Emne 4.10 — Sikre datamiljøer og adgang til forskningsdata

I sundhed og pleje afhænger sikker genbrug af patientdata til forskning og planlægning af ét hårdt tilkæmpet princip — bring analytikeren til dataene, aldrig dataene til analytikeren — håndhævet gennem sikre miljøer, lagdelt styring og synligt offentligt ansvar.

Hvorfor det er vigtigt i sundhed og pleje#

Sundheds- og plejesystemer rummer nogle af de rigeste longitudinelle data om menneskeliv, der nogensinde er samlet: fødsler, diagnoser, recepter, operationer, dødsfald og de sociale omstændigheder omkring dem. Genbrugt godt finder disse data sikrere lægemidler, afslører svigtende tjenester, målretter knappe ressourcer og driver opdagelsen af behandlinger, der redder liv. Genbrugt dårligt bryder de fortroligheden for millioner af mennesker, der aldrig valgte at være registrerede, udhuler den tillid, hele systemet kører på, og — fordi tillid, der er mistet, er langsom at genopbygge — sætter netop den forskning tilbage, de var ment til at muliggøre.

Spændingen er strukturel, ikke tilfældig. Offentligheden støtter konsekvent brug af deres data til forskning i offentlighedens interesse og gør lige så konsekvent indsigelse mod, at data forlader sikker opbevaring, sælges uden ansvarlighed eller flyder til kommercielle hænder på vilkår, de ikke kan se. En digital leder sidder netop på den forkastningslinje. I bliver bedt om at frigøre værdi fra data (en pligt over for patienter, der endnu ikke er født, og over for de offentlige kasser) og samtidig holde en lige så alvorlig tavshedspligt over for de mennesker, dataene beskriver.

Sikre datamiljøer (Secure Data Environments, SDE’er), også kaldet Trusted Research Environments, er det operationelle svar, Storbritannien er konvergeret på. De ændrer standarden fra at kopiere data ud til forskere mod, at forskere kommer ind for at arbejde på data, der aldrig flytter sig. Det er ikke en teknisk finesse; det er mekanismen, hvormed systemet holder et offentligt løfte. At få det rigtigt er et ansvar tæt på klinisk sikkerhed, lighed og offentlig tillid (se emne 1.8 — Dataetik, samtykke og offentlig tillid), og det er i stigende grad en lovbestemt forventning, ikke et spørgsmål om lokalt skøn.

Kernebegreber#

Et sikkert datamiljø (SDE) — den term, der nu foretrækkes i NHS-politik — er en data- og analyseplatform, hvor godkendte forskere får adgang til godkendte data til godkendte formål, uden at dataene udtrækkes eller kopieres ud. Det ældre og internationalt almindelige navn er Trusted Research Environment (TRE); de to beskriver den samme model. Den styrende idé er bring analytikeren til dataene, ikke dataene til analytikeren: beregning sker inden for murene, og kun kontrollerede, aggregerede resultater forlader dem.

Rammen, der strukturerer dette, er Five Safes, udviklet hos UK Office for National Statistics. Den nedbryder sikker dataadgang i fem dimensioner: sikre mennesker (er forskerne uddannede, akkrediterede og ansvarlige?), sikre projekter (er denne brug lovlig, etisk og i offentlighedens interesse?), sikre rammer (forhindrer miljøet lækage?), sikre data (er dataene minimeret og de-identificeret i det omfang, projektet tillader?) og sikre outputs (kontrolleres resultaterne før frigivelse, så ingen enkeltperson kan identificeres?). Ingen enkelt kontrol er tilstrækkelig; sikkerhed er produktet af alle fem.

To discipliner beskytter selve dataene. Dataminimering betyder kun at levere de felter og journaler, et projekt reelt har brug for, aldrig hele journalen "for en sikkerheds skyld". De-identifikation er paraplybegrebet for at mindske dataenes identificerbarhed. Inden for den erstatter pseudonymisering direkte identifikatorer (navn, NHS-nummer) med et nøglekoblet token, så re-identifikation kun er mulig ved at holde den separate nøgle — dataene forbliver personoplysninger juridisk. Anonymisering sigter mod at gøre data ikke længere personlige overhovedet, hvilket er langt sværere, end det lyder, fordi re-identifikation — at matche angiveligt anonyme data mod andre datasæt for at afsløre, hvem nogen er — bliver lettere, jo flere data der findes i verden. Ægte anonymisering af rige kliniske data er ofte umulig; netop derfor findes SDE-modellen.

