Thema 4.10 — Sichere Datenumgebungen und Zugang zu Forschungsdaten

In Gesundheit und Pflege hängt die sichere Weiterverwendung von Patientendaten für Forschung und Planung an einem einzigen hart erkämpften Prinzip – die Analystin zu den Daten bringen, nie die Daten zur Analystin –, durchgesetzt durch sichere Umgebungen, geschichtete Governance und sichtbare öffentliche Rechenschaft.

Warum das in Gesundheit und Pflege wichtig ist#

Gesundheits- und Pflegesysteme halten einige der reichhaltigsten Längsschnittdaten über menschliche Leben, die je zusammengetragen wurden: Geburten, Diagnosen, Verordnungen, Operationen, Todesfälle und die sozialen Umstände darum herum. Gut weiterverwendet, finden diese Daten sicherere Arzneimittel, entdecken scheiternde Dienste, lenken knappe Ressourcen und treiben die Entdeckung von Behandlungen an, die Leben retten. Schlecht weiterverwendet, verletzen sie das Vertrauen von Millionen Menschen, die nie entschieden haben, Datensubjekte zu sein, zersetzen das Vertrauen, auf dem das ganze System läuft, und werfen – weil verlorenes Vertrauen nur langsam wiederaufgebaut wird – genau die Forschung zurück, die sie ermöglichen sollten.

Die Spannung ist strukturell, nicht zufällig. Die Öffentlichkeit unterstützt durchweg die Nutzung ihrer Daten für Forschung im öffentlichen Interesse und lehnt ebenso durchweg ab, dass Daten die sichere Verwahrung verlassen, ohne Rechenschaft verkauft werden oder zu Bedingungen in kommerzielle Hände fließen, die sie nicht sehen können. Eine digitale Führungskraft sitzt genau auf dieser Verwerfungslinie. Von Ihnen wird erwartet, Wert aus Daten zu heben (eine Pflicht gegenüber noch ungeborenen Patientinnen und der öffentlichen Hand), während Sie eine ebenso ernste Verschwiegenheitspflicht gegenüber den Menschen tragen, die die Daten beschreiben.

Sichere Datenumgebungen (Secure Data Environments, SDEs), auch Trusted Research Environments genannt, sind die operative Antwort, auf die das Vereinigte Königreich sich zubewegt hat. Sie verschieben den Standard vom Herausgeben von Daten an Forschende hin zu Forschenden, die hereinkommen, um an Daten zu arbeiten, die sich nie bewegen. Das ist keine technische Feinheit; es ist der Mechanismus, mit dem das System ein öffentliches Versprechen hält. Es richtig zu machen ist eine Verantwortung, die an klinische Sicherheit grenzt, sowie eine Verantwortung für Gleichstellung und öffentliches Vertrauen (siehe Thema 1.8 — Datenethik, Einwilligung und öffentliches Vertrauen), und es ist zunehmend eine gesetzliche Erwartung, keine Frage lokalen Ermessens.

Kernkonzepte#

Eine Secure Data Environment (SDE) – der in der NHS-Politik inzwischen bevorzugte Begriff – ist eine Plattform zur Datenspeicherung und -analyse, in der zugelassene Forschende auf zugelassene Daten für zugelassene Zwecke zugreifen, ohne dass die Daten herausgezogen oder kopiert werden. Der ältere und international gängige Name ist Trusted Research Environment (TRE); beide beschreiben dasselbe Modell. Die leitende Idee ist: die Analystin zu den Daten bringen, nicht die Daten zur Analystin: Die Berechnung geschieht innerhalb der Mauern, und nur geprüfte, aggregierte Ergebnisse verlassen sie.

Der Rahmen, der dies strukturiert, sind die Five Safes, entwickelt beim britischen Office for National Statistics. Sie zerlegen sicheren Datenzugang in fünf Dimensionen: sichere Personen (sind die Forschenden geschult, akkreditiert und rechenschaftspflichtig?), sichere Projekte (ist diese Nutzung rechtmäßig, ethisch und im öffentlichen Interesse?), sichere Umgebungen (verhindert die Umgebung Abfluss?), sichere Daten (wurden die Daten im Rahmen dessen, was das Projekt zulässt, minimiert und de-identifiziert?) und sichere Ergebnisse (werden die Resultate vor der Freigabe geprüft, damit keine Einzelperson identifiziert werden kann?). Keine einzelne Kontrolle genügt; Sicherheit ist das Produkt aller fünf.

Zwei Disziplinen schützen die Daten selbst. Datenminimierung bedeutet, nur die Felder und Datensätze bereitzustellen, die ein Projekt wirklich braucht, nie die ganze Akte „für alle Fälle“. De-Identifikation ist der Oberbegriff für die Verringerung der Identifizierbarkeit von Daten. Darin ersetzt Pseudonymisierung direkte Kennungen (Name, NHS-Nummer) durch ein schlüsselverknüpftes Token, sodass Re-Identifikation nur mit dem getrennt verwahrten Schlüssel möglich ist – die Daten bleiben rechtlich personenbezogene Daten. Anonymisierung zielt darauf, Daten gar nicht mehr personenbezogen zu machen, was weit schwerer ist, als es klingt, weil Re-Identifikation – vermeintlich anonyme Daten mit anderen Datensätzen abzugleichen, um zu enthüllen, wer jemand ist – leichter wird, je mehr Daten in der Welt existieren. Echte Anonymisierung reichhaltiger klinischer Daten ist oft unmöglich; genau deshalb existiert das SDE-Modell.

Bevor Ergebnisse die Umgebung verlassen, durchlaufen sie die Ausgabekontrolle (Output Checking), das menschliche und verfahrensmäßige Tor, das statistische Offenlegungskontrolle (Statistical Disclosure Control) anwendet – Techniken, die verhindern, dass kleine Zellenbesetzungen, einzigartige Ausreißer oder Differenzangriffe Einzelpersonen offenlegen. Dieses Tor wird oft Schleuse (Airlock) genannt: Ergebnisse gehen in einen Haltebereich, eine geschulte Prüferin sieht sie durch, und nur freigegebene Ausgaben gelangen zur Forscherin. Aufkommende Datenschutztechniken wie Differential Privacy, die kalibriertes statistisches Rauschen hinzufügt, um zu begrenzen, was ein einzelner Datensatz zu einem Ergebnis beiträgt, ergänzen diese menschliche Kontrolle, statt sie zu ersetzen.

Zwei weitere Konzepte prägen die Zukunft. Föderiertes Lernen (Federated Learning) und föderierte Analytik lassen eine Abfrage oder ein Modell über mehrere SDEs laufen, die jeweils ihre eigenen Daten halten, sodass Erkenntnisse kombiniert werden, ohne dass Rohdaten zusammengeführt werden – der natürliche nächste Schritt für ein verteiltes nationales Netzwerk. Und soziale Lizenz (Social Licence) – die informelle, fortlaufende öffentliche Erlaubnis, unter der ein Datenprogramm arbeitet – ist das immaterielle Gut, das all die obige Maschinerie zu schützen bestimmt ist. Die warnende Geschichte ist care.data, das NHS-England-Programm von 2013–2016 zur Extraktion von Hausarztdaten, aufgegeben, nachdem es sich der Öffentlichkeit nicht erklärte und deren Vertrauen verlor.

Bewährte Praktiken#

1. Machen Sie die Umgebung zum Standard, nicht den Export. Die wichtigste einzelne Designentscheidung ist, dass Daten nicht hinausgehen. Stellen Sie Forschenden Rechenleistung, Werkzeuge und kuratierte Datensätze innerhalb der SDE bereit und entfernen Sie die Wege, auf denen Daten früher hinaussickerten – Massen-Downloads, per E-Mail verschickte Auszüge, kopierte Tabellen. Jede alte Datenaustauschvereinbarung, die damit endet, dass eine Kopie das Gebäude verlässt, ist eine Verbindlichkeit, die Sie zugunsten von In-situ-Zugriff aktiv abbauen sollten.

2. Operationalisieren Sie alle Five Safes, nicht nur die Technologie. Es ist verlockend, eine sichere Plattform zu kaufen und das Problem für gelöst zu erklären, doch eine gehärtete Umgebung mit schwacher Projektprüfung oder ohne Ausgabekontrolle ist ein Verstoß, der darauf wartet zu geschehen. Bauen Sie für jedes Safe ausdrückliche, belegte Prozesse: Akkreditierung und Schulung der Forschenden, eine unabhängige Sicht darauf, ob ein Projekt rechtmäßig und im öffentlichen Interesse ist, minimierte und de-identifizierte Datenbereitstellung und disziplinierte Ausgabekontrolle. Behandeln Sie die fünf als System, in dem das schwächste Glied Ihr wirkliches Sicherheitsniveau bestimmt.

3. Minimieren und de-identifizieren Sie auf die niedrigste Identifizierbarkeit, die das Projekt verträgt. Geben Sie nicht die ganze Akte heraus, wenn eine Kohorte und ein Dutzend Felder die Frage beantworten würden. Pseudonymisieren Sie direkte Kennungen standardmäßig, streichen oder vergröbern Sie Quasi-Identifikatoren wie vollständige Postleitzahl und genaues Geburtsdatum und reservieren Sie den Zugang zu stärker identifizierbaren Daten für die seltenen Projekte, die ihn wirklich brauchen, unter strengerer Genehmigung. Denken Sie daran, dass pseudonymisierte Daten rechtlich weiter personenbezogene Daten sind (siehe Thema 1.7 — Informationsgovernance, Datenschutz und Cybersicherheit); die Kontrollen der SDE, nicht die Behauptung von Anonymität, halten Sie also rechtmäßig.

4. Stellen Sie eine echte Schleuse und geschulte Ausgabeprüfer zwischen Ergebnisse und Freigabe. Der Moment höchsten Risikos ist, wenn etwas die Umgebung verlässt. Führen Sie jede Ausgabe durch einen Haltebereich, in dem eine geschulte Prüferin statistische Offenlegungskontrolle anwendet – kleine Zellen unterdrücken, runden und auf Differenzbildung über die aufeinanderfolgenden Anfragen einer Forscherin achten –, bevor irgendetwas nach außen gelangt. Statten Sie das ordentlich aus: Ausgabekontrolle ist Facharbeit, und ein Rückstau, der Menschen versucht, es „einfach zu mailen“, unterläuft das ganze Modell.

5. Machen Sie die Genehmigung durch die Informationsgovernance rigoros, unabhängig und schnell genug, um nutzbar zu sein. Der Zugang sollte auf einem unabhängigen Urteil beruhen, dass das Projekt rechtmäßig und im öffentlichen Interesse ist, typischerweise über einen Datenzugangsausschuss und, wo vertrauliche Patienteninformationen ohne Einwilligung verwendet werden, die Confidentiality Advisory Group (CAG), die zur Unterstützung nach Section 251 der einschlägigen Verordnungen berät. Rigorosität und Geschwindigkeit sind keine Gegensätze: Ein transparenter, gut besetzter Ausschuss mit klaren Kriterien genehmigt gute Projekte schneller und lehnt schlechte vertretbarer ab als ein undurchsichtiger, langsamer. Ein Prozess, der so langsam ist, dass Forschende ihn umgehen, ist ein Governance-Versagen, kein Governance-Erfolg.

6. Verdienen und bewahren Sie soziale Lizenz durch radikale Transparenz. Die Lehre von care.data ist, dass rechtmäßig nicht dasselbe ist wie vertrauenswürdig. Veröffentlichen Sie ein Register der Datennutzungen, das zeigt, wer auf welche Daten zu welchem Zweck und mit welchem Ergebnis zugegriffen hat; führen Sie echte Öffentlichkeits- und Patientenbeteiligung an der Governance der SDE durch; und bieten Sie ein klares, respektiertes nationales Data Opt-out an. Transparenz ist kein beim Start aufgesetzter Kommunikationsnachgedanke – sie ist die Betriebsbedingung, die das ganze Unterfangen fortbestehen lässt (siehe Thema 1.8 — Datenethik, Einwilligung und öffentliches Vertrauen).

7. Gestalten Sie für Föderation über das SDE-Netzwerk, nicht für einen ummauerten Garten. Englands Modell ist eine nationale SDE neben akkreditierten subnationalen SDEs, und Forschung muss zunehmend Daten kombinieren, die legitimerweise nicht zusammengeführt werden können. Übernehmen Sie gemeinsame Standards, kuratierte Datenmodelle und interoperable Werkzeuge, damit ein Projekt mit der Zeit föderierte Abfragen laufen lassen oder Modelle über Umgebungen hinweg trainieren kann, während Rohdaten in jeder an Ort und Stelle bleiben (siehe Thema 4.3 — Interoperabilität und Datenstandards). Eine maßgeschneiderte, isolierte Umgebung zu bauen, die nicht interoperieren kann, ist eine strategische Sackgasse, so gut sie lokal auch aussieht.

8. Steuern Sie kommerziellen Zugang ausdrücklich, mit Wert, der zurückfließt. Industriezugang zu NHS-Daten ist legitim und oft wesentlich für die Entwicklung von Behandlungen und Technologien, aber dort konzentriert sich das öffentliche Misstrauen. Setzen Sie klare Regeln: Dieselben SDE-Kontrollen gelten für kommerzielle Nutzende wie für Akademikerinnen, Vereinbarungen sind transparent und veröffentlicht, und die Öffentlichkeit erhält fairen Gegenwert – ob im Preis, im Zugang zur entstehenden Innovation oder in Reinvestition in die Dateninfrastruktur. Lassen Sie „kommerzielle Partnerschaft“ nie zum Euphemismus dafür werden, dass Daten die sichere Verwahrung zu stillen Bedingungen verlassen (siehe Thema 6.3 — Beschaffung und Vertragsgestaltung).

Fragen zur Diskussion im Team#

1. Wenn wir sagen, unsere Daten seien „de-identifiziert“, welches Re-Identifikationsrisiko akzeptieren wir tatsächlich – und wer hat dieses Urteil abgezeichnet? Das ist wichtig, weil „anonymisiert“ locker für alles verwendet wird, von wirklich nicht personenbezogenen Daten bis zu leicht pseudonymisierten Datensätzen, die eine entschlossene Analystin durch Verknüpfung mit anderen Quellen re-identifizieren könnte. Debattieren Sie die Einzelheiten: welche Quasi-Identifikatoren bleiben (Granularität der Postleitzahl, Daten, seltene Diagnosen), gegen welche externen Datensätze ein Angreifer realistisch verknüpfen könnte und ob Ihre Kontrollen die SDE selbst sind oder ein optimistisches Etikett. Bedenken Sie, dass reichhaltige klinische Längsschnittdaten oft nicht wirklich anonymisierbar sind, was bedeutet, dass die Kontrollen der Umgebung – nicht die Datentransformation – Sie rechtmäßig und sicher machen. Bringen Sie ans Licht, wem dieses Risikoassessment gehört: einer benannten rechenschaftspflichtigen Person, die eine dokumentierte Methodik anwendet, oder einer ungeprüften Annahme, geerbt aus einer alten Datenaustauschvereinbarung. Eine gute, ehrliche Antwort beziffert das verbleibende Re-Identifikationsrisiko in klaren Worten, bindet es an konkrete Kontrollen und benennt die für das Urteil rechenschaftspflichtige Person, statt sich hinter dem Wort „anonym“ zu verstecken.

2. Wie würden wir einer skeptischen Patientin einen bestimmten Datenzugriff auf der Titelseite einer Zeitung erklären – und würde die Erklärung standhalten? Der Zusammenbruch von care.data war nicht in erster Linie ein technisches Versagen; es war ein Versagen zu erklären und Vertrauen zu gewinnen. Nehmen Sie einen realen oder realistischen Zugriff – ein Pharmaunternehmen führt eine Studie in Ihrer SDE durch – und spielen Sie das öffentliche Gespräch durch: welche Daten, warum, wer profitiert, was das Unternehmen bekommt, was die Öffentlichkeit zurückerhält und wie jemand widersprechen kann. Debattieren Sie, wo Ihre heutige Transparenz dünn ist: Gibt es ein öffentliches Register der Datennutzungen, ist kommerzieller Zugang sichtbar, wissen Patientinnen, dass das Opt-out existiert und beachtet wurde? Bedenken Sie den Unterschied zwischen vertretbar-weil-rechtmäßig und vertretbar-weil-vertrauenswürdig und seien Sie ehrlich, dass Letzteres schwerer und zerbrechlicher ist. Eine starke Antwort ergibt eine klare, jargonfreie Darstellung, die eine Patientin vernünftig fände, und benennt die konkreten Transparenzlücken, die Sie schließen müssten, bevor Sie sie mit gutem Gewissen geben könnten.

3. Ist unsere Governance schnell und unabhängig genug, dass gute Forschende sie nutzen, statt sie zu umgehen? Es gibt eine echte Spannung zwischen Rigorosität und Zugang: Steuern Sie zu lax, verraten Sie das öffentliche Vertrauen; steuern Sie zu langsam, geben Forschende entweder auf (öffentlicher Wert verloren) oder finden informelle Umgehungen (Kontrolle ganz verloren). Besprechen Sie Ihre tatsächlichen Fristen von Antrag bis Datenzugang, wo die Engpässe liegen (Informationsgovernance, CAG, Datenengineering, Ausgabekontrolle) und ob Ihr Datenzugangsausschuss klare veröffentlichte Kriterien hat oder von Fall zu Fall auf eine Weise entscheidet, die Antragstellende nicht vorhersagen können. Prüfen Sie Unabhängigkeit ehrlich: Sagt jemand mit der Befugnis, Nein zu sagen, tatsächlich Nein, oder macht kommerzieller oder institutioneller Druck die Genehmigung zur Formalität? Bedenken Sie den Fehlermodus, in dem ein langsamer Prozess Arbeit in ungesteuerte Ecken drängt, was schlimmer ist als ein schneller, transparenter. Eine gute Antwort nennt reale Durchlaufzeiten, unterscheidet Rigorosität von bloßer Verzögerung und verpflichtet sich zu konkreten Verbesserungen, die den Zugang beschleunigen, ohne das unabhängige Urteil im Zentrum zu schwächen.

4. Wenn ein kommerzieller Partner in unserer SDE arbeitet, welcher faire Gegenwert fließt an die Öffentlichkeit zurück – und können wir ihn belegen? Industriezugang ist legitim und oft der einzige Weg, Daten in Behandlungen zu verwandeln, aber genau dort konzentriert sich das öffentliche Misstrauen, weil die Furcht besteht, ein öffentliches Gut werde zu stillen Bedingungen in private Hände gegeben. Debattieren Sie, was „fairer Gegenwert“ für Ihre Organisation konkret bedeutet: ein Vorzugspreis für das entstehende Produkt, garantierter Zugang zur Innovation für Ihre Bevölkerung, Reinvestition in die Dateninfrastruktur oder schlicht Geld – und wer entscheidet, welches. Prüfen Sie, ob dieselben SDE-Kontrollen tatsächlich für kommerzielle Nutzende wie für Akademikerinnen gelten oder ob ein gut ausgestattetes Unternehmen still einen glatteren Weg bekommt. Fragen Sie, ob die Vereinbarung und ihre Wertteilungsbedingungen veröffentlicht sind oder von Fall zu Fall hinter verschlossenen Türen verhandelt werden, wo niemand sie prüfen kann. Eine ehrliche Antwort nennt den Wert, den Ihre letzte kommerzielle Vereinbarung erbrachte, sagt, wohin dieser Wert ging, und räumt ein, wo „kommerzielle Partnerschaft“ Gefahr läuft, zum Euphemismus für privilegierten Zugang ohne Rechenschaft zu werden.

5. Repräsentieren die Daten in unserer Umgebung – und die Forschung, die sie ermöglichen – die ganze Bevölkerung, oder nur die Teile, die am leichtesten zu erfassen sind? Gleichstellung ist eine Pflicht, kein Nachgedanke: Wenn die Daten bestimmte Gruppen unterrepräsentieren (Menschen, die Dienste weniger nutzen, weniger vollständig erfasst werden oder häufiger widersprechen), funktioniert darauf gebaute Forschung für genau diese Gruppen weniger gut und vergrößert gesundheitliche Ungleichheit still unter einem Anstrich von Evidenz. Besprechen Sie, welche Bevölkerungen in Ihren Daten dünn oder fehlend sind, wie Kodierungs- und Erfassungspraxis das Erfasste verzerren und ob hohe Opt-out-Raten in bestimmten Gemeinschaften die Repräsentativität auf eine Weise aushöhlen, die niemand verfolgt. Bedenken Sie die Spannung, dass bessere Inklusion gegen Datenminimierung und gegen das Vertrauen von Gruppen mit guten historischen Gründen für Vorsicht ziehen kann. Überlegen Sie, wer Projektausgaben auf unterschiedliche Wirkung prüft und ob „öffentlicher Nutzen“ in Ihren Zugangsentscheidungen je ausdrücklich fragt: Nutzen für wen? Eine starke Antwort benennt konkrete Repräsentationslücken, nennt das Gleichstellungsrisiko in laufender oder geplanter Forschung und verpflichtet sich, Nutzen und Inklusion zu überwachen, statt anzunehmen, ein großer Datensatz sei ein fairer.

6. Sind wir sicher, dass die SDE der einzige Weg ist, auf dem Daten hinausgehen – oder bestehen Alt-Exporte still daneben fort? Eine sichere Umgebung hält ihr Versprechen nur, wenn sie die einzige Tür wird; jede überlebende bilaterale Vereinbarung, jeder per E-Mail verschickte Auszug, jede kopierte Tabelle ist ein Weg, der jede von Ihnen gebaute Kontrolle umgeht, und solche Arrangements überleben notorisch die Erinnerung daran, wer sie unterzeichnet hat. Besprechen Sie, ob jemand ein lebendes Inventar bestehender Datenaustauschvereinbarungen führt, wo Kopien von Daten derzeit außerhalb Ihrer Mauern liegen und wem die bewusste Arbeit gehört, sie abzubauen. Prüfen Sie die unbequemen Anreize: Exporte sind schnell und vertraut, und sowohl Forschende als auch interne Teams ziehen womöglich den alten Weg vor, während sie dem neuen Lippenbekenntnisse zollen. Bedenken Sie, dass eine glänzende SDE, die auf einem nicht abgebauten Exportbestand startet, ein falsches Sicherheitsgefühl ist, kein gelöstes Problem. Eine ehrliche Antwort nennt, wie viele Alt-Exporte noch existieren, benennt Plan und Verantwortliche für ihre Schließung und ist offen darüber, welche sich am schwersten abschalten lassen und warum.

In der Praxis: ein Beispiel aus Gesundheit und Pflege#

Das Integrated Care System Fenwater umfasst drei Akut-Trusts, Gemeinde- und psychiatrische Dienste und rund neunzig Hausarztpraxen. Seine Analystinnen haben sich lange auf maßgeschneiderte Datenextrakte verlassen – pseudonymisierte Dateien, unter bilateralen Vereinbarungen auf die Server eines Forschungspartners kopiert –, und das Team der Informationsgovernance sorgt sich seit Jahren still, wo diese Kopien inzwischen liegen. Als die SDE-Politik von NHS England In-situ-Zugriff zur Erwartung macht, beschließt der Vorstand von Fenwater, die Fenwater Secure Data Environment als akkreditierte subnationale SDE aufzubauen, statt weiter Exportvereinbarungen zu unterzeichnen.

Das Programm beginnt nicht mit Technologie, sondern mit den Five Safes. Fenwater definiert Akkreditierung und Pflichtschulung der Forschenden (sichere Personen); richtet einen Datenzugangsausschuss mit Laienmitgliedern und unabhängigem Vorsitz ein, der jedes Projekt auf Rechtmäßigkeit und öffentlichen Nutzen prüft und Fälle mit vertraulichen Daten zur Beratung nach Section 251 verweist (sichere Projekte und Umgebungen); baut ein kuratiertes, minimiertes Datenmodell, in dem direkte Kennungen pseudonymisiert und Postleitzahlen auf den ersten Teil vergröbert werden (sichere Daten); und stellt zwei Ausgabeprüfer ein und schult sie, um die Schleuse zu betreiben (sichere Ergebnisse). Entscheidend ist, dass es vom ersten Tag an ein öffentliches Register der Datennutzungen veröffentlicht und ein ständiges Patientengremium einberuft, das die Governance prüft.

Der erste reale Test ist eine Anfrage eines Diagnostikunternehmens, frühe Marker einer Krebserkrankung in fünf Jahren Pathologie- und Bilddaten zu untersuchen. Nach dem alten Modell wäre das ein weiterer Export gewesen. Jetzt sind die Analystinnen des Unternehmens akkreditiert, ihr Projekt wird auf öffentlichen Nutzen bewertet und mit Auflagen genehmigt, und sie arbeiten vollständig innerhalb der SDE – keine Rohdaten verlassen sie. Ihre statistischen Ausgaben laufen durch die Schleuse, wo ein Prüfer mehrere kleine Zellenbesetzungen unterdrückt, die Patientinnen mit einem seltenen Subtyp herausgegriffen hätten. Die kommerzielle Vereinbarung wird im Register veröffentlicht, einschließlich der Zusage, dass jeder daraus entstehende Test dem ICS zu Vorzugsbedingungen angeboten wird.

Achtzehn Monate später beendet Fenwater die letzte seiner alten Exportvereinbarungen. Eine spätere Anfrage braucht Daten, die Fenwater hält, kombiniert mit den Akten eines benachbarten ICS; statt einen der Datensätze zu kopieren, erproben die beiden akkreditierten SDEs eine föderierte Abfrage, sodass die Analyse in beiden Umgebungen läuft und nur aggregierte Ergebnisse kombiniert werden. Als ein Lokaljournalist fragt, wer die Daten von Patientinnen genutzt hat, verweist das ICS auf sein öffentliches Register. Die Arbeit war langsamer aufzubauen als das Mailen einer Tabelle – doch sie verwandelte eine ängstliche, unsichtbare Exportgewohnheit in ein vertretbares, transparentes öffentliches Gut.

Sektorperspektiven#

Startup#

Ein Health-Tech-Startup baut selten seine eigene SDE; es ist Nutzer der eines anderen, und seine Arbeitsweisen müssen die Umgebung voraussetzen, nicht den Export. Gestalten Sie Ihre Analytik- und Modelltrainings-Pipelines so, dass sie innerhalb einer TRE gegen Daten laufen, die Sie nicht herunterladen können, denn das ist zunehmend der einzige rechtmäßige Weg zu NHS-Daten im großen Maßstab – und ein Krankenhaus oder ICS wird Ihre Governance-Reife bewerten, bevor es Sie hineinlässt. Budgetieren Sie realistisch für Akkreditierung, für den langsameren Takt der In-situ-Arbeit und für Ausgabekontrolle, die Ergebnisse zurückhält, die Sie mitzunehmen erwartet hatten. Ihr Wettbewerbsvorteil ist nicht privilegierter Zugang zu Rohdaten (diese Ära geht zu Ende), sondern die Fähigkeit, innerhalb der Beschränkungen glaubwürdige, veröffentlichbare Erkenntnisse zu erzeugen und transparent darüber zu sein, was Sie mit dem gewährten Zugang taten.

Kleines Unternehmen#

Ein etablierter kleiner Anbieter oder Lieferant – eine Hausarztpraxis, eine Gemeindeapotheke, ein Pflegeheim, eine Einzelstandort-Klinik oder ein kleiner Analytik-Anbieter jenseits der Startup-Phase – ist weit häufiger ein Verantwortlicher (Data Controller) mit Pflichten als ein angehender Forscher, und er wird nie eine eigene SDE betreiben. Seine praktische Aufgabe ist, der alten Gewohnheit zu widerstehen, pseudonymisierte Auszüge auf den Laptop eines Partners oder in eine Tabelle zu kopieren, und stattdessen darauf zu bestehen, dass jede Sekundärnutzung der Daten seiner Patientinnen in einer akkreditierten Umgebung stattfindet, auf die es verweisen und für die es Rechenschaft ablegen kann. Ohne eigenes Personal der Informationsgovernance stützen Sie sich auf gemeinsame und regionale SDEs, Ihre Datenschutzbeauftragte oder das ICB und Vorlagen für Datenaustauschbedingungen, statt maßgeschneiderte Vereinbarungen zu verhandeln, die Sie nicht ordentlich prüfen können. Wissen Sie, dass das nationale Data Opt-out und die Verschwiegenheitspflicht unabhängig von der Größe voll für Sie gelten; die sicherste Haltung ist daher, Anfragen nach Ihren Daten zu einer gesteuerten SDE zu lenken und informelle Exporte abzulehnen, selbst wenn ein vertrauter lokaler Forscher freundlich fragt.

Großunternehmen#

Ein großer NHS Trust, ein ICS oder ein Pharmaunternehmen betreibt SDEs im großen Maßstab und über viele gleichzeitige Projekte, seine Herausforderung ist daher Durchsatz ohne Kontrollverlust. Das realistische Ziel ist eine akkreditierte Umgebung mit industrialisierten Prozessen – ständige Datenzugangsausschüsse, ein kuratiertes und minimiertes Datenmodell, ausgestattete Ausgabekontrolle und ein veröffentlichtes Nutzungsregister –, keine maßgeschneiderte Plattform je Projekt. Betten Sie die SDE in Beschaffungs- und Partnerschaftsbedingungen ein, sodass kommerzieller Zugang standardmäßig durch sie fließt und Wertteilung vertraglich statt ad hoc verhandelt ist (siehe Thema 6.4 — Governance und Assurance). In dieser Größenordnung sind die größten Risiken eine langsame Governance-Pipeline, die Forschende zu Umgehungen drängt, und Alt-Exportvereinbarungen, die still neben der glänzenden neuen Umgebung fortbestehen; bauen Sie sie bewusst ab.

Regierung#

Eine nationale Stelle – NHS England, die dezentralen Gesundheitsverwaltungen, die UK Statistics Authority – setzt die Regeln, innerhalb derer alle anderen arbeiten, und ihr Hebel sind Standards, Akkreditierung und öffentliches Vertrauen. Sie definiert die SDE-Politik, akkreditiert subnationale Umgebungen, betreibt eine nationale SDE und drängt – den Empfehlungen „Better, broader, safer“ des Goldacre Review folgend – zu einer kleineren Zahl gut gesteuerter, interoperabler Umgebungen statt zu Hunderten unkontrollierter Datenflüsse. Ihre schwerste und wichtigste Pflicht ist, die soziale Lizenz national zu betreuen: das nationale Data Opt-out zu achten, auf Transparenz über kommerziellen Zugang zu bestehen und sicherzustellen, dass die Öffentlichkeit fairen Gegenwert für die Nutzung eines öffentlichen Guts zurückerhält (siehe Thema 9.2 — Globale und internationale digitale Gesundheit). Die Regierung trägt auch die Gleichstellungspflicht – dass Forschung mit diesen Daten der ganzen Bevölkerung nützt, nicht nur den in ihnen am besten repräsentierten Gruppen.

Häufige Fehlermuster#

• Der Export, der nie wirklich aufhörte. Eine glänzende neue SDE startet, während alte Datenaustauschvereinbarungen hinten still weiter Daten hinauskopieren. Inventarisieren und beenden Sie Alt-Exporte bewusst; die Umgebung hilft nur, wenn sie der einzige Weg wird.
• „Anonymisiert“ als Wohlfühlwort. Reichhaltige klinische Daten anonym zu nennen macht sie nicht anonym; das Re-Identifikationsrisiko ist oft real und steigend. Bewerten und dokumentieren Sie das tatsächliche Restrisiko und verlassen Sie sich auf die Kontrollen der Umgebung, nicht auf das Etikett.
• Technologie ohne Governance. Eine sichere Plattform mit schwacher Projektprüfung oder ohne Ausgabekontrolle ist ein Verstoß, der darauf wartet zu geschehen. Alle Five Safes müssen operativ sein, nicht nur die Umgebung.
• Die Schleuse, die leckt. Unterausgestattete Ausgabekontrolle erzeugt Rückstaus, und Rückstaus erzeugen Druck, die Schleuse zu umgehen. Besetzen Sie sie als qualifizierte, wertgeschätzte Arbeit mit erreichbarer Durchlaufzeit.
• Governance so langsam, dass sie umgangen wird. Ein undurchsichtiger, monatelanger Genehmigungsprozess drängt gute Forschende zu informellen Umgehungen – das Schlechteste aus beiden Welten. Machen Sie die Genehmigung unabhängig und nutzbar schnell.
• Stille kommerzielle Deals. Industriezugang zu unveröffentlichten Bedingungen ist, wie rechtmäßig auch immer, der schnellste Weg, öffentliches Vertrauen zu verlieren. Wenden Sie dieselben Kontrollen auf kommerzielle Nutzende an und veröffentlichen Sie die Vereinbarungen.
• Transparenz als Theater am Starttag. Eine einmalige öffentliche Kampagne ist keine soziale Lizenz; ein gepflegtes Register der Datennutzungen und echte Öffentlichkeitsbeteiligung sind es. care.data ist die bleibende Mahnung, dass Vertrauen eine Betriebsbedingung ist, kein Startereignis.

Reifegradmodell#

Checkliste#

• In-situ-Zugriff über die SDE ist der Standard; Alt-Datenexporte sind inventarisiert und werden abgebaut.
• Alle Five Safes sind mit belegten Prozessen operationalisiert, nicht nur eine sichere Plattform.
• Daten werden auf die niedrigste Identifizierbarkeit minimiert und de-identifiziert, die jedes Projekt verträgt, mit Pseudonymisierung als Standard.
• Das Re-Identifikationsrisiko wird von einer benannten rechenschaftspflichtigen Verantwortlichen bewertet und dokumentiert, nicht aus einem „anonymisiert“-Etikett angenommen.
• Jede Ausgabe durchläuft eine Schleuse, in der geschulte Prüfer vor der Freigabe statistische Offenlegungskontrolle anwenden.
• Ein unabhängiger Datenzugangsausschuss genehmigt Projekte nach veröffentlichten Kriterien, mit einem CAG-/Section-251-Weg für vertrauliche Daten.
• Governance-Fristen werden gemessen, veröffentlicht und sind schnell genug, dass Forschende den Prozess nutzen, statt ihn zu umgehen.
• Ein öffentliches Register der Datennutzungen zeigt, wer auf welche Daten zu welchem Zweck und mit welchem Ergebnis zugegriffen hat.
• Das nationale Data Opt-out wird beachtet, und seine Existenz wird Patientinnen klar kommuniziert.
• Kommerzieller Zugang läuft durch dieselben SDE-Kontrollen, ist veröffentlicht und bringt der Öffentlichkeit fairen Gegenwert.
• Die Umgebung übernimmt gemeinsame Standards, sodass sie interoperieren und mit der Zeit föderierte Analytik über SDEs hinweg unterstützen kann.

Zentrale Quellen#

• NHS England — Secure Data Environment (SDE) policy guidelines und das nationale und subnationale SDE-Netzwerk.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (der Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — der Rahmen der Five Safes für sicheren Datenzugang.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — Prinzipien und Standards für Trusted Research Environments.
• Health Research Authority — Confidentiality Advisory Group (CAG) und Unterstützung nach Section 251 für die Nutzung vertraulicher Patienteninformationen ohne Einwilligung.
• UK Statistics Authority — Akkreditierung und die sichere Nutzung von Daten für Forschung und Statistik.
• Information Commissioner's Office — Leitlinien zu Anonymisierung, Pseudonymisierung und Datenminimierung nach UK GDPR.

Referenzen#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/