Pwnc 1.8 — Moeseg Data, Caniatâd ac Ymddiriedaeth y Cyhoedd

Ym maes iechyd a gofal, mae'r gyfraith yn dweud wrthych beth y gallwch ei wneud â data, ond mae ymddiriedaeth y cyhoedd yn dibynnu ar a ddylech — ac unwaith y bydd pobl yn credu bod eu gwybodaeth yn cael ei defnyddio y tu ôl i'w cefnau, maent yn ei hatal, yn dewis peidio â rhannu, neu'n osgoi gofal, felly nid ychwanegiadau meddal yw moeseg ac ymgysylltu gonest ond yr amodau y gellir defnyddio data odanynt o gwbl.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Mae Pwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch yn ymdrin â'r gyfraith a'r rheolaethau technegol: seiliau cyfreithlon, Rheoliad Cyffredinol y DU ar Ddiogelu Data (GDPR y DU), y Pecyn Cymorth Diogelwch a Diogelu Data, amgryptio a rheoli mynediad. Mae'r pwnc hwn yn ymwneud â popeth sy'n weddill unwaith y byddwch yn cydymffurfio'n gyfreithiol. Gallwch fodloni pob statud a dal i golli ymddiriedaeth y cyhoedd, oherwydd nad cyfreithwyr sy'n rhoi ymddiriedaeth — cleifion a dinasyddion sy'n ei rhoi, gan benderfynu, yn unigol ac ar y cyd, a ydynt yn credu eich bod yn trin eu gwybodaeth mewn ffordd y byddent yn ei hadnabod fel un deg.

Mae'r gwahaniaeth hwnnw'n bwysicach ym maes iechyd a gofal nag ym mron unman arall. Mae pobl yn datgelu pethau i glinigwyr — argyfyngau iechyd meddwl, defnyddio sylweddau, iechyd rhywiol, cam-drin, hawliau sy'n gysylltiedig â mewnfudo — ar ddealltwriaeth ddi-lafar bod y wybodaeth yn bodoli i'w helpu, nid i'w masnachu, ei chyhoeddi nac ailddefnyddio heb eu gwybodaeth. Pan fo'r ddealltwriaeth honno'n torri, mae'r niwed yn fesuradwy: mae cleifion yn dweud celwydd wrth glinigwyr, yn gwrthod rhannu hanes, neu'n cadw draw o wasanaethau. Methiannau o ran diogelwch clinigol a thegwch yw'r rhain, ac maent yn disgyn galetaf ar y bobl sydd eisoes yn ymddiried leiaf mewn sefydliadau.

Mae'r system hefyd yn dibynnu'n wirioneddol ar ddefnyddio data y tu hwnt i'r ymgynghoriad unigol — i gynllunio gwasanaethau, cynnal rheoli iechyd y boblogaeth, canfod signalau diogelwch, a chefnogi'r ymchwil sy'n cynhyrchu triniaethau yfory. Felly rydych yn eistedd o fewn tensiwn parhaol: atal data ac rydych yn amddifadu gofal ac ymchwil; ei ddefnyddio'n ddiofal ac rydych yn colli caniatâd y cyhoedd y mae'r data'n eiddo iddo. Mae'r pwnc hwn yn ymwneud â dal y tensiwn hwnnw'n onest. Mae hanes diweddar y gwasanaeth iechyd yn cynnwys o leiaf un wers fawr, ddrud ynghylch beth sy'n digwydd pan fo sefydliad yn ateb y cwestiwn cyfreithiol yn unig a byth y cwestiwn moesegol.

Cysyniadau craidd#

Y ddisgyblaeth lywodraethol yma yw moeseg data — yr astudiaeth systematig o ymddygiad cywir ac anghywir wrth gasglu, defnyddio a rhannu data, yn enwedig data personol. Ei symudiad canolog yw gwahanu dau gwestiwn y mae sefydliadau'n eu cymysgu'n rheolaidd: a allwn wneud hyn yn gyfreithlon, ac a ddylem wneud hyn o ystyried yr hyn y mae pobl yn ei ddisgwyl yn rhesymol a pha niwed a all ddilyn. Mae sail gyfreithlon yn ateb y cyntaf. Dim ond rhesymu moesegol bwriadol, tryloywder ac ymgysylltu sy'n ateb yr ail.

Mae caniatâd yn fwy haenog nag y mae defnydd bob dydd yn ei awgrymu. Caniatâd gwybodus — person yn cytuno i rywbeth gyda dealltwriaeth ddigonol o'r hyn y mae'n ei olygu — yw'r safon aur ar gyfer gofal uniongyrchol a'r rhan fwyaf o ymchwil. Ond ar raddfa'r boblogaeth, mae caniatâd penodol unigol yn aml yn anymarferol neu byddai ei hun yn ogwyddo'r data, felly mae'r system yn dibynnu ar fodelau eraill: caniatâd ymhlyg ar gyfer gofal uniongyrchol (rydych yn derbyn y bydd y clinigwr sy'n eich trin yn darllen eich cofnod), a modelau dewis peidio â rhannu ar gyfer rhai defnyddiau eilaidd, lle defnyddir data oni bai fod person yn gwrthwynebu'n weithredol. Yn Lloegr yr offeryn prif yw dewis peidio â rhannu data cenedlaethol y GIG, sy'n gadael i berson atal ei wybodaeth gyfrinachol am gleifion rhag cael ei defnyddio ar gyfer cynllunio ac ymchwil y tu hwnt i'w ofal ei hun. Mae gwybod pa fodel sy'n gymwys, a bod yn onest nad yw dewis peidio â rhannu yr un fath â chaniatâd gweithredol, yn gymhwysedd craidd.

