml yn hanfodol ar gyfer datblygu triniaethau a thechnolegau, ond dyma lle mae amheuaeth y cyhoedd yn crynhoi. Gosodwch reolau clir: mae'r un rheolaethau SDE yn berthnasol i ddefnyddwyr masnachol ag i academyddion, mae cytundebau'n dryloyw ac wedi'u cyhoeddi, ac mae'r cyhoedd yn cael gwerth teg yn gyfnewid — boed hynny mewn pris, mynediad at yr arloesedd canlyniadol, neu ail-fuddsoddi yn y seilwaith data. Peidiwch byth â gadael i "bartneriaeth fasnachol" ddod yn ewffemiaeth ar gyfer data'n gadael dalfa ddiogel ar delerau tawel (gweler Pwnc 6.3 — Caffael a Masnachol).

Cwestiynau i'w trafod gyda'ch tîm#

1. Pan ddywedwn fod ein data wedi'i "ddad-adnabod", pa risg ail-adnabod rydym yn ei derbyn mewn gwirionedd — a phwy a lofnododd y farn honno? Mae hyn yn bwysig oherwydd bod "dienw" yn cael ei ddefnyddio'n llac i olygu popeth o ddata gwirioneddol anbersonol i gofnodion wedi'u ffugenwi'n ysgafn y gallai dadansoddwr penderfynol eu hail-adnabod drwy gysylltu â ffynonellau eraill. Dadleuwch y manylion: pa led-ddynodwyr sy'n parhau (manylder cod post, dyddiadau, diagnosisau prin), pa setiau data allanol y gallai ymosodwr gysylltu yn eu herbyn yn realistig, ac ai'r SDE ei hun neu label optimistaidd yw eich rheolaethau. Ystyriwch nad yw data clinigol hydredol cyfoethog yn aml yn wirioneddol ddienwadwy, sy'n golygu mai rheolaethau'r amgylchedd — nid y trawsnewid data — sy'n eich gwneud yn gyfreithlon ac yn ddiogel. Codwch pwy sy'n berchen ar yr asesiad risg hwn: person atebol a enwir yn cymhwyso methodoleg ddogfenedig, neu dybiaeth heb ei harchwilio a etifeddwyd o hen gytundeb rhannu data. Mae ateb da, gonest yn datgan y risg ail-adnabod weddilliol mewn termau plaen, yn ei chlymu wrth reolaethau penodol, ac yn enwi'r person atebol am y farn yn hytrach na chuddio y tu ôl i'r gair "dienw".

2. Sut y byddem yn esbonio mynediad data penodol i glaf amheus ar dudalen flaen papur newydd — ac a fyddai'r esboniad yn goroesi? Nid methiant technegol yn bennaf oedd cwymp care.data; roedd yn fethiant i esbonio ac i ennill ymddiriedaeth. Cymerwch fynediad go iawn neu realistig — cwmni fferyllol yn rhedeg astudiaeth yn eich SDE — a chwaraewch y sgwrs gyhoeddus: pa ddata, pam, pwy sy'n elwa, beth mae'r cwmni'n ei gael, beth mae'r cyhoedd yn ei gael yn ôl, a sut y gall rhywun optio allan. Dadleuwch ble mae eich tryloywder presennol yn denau: a oes cofrestr defnyddiau data cyhoeddus, a yw mynediad masnachol yn weladwy, a yw cleifion yn gwybod bod yr optio allan yn bodoli ac iddo gael ei anrhydeddu? Ystyriwch y gwahaniaeth rhwng amddiffynadwy-am-ei-fod-yn-gyfreithlon ac amddiffynadwy-am-ei-fod-yn-ddibynadwy, a byddwch yn onest bod yr ail yn anoddach ac yn fwy bregus. Mae ateb cryf yn cynhyrchu cyfrif clir, heb jargon y byddai claf yn ei ystyried yn rhesymol, ac yn nodi'r bylchau tryloywder penodol y byddai angen i chi eu cau cyn y gallech ei roi â wyneb syth.

