Sujet 4.10 — Secure Data Environments et accès aux données de recherche

Dans la santé et l'action sociale, la réutilisation sûre des données patient pour la recherche et la planification dépend d'un principe unique et durement gagné — amener l'analyste aux données, jamais les données à l'analyste — appliqué via des environnements sécurisés, une gouvernance en couches, et une responsabilité publique visible.

Pourquoi c'est important dans la santé et l'action sociale#

Les systèmes de santé et d'action sociale détiennent certaines des données longitudinales les plus riches jamais assemblées sur des vies humaines : naissances, diagnostics, ordonnances, opérations, décès, et les circonstances sociales autour d'elles. Bien réutilisées, ces données trouvent des médicaments plus sûrs, repèrent des services défaillants, ciblent des ressources rares, et alimentent la découverte de traitements qui sauvent des vies. Mal réutilisées, elles violent la confiance de millions de personnes qui n'ont jamais choisi d'être des sujets de données, corrodent la confiance sur laquelle tout le système fonctionne, et — parce que la confiance une fois perdue est lente à reconstruire — retardent la recherche même qu'elles étaient censées permettre.

La tension est structurelle, pas accidentelle. Le public soutient systématiquement l'usage de ses données pour la recherche dans l'intérêt public, et s'oppose tout aussi systématiquement à ce que les données quittent la garde sûre, soient vendues sans responsabilité, ou circulent vers des mains commerciales selon des termes qu'il ne peut pas voir. Un dirigeant numérique se situe exactement sur cette ligne de faille. On vous demande de débloquer la valeur des données (une obligation envers des patients pas encore nés, et envers la bourse publique) tout en tenant une obligation de confidentialité tout aussi sérieuse envers les personnes que les données décrivent.

Les Secure Data Environments (SDE), aussi appelés Trusted Research Environments, sont la réponse opérationnelle sur laquelle le Royaume-Uni a convergé. Ils changent le défaut de copier les données vers les chercheurs, vers les chercheurs venant travailler sur des données qui ne bougent jamais. Ce n'est pas une gentillesse technique ; c'est le mécanisme par lequel le système tient une promesse publique. Bien le faire est une responsabilité adjacente à la sécurité clinique, d'équité, et de confiance publique (voir Sujet 1.8 — Éthique des données, consentement et confiance publique), et c'est de plus en plus une attente statutaire, pas une question de discrétion locale.

Concepts fondamentaux#

Un Secure Data Environment (SDE) — le terme maintenant préféré dans la politique du NHS — est une plateforme de stockage et d'analyse de données dans laquelle des chercheurs approuvés accèdent à des données approuvées pour des fins approuvées, sans que les données soient extraites ou copiées. Le nom plus ancien et internationalement commun est le Trusted Research Environment (TRE) ; les deux décrivent le même modèle. L'idée directrice est amener l'analyste aux données, pas les données à l'analyste : le calcul se passe à l'intérieur des murs, et seuls les résultats vérifiés et agrégés sortent.

Le cadre qui structure cela est les Cinq sûretés (Five safes), développé au UK Office for National Statistics. Il décompose l'accès sûr aux données en cinq dimensions : personnes sûres (les chercheurs sont-ils formés, accrédités, et responsables ?), projets sûrs (cet usage est-il légal, éthique, et dans l'intérêt public ?), contextes sûrs (l'environnement prévient-il la fuite ?), données sûres (les données ont-elles été minimisées et dé-identifiées dans la mesure où le projet le permet ?), et résultats sûrs (les résultats sont-ils vérifiés avant la sortie afin qu'aucun individu ne puisse être identifié ?). Aucun contrôle unique n'est suffisant ; la sécurité est le produit des cinq.

Deux disciplines protègent les données elles-mêmes. La minimisation des données signifie fournir seulement les champs et dossiers dont un projet a véritablement besoin, jamais le dossier entier « juste au cas où ». La dé-identification est le terme générique pour réduire l'identifiabilité des données. À l'intérieur, la pseudonymisation remplace les identifiants directs (nom, numéro NHS) par un jeton lié à une clé, donc la réidentification n'est possible qu'en détenant la clé séparée — les données restent des données personnelles en droit. L'anonymisation vise à rendre les données non plus personnelles du tout, ce qui est bien plus difficile qu'il n'y paraît, car la réidentification — apparier des données supposément anonymes contre d'autres ensembles de données pour révéler qui est quelqu'un — devient plus facile à mesure que plus de données existent dans le monde. La véritable anonymisation de données cliniques riches est souvent impossible ; c'est précisément pourquoi le modèle SDE existe.