Før resultater forlader miljøet, gennemgår de outputkontrol, den menneskelige og proceduremæssige port, der anvender statistisk afsløringskontrol — teknikker, der forhindrer små celletal, unikke outliers eller differensangreb i at blotlægge enkeltpersoner. Porten kaldes ofte en luftsluse: resultater går ind i et holdeområde, en uddannet kontrollant gennemgår dem, og kun godkendte outputs passerer til forskeren. Fremvoksende privatlivsteknikker som differentiel privatliv, der tilføjer kalibreret statistisk støj for at afgrænse, hvad en enkelt journal bidrager til et resultat, supplerer snarere end erstatter denne menneskelige kontrol.

To begreber mere former fremtiden. Fødereret læring og fødereret analyse lader en forespørgsel eller model køre på tværs af flere SDE’er, hver med sine egne data, så indsigt kombineres uden at nogen rå data samles — det naturlige næste skridt for et distribueret nationalt netværk. Og social licens — den uformelle, løbende offentlige tilladelse, et dataprogram opererer under — er det immaterielle aktiv, som alt maskineriet ovenfor findes for at beskytte. Den advarende fortælling er care.data, NHS Englands program fra 2013–2016 til at udtrække lægedata, opgivet efter at det undlod at forklare sig for offentligheden og mistede dens tillid.

Bedste praksis#

1. Gør miljøet, ikke eksporten, til standarden. Den vigtigste enkeltstående designbeslutning er, at data ikke forlader det. Forsyn forskere med regnekraft, værktøjer og kuraterede datasæt inde i SDE’et, og fjern de veje, hvorigennem data før sivede ud — masse-downloads, e-mailede udtræk, kopierede regneark. Hver arvet datadelingsaftale, der ender med, at en kopi forlader bygningen, er et ansvar, I aktivt bør nedlægge til fordel for adgang på stedet.

2. Operationalisér alle Five Safes, ikke kun teknologien. Det er fristende at købe en sikker platform og erklære problemet løst, men en hærdet ramme med svag projektgranskning eller ingen outputkontrol er et brud, der venter på at ske. Byg eksplicitte, dokumenterede processer for hver sikker: akkreditering og uddannelse af forskere, et uafhængigt syn på, om et projekt er lovligt og i offentlighedens interesse, minimeret og de-identificeret dataforsyning og disciplineret outputkontrol. Behandl de fem som et system, hvor det svageste led fastsætter jeres reelle sikkerhedsniveau.

3. Minimér og de-identificér til den laveste identificerbarhed, projektet kan tåle. Udlever ikke hele journalen, når en kohorte og et dusin felter ville besvare spørgsmålet. Pseudonymisér direkte identifikatorer som standard, fjern eller gør kvasi-identifikatorer som fuldt postnummer og nøjagtig fødselsdato grovere, og forbehold adgang til mere identificerbare data til de sjældne projekter, der reelt kræver det, under strengere godkendelse. Husk, at pseudonymiserede data stadig er personoplysninger juridisk (se emne 1.7 — Informationsstyring, databeskyttelse og cybersikkerhed), så SDE’ets kontroller, ikke en påstand om anonymitet, er det, der holder jer lovlige.

4. Sæt en reel luftsluse og uddannede outputkontrollanter mellem resultater og frigivelse. Øjeblikket med højest risiko er, når noget forlader miljøet. Led hvert output gennem et holdeområde, hvor en uddannet kontrollant anvender statistisk afsløringskontrol — undertrykker små celler, afrunder og holder øje med differens på tværs af en forskers successive anmodninger — før noget når udenfor. Ressourcesæt dette ordentligt: outputkontrol er kvalificeret arbejde, og et efterslæb, der frister folk til at "bare maile det", underminerer hele modellen.