Ochr yn ochr â chyfraith diogelu data mae rhwymedigaeth hŷn ac ar wahân: y ddyletswydd cyfrinachedd cyfraith gyffredin, lle na chaniateir datgelu gwybodaeth a rennir yn gyfrinachol heb ganiatâd, gofyniad cyfreithiol, neu fudd y cyhoedd sy'n drech. O hyn y llifa'r egwyddor disgwyliadau rhesymol neu "dim syrpreisys": ni ddylech ddefnyddio data rhywun mewn ffordd a fyddai'n synnu'r unigolyn yn wirioneddol pe bai'n darganfod. Mae hwn yn brawf moesegol ymarferol sy'n aml yn brathu ymhell cyn y gyfraith.

Mae dau sefydliad sy'n benodol i iechyd yn cario'r pwysau moesegol. Mae egwyddorion Caldicott — a gynhelir ym mhob sefydliad gan Warcheidwad Caldicott — yn mynnu'n enwog y gall y ddyletswydd i rannu gwybodaeth fod mor bwysig â'r ddyletswydd i warchod, gan gywiro'r atgyfeiriad sy'n trin atal fel un diogel yn awtomatig. Yn genedlaethol, y Gwarcheidwad Data Cenedlaethol ar gyfer Iechyd a Gofal Cymdeithasol (NDG) yw'r llais statudol annibynnol ar sut y dylid defnyddio a diogelu data cleifion. O amgylch hyn mae'r syniad o drwydded gymdeithasol: y derbyniad parhaus, anffurfiol gan y cyhoedd sy'n cyfreithloni sut y mae sefydliad yn defnyddio data — a enillir drwy dryloywder ac ymgysylltu, nid a roddir gan statud, ac a dynnir yn ôl yn gyflym pan dorrir ymddiriedaeth.

Ar gyfer defnyddiau eilaidd — dadansoddeg, cynllunio ac ymchwil yn hytrach na gofal uniongyrchol — y bont dechnegol rhwng defnyddioldeb a phreifatrwydd yw dad-adnabod: lleihau pa mor adnabyddadwy yw data drwy ffugenwi (disodli dynodwyr â thocynnau artiffisial, y gellir eu gwrthdroi gydag allweddi a ddelir ar wahân) neu anonymeiddio (tynnu dynodwyr fel na ellir adnabod person mwyach). Mae gan y ddau derfynau: yn aml gellir ail-adnabod data iechyd cyfoethog drwy ei gysylltu â setiau data eraill — yr "effaith mosaig" — felly mae "anonymeiddiedig" yn honiad i'w brofi, nid ei dybio. Yn olaf, lle mae data'n gyrru penderfyniadau awtomataidd neu seiliedig ar fodel, rydych yn etifeddu cwestiynau tuedd algorithmig — annhegwch systematig sy'n rhoi rhai grwpiau dan anfantais — ac atebolrwydd algorithmig, dyrannu cyfrifoldeb am y canlyniadau hynny. Mae llywodraethiant dwfn deallusrwydd artiffisial yn perthyn i Bwnc 8.4 — Llywodraethiant Deallusrwydd Artiffisial a Thechnoleg sy'n Dod i'r Amlwg; yma mae'n bwysig yn unig fel un defnydd arall o ddata y mae'n rhaid iddo ennill ymddiriedaeth y cyhoedd.

Arferion gorau#

1. Gofynnwch "a ddylem?" fel penderfyniad penodol, a gofnodir — nid troednodyn i "a allwn?". Ar gyfer unrhyw ddefnydd annelwig o ddata, rhedwch y cwestiwn moesegol ar wahân i'r un cyfreithiol a chofnodwch yr ateb. Enwch pwy sy'n elwa, pwy a all gael ei niweidio, beth fyddai pobl yn ei ddisgwyl yn rhesymol, ac a fyddech yn gyfforddus yn egluro'r defnydd ar dudalen flaen papur newydd. Mae defnydd sy'n gyfreithlon ond yn methu'r prawf disgwyliadau rhesymol yn ddefnydd i'w ailgynllunio neu ei egluro'n agored, nid i fwrw ymlaen ag ef yn dawel.

2. Cydweddwch y model caniatâd â'r defnydd, a byddwch yn onest pa un rydych yn ei ddefnyddio. Mae gofal uniongyrchol yn rhedeg ar ganiatâd ymhlyg; mae angen caniatâd gwybodus penodol neu lwybr cyfreithiol a gymeradwywyd ar y rhan fwyaf o ymchwil; mae rhai defnyddiau cynllunio'n dibynnu ar y dewis peidio â rhannu. Peidiwch â gwisgo dewis peidio â rhannu fel pe bai'n gytundeb gweithredol, a pheidiwch â phwyso ar iaith "caniatâd" pan fo'r sail go iawn yn bŵer statudol. Mae eglurder yma'n diogelu ymreolaeth y claf a'ch hygrededd eich hun pan gaiff y trefniant ei graffu.