3. A yw ein llywodraethiant yn ddigon cyflym ac annibynnol fel bod ymchwilwyr da yn ei ddefnyddio yn hytrach na mynd o'i gwmpas? Mae tensiwn go iawn rhwng trylwyredd a mynediad: llywodraethwch yn rhy llac a byddwch yn bradychu ymddiriedaeth y cyhoedd; llywodraethwch yn rhy araf a bydd ymchwilwyr naill ai'n rhoi'r gorau iddi (gwerth cyhoeddus a gollir) neu'n canfod datrysiadau dros dro anffurfiol (rheolaeth a gollir yn llwyr). Trafodwch eich amserlenni gwirioneddol o gais i fynediad data, ble mae'r tagfeydd (llywodraethiant gwybodaeth, CAG, peirianneg data, gwirio allbynnau), ac a oes gan eich pwyllgor mynediad data feini prawf clir cyhoeddedig neu a yw'n penderfynu fesul achos mewn ffyrdd na all ymgeiswyr eu rhagweld. Archwiliwch annibyniaeth yn onest: a yw rhywun â'r awdurdod i ddweud na yn ei ddweud mewn gwirionedd, neu a yw pwysau masnachol neu sefydliadol yn gwneud cymeradwyaeth yn ffurfioldeb? Ystyriwch y dull methu lle mae proses araf yn gwthio gwaith i gorneli heb eu llywodraethu, sy'n waeth na phroses gyflym, dryloyw. Mae ateb da yn enwi amseroedd cylch go iawn, yn gwahaniaethu rhwng trylwyredd ac oedi syml, ac yn ymrwymo i welliannau penodol sy'n cyflymu mynediad heb wanhau'r farn annibynnol yn y canol.

4. Pan fydd partner masnachol yn gweithio yn ein SDE, pa werth teg sy'n llifo'n ôl i'r cyhoedd — ac a allwn ei ddangos? Mae mynediad diwydiant yn gyfreithlon ac yn aml yw'r unig lwybr i droi data'n driniaethau, ond dyma'n union lle mae amheuaeth y cyhoedd yn crynhoi, oherwydd yr ofn yw bod ased cyhoeddus yn cael ei drosglwyddo i ddwylo preifat ar delerau tawel. Dadleuwch beth mae "gwerth teg" yn ei olygu'n goncrid i'ch sefydliad: pris ffafriol ar y cynnyrch canlyniadol, mynediad gwarantedig at yr arloesedd ar gyfer eich poblogaeth, ail-fuddsoddi yn y seilwaith data, neu arian parod yn syml — a phwy sy'n penderfynu pa un. Archwiliwch a yw'r un rheolaethau SDE yn berthnasol yn wirioneddol i ddefnyddwyr masnachol ag i academyddion, neu a yw cwmni sydd â llawer o adnoddau'n cael llwybr llyfnach yn dawel. Gofynnwch a yw'r cytundeb a'i delerau rhannu gwerth wedi'u cyhoeddi, neu'n cael eu trafod fesul achos y tu ôl i ddrysau caeedig lle na all neb eu gwirio. Mae ateb gonest yn enwi'r gwerth a ddychwelodd eich trefniant masnachol diwethaf, yn datgan ble aeth y gwerth hwnnw, ac yn cyfaddef ble mae "partneriaeth fasnachol" mewn perygl o ddod yn ewffemiaeth ar gyfer mynediad breintiedig heb atebolrwydd.

5. A yw'r data yn ein hamgylchedd — a'r ymchwil y mae'n ei alluogi — yn cynrychioli'r boblogaeth gyfan, neu dim ond y rhannau ohoni sydd hawsaf i'w cipio? Dyletswydd yw tegwch, nid ôl-ystyriaeth: os yw'r data'n tangynrychioli rhai grwpiau (pobl sy'n defnyddio gwasanaethau'n llai, sy'n cael eu cofnodi'n llai cyflawn, neu'n optio allan ar gyfraddau uwch), yna bydd ymchwil a adeiladwyd arno'n gweithio'n llai da i'r union grwpiau hynny, gan ehangu anghydraddoldebau iechyd yn dawel dan len o dystiolaeth. Trafodwch pa boblogaethau sy'n denau neu ar goll yn eich data, sut mae arferion codio a chofnodi'n gwyro'r hyn a gipir, ac a yw cyfraddau optio allan uchel mewn cymunedau penodol yn erydu cynrychioldeb mewn ffyrdd nad oes neb yn eu tracio. Ystyriwch y tensiwn y gall gwella cynhwysiant dynnu yn erbyn lleihau data ac yn erbyn ymddiriedaeth grwpiau sydd â rhesymau hanesyddol da dros fod yn ofalus. Meddyliwch pwy sy'n adolygu allbynnau prosiectau am effaith wahaniaethol, ac a yw "budd y cyhoedd" yn eich penderfyniadau mynediad byth yn gofyn yn benodol budd i bwy. Mae ateb cryf yn nodi bylchau cynrychiolaeth concrid, yn enwi'r risg tegwch mewn ymchwil gyfredol neu arfaethedig, ac yn ymrwymo i fonitro budd a chynhwysiant yn hytrach na thybio bod set ddata fawr yn un deg.