5. Gør godkendelse fra informationsstyring stringent, uafhængig og hurtig nok til at kunne bruges. Adgang bør bero på en uafhængig vurdering af, at projektet er lovligt og i offentlighedens interesse, typisk gennem et dataadgangsudvalg og, hvor fortrolige patientoplysninger bruges uden samtykke, Confidentiality Advisory Group (CAG), der rådgiver om section 251-støtte under de relevante forordninger. Stringens og fart er ikke modsætninger: et gennemsigtigt, veludstyret udvalg med klare kriterier godkender gode projekter hurtigere og afviser dårlige mere forsvarligt end et uigennemsigtigt, langsomt. En proces så langsom, at forskere omgår den, er et styringssvigt, ikke en styringssucces.

6. Optjen og bevar social licens gennem radikal gennemsigtighed. Lektien fra care.data er, at lovlig ikke er det samme som betroet. Offentliggør et register over databrug, der viser, hvem der tilgik hvilke data, til hvilket formål og med hvilket resultat; kør ægte offentlig og patientinddragelse i, hvordan SDE’et styres; og tilbyd en klar, respekteret national dataopt-out. Gennemsigtighed er ikke en kommunikationseftertanke boltet på ved lanceringen — det er den driftsbetingelse, der lader hele foretagendet fortsætte (se emne 1.8 — Dataetik, samtykke og offentlig tillid).

7. Design til føderation på tværs af SDE-netværket, ikke én mur om haven. Englands model er et nationalt SDE ved siden af akkrediterede subnationale SDE’er, og forskning har i stigende grad brug for at kombinere data, der legitimt ikke kan samles. Tag fælles standarder, kuraterede datamodeller og interoperable værktøjer i brug, så et projekt med tiden kan køre fødererede forespørgsler eller træne modeller på tværs af miljøer, mens rå data bliver, hvor de er, i hvert (se emne 4.3 — Interoperabilitet og datastandarder). At bygge et skræddersyet, isoleret miljø, der ikke kan interoperere, er en strategisk blindgyde, uanset hvor godt det ser ud lokalt.

8. Styr kommerciel adgang eksplicit, med værdi, der flyder tilbage. Industriens adgang til NHS-data er legitim og ofte afgørende for at udvikle behandlinger og teknologier, men det er her, offentlig mistanke koncentreres. Fastsæt klare regler: de samme SDE-kontroller gælder for kommercielle brugere som for akademikere, aftaler er gennemsigtige og offentliggjorte, og offentligheden får fair værdi tilbage — enten i pris, adgang til den resulterende innovation eller geninvestering i datainfrastrukturen. Lad aldrig "kommercielt partnerskab" blive en eufemisme for data, der forlader sikker opbevaring på stille vilkår (se emne 6.3 — Indkøb og kommercielt arbejde).

Spørgsmål at drøfte med dit team#

1. Når vi siger, at vores data er "de-identificerede", hvilken re-identifikationsrisiko accepterer vi så faktisk — og hvem godkendte det skøn? Det er vigtigt, fordi "anonymiseret" bruges løst til alt fra reelt ikke-personlige data til let pseudonymiserede journaler, som en beslutsom analytiker kunne re-identificere ved at koble til andre kilder. Debatter specifikkerne: hvilke kvasi-identifikatorer der forbliver (postnummergranularitet, datoer, sjældne diagnoser), hvilke eksterne datasæt en angriber realistisk kunne koble mod, og om jeres kontroller er selve SDE’et eller en optimistisk etiket. Overvej, at rige longitudinelle kliniske data ofte ikke reelt kan anonymiseres, hvilket betyder, at miljøets kontroller — ikke datatransformationen — er det, der gør jer lovlige og sikre. Bring frem, hvem der ejer denne risikovurdering: en navngiven ansvarlig person, der anvender en dokumenteret metode, eller en uprøvet antagelse arvet fra en gammel datadelingsaftale. Et godt, ærligt svar angiver den resterende re-identifikationsrisiko i klare vendinger, knytter den til specifikke kontroller og nævner den person, der er ansvarlig for skønnet, frem for at gemme sig bag ordet "anonym".