3. Anrhydeddwch y dewis peidio â rhannu data cenedlaethol yn ddibynadwy, a'i drin fel llawr, nid nenfwd. Cymhwyswch ddewis peidio â rhannu data cenedlaethol y GIG i bob llif defnydd eilaidd y mae'n ei gwmpasu, a gallwch ddangos eich bod yn gwneud hynny. Ond cydnabyddwch mai cydymffurfio'n gyfreithiol â'r dewis peidio â rhannu yw'r lleiaf; bydd defnydd sy'n parchu dewisiadau peidio â rhannu'n dechnegol wrth ddallu'r cyhoedd yn dal i gostio ymddiriedaeth i chi. Lle mae defnydd yn newydd neu'n sensitif, ystyriwch fynd y tu hwnt i'r llinell sylfaen gyda hysbysiad cliriach neu ddewis mwy gweithredol.

4. Cymhwyswch y prawf disgwyliadau rhesymol cyn pob llif data newydd. Gofynnwch yn blaen: pe bai'r bobl y mae'r data'n eiddo iddynt yn gwybod yn union beth rydym yn ei wneud, a fyddent yn synnu, ac a fyddent yn teimlo eu bod wedi'u camarwain? Mae syndod yn arwydd rhybudd cynnar sy'n cyrraedd ymhell cyn toriad cyfreithiol. Pan fo'r ateb gonest yn "ie, byddent yn synnu," mae gennych dri dewis — newid y defnydd, cael caniatâd ystyrlon, neu ei egluro mor drylwyr ac mor gynnar fel nad yw'n syndod mwyach.

5. Cofiwch y gall y ddyletswydd i rannu fod mor hanfodol â'r ddyletswydd i warchod. Mae egwyddorion Caldicott yn bodoli'n rhannol i wrthweithio gormod o ofal amddiffynnol, sy'n niweidio cleifion yn dawel pan na all clinigwr weld alergedd, pan fo pryder diogelu'n disgyn rhwng asiantaethau, neu pan fo rhyddhad yn methu oherwydd diffyg cyd-destun. Nid yw trin data'n foesegol yr un peth â chelcio data. Pwyswch y niwed o beidio â rhannu mor fwriadol â'r niwed o rannu, a chysylltwch hyn â'r dylunio rhannu diogel ym Mhwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch a'r canlyniadau diogelwch ym Mhwnc 1.6 — Diogelwch Clinigol a Rheoli Risg.

6. Trinwch ddad-adnabod fel lleihau risg, nid rhwbiwr hud. Ffugenwch neu anonymeiddiwch ddata defnydd eilaidd, ond aseswch risg ail-adnabod yn realistig, yn enwedig ar gyfer cyflyrau prin, poblogaethau bach, neu setiau data wedi'u cysylltu'n gyfoethog lle mae'r effaith mosaig yn brathu. Rheolwch yr amgylchedd yn ogystal â'r data: ffafriwch Amgylcheddau Data Diogel achrededig, lle mae dadansoddwyr yn gweithio ar ddata nad yw byth yn gadael lleoliad llywodraethedig, yn hytrach nag anfon darnau "anonymeiddiedig" allan o'r adeilad. Dogfennwch y risg weddilliol a phwy sy'n ei derbyn.

7. Cynhaliwch adolygiad moeseg ar gyfer defnyddiau nad yw'r gyfraith yn unig yn eu setlo. Sefydlwch lwybr — pwyllgor moeseg data, proses moeseg ymchwil bresennol, neu swyddogaeth sefydlog — i graffu ar ddefnyddiau newydd, sensitif neu sydd wedi'u clymu'n fasnachol cyn iddynt fynd rhagddynt. Rhowch aelodaeth annibynnol a lleyg iddo fel nad yw'n sefydliad yn tawelu ei hun yn unig, a gofynnwch iddo ystyried tegwch ac effaith ddiwahaniaeth ar grwpiau, nid preifatrwydd yn unig.

8. Gwnewch dryloywder yn rhagweithiol, yn benodol ac yn ddarllenadwy gan bobl. Cyhoeddwch, mewn iaith blaen, pa ddata sydd gennych, at ba ddiben y byddwch yn ei ddefnyddio, â phwy y byddwch yn ei rannu (gan gynnwys partneriaid masnachol), a pha ddewisiadau sydd gan bobl. Nid tryloywder yw hysbysiad preifatrwydd trwchus a ysgrifennwyd ar gyfer rheoleiddwyr; mae cofrestr gyhoeddus glir o ddefnyddiau data yn dryloywder. Datgelwch drefniadau newydd neu fasnachol cyn iddynt ddechrau, oherwydd bod defnydd sy'n dod i'r golwg drwy ollyngiad newyddiadurwr yn cael ei ddarllen fel cuddio, waeth beth fo'i rinweddau.