Avant que les résultats ne quittent l'environnement, ils passent la vérification de sortie, la porte humaine et procédurale qui applique le contrôle de divulgation statistique — des techniques qui empêchent les petits comptes de cellule, les valeurs aberrantes uniques, ou les attaques par différenciation d'exposer des individus. La porte est souvent appelée un sas (airlock) : les résultats vont dans une zone de rétention, un vérificateur formé les révise, et seuls les résultats validés passent au chercheur. Les techniques de confidentialité émergentes telles que la confidentialité différentielle, qui ajoute un bruit statistique calibré pour borner ce qu'un seul dossier contribue à un résultat, complètent plutôt que remplacent ce contrôle humain.

Deux autres concepts façonnent l'avenir. L'apprentissage fédéré et l'analytique fédérée permettent à une requête ou un modèle de s'exécuter à travers plusieurs SDE, chacun détenant ses propres données, afin que les aperçus soient combinés sans qu'aucune donnée brute ne soit regroupée — la prochaine étape naturelle pour un réseau national distribué. Et la licence sociale — la permission publique informelle et continue sous laquelle un programme de données opère — est l'actif intangible que toute la machinerie ci-dessus existe pour protéger. Le conte de mise en garde est care.data, le programme NHS England de 2013–2016 pour extraire les données des médecins généralistes, abandonné après avoir échoué à s'expliquer au public et perdu sa confiance.

Bonnes pratiques#

1. Faites de l'environnement, pas de l'export, le défaut. La décision de conception la plus importante unique est que les données ne quittent pas. Provisionnez les chercheurs avec du calcul, des outils, et des ensembles de données curatés à l'intérieur du SDE, et supprimez les voies par lesquelles les données avaient l'habitude de couler dehors — téléchargements en masse, extraits par e-mail, feuilles de calcul copiées. Chaque ancien accord de partage de données qui se termine par une copie quittant le bâtiment est une responsabilité que vous devriez activement retirer en faveur de l'accès in situ.

2. Opérationnalisez tous les Cinq Sûretés, pas seulement la technologie. Il est tentant d'acheter une plateforme sécurisée et de déclarer le problème résolu, mais un contexte durci avec un contrôle de projet faible ou aucune vérification de sortie est une violation en attente. Construisez des processus explicites et prouvés pour chaque sûreté : accréditation et formation des chercheurs, une vue indépendante sur si un projet est légal et dans l'intérêt public, provisionnement de données minimisées et dé-identifiées, et vérification de sortie disciplinée. Traitez les cinq comme un système où le maillon le plus faible fixe votre véritable niveau de sécurité.

3. Minimisez et dé-identifiez à la plus faible identifiabilité que le projet peut tolérer. Ne remettez pas le dossier entier quand une cohorte et une douzaine de champs répondraient à la question. Pseudonymisez les identifiants directs par défaut, retirez ou grossissez les quasi-identifiants tels que le code postal complet et la date de naissance exacte, et réservez l'accès à des données plus identifiables aux rares projets qui en ont véritablement besoin, sous approbation plus stricte. Rappelez-vous que les données pseudonymisées sont toujours des données personnelles en droit (voir Sujet 1.7 — Gouvernance de l'information, protection des données et cybersécurité), donc ce sont les contrôles du SDE, pas une revendication d'anonymat, qui vous gardent légal.

4. Placez un véritable sas et des vérificateurs de sortie formés entre les résultats et la sortie. Le moment de plus haut risque est quand quelque chose quitte l'environnement. Acheminez chaque sortie via une zone de rétention où un vérificateur formé applique le contrôle de divulgation statistique — supprimant les petites cellules, arrondissant, et surveillant la différenciation à travers les demandes successives d'un chercheur — avant que quoi que ce soit n'atteigne l'extérieur. Dotez cela correctement en ressources : la vérification de sortie est un travail qualifié, et un arriéré qui tente les gens à « simplement l'envoyer par e-mail » défait tout le modèle.