2. Hvordan ville vi forklare en specifik dataadgang for en skeptisk patient på forsiden af en avis — og ville forklaringen overleve? Care.data-sammenbruddet var ikke primært et teknisk svigt; det var et svigt i at forklare og at kommandere tillid. Tag en reel eller realistisk adgang — et lægemiddelfirma, der kører et studie i jeres SDE — og rollespil den offentlige samtale: hvilke data, hvorfor, hvem der drager fordel, hvad firmaet får, hvad offentligheden får tilbage, og hvordan nogen kan fravælge. Debatter, hvor jeres nuværende gennemsigtighed er tynd: findes der et offentligt register over databrug, er kommerciel adgang synlig, ved patienter, at opt-out findes, og at den blev respekteret? Overvej forskellen mellem forsvarlig-fordi-lovlig og forsvarlig-fordi-betroet, og vær ærlige om, at det andet er sværere og mere skrøbeligt. Et stærkt svar producerer en klar, jargonfri redegørelse, en patient ville finde rimelig, og identificerer de specifikke gennemsigtighedshuller, I skulle lukke, før I kunne give den med et lige ansigt.

3. Er vores styring hurtig og uafhængig nok til, at gode forskere bruger den frem for at omgå den? Der er en reel spænding mellem stringens og adgang: styr for løst, og I forråder offentlig tillid; styr for langsomt, og forskere giver enten op (offentlig værdi tabt) eller finder uformelle omgåelser (kontrol tabt helt). Drøft jeres faktiske tidslinjer fra ansøgning til dataadgang, hvor flaskehalsene er (informationsstyring, CAG, datateknik, outputkontrol), og om jeres dataadgangsudvalg har klare offentliggjorte kriterier eller afgør sag for sag på måder, ansøgere ikke kan forudsige. Undersøg uafhængighed ærligt: siger den, der har beføjelse til at sige nej, faktisk nej, eller gør kommercielt eller institutionelt pres godkendelse til en formalitet? Overvej det fejlmønster, hvor en langsom proces skubber arbejde ind i ustyrede hjørner, hvilket er værre end en hurtig, gennemsigtig. Et godt svar nævner reelle gennemløbstider, skelner stringens fra blot forsinkelse og forpligter sig til specifikke forbedringer, der fremskynder adgang uden at svække den uafhængige vurdering i centrum.

4. Når en kommerciel partner arbejder i vores SDE, hvilken fair værdi flyder tilbage til offentligheden — og kan vi vise det? Industriens adgang er legitim og ofte den eneste vej til at omsætte data til behandlinger, men det er netop her, offentlig mistanke koncentreres, fordi frygten er, at et offentligt aktiv overdrages til private hænder på stille vilkår. Debatter, hvad "fair værdi" konkret betyder for jeres organisation: en fortrinspris på det resulterende produkt, garanteret adgang til innovationen for jeres befolkning, geninvestering i datainfrastrukturen eller blot kontanter — og hvem der afgør hvilket. Undersøg, om de samme SDE-kontroller reelt gælder for kommercielle brugere som for akademikere, eller om et velressourcestærkt firma stille får en glattere vej. Spørg, om aftalen og dens værdideling er offentliggjort eller forhandlet sag for sag bag lukkede døre, hvor ingen kan kontrollere dem. Et ærligt svar nævner den værdi, jeres seneste kommercielle ordning leverede tilbage, angiver hvor den værdi gik hen og indrømmer, hvor "kommercielt partnerskab" risikerer at blive en eufemisme for privilegeret adgang uden ansvarlighed.

5. Repræsenterer dataene i vores miljø — og den forskning, de muliggør — hele befolkningen eller kun de dele, der er lettest at indfange? Lighed er en pligt, ikke en eftertanke: hvis dataene underrepræsenterer bestemte grupper (mennesker der bruger tjenester mindre, registreres mindre fuldstændigt eller fravælger i højere grad), vil forskning bygget på dem virke dårligere for netop de grupper, og i det stille udvide uligheder i sundhed under et fernis af evidens. Drøft, hvilke befolkningsgrupper der er tynde eller mangler i jeres data, hvordan kodnings- og registreringspraksis skævvrider, hvad der indfanges, og om høje opt-out-rater i bestemte lokalsamfund udhuler repræsentativiteten på måder, ingen følger. Overvej spændingen, at forbedring af inklusion kan trække mod dataminimering og mod tilliden hos grupper med god historisk grund til forsigtighed. Tænk over, hvem der gennemgår projektoutputs for differentiel påvirkning, og om "offentlig gavn" i jeres adgangsbeslutninger nogensinde eksplicit spørger gavn for hvem. Et stærkt svar identificerer konkrete repræsentationshuller, nævner ligestillingsrisikoen i nuværende eller planlagt forskning og forpligter sig til at overvåge gavn og inklusion frem for at antage, at et stort datasæt er et fair et.

6. Er vi sikre på, at SDE’et er den eneste vej, data forlader — eller består arvede eksporter stille ved siden af det? Et sikkert miljø leverer kun sit løfte, hvis det bliver den ene dør; hver overlevende bilateral aftale, e-mailet udtræk eller kopieret regneark er en vej, der omgår hver kontrol, I har bygget, og disse ordninger er berygtede for at overleve erindringen om, hvem der underskrev dem. Drøft, om nogen holder en levende fortegnelse over eksisterende datadelingsaftaler, hvor kopier af data i øjeblikket sidder uden for jeres mure, og hvem der ejer det bevidste arbejde med at nedlægge dem. Undersøg de ubehagelige incitamenter: eksporter er hurtige og velkendte, og både forskere og interne teams kan foretrække den gamle vej, mens de lader som om, de støtter den nye. Overvej, at et glinsende SDE lanceret oven på et ikke-nedlagt eksportlandskab er en falsk tryghed, ikke et løst problem. Et ærligt svar angiver, hvor mange arvede eksporter der stadig findes, nævner planen og ejeren for at lukke dem og er åbent om, hvilke der er sværest at slukke og hvorfor.

I praksis: et eksempel fra sundhed og pleje#

Fenwater Integrated Care System spænder over tre akuthospitaler, kommunale og psykiatriske tjenester og omkring halvfems lægepraksis. Dets analytikere har længe støttet sig til skræddersyede dataudtræk — pseudonymiserede filer kopieret til en forskningspartners servere under bilaterale aftaler — og informationsstyringsteamet har i årevis i det stille været bekymret for, hvor disse kopier nu ligger. Da NHS Englands SDE-politik gør adgang på stedet til forventningen, beslutter Fenwaters bestyrelse at oprette Fenwater Secure Data Environment som et akkrediteret subnationalt SDE frem for at blive ved med at underskrive eksportaftaler.

Programmet starter ikke med teknologi, men med Five Safes. Fenwater definerer akkreditering og obligatorisk uddannelse af forskere (sikre mennesker); etablerer et dataadgangsudvalg, med lægmedlemmer og en uafhængig formand, der vurderer hvert projekt for lovlighed og offentlig gavn og henviser sager med fortrolige data til section 251-rådgivning (sikre projekter og rammer); bygger en kurateret, minimeret datamodel, hvor direkte identifikatorer pseudonymiseres og postnumre gøres grovere til kun første del (sikre data); og ansætter og uddanner to outputkontrollanter til at drive luftslusen (sikre outputs). Afgørende offentliggør det et offentligt register over databrug fra dag ét og nedsætter et stående patientpanel til at granske styringen.

Den første reelle test er en anmodning fra et diagnostikfirma om at studere tidlige markører for en kræftform i fem års patologi- og billeddata. Under den gamle model ville det have været endnu en eksport. Nu er firmaets analytikere akkrediterede, deres projekt vurderes for offentlig gavn og godkendes med betingelser, og de arbejder udelukkende inde i SDE’et — ingen rå data forlader det. Deres statistiske outputs passerer gennem luftslusen, hvor en kontrollant undertrykker flere små celletal, der ville have udpeget patienter med en sjælden undertype. Den kommercielle aftale offentliggøres på registret, herunder en forpligtelse om, at enhver resulterende test tilbydes ICS’et på fortrinsvilkår.