9. Cynhwyswch gleifion a chymunedau mewn penderfyniadau ynghylch eu data — yn gynnar ac mewn gwirionedd. Nid ymarfer cyfathrebu a ychwanegir wrth lansio yw ymgysylltu â'r cyhoedd a chleifion; mae'n llunio'r hyn rydych yn ei adeiladu ac a yw'n ennill trwydded gymdeithasol. Dewch â chleifion, gofalwyr a chynrychiolwyr cymunedol — yn enwedig o grwpiau sydd â rheswm hanesyddol da i ddrwgdybio sefydliadau — i mewn i ddylunio a llywodraethiant, a dangoswch sut y newidiodd eu mewnbwn benderfyniadau. Mae hyn yn cysylltu'n uniongyrchol â Phwnc 3.0 — Ymchwil Defnyddwyr a Chynllunio Gwasanaethau a Phwnc 8.2 — Cyfathrebu ac Ymgysylltu.

10. Byddwch yn berchen ar degwch ac atebolrwydd pan fo data'n gyrru penderfyniadau. Lle mae data'n bwydo sgorau risg, offer blaenoriaethu neu fodelau, gofynnwch ddata pwy a'u hyfforddodd, pa grwpiau all fod wedi'u tangynrychioli, a phwy sy'n atebol pan fo'r allbwn yn anghywir neu'n wahaniaethol. Cadwch berson yn y ddolen ar gyfer penderfyniadau canlyniadol a monitrwch ganlyniadau ar draws grwpiau demograffig dros amser. Trosglwyddwch lywodraethiant manwl y model i Bwnc 8.4 — Llywodraethiant Deallusrwydd Artiffisial a Thechnoleg sy'n Dod i'r Amlwg, ond peidiwch â thrin "penderfynodd yr algorithm" fel dihangfa rhag cyfrifoldeb.

Cwestiynau i'w trafod gyda'ch tîm#

1. Ar gyfer ein defnydd data mwyaf sensitif neu newydd, beth yw'r bwlch gonest rhwng yr hyn a ganiateir yn gyfreithiol a'r hyn y byddai ein cleifion yn ei ddisgwyl mewn gwirionedd — a sut y byddem yn ei gau? Dyma gwestiwn craidd y pwnc, felly gwnewch ef yn bendant yn hytrach nag yn haniaethol: dewiswch ddefnydd go iawn yn eich sefydliad — partneriaeth ymchwil, trefniant cyflenwr, dangosfwrdd iechyd y boblogaeth, model. Cerddwch drwy'r hyn y mae'r gyfraith yn ei ganiatáu, yna gofynnwch ar wahân beth fyddai claf cyffredin, cymedrol amheus yn tybio oedd yn digwydd, ac enwch y bwlch rhwng y ddau. Y bwlch yw lle y caiff ymddiriedaeth ei hennill neu ei cholli, ac mae'n anweledig os mai dim ond y cwestiwn cyfreithiol y byddwch byth yn ei ofyn. Mae trafodaeth dda yn dwyn i'r wyneb o leiaf un defnydd lle mae'r tîm yn dibynnu ar "mae'n gyfreithlon" i osgoi sgwrs anoddach, ac yn cynhyrchu penderfyniad i naill ai newid y defnydd, ceisio caniatâd ystyrlon, neu ei egluro'n llawer mwy agored. Gwyliwch am yr amddiffyniad dweud "ond rydym yn cael gwneud" — mae fel arfer yn golygu na ofynnwyd y cwestiwn moesegol erioed.

2. Ble rydym yn niweidio cleifion drwy beidio â rhannu data, ac a ydym mor onest ynghylch y niwed hwnnw ag yr ydym ynghylch y risg o doriad? Mae moeseg data'n cael ei chamgymryd yn rheolaidd am leihau data i'r lleiafswm, ac mae gormod o ofal amddiffynnol yn gwisgo gwisg diogelwch wrth wneud niwed go iawn. Trafodwch achosion pendant o'ch lleoliad eich hun: alergedd a fethwyd, pryder diogelu a ddisgynnodd rhwng asiantaethau, rhyddhad a aeth o'i le oherwydd nad oedd gan dimau cymunedol y cyd-destun, ymchwilydd a rwystrwyd rhag cael data a allai fod wedi canfod signal diogelwch. Mae egwyddor Caldicott y gall y ddyletswydd i rannu fod mor bwysig â'r ddyletswydd i warchod yn bodoli'n union oherwydd bod sefydliadau'n gweld atal yn fwy diogel yn seicolegol, hyd yn oed pan nad yw'n fwy diogel i'r claf mewn gwirionedd. Gall tîm aeddfed enwi methiannau yn y ddau gyfeiriad ac mae ganddo ffordd o uwchgyfeirio pob un, yn hytrach na thrin "na" fel y rhagosodiad di-risg. Ystyriwch hefyd a yw eich cymhellion yn gwobrwyo'r person sy'n gwrthod rhannu'n llawer mwy na'r un sy'n rhannu'n briodol.