5. Rendez l'approbation de gouvernance de l'information rigoureuse, indépendante, et assez rapide pour être utilisée. L'accès devrait dépendre d'un jugement indépendant que le projet est légal et dans l'intérêt public, typiquement via un comité d'accès aux données et, là où l'information confidentielle de patients est utilisée sans consentement, le Confidentiality Advisory Group (CAG) conseillant sur le soutien section 251 au titre des règlements pertinents. Rigueur et vitesse ne sont pas des opposés : un comité transparent et bien doté en personnel avec des critères clairs approuve les bons projets plus rapidement et rejette les mauvais de manière plus défendable qu'un comité opaque et lent. Un processus si lent que les chercheurs le contournent est un échec de gouvernance, pas un succès de gouvernance.

6. Gagnez et gardez la licence sociale via une transparence radicale. La leçon de care.data est que légal n'est pas la même chose que digne de confiance. Publiez un registre des usages de données montrant qui a accédé à quelles données, à quelle fin, et avec quel résultat ; menez une véritable implication publique et de patients dans comment le SDE est gouverné ; et offrez une désinscription nationale de données claire et respectée. La transparence n'est pas une réflexion après coup de communication ajoutée au lancement — c'est la condition opérationnelle qui permet à toute l'entreprise de continuer (voir Sujet 1.8 — Éthique des données, consentement et confiance publique).

7. Concevez pour la fédération à travers le réseau SDE, pas un jardin clos unique. Le modèle anglais est un SDE national aux côtés de SDE sous-nationaux accrédités, et la recherche a de plus en plus besoin de combiner des données qui légitimement ne peuvent pas être regroupées. Adoptez des normes communes, des modèles de données curatés, et un outillage interopérable afin qu'un projet puisse, avec le temps, exécuter des requêtes fédérées ou entraîner des modèles à travers les environnements tandis que les données brutes restent sur place dans chacun (voir Sujet 4.3 — Interopérabilité et normes de données). Construire un environnement sur mesure et isolé qui ne peut pas interopérer est une impasse stratégique, aussi bon qu'il paraisse localement.

8. Gouvernez l'accès commercial explicitement, avec la valeur revenant. L'accès de l'industrie aux données du NHS est légitime et souvent essentiel pour développer des traitements et technologies, mais c'est là où la suspicion publique se concentre. Fixez des règles claires : les mêmes contrôles SDE s'appliquent aux utilisateurs commerciaux qu'aux académiques, les accords sont transparents et publiés, et le public obtient une juste valeur en retour — que ce soit en prix, accès à l'innovation résultante, ou réinvestissement dans l'infrastructure de données. Ne laissez jamais « partenariat commercial » devenir un euphémisme pour des données quittant la garde sûre selon des termes discrets (voir Sujet 6.3 — Achats et commercial).

Questions à discuter avec votre équipe#

1. Lorsque nous disons que nos données sont « dé-identifiées », quel risque de réidentification acceptons-nous réellement — et qui a validé ce jugement ? Cela compte car « anonymisé » est utilisé de manière lâche pour signifier tout, des données véritablement non personnelles aux dossiers légèrement pseudonymisés qu'un analyste déterminé pourrait réidentifier en les liant à d'autres sources. Débattez des spécificités : quels quasi-identifiants restent (granularité de code postal, dates, diagnostics rares), quels ensembles de données externes un attaquant pourrait réalistement lier contre, et si vos contrôles sont le SDE lui-même ou une étiquette optimiste. Considérez que les données cliniques longitudinales riches sont souvent véritablement non anonymisables, ce qui signifie que les contrôles de l'environnement — pas la transformation de données — sont ce qui vous rend légal et sûr. Faites surgir qui possède cette évaluation de risque : une personne responsable nommée appliquant une méthodologie documentée, ou une hypothèse non examinée héritée d'un ancien accord de partage de données. Une bonne réponse honnête énonce le risque de réidentification résiduel en termes clairs, le lie à des contrôles spécifiques, et nomme la personne responsable du jugement plutôt que de se cacher derrière le mot « anonyme ».