6. A ydym yn sicr mai'r SDE yw'r unig lwybr y mae data'n ei adael — neu a yw allforion etifeddol yn parhau'n dawel ochr yn ochr ag ef? Dim ond os daw'n unig ddrws y mae amgylchedd diogel yn cyflawni ei addewid; mae pob cytundeb dwyochrog sy'n goroesi, echdyniad a anfonwyd mewn e-bost neu daenlen wedi'i chopïo yn llwybr sy'n osgoi pob rheolaeth a adeiladwyd gennych, ac mae'r trefniadau hyn yn enwog am oroesi cof pwy a'u llofnododd. Trafodwch a oes unrhyw un yn dal rhestr fyw o gytundebau rhannu data presennol, ble mae copïau o ddata'n eistedd ar hyn o bryd y tu allan i'ch waliau, a phwy sy'n berchen ar y gwaith bwriadol o'u hymddeol. Archwiliwch y cymhellion anghyfforddus: mae allforion yn gyflym ac yn gyfarwydd, ac efallai y bydd ymchwilwyr a thimau mewnol yn well ganddynt yr hen lwybr tra'n talu gwrogaeth eiriol i'r un newydd. Ystyriwch fod SDE gloyw wedi'i lansio ar ben stad allforio heb ei hymddeol yn sicrwydd ffug, nid problem a ddatryswyd. Mae ateb gonest yn datgan faint o allforion etifeddol sy'n dal i fodoli, yn enwi'r cynllun a'r perchennog ar gyfer eu cau, ac yn onest ynghylch pa rai sy'n profi anoddaf i'w diffodd a pham.

Yn ymarferol: enghraifft iechyd a gofal#

Mae System Gofal Integredig Fenwater yn rhychwantu tair ymddiriedolaeth acíwt, gwasanaethau cymunedol ac iechyd meddwl, a thua naw deg o bractisau meddygon teulu. Mae ei dadansoddwyr wedi dibynnu ers tro ar echdyniadau data pwrpasol — ffeiliau wedi'u ffugenwi a gopïwyd i weinyddion partner ymchwil o dan gytundebau dwyochrog — ac mae'r tîm llywodraethiant gwybodaeth wedi poeni'n dawel am flynyddoedd am ble mae'r copïau hynny'n eistedd erbyn hyn. Pan fydd polisi SDE GIG Lloegr yn gwneud mynediad yn y fan a'r lle yn ddisgwyliad, mae bwrdd Fenwater yn penderfynu sefydlu Amgylchedd Data Diogel Fenwater fel SDE is-genedlaethol achrededig yn hytrach na pharhau i lofnodi cytundebau allforio.

Mae'r rhaglen yn dechrau nid gyda thechnoleg ond â'r Pum Diogel. Mae Fenwater yn diffinio achredu ymchwilwyr a hyfforddiant gorfodol (pobl ddiogel); yn sefydlu pwyllgor mynediad data, ag aelodau lleyg a chadeirydd annibynnol, sy'n asesu pob prosiect am gyfreithlondeb a budd cyhoeddus ac yn cyfeirio achosion data cyfrinachol am gyngor adran 251 (prosiectau a lleoliadau diogel); yn adeiladu model data wedi'i guradu, wedi'i leihau lle mae dynodwyr uniongyrchol wedi'u ffugenwi a chodau post wedi'u bras-wneud i'r rhan gyntaf yn unig (data diogel); ac yn cyflogi ac yn hyfforddi dau wiriwr allbynnau i redeg y gloeon aer (allbynnau diogel). Yn hollbwysig, mae'n cyhoeddi cofrestr defnyddiau data cyhoeddus o'r diwrnod cyntaf ac yn cynnull panel cleifion sefydlog i graffu ar lywodraethiant.