3. Pe bai papur newydd cenedlaethol yn adrodd ar un o'n trefniadau rhannu data yfory — yn gywir ond yn ddigydymdeimlad — a fyddem yn goroesi, a beth y mae'r ateb yn ei ddweud wrthym am ei drwsio nawr? Ni chafodd y rhaglen care.data ei dymchwel gan anghyfreithlondeb; fe'i dymchwelwyd gan deimlad y cyhoedd bod rhywbeth yn cael ei wneud iddynt heb esboniad go iawn na dewis go iawn. Rhedwch y prawf yn erbyn eich trefniadau eich hun, yn enwedig unrhyw rai sy'n ymwneud â phartneriaid masnachol, hyfforddi modelau, neu ddefnyddiau eilaidd nad yw cleifion wedi cael gwybod amdanynt yn glir. Ble mae'r stori'n mynd yn anghyfforddus — ai'r partner ydyw, diffyg dewis peidio â rhannu, amwyster yr hysbysiad cyhoeddus, absenoldeb unrhyw gyfranogiad cymunedol? Mae'r anghysur hwnnw'n fap manwl gywir o ble mae eich trwydded gymdeithasol yn denau. Nid "byddem yn rheoli'r wasg" yw ateb da; mae'n rhestr o bethau y byddwch yn eu gwneud yn fwy tryloyw, yn fwy â chaniatâd, neu'n syml yn rhoi'r gorau i'w gwneud, ac mae'n cysylltu â'r ddisgyblaeth ymgysylltu ym Mhwnc 8.2 — Cyfathrebu ac Ymgysylltu.

4. Pan fyddwn yn galw data'n "anonymeiddiedig", pa mor hyderus ydym na ellid ei ail-gysylltu ag unigolyn — a phwy sydd wedi profi'r honiad hwnnw mewn gwirionedd? Caiff dad-adnabod ei drin fel llinell derfyn yn llawer amlach nag y mae'n ei haeddu, ac mae "anonymeiddiedig" yn cael ei honni'n aml yn hytrach na'i asesu. Dewiswch set ddata defnydd eilaidd go iawn a gofynnwch yn union beth a wnaed iddi — ffugenwi gydag allwedd a ddelir ar wahân, neu anonymeiddio gwirioneddol — ac yna gofynnwch sut y byddai'n dod i ben yn erbyn yr effaith mosaig pe bai rhywun yn ei chysylltu â data arall, yn enwedig ar gyfer cyflyrau prin, poblogaethau bach, neu gofnodion manwl cyfoethog. Gofynnwch hefyd ble mae'r data'n byw'n gorfforol: a yw'n cael ei ddadansoddi y tu mewn i Amgylchedd Data Diogel achrededig nad yw byth yn gadael iddo fynd, neu'n cael ei anfon allan fel darn ar y dybiaeth bod y label yn ei wneud yn ddiogel? Mae trafodaeth onest yn enwi'r risg ail-adnabod weddilliol yn benodol, yn cofnodi pwy sydd wedi derbyn y risg honno, ac yn gwahaniaethu rhwng yr hyn a brofwyd a'r hyn a obeithiwyd yn unig. Os na all neb yn yr ystafell ddweud pwy brofodd yr honiad ddiwethaf, yr absenoldeb hwnnw yw'r canfyddiad.

5. Lle mae data'n bwydo sgôr risg, offeryn blaenoriaethu neu fodel, data pwy a'i hyfforddodd, pwy y gallai ei roi dan anfantais, a phwy sy'n ateb pan fo'n anghywir? Mae tegwch yn hawdd i'w gymeradwyo mewn egwyddor ac yn hawdd ei esgeuluso mewn ymarfer, oherwydd bod tuedd yn cuddio mewn data sy'n edrych yn gyflawn ond sy'n tangynrychioli'r union grwpiau sydd eisoes yn gwneud waethaf. Cymerwch enghraifft bendant — model risg derbyniadau, offeryn brysbennu, sgôr blaenoriaethu llwyth achosion — a gofynnwch pa boblogaethau sy'n denau yn y data hyfforddi, sut y byddai person a nodwyd ar gam neu a anwybyddwyd ar gam yn cael ei effeithio, ac a oes unrhyw un yn monitro canlyniadau ar draws ethnigrwydd ac amddifadedd dros amser yn hytrach nag wrth lansio'n unig. Gwasgwch ar atebolrwydd: pan heriir yr allbwn, a oes person a enwir sy'n berchen ar y penderfyniad, neu a yw "penderfynodd yr algorithm" yn amsugno'r cyfrifoldeb yn dawel? Mae llywodraethiant manwl y model yn perthyn i Bwnc 8.4 — Llywodraethiant Deallusrwydd Artiffisial a Thechnoleg sy'n Dod i'r Amlwg, ond mae'r berchnogaeth foesegol yn eistedd yma. Mae ateb aeddfed yn pârio ymrwymiad monitro tegwch penodol â llinell glir o atebolrwydd, nid sicrwydd bod y mathemateg yn niwtral.

6. Sut y byddwn yn cynnwys y bobl y mae'r data'n eiddo iddynt — yn enwedig y cymunedau sydd â'r rheswm gorau i'n drwgdybio — ac a allwn bwyntio at benderfyniad y newidiodd eu cyfranogiad mewn gwirionedd? Ymgysylltu yw'r rhan sydd hawsaf ei lleihau i addurn: ymgynghoriad a gynhelir ar ôl i'r dyluniad gael ei bennu, neu banel a dynnir yn unig o bobl sydd eisoes yn ymddiried yn y sefydliad. Y cwestiwn anoddach a mwy gwerthfawr yw a yw cleifion, gofalwyr a chynrychiolwyr cymunedol — yn enwedig o grwpiau y mae'r gwasanaeth iechyd wedi'u siomi'n hanesyddol — yn yr ystafell yn ddigon cynnar i newid yr hyn a adeiledir, ac a allwch enwi newid pendant a ddeilliodd o hynny. Trafodwch gan bwy nad ydych yn clywed a pham, ac a yw eich ymgysylltu'n cyrraedd y rhai a glywir yn anaml neu'n ailgadarnhau'r cyfforddus yn unig. Mae hyn yn cysylltu â Phwnc 3.0 — Ymchwil Defnyddwyr a Chynllunio Gwasanaethau a Phwnc 8.2 — Cyfathrebu ac Ymgysylltu. Mae ateb gonest yn gwahaniaethu rhwng cyd-ddylunio gwirioneddol a symudodd benderfyniad ac ymarfer cyfathrebu a'i cyhoeddodd yn unig, ac yn onest pa un o'r ddau rydych yn ei wneud ar hyn o bryd.