2. Comment expliquerions-nous un accès de données spécifique à un patient sceptique en première page d'un journal — et l'explication survivrait-elle ? L'effondrement de care.data n'était pas principalement un échec technique ; c'était un échec à expliquer et à commander la confiance. Prenez un accès réel ou réaliste — une entreprise pharmaceutique menant une étude dans votre SDE — et jouez la conversation publique : quelles données, pourquoi, qui en bénéficie, ce que l'entreprise obtient, ce que le public obtient en retour, et comment quelqu'un peut se désinscrire. Débattez d'où votre transparence actuelle est mince : y a-t-il un registre public des usages de données, l'accès commercial est-il visible, les patients savent-ils que la désinscription existe et a été respectée ? Considérez la différence entre défendable-car-légal et défendable-car-de-confiance, et soyez honnête que le second est plus difficile et plus fragile. Une réponse forte produit un compte clair et sans jargon qu'un patient trouverait raisonnable, et identifie les lacunes de transparence spécifiques que vous devriez fermer avant de pouvoir le donner sans sourciller.

3. Notre gouvernance est-elle assez rapide et indépendante pour que les bons chercheurs l'utilisent plutôt que de la contourner ? Il y a une véritable tension entre rigueur et accès : gouverner trop lâchement et vous trahissez la confiance publique ; gouverner trop lentement et les chercheurs soit abandonnent (valeur publique perdue) soit trouvent des solutions de contournement informelles (contrôle entièrement perdu). Discutez de vos véritables délais depuis la demande jusqu'à l'accès aux données, où se trouvent les goulots d'étranglement (gouvernance de l'information, CAG, ingénierie de données, vérification de sortie), et si votre comité d'accès aux données a des critères publiés clairs ou décide au cas par cas de façons que les demandeurs ne peuvent pas prédire. Sondez l'indépendance honnêtement : quelqu'un ayant l'autorité de dire non le dit-il réellement, ou la pression commerciale ou institutionnelle fait-elle de l'approbation une formalité ? Considérez le mode d'échec où un processus lent pousse le travail vers des coins non gouvernés, ce qui est pire qu'un processus rapide et transparent. Une bonne réponse nomme de véritables temps de cycle, distingue la rigueur du simple retard, et s'engage à des améliorations spécifiques qui accélèrent l'accès sans affaiblir le jugement indépendant au centre.

4. Lorsqu'un partenaire commercial travaille dans notre SDE, quelle juste valeur revient au public — et pouvons-nous le montrer ? L'accès de l'industrie est légitime et souvent la seule voie pour transformer les données en traitements, mais c'est exactement là où la suspicion publique se concentre, car la peur est qu'un actif public soit remis à des mains privées selon des termes discrets. Débattez de ce que « juste valeur » signifie concrètement pour votre organisation : un prix préférentiel sur le produit résultant, un accès garanti à l'innovation pour votre population, un réinvestissement dans l'infrastructure de données, ou simplement de l'argent liquide — et qui décide lequel. Sondez si les mêmes contrôles SDE s'appliquent véritablement aux utilisateurs commerciaux qu'aux académiques, ou si une entreprise bien dotée en ressources obtient discrètement un chemin plus fluide. Demandez si l'accord et ses termes de partage de valeur sont publiés, ou négociés au cas par cas derrière des portes closes où personne ne peut les vérifier. Une réponse honnête nomme la valeur que votre dernier arrangement commercial a retournée, énonce où cette valeur est allée, et admet où « partenariat commercial » risque de devenir un euphémisme pour un accès privilégié sans responsabilité.

5. Les données dans notre environnement — et la recherche qu'elles permettent — représentent-elles toute la population, ou seulement les parties les plus faciles à capturer ? L'équité est une obligation, pas une réflexion après coup : si les données sous-représentent certains groupes (personnes qui utilisent moins les services, sont enregistrées moins complètement, ou se désinscrivent à des taux plus élevés), alors la recherche construite dessus fonctionnera moins bien pour exactement ces groupes, élargissant discrètement les inégalités de santé sous un vernis de preuve. Discutez de quelles populations sont clairsemées ou manquantes dans vos données, comment les pratiques de codage et d'enregistrement biaisent ce qui est capturé, et si des taux de désinscription élevés dans des communautés particulières érodent la représentativité de façons que personne ne suit. Considérez la tension qu'améliorer l'inclusion peut tirer contre la minimisation des données et contre la confiance de groupes ayant de bonnes raisons historiques de méfiance. Pensez à qui révise les sorties de projet pour l'impact différentiel, et si le « bénéfice public » dans vos décisions d'accès demande jamais explicitement bénéfice pour qui. Une réponse forte identifie des lacunes de représentation concrètes, nomme le risque d'équité dans la recherche actuelle ou planifiée, et s'engage à surveiller le bénéfice et l'inclusion plutôt que de supposer qu'un grand ensemble de données est un ensemble juste.