Y prawf go iawn cyntaf yw cais gan gwmni diagnostig i astudio marcwyr cynnar canser ar draws pum mlynedd o ddata patholeg a delweddu. O dan yr hen fodel byddai hyn wedi bod yn allforio arall. Nawr mae dadansoddwyr y cwmni wedi'u hachredu, caiff eu prosiect ei asesu am fudd cyhoeddus a'i gymeradwyo ag amodau, ac maent yn gweithio'n gyfan gwbl y tu mewn i'r SDE — nid oes data crai'n gadael. Mae eu hallbynnau ystadegol yn pasio drwy'r gloeon aer, lle mae gwiriwr yn atal sawl cyfrif cell fach a fyddai wedi neilltuo cleifion â his-fath prin. Cyhoeddir y cytundeb masnachol ar y gofrestr, gan gynnwys ymrwymiad y cynigir unrhyw brawf canlyniadol i'r ICS ar delerau ffafriol.

Ddeunaw mis yn ddiweddarach, mae Fenwater yn ymddeol y cytundeb allforio etifeddol olaf. Mae cais dilynol angen data y mae Fenwater yn ei ddal wedi'i gyfuno â chofnodion ICS cyfagos; yn hytrach na chopïo'r naill set ddata na'r llall, mae'r ddau SDE achrededig yn peilota ymholiad ffederal fel bod y dadansoddiad yn rhedeg yn y ddau amgylchedd a dim ond canlyniadau cyfanredol yn cael eu cyfuno. Pan fydd newyddiadurwr lleol yn gofyn pwy sydd wedi bod yn defnyddio data cleifion, mae'r ICS yn pwyntio at ei chofrestr gyhoeddus. Roedd y gwaith yn arafach i'w adeiladu nag e-bostio taenlen — ond fe drodd arfer allforio pryderus, anweledig yn ased cyhoeddus amddiffynadwy, tryloyw.

Golwg drwy wahanol sectorau#

Busnes newydd#

Anaml y mae busnes newydd technoleg iechyd yn adeiladu ei SDE ei hun; mae'n ddefnyddiwr un rhywun arall, a rhaid i'w ffyrdd o weithio dybio'r amgylchedd, nid yr allforio. Dyluniwch eich piblinellau dadansoddeg a hyfforddi modelau i redeg y tu mewn i TRE yn erbyn data na allwch ei lawrlwytho, oherwydd mai dyna fwyfwy'r unig lwybr cyfreithlon at ddata'r GIG ar raddfa — a bydd ysbyty neu ICS yn asesu eich aeddfedrwydd llywodraethiant cyn gadael i chi i mewn. Cyllidebwch yn realistig ar gyfer achredu, ar gyfer cyflymder arafach gwaith yn y fan a'r lle, ac ar gyfer gwirio allbynnau a fydd yn dal yn ôl ganlyniadau y disgwyliech eu cymryd i ffwrdd. Nid mynediad breintiedig at ddata crai yw eich mantais gystadleuol (mae'r oes honno'n dod i ben) ond y gallu i gynhyrchu mewnwelediad credadwy, cyhoeddadwy o fewn y cyfyngiadau, ac i fod yn dryloyw ynghylch yr hyn a wnaethoch â'r mynediad a roddwyd i chi.