Yn ymarferol: enghraifft iechyd a gofal#

Mae System Gofal Integredig Riverbourne eisiau defnyddio data cleifion cysylltiedig i leihau derbyniadau brys ymhlith pobl â sawl cyflwr hirdymor. Mae gan y tîm dadansoddeg achos cryf: dod â data ysbyty, meddyg teulu, cymunedol a gofal cymdeithasol ynghyd, adeiladu model risg, a chynnig cymorth rhagweithiol i'r bobl sydd fwyaf tebygol o ddirywio. Yn gyfreithiol, mae'r llwybr yn ymarferol. Fodd bynnag, mae cyfarwyddwr y rhaglen yn cofio care.data, ac yn mynnu bod y cwestiynau moesegol ac ymddiriedaeth yn cael eu hateb cyn i linell o'r model gael ei hadeiladu.

Mae'r tîm yn gwahanu'r ddau gwestiwn yn fwriadol. Ymdrinnir â Allwn ni? gyda'r Swyddog Diogelu Data a'r Gwarcheidwad Caldicott: sail gyfreithlon, Asesiad o'r Effaith ar Ddiogelu Data, a chadarnhad bod y dewis peidio â rhannu data cenedlaethol yn gymwys i'r defnydd eilaidd hwn. Mae A ddylem ni? yn mynd i grŵp moeseg data a gynullwyd o'r newydd gydag aelodau annibynnol a lleyg, gan gynnwys dau gynrychiolydd cleifion o gymunedau â lefelau ymddiriedaeth hanesyddol isel yn y gwasanaeth iechyd. Mae'r grŵp yn gofyn cwestiynau anoddach na'r cyfreithwyr: pwy y gallai sgôr risg ei roi dan anfantais, beth sy'n digwydd i rywun a nodwyd ar gam, ac a fyddai cleifion yn synnu o ddysgu bod eu data gofal cymdeithasol yn bwydo model ysbyty?

Mae'r cwestiynau hynny'n newid y dyluniad. Mae'r dadansoddi'n rhedeg y tu mewn i Amgylchedd Data Diogel achrededig, felly dim ond ar gofnodion ffugenwedig nad ydynt byth yn gadael y lleoliad llywodraethedig y mae dadansoddwyr yn gweithio. Caiff allbynnau'r model eu hadolygu gan glinigwr cyn i unrhyw un gael ei gysylltu, nid eu gweithredu arnynt yn awtomatig. Mae'r tîm yn ymrwymo i fonitro a yw'r model yn perfformio'r un mor dda ar draws grwpiau ethnig a lefelau amddifadedd, ar ôl canfod y gallai tangynrychiolaeth yn y data hyfforddi fel arall gadarnhau annhegwch. Ac mae'r ICS yn cyhoeddi disgrifiad iaith blaen — pa ddata, pa ddiben, pwy sy'n elwa, pa fesurau diogelu, a sut i ddewis peidio â rhannu — cyn i'r rhaglen ddechrau, yn hytrach nag aros i gael ei holi.

Pan fo newyddiadurwr lleol yn holi, fisoedd yn ddiweddarach, nid oes dim byd digwyddiadol i'w adrodd: mae'r trefniant eisoes yn gyhoeddus, mae'r dewis peidio â rhannu'n cael ei anrhydeddu, helpodd cleifion i'w lunio, ac mae'r mesurau diogelu'n real. Prin y mae cyfraddau dewis peidio â rhannu'n symud. Mae'r rhaglen yn lleihau derbyniadau'n gymedrol yn ei blwyddyn gyntaf, ond y fuddugoliaeth fwy parhaol yw y gall Riverbourne bellach gynnig ei fenter ddata nesaf o safle o ymddiriedaeth yn hytrach nag amheuaeth. Roedd y cyfnewidiad yn eglur: ychwanegodd ymgysylltu ac adolygu moeseg dri mis a rhywfaint o ailgynllunio lletchwith, a phrynu trwydded gymdeithasol y byddai lansiad cyflymach, tawelach wedi'i gamblo i ffwrdd.