6. Sommes-nous certains que le SDE est la seule voie par laquelle les données sortent — ou des exports hérités persistent-ils discrètement à ses côtés ? Un environnement sécurisé ne livre sa promesse que s'il devient la porte unique ; chaque accord bilatéral survivant, extrait par e-mail, ou feuille de calcul copiée est une voie qui contourne chaque contrôle que vous avez construit, et ces arrangements sont notoires pour survivre à la mémoire de qui les a signés. Discutez de si quelqu'un détient un inventaire vivant des accords de partage de données existants, où se trouvent actuellement des copies de données hors de vos murs, et qui possède le travail délibéré de les retirer. Sondez les incitations inconfortables : les exports sont rapides et familiers, et à la fois les chercheurs et les équipes internes peuvent préférer l'ancienne voie tout en rendant hommage de bouche à la nouvelle. Considérez qu'un SDE reluisant lancé par-dessus un parc d'exports non retirés est un faux sentiment de sécurité, pas un problème résolu. Une réponse honnête énonce combien d'exports hérités existent encore, nomme le plan et propriétaire pour les fermer, et est franche sur lesquels s'avèrent les plus difficiles à éteindre et pourquoi.

En pratique : un exemple de santé et d'action sociale#

Le Fenwater Integrated Care System couvre trois trusts de soins aigus, des services communautaires et de santé mentale, et environ quatre-vingt-dix cabinets de médecins généralistes. Ses analystes se sont longtemps appuyés sur des extraits de données sur mesure — fichiers pseudonymisés copiés vers les serveurs d'un partenaire de recherche sous des accords bilatéraux — et l'équipe de gouvernance de l'information s'inquiète discrètement depuis des années de où ces copies se trouvent maintenant. Lorsque la politique SDE de NHS England fait de l'accès in situ l'attente, le conseil d'administration de Fenwater décide de mettre en place le Fenwater Secure Data Environment comme un SDE sous-national accrédité plutôt que de continuer à signer des accords d'export.

Le programme commence non pas avec la technologie mais avec les Cinq Sûretés. Fenwater définit l'accréditation et la formation obligatoire des chercheurs (personnes sûres) ; établit un comité d'accès aux données, avec des membres profanes et un président indépendant, qui évalue chaque projet pour la légalité et le bénéfice public et réfère les cas de données confidentielles pour un conseil section 251 (projets et contextes sûrs) ; construit un modèle de données curaté et minimisé où les identifiants directs sont pseudonymisés et les codes postaux grossis à la première partie seulement (données sûres) ; et embauche et forme deux vérificateurs de sortie pour exploiter le sas (résultats sûrs). Fait crucial, il publie un registre public des usages de données dès le premier jour et convoque un panel de patients permanent pour scruter la gouvernance.

Le premier véritable test est une demande d'une entreprise de diagnostics pour étudier les marqueurs précoces d'un cancer à travers cinq ans de données de pathologie et d'imagerie. Sous l'ancien modèle, ce serait un autre export. Maintenant, les analystes de l'entreprise sont accrédités, leur projet est évalué pour le bénéfice public et approuvé avec des conditions, et ils travaillent entièrement à l'intérieur du SDE — aucune donnée brute ne sort. Leurs sorties statistiques passent par le sas, où un vérificateur supprime plusieurs petits comptes de cellule qui auraient isolé des patients avec un sous-type rare. L'accord commercial est publié sur le registre, incluant un engagement que tout test résultant soit offert à l'ICS selon des termes préférentiels.

Dix-huit mois plus tard, Fenwater retire le dernier de ses accords d'export hérités. Une demande subséquente a besoin de données que Fenwater détient combinées aux dossiers d'un ICS voisin ; plutôt que de copier l'un ou l'autre ensemble de données, les deux SDE accrédités pilotent une requête fédérée afin que l'analyse s'exécute dans les deux environnements et seuls les résultats agrégés soient combinés. Lorsqu'un journaliste local demande qui a utilisé les données des patients, l'ICS pointe vers son registre public. Le travail a été plus lent à construire que d'envoyer une feuille de calcul par e-mail — mais il a transformé une habitude d'export anxieuse et invisible en un actif public défendable et transparent.