Busnes bach#

Mae darparwr neu gyflenwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, clinig un safle, neu werthwr dadansoddeg bach sydd wedi pasio'r cam busnes newydd — yn llawer amlach yn rheolwr data â dyletswyddau nag yn ddarpar ymchwilydd, ac ni fydd byth yn rhedeg ei SDE ei hun. Ei dasg ymarferol yw gwrthsefyll yr hen arfer o gopïo echdyniadau wedi'u ffugenwi i liniadur partner neu daenlen, a mynnu yn lle hynny fod unrhyw ddefnydd eilaidd o ddata ei gleifion yn digwydd y tu mewn i amgylchedd achrededig y gall bwyntio ato a bod yn atebol amdano. Heb staff llywodraethiant gwybodaeth pwrpasol, pwyswch ar SDEs a rennir a rhanbarthol, eich swyddog diogelu data neu ICB, a thelerau rhannu data templed yn hytrach na thrafod trefniadau pwrpasol na allwch eu craffu'n iawn. Gwyddoch fod yr optio allan data cenedlaethol a'r ddyletswydd cyfrinachedd yn berthnasol i chi'n llawn, waeth beth fo'r maint, felly'r ystum mwyaf diogel yw cyfeirio ceisiadau am eich data tuag at SDE wedi'i lywodraethu a gwrthod allforion anffurfiol, hyd yn oed pan fydd ymchwilydd lleol dibynadwy'n gofyn yn garedig.

Menter fawr#

Mae ymddiriedolaeth fawr y GIG, ICS neu gwmni fferyllol yn gweithredu SDEs ar raddfa ac ar draws llawer o brosiectau cyfamserol, felly ei her yw trwybwn heb golli rheolaeth. Y nod realistig yw amgylchedd achrededig â phrosesau diwydiannol — pwyllgorau mynediad data sefydlog, model data wedi'i guradu a'i leihau, gwirio allbynnau wedi'i adnoddi, a chofrestr defnyddiau gyhoeddedig — nid platfform pwrpasol fesul prosiect. Ymgorfforwch yr SDE mewn telerau caffael a phartneriaeth fel bod mynediad masnachol yn llifo drwyddo yn ddiofyn a bod rhannu gwerth yn gytundebol yn hytrach na'i drafod ad hoc (gweler Pwnc 6.4 — Llywodraethiant a Sicrwydd). Ar y raddfa hon y risgiau mwyaf yw piblinell llywodraethiant araf sy'n gwthio ymchwilwyr tuag at ddatrysiadau dros dro, a chytundebau allforio etifeddol sy'n parhau'n dawel ochr yn ochr â'r amgylchedd newydd sgleiniog; ymddeolwch hwy'n fwriadol.

Llywodraeth#

Mae corff cenedlaethol — GIG Lloegr, y gweinyddiaethau iechyd datganoledig, Awdurdod Ystadegau'r DU — yn gosod y rheolau y mae pawb arall yn gweithio o'u mewn, a'i ddylanwad yw safonau, achredu ac ymddiriedaeth y cyhoedd. Mae'n diffinio polisi SDE, yn achredu amgylcheddau is-genedlaethol, yn rhedeg SDE cenedlaethol, ac — yn dilyn argymhellion "Better, broader, safer" Adolygiad Goldacre — yn gwthio tuag at nifer llai o amgylcheddau wedi'u llywodraethu'n dda, rhyngweithredol yn hytrach na channoedd o lifoedd data heb eu rheoli. Ei ddyletswydd anoddaf a phwysicaf yw stiwardio trwydded gymdeithasol yn genedlaethol: anrhydeddu'r optio allan data cenedlaethol, mynnu tryloywder ynghylch mynediad masnachol, a sicrhau bod y cyhoedd yn gweld gwerth teg yn dychwelyd am ddefnyddio ased cyhoeddus (gweler Pwnc 9.2 — Iechyd Digidol Byd-eang a Rhyngwladol). Mae'r llywodraeth hefyd yn dal y ddyletswydd tegwch — bod ymchwil sy'n defnyddio'r data hwn o fudd i'r boblogaeth gyfan, nid dim ond y grwpiau a gynrychiolir orau ynddo.