Golwg drwy wahanol sectorau#

Busnes newydd#

Fel arfer mae gan fusnes newydd iechyd-dechnoleg reddfau technegol craff a theimlad tenau am ddeinameg ymddiriedaeth y sector, ac mae ei fodel masnachol yn aml yn dibynnu ar ddefnyddiau data — dadansoddeg, hyfforddi modelau, partneriaethau — na fyddai cleifion yn eu disgwyl. Os ydych yn fusnes newydd, nid dirwy rheoleiddiwr yw eich risg ddirfodol ond partner GIG yn cerdded i ffwrdd pan ddaw defnydd data heb ei egluro'n ddigonol i'r golwg. Plygwch y cwestiwn "a ddylem?" i mewn i benderfyniadau cynnyrch o'r cychwyn, byddwch yn onest iawn ynghylch caniatâd yn erbyn dewis peidio â rhannu yn erbyn sail statudol, a pheidiwch byth â thrin "anonymeiddiedig" fel ffaith a setlwyd pan fo eich data'n ddigon cyfoethog i'w ail-adnabod. Mae ennill ymddiriedaeth tra byddwch yn fach yn llawer rhatach nag ailadeiladu ar ôl cam gwag cyhoeddus.

Busnes bach#

Mae gan ddarparwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, asiantaeth gofal yn y cartref, clinig un safle, neu gyflenwr iechyd-dechnoleg bach sydd wedi mynd heibio'r cam busnes newydd — yr un ddyletswydd cyfrinachedd a'r un rhwymedigaeth "dim syrpreisys" ag ymddiriedolaeth fawr, ond â chleifion go iawn ar y llyfrau, llond llaw o staff, a fawr ddim gallu llywodraethiant gwybodaeth neu TG penodedig. Fel arfer mae'r risgiau ymddiriedaeth yma'n dawelach na chytundeb data pennawd: offeryn atgoffa apwyntiadau newydd, nodwedd ddadansoddeg a droswyd ymlaen gan gyflenwr, neu ddata cleifion a rennir yn ddiofal â thrydydd parti am nad oedd neb wedi cael amser i ofyn "a ddylem?". Gwnewch y prawf disgwyliadau rhesymol yn arfer cyflym, rheolaidd yn hytrach na phwyllgor ffurfiol, enwch y model caniatâd yn onest ar gyfer pob defnydd, a phwyswch ar eich cyfrifoldebau Caldicott a Diogelu Data hyd yn oed pan fônt yn disgyn i un person rhan-amser. Dewiswch gyflenwyr y mae eu gosodiadau rhagosodedig yn anrhydeddu'r dewis peidio â rhannu data cenedlaethol ac yn cadw data mewn lleoliadau llywodraethedig, gan eich bod yn etifeddu eu moeseg yn ogystal â'u meddalwedd. A chofiwch fod y ddyletswydd i rannu'n torri'r ddwy ffordd — gall gwrthod trosglwyddo pryder diogelu neu hanes meddyginiaeth am ei fod yn teimlo'n fwy diogel niweidio'r claf yn fwy na rhannu.

Menter fawr#

Mae gan ymddiriedolaeth fawr neu ICS ddata helaeth, sensitif iawn ac fel arfer llywodraethiant cyfreithiol aeddfed ond cyhyrau moesegol gwannach — digon o DPIAs, ychydig o sgyrsiau moeseg gwirioneddol. Eich her yw ychwanegu'r haen foesegol heb naill ai barlysu rhannu dilys neu adael i bartneriaethau masnachol ac ymchwil redeg ar y blaen i ddealltwriaeth y cyhoedd. Sefydlwch swyddogaeth moeseg data go iawn gydag aelodaeth leyg, cyhoeddwch eich defnyddiau data a'ch partneriaethau'n agored, a sicrhewch fod y ddyletswydd i rannu'n cael ei hanrhydeddu fel nad yw gormod o ofal amddiffynnol yn niweidio cleifion yn dawel. Perchnogaeth ar lefel bwrdd ar ymddiriedaeth y cyhoedd — nid cydymffurfedd yn unig — yw'r gwahaniaethydd, ac mae'n cysylltu â Phwnc 6.4 — Llywodraethiant a Sicrwydd.

Llywodraeth#

Mae cyrff cenedlaethol yn gosod y fframweithiau y mae pawb arall yn eu hetifeddu — y dewis peidio â rhannu data cenedlaethol, canllawiau'r Gwarcheidwad Data Cenedlaethol, egwyddorion Caldicott — ac maent yn cario ymddiriedaeth y cyhoedd ar raddfa'r boblogaeth, lle mae canlyniadau cael pethau'n anghywir yn hanesyddol yn hytrach na lleol. Rhaglen care.data yw'r gofeb rybuddiol: cynllun cenedlaethol cyfreithlon, wedi'i fwriadu'n dda a gwympodd am fod y cyhoedd yn teimlo nad oeddent wedi cael gwybod nac wedi cael ymgynghoriad, a bu'n iselhau ymddiriedaeth am flynyddoedd. Arweiniwch gyda thryloywder, ymgysylltu cenedlaethol ystyrlon, ac arolygiaeth annibynnol cyn ehangu, nid ar ôl adlach. Cydnabyddwch y cyfnewidiad rydych yn berchen arno: mae polisi cenedlaethol rhy ofalus yn amddifadu gofal ac ymchwil, tra bo polisi diofal yn colli'r caniatâd cyhoeddus y mae'r system ddata gyfan yn dibynnu arno, fel yr archwilir ymhellach ym Mhwnc 4.5 — Data, Dadansoddeg a Rheoli Iechyd y Boblogaeth.