Angles sectoriels#

Startup#

Une startup de santé numérique construit rarement son propre SDE ; elle est une utilisatrice de celui de quelqu'un d'autre, et ses façons de travailler doivent supposer l'environnement, pas l'export. Concevez vos pipelines d'analytique et d'entraînement de modèles pour s'exécuter à l'intérieur d'un TRE contre des données que vous ne pouvez pas télécharger, car c'est de plus en plus la seule voie légale vers les données du NHS à l'échelle — et un hôpital ou ICS évaluera votre maturité de gouvernance avant de vous laisser entrer. Budgétez réalistement pour l'accréditation, pour la cadence plus lente du travail in situ, et pour la vérification de sortie qui retiendra des résultats que vous vous attendiez à emporter. Votre avantage compétitif n'est pas un accès privilégié aux données brutes (cette ère se termine) mais la capacité de générer un aperçu crédible et publiable dans les contraintes, et d'être transparent sur ce que vous avez fait avec l'accès qui vous a été accordé.

Petite entreprise#

Un prestataire ou fournisseur établi de petite taille — un cabinet de médecins généralistes, une pharmacie communautaire, une maison de retraite, une clinique monosite, ou un petit fournisseur d'analytique ayant dépassé le stade de la startup — est bien plus souvent un contrôleur de données avec obligations qu'un chercheur potentiel, et il n'exploitera jamais son propre SDE. Sa tâche pratique est de résister à la vieille habitude de copier des extraits pseudonymisés vers l'ordinateur portable d'un partenaire ou une feuille de calcul, et d'insister à la place pour que tout usage secondaire des données de ses patients se passe à l'intérieur d'un environnement accrédité qu'il peut pointer et pour lequel il peut rendre compte. Sans personnel de gouvernance de l'information dédié, appuyez-vous sur les SDE partagés et régionaux, votre data protection officer ou ICB, et des termes de partage de données modèles plutôt que de négocier des arrangements sur mesure que vous ne pouvez pas correctement scruter. Sachez que la désinscription nationale de données et le devoir de confidentialité s'appliquent à vous pleinement, quelle que soit la taille, donc la posture la plus sûre est d'acheminer les demandes pour vos données vers un SDE gouverné et de refuser les exports informels, même quand un chercheur local de confiance demande gentiment.

Entreprise#

Un grand trust du NHS, ICS, ou une entreprise pharmaceutique exploite des SDE à l'échelle et à travers de nombreux projets concurrents, donc son défi est le débit sans perte de contrôle. L'objectif réaliste est un environnement accrédité avec des processus industrialisés — comités d'accès aux données permanents, un modèle de données curaté et minimisé, une vérification de sortie dotée en ressources, et un registre d'usages publié — pas une plateforme sur mesure par projet. Intégrez le SDE dans les termes d'achat et de partenariat afin que l'accès commercial y circule par défaut et que le partage de valeur soit contractuel plutôt que négocié ad hoc (voir Sujet 6.4 — Gouvernance et assurance). À cette échelle, les plus grands risques sont un pipeline de gouvernance lent qui pousse les chercheurs vers des solutions de contournement, et des accords d'export hérités qui persistent discrètement aux côtés du nouvel environnement reluisant ; retirez-les délibérément.

Gouvernement#

Un organisme national — NHS England, les administrations de santé décentralisées, UK Statistics Authority — fixe les règles dans lesquelles tous les autres travaillent, et son levier est les normes, l'accréditation, et la confiance publique. Il définit la politique SDE, accrédite les environnements sous-nationaux, exploite un SDE national, et — suivant les recommandations « Better, broader, safer » de la Goldacre Review — pousse vers un plus petit nombre d'environnements bien gouvernés et interopérables plutôt que des centaines de flux de données non contrôlés. Son obligation la plus difficile et la plus importante est de gérer la licence sociale nationalement : honorer la désinscription nationale de données, insister sur la transparence de l'accès commercial, et s'assurer que le public voit une juste valeur retournée pour l'usage d'un actif public (voir Sujet 9.2 — Santé numérique mondiale et internationale). Le gouvernement porte aussi l'obligation d'équité — que la recherche utilisant ces données bénéficie à toute la population, pas seulement aux groupes le mieux représentés en son sein.