Ffyrdd cyffredin o fethu#

• Yr allforio na ddaeth byth i ben mewn gwirionedd. Mae SDE newydd sgleiniog yn lansio tra bod hen gytundebau rhannu data'n parhau'n dawel i gopïo data allan y cefn. Rhestrwch ac ymddeolwch allforion etifeddol yn fwriadol; dim ond os daw'n unig lwybr y mae'r amgylchedd yn helpu.
• "Dienw" fel gair cysur. Nid yw galw data clinigol cyfoethog yn ddienw yn ei wneud felly; mae risg ail-adnabod yn aml yn real ac yn codi. Aseswch a dogfennwch y risg weddilliol wirioneddol a dibynnwch ar reolaethau'r amgylchedd, nid y label.
• Technoleg heb lywodraethiant. Mae platfform diogel â gwirio prosiectau gwan neu ddim gwirio allbynnau yn doriad yn aros i ddigwydd. Rhaid i bob un o'r Pum Diogel fod yn weithredol, nid dim ond y lleoliad.
• Y gloeon aer sy'n gollwng. Mae gwirio allbynnau heb ddigon o adnoddau'n creu ôl-groniadau, ac mae ôl-groniadau'n creu pwysau i osgoi'r gloeon aer. Staffiwch ef fel gwaith medrus, gwerthfawr â throsiant cyraeddadwy.
• Llywodraethiant mor araf fel y mae'n cael ei osgoi. Mae proses gymeradwyo guddiedig, misoedd o hyd yn gwthio ymchwilwyr da i ddatrysiadau dros dro anffurfiol — y gwaethaf o'r ddau fyd. Gwnewch gymeradwyaeth yn annibynnol ac yn ddigon cyflym i'w defnyddio.
• Cytundebau masnachol tawel. Mynediad diwydiant a drefnwyd ar delerau heb eu cyhoeddi yw'r ffordd gyflymaf o golli ymddiriedaeth y cyhoedd, pa mor gyfreithlon bynnag. Cymhwyswch yr un rheolaethau i ddefnyddwyr masnachol a chyhoeddwch y trefniadau.
• Tryloywder fel theatr diwrnod lansio. Nid trwydded gymdeithasol yw ymgyrch gyhoeddus un-tro; mae cofrestr defnyddiau data a gynhelir ac ymgysylltu cyhoeddus gwirioneddol. Care.data yw'r nodyn atgoffa parhaol bod ymddiriedaeth yn amod gweithredu, nid digwyddiad lansio.

Model aeddfedrwydd#

Rhestr wirio#

• Mynediad yn y fan a'r lle drwy'r SDE yw'r rhagosodiad; caiff allforion data etifeddol eu rhestru a'u hymddeol.
• Gweithredir pob un o'r Pum Diogel â phrosesau wedi'u tystiolaethu, nid dim ond platfform diogel.
• Caiff data ei leihau a'i ddad-adnabod i'r adnabyddadwyedd isaf y gall pob prosiect ei oddef, â ffugenwi yn ddiofyn.
• Asesir a dogfennir risg ail-adnabod gan berchennog atebol a enwir, nid ei thybio o label "dienw".
• Mae pob allbwn yn pasio drwy gloeon aer lle mae gwirwyr hyfforddedig yn cymhwyso rheoli datgeliad ystadegol cyn ei ryddhau.
• Mae pwyllgor mynediad data annibynnol yn cymeradwyo prosiectau yn erbyn meini prawf cyhoeddedig, â llwybr CAG / adran 251 ar gyfer data cyfrinachol.
• Mesurir a chyhoeddir amserlenni llywodraethiant, ac maent yn ddigon cyflym fel bod ymchwilwyr yn defnyddio'r broses yn hytrach na mynd o'i chwmpas.
• Mae cofrestr defnyddiau data cyhoeddus yn dangos pwy gafodd fynediad at ba ddata, at ba ddiben, a chyda pha ganlyniad.
• Anrhydeddir yr optio allan data cenedlaethol a chyfathrebir ei fodolaeth yn glir i gleifion.
• Mae mynediad masnachol yn rhedeg drwy'r un rheolaethau SDE, wedi'i gyhoeddi, ac yn dychwelyd gwerth teg i'r cyhoedd.
• Mae'r amgylchedd yn mabwysiadu safonau cyffredin fel y gall ryngweithredu ac, mewn amser, gefnogi dadansoddeg ffederal ar draws SDEs.

Prif ffynonellau#

• NHS England — Secure Data Environment (SDE) policy guidelines and the national and sub-national SDE network.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (the Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — the Five Safes framework for safe data access.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — principles and standards for Trusted Research Environments.
• Health Research Authority — Confidentiality Advisory Group (CAG) and section 251 support for the use of confidential patient information without consent.
• UK Statistics Authority — accreditation and the safe use of data for research and statistics.
• Information Commissioner's Office — guidance on anonymisation, pseudonymisation and data minimisation under UK GDPR.

Cyfeiriadau#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/