Atten måneder senere nedlægger Fenwater den sidste af sine arvede eksportaftaler. En efterfølgende anmodning har brug for data, Fenwater holder, kombineret med et nabo-ICS’ journaler; i stedet for at kopiere begge datasæt pilotkører de to akkrediterede SDE’er en fødereret forespørgsel, så analysen kører i begge miljøer, og kun aggregerede resultater kombineres. Da en lokal journalist spørger, hvem der har brugt patienters data, peger ICS’et på sit offentlige register. Arbejdet var langsommere at bygge end at maile et regneark — men det forvandlede en ængstelig, usynlig eksportvane til et forsvarligt, gennemsigtigt offentligt aktiv.

Sektorperspektiver#

Startup#

En sundhedsteknologisk startup bygger sjældent sit eget SDE; den er bruger af en andens, og dens arbejdsmåder må forudsætte miljøet, ikke eksporten. Design jeres analyse- og modeltræningspipelines til at køre inde i et TRE mod data, I ikke kan downloade, fordi det i stigende grad er den eneste lovlige vej til NHS-data i stor skala — og et hospital eller ICS vil vurdere jeres styringsmodenhed, før det lader jer ind. Budgettér realistisk for akkreditering, for den langsommere rytme i arbejde på stedet og for outputkontrol, der vil holde resultater tilbage, I forventede at tage med jer. Jeres konkurrencefordel er ikke privilegeret adgang til rå data (den æra er ved at slutte), men evnen til at generere troværdig, publicerbar indsigt inden for begrænsningerne og til at være gennemsigtig om, hvad I gjorde med den adgang, I fik.

Lille virksomhed#

En etableret lille udbyder eller leverandør — en lægepraksis, et lokalt apotek, et plejehjem, en enkelt klinik eller en lille analyseleverandør forbi startup-fasen — er langt oftere en dataansvarlig med pligter end en potentiel forsker og vil aldrig drive sit eget SDE. Dens praktiske opgave er at modstå den gamle vane at kopiere pseudonymiserede udtræk til en partners bærbare eller et regneark og i stedet insistere på, at enhver sekundær brug af dens patienters data sker inde i et akkrediteret miljø, den kan pege på og stå til ansvar for. Uden dedikeret informationsstyringspersonale, læn jer op ad fælles og regionale SDE’er, jeres databeskyttelsesrådgiver eller ICB og skabelonvilkår for datadeling frem for at forhandle skræddersyede ordninger, I ikke kan granske ordentligt. Vid, at den nationale dataopt-out og tavshedspligten gælder for jer fuldt ud, uanset størrelse, så den sikreste holdning er at lede anmodninger om jeres data mod et styret SDE og afslå uformelle eksporter, selv når en betroet lokal forsker spørger pænt.

Stor virksomhed#

Et stort NHS-hospital, ICS eller medicinalfirma driver SDE’er i stor skala og på tværs af mange samtidige projekter, så dets udfordring er gennemløb uden tab af kontrol. Det realistiske mål er et akkrediteret miljø med industrialiserede processer — stående dataadgangsudvalg, en kureret og minimeret datamodel, ressourcesat outputkontrol og et offentliggjort brugsregister — ikke en skræddersyet platform pr. projekt. Indlejr SDE’et i indkøbs- og partnerskabsvilkår, så kommerciel adgang som standard flyder gennem det, og værdideling er kontraktlig frem for forhandlet ad hoc (se emne 6.4 — Styring og assurance). I denne skala er de største risici en langsom styringspipeline, der skubber forskere mod omgåelser, og arvede eksportaftaler, der stille består ved siden af det skinnende nye miljø; nedlæg dem bevidst.

Myndighed#

Et nationalt organ — NHS England, de delegerede sundhedsadministrationer, UK Statistics Authority — fastsætter de regler, alle andre arbejder inden for, og dets løftestang er standarder, akkreditering og offentlig tillid. Det definerer SDE-politikken, akkrediterer subnationale miljøer, driver et nationalt SDE og — efter Goldacre Reviews "Better, broader, safer"-anbefalinger — skubber mod et mindre antal velstyrede, interoperable miljøer frem for hundredvis af ukontrollerede dataflows. Dets sværeste og vigtigste pligt er at forvalte social licens nationalt: at respektere den nationale dataopt-out, at insistere på gennemsigtighed om kommerciel adgang og at sikre, at offentligheden ser fair værdi returneret for brugen af et offentligt aktiv (se emne 9.2 — Globalt og internationalt digitalt sundhedsvæsen). Myndigheden holder også ligestillingspligten — at forskning, der bruger disse data, gavner hele befolkningen, ikke kun de grupper, der er bedst repræsenteret i den.

Typiske fejlmønstre#

• Eksporten, der aldrig rigtig stoppede. Et glinsende nyt SDE lanceres, mens gamle datadelingsaftaler i det stille bliver ved med at kopiere data ud ad bagdøren. Fortegn og nedlæg arvede eksporter bevidst; miljøet hjælper kun, hvis det bliver den eneste vej.
• "Anonymiseret" som et trøsteord. At kalde rige kliniske data anonyme gør dem ikke til det; re-identifikationsrisiko er ofte reel og stigende. Vurdér og dokumentér den faktiske restrisiko, og støt jer til miljøets kontroller, ikke etiketten.
• Teknologi uden styring. En sikker platform med svag projektgranskning eller ingen outputkontrol er et brud, der venter på at ske. Alle Five Safes skal være operationelle, ikke kun rammen.
• Luftslusen, der lækker. Underressourcesat outputkontrol skaber efterslæb, og efterslæb skaber pres for at omgå luftslusen. Bemand den som kvalificeret, værdsat arbejde med opnåelig gennemløbstid.
• Styring så langsom, at den omgås. En uigennemsigtig, månedlang godkendelsesproces skubber gode forskere ind i uformelle omgåelser — det værste fra begge verdener. Gør godkendelse uafhængig og brugbart hurtig.
• Tavse kommercielle aftaler. Industriadgang arrangeret på uoffentliggjorte vilkår er den hurtigste vej til at miste offentlig tillid, uanset hvor lovligt. Anvend de samme kontroller på kommercielle brugere, og offentliggør ordningerne.
• Gennemsigtighed som lanceringsdagsteater. En engangskampagne er ikke social licens; et vedligeholdt register over databrug og ægte offentlig inddragelse er. Care.data er den stående påmindelse om, at tillid er en driftsbetingelse, ikke en lanceringsbegivenhed.

Modenhedsmodel#

Tjekliste#

• Adgang på stedet via SDE’et er standard; arvede dataeksporter er fortegnet og er ved at blive nedlagt.
• Alle Five Safes er operationaliseret med dokumenterede processer, ikke blot en sikker platform.
• Data er minimeret og de-identificeret til den laveste identificerbarhed, hvert projekt kan tåle, med pseudonymisering som standard.
• Re-identifikationsrisiko er vurderet og dokumenteret af en navngiven ansvarlig ejer, ikke antaget ud fra en "anonymiseret"-etiket.
• Hvert output passerer en luftsluse, hvor uddannede kontrollanter anvender statistisk afsløringskontrol før frigivelse.
• Et uafhængigt dataadgangsudvalg godkender projekter mod offentliggjorte kriterier, med en CAG / section 251-vej for fortrolige data.
• Styringstidslinjer måles, offentliggøres og er hurtige nok til, at forskere bruger processen frem for at omgå den.
• Et offentligt register over databrug viser, hvem der tilgik hvilke data, til hvilket formål og med hvilket resultat.
• Den nationale dataopt-out respekteres, og dens eksistens kommunikeres klart til patienter.
• Kommerciel adgang løber gennem de samme SDE-kontroller, offentliggøres og returnerer fair værdi til offentligheden.
• Miljøet tager fælles standarder i brug, så det kan interoperere og med tiden understøtte fødereret analyse på tværs af SDE’er.

Centrale kilder#

• NHS England — Secure Data Environment (SDE) policy guidelines og det nationale og subnationale SDE-netværk.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — Five Safes-rammeværket for sikker dataadgang.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — principper og standarder for Trusted Research Environments.
• Health Research Authority — Confidentiality Advisory Group (CAG) og section 251-støtte til brug af fortrolige patientoplysninger uden samtykke.
• UK Statistics Authority — akkreditering og sikker brug af data til forskning og statistik.
• Information Commissioner’s Office — vejledning om anonymisering, pseudonymisering og dataminimering under UK GDPR.

Referencer#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/