Modes d'échec courants#

• L'export qui ne s'est jamais vraiment arrêté. Un nouveau SDE reluisant se lance tandis que d'anciens accords de partage de données continuent discrètement de copier des données par la porte arrière. Inventoriez et retirez délibérément les exports hérités ; l'environnement n'aide que s'il devient la seule voie.
• « Anonymisé » comme mot de confort. Appeler des données cliniques riches anonymes ne les rend pas telles ; le risque de réidentification est souvent réel et croissant. Évaluez et documentez le véritable risque résiduel et fiez-vous aux contrôles de l'environnement, pas à l'étiquette.
• Technologie sans gouvernance. Une plateforme sécurisée avec un contrôle de projet faible ou aucune vérification de sortie est une violation en attente. Tous les Cinq Sûretés doivent être opérationnels, pas seulement le contexte.
• Le sas qui fuit. Une vérification de sortie sous-dotée en ressources crée des arriérés, et les arriérés créent une pression pour contourner le sas. Dotez-le en personnel comme un travail qualifié et valorisé avec un délai réalisable.
• Gouvernance si lente qu'elle est contournée. Un processus d'approbation opaque et long de plusieurs mois pousse les bons chercheurs vers des solutions de contournement informelles — le pire des deux mondes. Rendez l'approbation indépendante et utilement rapide.
• Accords commerciaux silencieux. L'accès de l'industrie organisé selon des termes non publiés est la façon la plus rapide de perdre la confiance publique, quelle que soit sa légalité. Appliquez les mêmes contrôles aux utilisateurs commerciaux et publiez les arrangements.
• Transparence comme théâtre de jour de lancement. Une campagne publique ponctuelle n'est pas une licence sociale ; un registre d'usages de données maintenu et une véritable implication publique le sont. Care.data est le rappel permanent que la confiance est une condition opérationnelle, pas un événement de lancement.

Modèle de maturité#

Liste de contrôle#

• L'accès in situ via le SDE est le défaut ; les exports de données hérités sont inventoriés et en cours de retrait.
• Tous les Cinq Sûretés sont opérationnalisés avec des processus prouvés, pas seulement une plateforme sécurisée.
• Les données sont minimisées et dé-identifiées à la plus faible identifiabilité que chaque projet peut tolérer, avec pseudonymisation par défaut.
• Le risque de réidentification est évalué et documenté par un propriétaire responsable nommé, pas supposé à partir d'une étiquette « anonymisé ».
• Chaque sortie passe par un sas où des vérificateurs formés appliquent le contrôle de divulgation statistique avant la sortie.
• Un comité d'accès aux données indépendant approuve les projets contre des critères publiés, avec une voie CAG / section 251 pour les données confidentielles.
• Les délais de gouvernance sont mesurés, publiés, et assez rapides pour que les chercheurs utilisent le processus plutôt que de le contourner.
• Un registre public des usages de données montre qui a accédé à quelles données, à quelle fin, et avec quel résultat.
• La désinscription nationale de données est respectée et son existence est clairement communiquée aux patients.
• L'accès commercial fonctionne via les mêmes contrôles SDE, est publié, et retourne une juste valeur au public.
• L'environnement adopte des normes communes afin qu'il puisse interopérer et, avec le temps, soutenir l'analytique fédérée à travers les SDE.

Sources clés#

• NHS England — Secure Data Environment (SDE) policy guidelines and the national and sub-national SDE network.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (the Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — the Five Safes framework for safe data access.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — principles and standards for Trusted Research Environments.
• Health Research Authority — Confidentiality Advisory Group (CAG) and section 251 support for the use of confidential patient information without consent.
• UK Statistics Authority — accreditation and the safe use of data for research and statistics.
• Information Commissioner's Office — guidance on anonymisation, pseudonymisation and data minimisation under UK GDPR.

Références#

1. Five safes — Wikipédia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipédia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipédia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipédia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipédia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipédia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipédia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipédia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipédia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipédia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/