Ffyrdd cyffredin o fethu#

• Ateb y cwestiwn cyfreithiol yn unig. Trin sail gyfreithlon fel cyfiawnhad cyflawn, fel nad oes neb byth yn gofyn a yw defnydd yn deg, yn ddisgwyliedig neu'n ddoeth. Dyma'n union sut y mae rhaglenni a fwriadwyd yn dda ac sy'n cydymffurfio'n llawn yn colli ymddiriedaeth y cyhoedd.
• Theatr caniatâd. Cyflwyno dewis peidio â rhannu, hysbysiad preifatrwydd wedi'i gladdu, neu bŵer statudol fel pe bai'n ganiatâd gwybodus ystyrlon, fel bod pobl yn teimlo eu bod wedi'u twyllo pan fyddant yn darganfod beth yr oedd "cytuno" yn ei olygu mewn gwirionedd.
• Defnyddiau cudd neu annisgwyl. Ymestyn data a gasglwyd ar gyfer gofal i ddadansoddeg, cytundebau masnachol neu hyfforddi modelau heb hysbysiad clir, rhagweithiol — nes i ollyngiad droi gweithgarwch amddiffynadwy yn sgandal.
• Anonymeiddio fel alibi. Labelu data cyfoethog, y gellir ei gysylltu'n "anonymeiddiedig" a thrin y cwestiwn moesegol fel un caeedig, gan anwybyddu risg ail-adnabod a'r effaith mosaig.
• Ymgysylltu fel addurn. Ymgynghori â'r cyhoedd ar ôl i benderfyniadau gael eu gwneud, neu dim ond â'r rhai sydd eisoes yn ymddiried, fel bod yr ymarfer yn cyfreithloni yn hytrach na hysbysu — ac yn colli'r cymunedau y mae eu hymddiriedaeth fwyaf bregus.
• Gormod o ofal amddiffynnol. Gwrthod rhannu dilys a'i alw'n ddiogelwch, tra bo cleifion yn cael eu niweidio gan glinigwyr na allant weld yr hyn sydd ei angen arnynt.

Model aeddfedrwydd#

Rhestr wirio#

• Mae gan bob defnydd data annelwig benderfyniad "a ddylem?" wedi'i gofnodi, ar wahân i'w sail gyfreithlon.
• Enwir y model caniatâd (ymhlyg, penodol, neu ddewis peidio â rhannu) yn onest ar gyfer pob defnydd.
• Cymhwysir y dewis peidio â rhannu data cenedlaethol i bob defnydd eilaidd y mae'n ei gwmpasu, a gellir dangos hyn.
• Mae pob llif data newydd yn pasio prawf disgwyliadau rhesymol / "dim syrpreisys".
• Aseswyd risg ail-adnabod ar gyfer data dad-adnabyddedig, gan ddefnyddio Amgylcheddau Data Diogel lle bo hynny'n ymarferol.
• Mae llwybr adolygu moeseg data ag aelodaeth annibynnol a lleyg yn bodoli ar gyfer defnyddiau newydd neu sensitif.
• Cyhoeddir cofrestr gyhoeddus iaith blaen o ddefnyddiau data, partneriaid a dewisiadau a'i chadw'n gyfredol.
• Datgelir trefniadau data newydd neu fasnachol yn rhagweithiol, cyn iddynt ddechrau.
• Cynhwysir cleifion a chymunedau — gan gynnwys grwpiau ymddiriedaeth isel — mewn dylunio a llywodraethiant, gyda'u dylanwad wedi'i gofnodi.
• Aseswyd tuedd ac effaith ddiwahaniaeth lle mae data'n gyrru penderfyniadau, gydag atebolrwydd wedi'i berchnogi'n glir.
• Pwyswyd y ddyletswydd i rannu mor fwriadol â'r ddyletswydd i warchod, fel na chaiff gormod o ofal ei gamgymryd am ddiogelwch.

Prif ffynonellau#

• National Data Guardian for Health and Social Care — reviews, the Caldicott Principles, and guidance on trustworthy data use.
• NHS England — the national data opt-out: policy, operational guidance, and public information.
• Understanding Patient Data — plain-language explanations of how and why NHS data is used.
• Information Commissioner's Office (ICO) — Anonymisation, pseudonymisation, and data-sharing guidance.
• National Data Guardian & Department of Health — Review of Data Security, Consent and Opt-Outs (2016), which followed the care.data experience.
• Ada Lovelace Institute — research on data ethics, public attitudes, and trustworthy data practice in health.
• NHS Digital / NHS England — Secure Data Environment policy guidelines for health and social care data.

Cyfeiriadau#

1. Big data ethics — Wikipedia — https://en.wikipedia.org/wiki/Big_data_ethics
2. Informed consent — Wikipedia — https://en.wikipedia.org/wiki/Informed_consent
3. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
4. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
8. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
9. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
10. Algorithmic bias — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_bias
11. Algorithmic accountability — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_accountability
12. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
13. Review of Data Security, Consent and Opt-Outs — National Data Guardian — https://www.gov.uk/government/publications/review-of-data-security-consent-and-opt-outs
14. The Caldicott Principles — National Data Guardian — https://www.gov.uk/government/publications/the-caldicott-principles
15. How we use and protect data / Understanding Patient Data — Understanding Patient Data — https://understandingpatientdata.org.uk/
16. Anonymisation and pseudonymisation guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/
17. Secure Data Environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines