विषय 4.10 — सुरक्षित डेटा वातावरण और अनुसंधान डेटा अभिगम

स्वास्थ्य और देखभाल में, अनुसंधान और योजना के लिए रोगी डेटा का सुरक्षित पुन: उपयोग एक एकल कठिन-जीता सिद्धांत पर निर्भर करता है — विश्लेषक को डेटा तक लाएं, कभी डेटा को विश्लेषक तक नहीं — सुरक्षित वातावरण, स्तरीकृत प्रशासन, और दृश्यमान सार्वजनिक जवाबदेही के माध्यम से लागू किया गया।

यह स्वास्थ्य और देखभाल में क्यों महत्वपूर्ण है#

स्वास्थ्य और देखभाल सिस्टम मानव जीवन के बारे में कभी इकट्ठे किए गए सबसे समृद्ध अनुदैर्ध्य डेटा में से कुछ रखते हैं: जन्म, निदान, प्रिस्क्रिप्शन, ऑपरेशन, मृत्यु, और उनके आसपास की सामाजिक परिस्थितियां। अच्छी तरह से पुन: उपयोग किया गया, वह डेटा सुरक्षित दवाएं खोजता है, विफल हो रही सेवाओं को पहचानता है, दुर्लभ संसाधनों को लक्षित करता है, और उन उपचारों की खोज को शक्ति देता है जो जीवन बचाते हैं। बुरी तरह से पुन: उपयोग किया गया, यह लाखों लोगों के विश्वास को तोड़ता है जिन्होंने कभी डेटा विषय बनने का चुनाव नहीं किया, पूरे सिस्टम के विश्वास को क्षय करता है जिस पर यह चलता है, और — क्योंकि एक बार खोया विश्वास फिर से बनाने में धीमा है — उसी अनुसंधान को पीछे सेट कर देता है जिसे यह सक्षम करने के लिए था।

तनाव संरचनात्मक है, आकस्मिक नहीं। जनता लगातार सार्वजनिक हित में अनुसंधान के लिए अपने डेटा के उपयोग का समर्थन करती है, और उतनी ही लगातार डेटा के सुरक्षित हिरासत से बाहर जाने, बिना जवाबदेही के बेचे जाने, या ऐसी शर्तों पर वाणिज्यिक हाथों में बहने का विरोध करती है जिन्हें वे नहीं देख सकते। एक डिजिटल नेता ठीक उस दरार पर बैठता है। आपसे डेटा से मूल्य अनलॉक करने के लिए कहा जाता है (अभी तक पैदा न हुए रोगियों और सार्वजनिक खजाने के प्रति एक कर्तव्य) जबकि उन लोगों के प्रति समान रूप से गंभीर गोपनीयता का कर्तव्य रखते हुए जिनका डेटा वर्णन करता है।

Secure Data Environments (SDEs), जिन्हें Trusted Research Environments भी कहा जाता है, वह परिचालन उत्तर है जिस पर UK अभिसरित हुआ है। वे डिफ़ॉल्ट को शोधकर्ताओं के लिए डेटा कॉपी करने से बदलते हैं, उस डेटा पर काम करने के लिए आने वाले शोधकर्ताओं की ओर जो कभी नहीं चलता। यह कोई तकनीकी सुविधा नहीं है; यह वह तंत्र है जिसके द्वारा सिस्टम एक सार्वजनिक वादा रखता है। इसे सही करना एक क्लिनिकल-सुरक्षा-निकटवर्ती, समानता, और सार्वजनिक-विश्वास जिम्मेदारी है (विषय 1.8 — डेटा नैतिकता, सहमति, और सार्वजनिक विश्वास देखें), और यह तेज़ी से एक वैधानिक अपेक्षा बन रही है, स्थानीय विवेकाधिकार का मामला नहीं।

मुख्य अवधारणाएं#

एक Secure Data Environment (SDE) — जो शब्द अब NHS नीति में पसंद किया जाता है — एक डेटा भंडारण और विश्लेषण प्लेटफ़ॉर्म है जिसमें अनुमोदित शोधकर्ता अनुमोदित उद्देश्यों के लिए अनुमोदित डेटा तक पहुंचते हैं, बिना डेटा को निकाले या कॉपी किए बाहर। पुराना और अंतरराष्ट्रीय स्तर पर सामान्य नाम Trusted Research Environment (TRE) है; दोनों एक ही मॉडल का वर्णन करते हैं। शासित करने वाला विचार है विश्लेषक को डेटा तक लाएं, डेटा को विश्लेषक तक नहीं: गणना दीवारों के अंदर होती है, और केवल जांचे गए, समग्र परिणाम बाहर निकलते हैं।

जो ढांचा इसे संरचित करता है वह पांच सुरक्षाएं है, UK Office for National Statistics में विकसित। यह सुरक्षित डेटा अभिगम को पांच आयामों में विघटित करता है: सुरक्षित लोग (क्या शोधकर्ता प्रशिक्षित, मान्यता प्राप्त, और जवाबदेह हैं?), सुरक्षित परियोजनाएं (क्या यह उपयोग कानूनी, नैतिक, और सार्वजनिक हित में है?), सुरक्षित सेटिंग्स (क्या वातावरण रिसाव को रोकता है?), सुरक्षित डेटा (क्या डेटा को उस सीमा तक न्यूनतम और गैर-पहचान किया गया है जो परियोजना अनुमति देती है?), और सुरक्षित आउटपुट (क्या परिणामों की रिलीज़ से पहले जांच की जाती है ताकि किसी व्यक्ति की पहचान न हो सके?)। कोई भी एकल नियंत्रण पर्याप्त नहीं है; सुरक्षा सभी पांच का उत्पाद है।

दो अनुशासन स्वयं डेटा की रक्षा करते हैं। डेटा न्यूनीकरण का अर्थ है केवल वे फ़ील्ड और रिकॉर्ड प्रदान करना जिनकी एक परियोजना को वास्तव में आवश्यकता है, "बस मामले में" पूरा रिकॉर्ड कभी नहीं। डी-आइडेंटिफिकेशन डेटा की पहचान योग्यता को कम करने के लिए एक छत्र शब्द है। इसके भीतर, स्यूडोनिमाइज़ेशन प्रत्यक्ष पहचानकर्ताओं (नाम, NHS number) को एक कुंजी-जुड़े टोकन से बदलता है, इसलिए पुनः-पहचान केवल अलग कुंजी रखकर संभव है — डेटा कानून में व्यक्तिगत डेटा बना रहता है। अनामीकरण का लक्ष्य डेटा को बिल्कुल भी व्यक्तिगत नहीं बनाना है, जो यह सुनने से कहीं अधिक कठिन है, क्योंकि पुनः-पहचान — किसी की पहचान प्रकट करने के लिए कथित रूप से अनाम डेटा को अन्य डेटासेटों के विरुद्ध मिलाना — आसान होता जाता है क्योंकि दुनिया में अधिक डेटा मौजूद है। समृद्ध क्लिनिकल डेटा का वास्तविक अनामीकरण अक्सर असंभव है; यही ठीक-ठीक कारण है कि SDE मॉडल मौजूद है।

परिणाम वातावरण छोड़ने से पहले, वे आउटपुट जांच से गुजरते हैं, मानव और प्रक्रियागत द्वार जो सांख्यिकीय प्रकटीकरण नियंत्रण लागू करता है — ऐसी तकनीकें जो छोटी सेल गिनती, अद्वितीय आउटलायर, या भेद हमलों को व्यक्तियों को उजागर करने से रोकती हैं। द्वार को अक्सर एक एयरलॉक कहा जाता है: परिणाम एक होल्डिंग क्षेत्र में जाते हैं, एक प्रशिक्षित जांचकर्ता उनकी समीक्षा करता है, और केवल स्वीकृत आउटपुट शोधकर्ता तक जाते हैं। उभरती गोपनीयता तकनीकें जैसे विभेदक गोपनीयता, जो एक कैलिब्रेटेड सांख्यिकीय शोर जोड़ती है ताकि कोई भी एकल रिकॉर्ड एक परिणाम में कितना योगदान देता है इसे बाध्य कर सके, इस मानव नियंत्रण को बदलने के बजाय पूरक करती हैं।

दो और अवधारणाएं भविष्य को आकार देती हैं। संघीय शिक्षण और संघीय विश्लेषिकी एक क्वेरी या मॉडल को कई SDE में चलाने देते हैं, हर एक अपना खुद का डेटा रखते हुए, ताकि किसी भी कच्चे डेटा को एकत्र किए बिना अंतर्दृष्टि संयुक्त हो जाएं — एक वितरित राष्ट्रीय नेटवर्क के लिए स्वाभाविक अगला कदम। और सामाजिक लाइसेंस — अनौपचारिक, चालू सार्वजनिक अनुमति जिसके तहत एक डेटा कार्यक्रम संचालित होता है — वह अमूर्त संपत्ति है जिसकी रक्षा के लिए ऊपर की सारी मशीनरी मौजूद है। सावधानी की कहानी care.data है, GP डेटा निकालने के लिए 2013-2016 NHS England कार्यक्रम, जनता को स्वयं समझाने में विफल होने और उनका विश्वास खोने के बाद छोड़ा गया।

सर्वोत्तम प्रथाएं#

1. वातावरण को, निर्यात को नहीं, डिफ़ॉल्ट बनाएं। सबसे महत्वपूर्ण एकल डिज़ाइन निर्णय यह है कि डेटा नहीं जाता। SDE के अंदर शोधकर्ताओं को कंप्यूट, उपकरण, और देखभाल किए गए डेटासेट प्रदान करें, और उन मार्गों को हटाएं जिनसे डेटा पहले बाहर रिसता था — बल्क डाउनलोड, ईमेल किए गए उद्धरण, कॉपी की गई स्प्रेडशीट। हर विरासत डेटा-साझाकरण समझौता जो भवन छोड़ने वाली एक प्रति में समाप्त होता है एक देनदारी है जिसे आपको सक्रिय रूप से स्थान-पर अभिगम के पक्ष में रिटायर करना चाहिए।

2. सभी पांच सुरक्षाओं को संचालित करें, केवल तकनीक को नहीं। एक सुरक्षित प्लेटफ़ॉर्म खरीदना और समस्या को हल घोषित करना आकर्षक है, लेकिन कमज़ोर परियोजना जांच या कोई आउटपुट जांच नहीं वाली एक कठोर सेटिंग एक उल्लंघन है जो होने की प्रतीक्षा कर रही है। हर सुरक्षा के लिए स्पष्ट, साक्ष्य वाली प्रक्रियाएं बनाएं: शोधकर्ता मान्यता और प्रशिक्षण, इस पर एक स्वतंत्र दृष्टिकोण कि क्या एक परियोजना कानूनी और सार्वजनिक हित में है, न्यूनतम और गैर-पहचान डेटा प्रावधान, और अनुशासित आउटपुट जांच। पांच को एक सिस्टम मानें जहां सबसे कमज़ोर कड़ी आपकी वास्तविक सुरक्षा का स्तर निर्धारित करती है।

3. परियोजना जिस निम्नतम पहचान योग्यता को सहन कर सके उसमें न्यूनतम और गैर-पहचान करें। जब एक समूह और एक दर्जन फ़ील्ड प्रश्न का उत्तर दे देंगे तो पूरा रिकॉर्ड न सौंपें। डिफ़ॉल्ट रूप से प्रत्यक्ष पहचानकर्ताओं को स्यूडोनिमाइज़ करें, पूर्ण पोस्टकोड और सटीक जन्मतिथि जैसे अर्ध-पहचानकर्ताओं को हटाएं या मोटा करें, और अधिक कड़े अनुमोदन के तहत, अधिक पहचान योग्य डेटा तक अभिगम उन दुर्लभ परियोजनाओं के लिए आरक्षित रखें जिन्हें वास्तव में इसकी आवश्यकता है। याद रखें कि स्यूडोनिमाइज़ किया गया डेटा कानून में अभी भी व्यक्तिगत डेटा है (विषय 1.7 — सूचना प्रशासन, डेटा सुरक्षा और साइबर सुरक्षा देखें), इसलिए SDE के नियंत्रण, गुमनामी का दावा नहीं, वे हैं जो आपको कानूनी रखते हैं।

4. परिणामों और रिलीज़ के बीच एक वास्तविक एयरलॉक और प्रशिक्षित आउटपुट जांचकर्ता रखें। सबसे अधिक जोखिम का क्षण वह है जब कुछ वातावरण छोड़ता है। हर आउटपुट को एक होल्डिंग क्षेत्र के माध्यम से रूट करें जहां एक प्रशिक्षित जांचकर्ता सांख्यिकीय प्रकटीकरण नियंत्रण लागू करता है — छोटी सेलों को दबाना, गोल करना, और एक शोधकर्ता के क्रमिक अनुरोधों में भेद के लिए देखना — इससे पहले कि कुछ भी बाहर पहुंचे। इसे उचित रूप से संसाधित करें: आउटपुट जांच कुशल काम है, और एक बैकलॉग जो लोगों को "बस इसे ईमेल कर दो" के लिए लुभाता है पूरे मॉडल को हरा देता है।

5. सूचना प्रशासन अनुमोदन को कठोर, स्वतंत्र, और उपयोग करने के लिए पर्याप्त तेज़ बनाएं। अभिगम एक स्वतंत्र निर्णय पर चालू होना चाहिए कि परियोजना कानूनी और सार्वजनिक हित में है, आमतौर पर एक डेटा अभिगम समिति के माध्यम से और, जहां संबंधित विनियमों के तहत गोपनीय रोगी जानकारी बिना सहमति के उपयोग की जाती है, section 251 समर्थन पर सलाह देने वाला Confidentiality Advisory Group (CAG)। कठोरता और गति विपरीत नहीं हैं: स्पष्ट मानदंडों वाली एक पारदर्शी, अच्छी तरह से स्टाफ की गई समिति अच्छी परियोजनाओं को एक अपारदर्शी, धीमी की तुलना में तेज़ी से मंज़ूर करती है और बुरी को अधिक बचाव योग्य रूप से अस्वीकार करती है। एक प्रक्रिया इतनी धीमी कि शोधकर्ता इसके चारों ओर रूट करते हैं एक प्रशासन विफलता है, प्रशासन सफलता नहीं।

6. कट्टरपंथी पारदर्शिता के माध्यम से सामाजिक लाइसेंस अर्जित करें और बनाए रखें। care.data का सबक यह है कि कानूनी भरोसेमंद के समान नहीं है। एक डेटा उपयोग रजिस्टर प्रकाशित करें जो दिखाता है कि किसने कौन सा डेटा, किस उद्देश्य के लिए, और किस परिणाम के साथ एक्सेस किया; SDE को कैसे शासित किया जाता है इसमें वास्तविक सार्वजनिक और रोगी भागीदारी चलाएं; और एक स्पष्ट, सम्मानित राष्ट्रीय डेटा ऑप्ट-आउट प्रदान करें। पारदर्शिता लॉन्च पर बोल्ट किया गया एक संचार बाद का विचार नहीं है — यह वह परिचालन स्थिति है जो पूरे उद्यम को जारी रखने देती है (विषय 1.8 — डेटा नैतिकता, सहमति, और सार्वजनिक विश्वास देखें)।

7. एक दीवार वाले बगीचे के लिए नहीं, SDE नेटवर्क में संघवाद के लिए डिज़ाइन करें। इंग्लैंड का मॉडल मान्यता प्राप्त उप-राष्ट्रीय SDE के साथ एक राष्ट्रीय SDE है, और अनुसंधान को तेज़ी से ऐसे डेटा को जोड़ने की आवश्यकता है जिसे वैध रूप से एकत्र नहीं किया जा सकता। सामान्य मानक, देखभाल किए गए डेटा मॉडल, और अंतरसंचालनीय टूलिंग अपनाएं ताकि एक परियोजना, समय के साथ, वातावरणों में संघीय क्वेरी चला सके या मॉडल प्रशिक्षित कर सके जबकि कच्चा डेटा हर एक में बना रहे (विषय 4.3 — अंतरसंचालनीयता और डेटा मानक देखें)। एक बेस्पोक, पृथक वातावरण बनाना जो अंतरसंचालन नहीं कर सकता एक रणनीतिक मृत अंत है, चाहे यह स्थानीय रूप से कितना भी अच्छा दिखे।

8. वाणिज्यिक अभिगम को स्पष्ट रूप से शासित करें, मूल्य वापस बहते हुए। NHS डेटा तक उद्योग की अभिगम वैध और अक्सर उपचारों और तकनीकों को विकसित करने के लिए आवश्यक है, लेकिन यह वहीं है जहां सार्वजनिक संदेह केंद्रित होता है। स्पष्ट नियम निर्धारित करें: वही SDE नियंत्रण वाणिज्यिक उपयोगकर्ताओं पर लागू होते हैं जो शिक्षाविदों पर, समझौते पारदर्शी और प्रकाशित हैं, और जनता बदले में उचित मूल्य प्राप्त करती है — चाहे कीमत में हो, परिणामी नवाचार तक अभिगम में हो, या डेटा बुनियादी ढांचे में पुनर्निवेश में हो। "वाणिज्यिक साझेदारी" को कभी शांत शर्तों पर डेटा को सुरक्षित हिरासत से बाहर जाने के लिए एक व्यंजना न बनने दें (विषय 6.3 — खरीद और वाणिज्यिक देखें)।

आपकी टीम के साथ चर्चा करने के लिए प्रश्न#

1. जब हम कहते हैं कि हमारा डेटा "डी-आइडेंटिफाइड" है, तो हम वास्तव में कौन सा पुनः-पहचान जोखिम स्वीकार कर रहे हैं — और उस निर्णय पर किसने साइन ऑफ किया? यह मायने रखता है क्योंकि "अनामीकृत" शब्द का ढीले तरीके से उपयोग किया जाता है, वास्तव में गैर-व्यक्तिगत डेटा से लेकर हल्के से स्यूडोनिमाइज़ किए गए रिकॉर्ड तक सब कुछ का अर्थ देने के लिए जिन्हें एक दृढ़ विश्लेषक अन्य स्रोतों से जोड़कर पुनः-पहचान सकता है। विशिष्टताओं पर बहस करें: कौन से अर्ध-पहचानकर्ता बने रहते हैं (पोस्टकोड ग्रैन्युलैरिटी, तिथियां, दुर्लभ निदान), एक हमलावर वास्तव में किन बाहरी डेटासेटों के विरुद्ध जोड़ सकता है, और क्या आपके नियंत्रण SDE स्वयं हैं या एक आशावादी लेबल। विचार करें कि समृद्ध अनुदैर्ध्य क्लिनिकल डेटा अक्सर वास्तव में अनामीकरण योग्य नहीं है, जिसका अर्थ है कि वातावरण के नियंत्रण — डेटा रूपांतरण नहीं — वे हैं जो आपको कानूनी और सुरक्षित बनाते हैं। सतह पर लाएं कि इस जोखिम मूल्यांकन का स्वामी कौन है: एक दस्तावेज़ीकृत पद्धति लागू करने वाला एक नामित जवाबदेह व्यक्ति, या एक पुराने डेटा-साझाकरण समझौते से विरासत में मिली एक अनजांची धारणा। एक अच्छा, ईमानदार उत्तर सादे शब्दों में अवशिष्ट पुनः-पहचान जोखिम बताता है, इसे विशिष्ट नियंत्रणों से जोड़ता है, और "गुमनाम" शब्द के पीछे छिपने के बजाय निर्णय के लिए जवाबदेह व्यक्ति को नाम देता है।

2. हम एक अखबार के फ्रंट पेज पर एक संशयी रोगी को एक विशिष्ट डेटा अभिगम कैसे समझाएंगे — और क्या स्पष्टीकरण टिकेगा? care.data का पतन मुख्य रूप से एक तकनीकी विफलता नहीं थी; यह समझाने और विश्वास कमाने की एक विफलता थी। एक वास्तविक या यथार्थवादी अभिगम लें — आपके SDE में एक अध्ययन चलाने वाली एक फार्मास्युटिकल कंपनी — और सार्वजनिक बातचीत को भूमिका निभाएं: क्या डेटा, क्यों, कौन लाभान्वित होता है, कंपनी को क्या मिलता है, जनता को क्या वापस मिलता है, और कोई कैसे ऑप्ट आउट कर सकता है। बहस करें कि आपकी वर्तमान पारदर्शिता कहां पतली है: क्या एक सार्वजनिक डेटा उपयोग रजिस्टर है, क्या वाणिज्यिक अभिगम दृश्यमान है, क्या रोगी जानते हैं कि ऑप्ट-आउट मौजूद है और इसका सम्मान किया गया था? कानूनी-होने-के-कारण-बचाव-योग्य और भरोसेमंद-होने-के-कारण-बचाव-योग्य के बीच के अंतर पर विचार करें, और ईमानदार रहें कि दूसरा कठिन और अधिक नाज़ुक है। एक मज़बूत उत्तर एक स्पष्ट, शब्दजाल-मुक्त विवरण उत्पन्न करता है जिसे एक रोगी उचित पाएगा, और विशिष्ट पारदर्शिता अंतरालों की पहचान करता है जिन्हें आपको बिना झिझके इसे देने से पहले बंद करने की आवश्यकता होगी।

3. क्या हमारा प्रशासन इतना तेज़ और स्वतंत्र है कि अच्छे शोधकर्ता इसके चारों ओर रूट करने के बजाय इसका उपयोग करते हैं? कठोरता और अभिगम के बीच एक वास्तविक तनाव है: बहुत ढीले शासन करें और आप सार्वजनिक विश्वास को धोखा देते हैं; बहुत धीरे शासन करें और शोधकर्ता या तो हार मान लेते हैं (सार्वजनिक मूल्य खोया) या अनौपचारिक वर्कअराउंड खोजते हैं (नियंत्रण पूरी तरह खोया)। चर्चा करें कि आवेदन से डेटा अभिगम तक आपकी वास्तविक समयसीमा क्या है, बाधाएं कहां हैं (सूचना प्रशासन, CAG, डेटा इंजीनियरिंग, आउटपुट जांच), और क्या आपकी डेटा अभिगम समिति के स्पष्ट प्रकाशित मानदंड हैं या ऐसे तरीकों से मामला-दर-मामला निर्णय लेती है जिन्हें आवेदक भविष्यवाणी नहीं कर सकते। ईमानदारी से स्वतंत्रता की जांच करें: क्या ना कहने के अधिकार वाला कोई व्यक्ति वास्तव में इसे कहता है, या क्या वाणिज्यिक या संस्थागत दबाव अनुमोदन को एक औपचारिकता बनाता है? उस विफलता मोड पर विचार करें जहां एक धीमी प्रक्रिया काम को अशासित कोनों में धकेलती है, जो एक तेज़ पारदर्शी से बदतर है। एक अच्छा उत्तर वास्तविक चक्र समय नाम देता है, कठोरता को मात्र देरी से अलग करता है, और केंद्र में स्वतंत्र निर्णय को कमज़ोर किए बिना अभिगम को तेज़ करने वाले विशिष्ट सुधारों के लिए प्रतिबद्ध होता है।

4. जब एक वाणिज्यिक साझेदार हमारे SDE में काम करता है, तो जनता को कौन सा उचित मूल्य वापस मिलता है — और क्या हम इसे दिखा सकते हैं? उद्योग अभिगम वैध और अक्सर डेटा को उपचारों में बदलने का एकमात्र मार्ग है, लेकिन यह ठीक वहीं है जहां सार्वजनिक संदेह केंद्रित होता है, क्योंकि डर यह है कि एक सार्वजनिक संपत्ति चुपचाप शर्तों पर निजी हाथों को सौंपी जा रही है। बहस करें कि आपके संगठन के लिए "उचित मूल्य" का ठोस अर्थ क्या है: परिणामी उत्पाद पर एक अधिमान्य कीमत, आपकी जनसंख्या के लिए नवाचार तक गारंटीकृत अभिगम, डेटा बुनियादी ढांचे में पुनर्निवेश, या बस नकद — और कौन तय करता है कि कौन सा। जांच करें कि क्या वही SDE नियंत्रण वास्तव में शिक्षाविदों की तरह वाणिज्यिक उपयोगकर्ताओं पर भी लागू होते हैं, या क्या एक अच्छी तरह से संसाधित कंपनी को चुपचाप एक सुगम मार्ग मिलता है। पूछें कि क्या समझौता और इसकी मूल्य-साझाकरण शर्तें प्रकाशित हैं, या बंद दरवाजों के पीछे मामला-दर-मामला बातचीत की गई हैं जहां कोई उन्हें जांच नहीं सकता। एक ईमानदार उत्तर आपके अंतिम वाणिज्यिक व्यवस्था द्वारा वापस किए गए मूल्य को नाम देता है, बताता है कि वह मूल्य कहां गया, और स्वीकार करता है कि कहां "वाणिज्यिक साझेदारी" बिना जवाबदेही के विशेषाधिकार प्राप्त अभिगम के लिए एक व्यंजना बनने के जोखिम में है।

5. क्या हमारे वातावरण में डेटा — और यह जो अनुसंधान सक्षम करता है — पूरी जनसंख्या का प्रतिनिधित्व करता है, या केवल इसके उन हिस्सों का जिन्हें कैप्चर करना सबसे आसान है? समानता एक कर्तव्य है, बाद का विचार नहीं: यदि डेटा कुछ समूहों का कम प्रतिनिधित्व करता है (जो सेवाओं का कम उपयोग करते हैं, कम पूरी तरह से रिकॉर्ड किए जाते हैं, या उच्च दरों पर ऑप्ट आउट करते हैं), तो उस पर बना अनुसंधान ठीक उन्हीं समूहों के लिए कम अच्छी तरह काम करेगा, चुपचाप साक्ष्य की एक परत के नीचे स्वास्थ्य असमानताओं को व्यापक बनाएगा। चर्चा करें कि कौन सी जनसंख्याएं आपके डेटा में पतली या गायब हैं, कोडिंग और रिकॉर्डिंग प्रथाएं क्या कैप्चर किया जाता है इसे कैसे तिरछा करती हैं, और क्या विशेष समुदायों में उच्च ऑप्ट-आउट दरें प्रतिनिधित्व को उन तरीकों से क्षय कर रही हैं जिन्हें कोई ट्रैक नहीं कर रहा। इस तनाव पर विचार करें कि समावेशन में सुधार डेटा न्यूनीकरण के खिलाफ और अच्छे ऐतिहासिक कारणों वाले सतर्कता वाले समूहों के विश्वास के खिलाफ खिंच सकता है। सोचें कि परियोजना आउटपुट की विभेदक प्रभाव के लिए कौन समीक्षा करता है, और क्या आपके अभिगम निर्णयों में "सार्वजनिक लाभ" कभी स्पष्ट रूप से पूछता है किसके लिए लाभ। एक मज़बूत उत्तर ठोस प्रतिनिधित्व अंतरालों की पहचान करता है, वर्तमान या नियोजित अनुसंधान में समानता जोखिम को नाम देता है, और यह मानने के बजाय कि एक बड़ा डेटासेट एक निष्पक्ष है, लाभ और समावेशन की निगरानी के लिए प्रतिबद्ध होता है।

6. क्या हम निश्चित हैं कि SDE एकमात्र मार्ग है जिससे डेटा निकलता है — या क्या विरासत निर्यात चुपचाप इसके साथ-साथ बने रहते हैं? एक सुरक्षित वातावरण केवल तभी अपना वादा पूरा करता है जब यह एकमात्र द्वार बन जाता है; हर बचा हुआ द्विपक्षीय समझौता, ईमेल किया गया उद्धरण, या कॉपी की गई स्प्रेडशीट एक मार्ग है जो आपके द्वारा बनाए गए हर नियंत्रण को दरकिनार करता है, और ये व्यवस्थाएं इस बात की याद से भी अधिक समय तक जीवित रहने के लिए कुख्यात हैं कि उन पर किसने साइन किया था। चर्चा करें कि क्या कोई मौजूदा डेटा-साझाकरण समझौतों की एक लाइव सूची रखता है, वर्तमान में आपकी दीवारों के बाहर डेटा की प्रतियां कहां बैठती हैं, और उन्हें रिटायर करने के जानबूझकर काम का स्वामी कौन है। असुविधाजनक प्रोत्साहनों की जांच करें: निर्यात तेज़ और परिचित हैं, और शोधकर्ता और आंतरिक टीमें दोनों नए को होंठ सेवा देते हुए पुराने मार्ग को पसंद कर सकते हैं। विचार करें कि एक अनरिटायर्ड निर्यात संपत्ति के ऊपर लॉन्च किया गया एक चमकता SDE एक झूठी सुरक्षा भावना है, हल की गई समस्या नहीं। एक ईमानदार उत्तर बताता है कि अभी भी कितने विरासत निर्यात मौजूद हैं, उन्हें बंद करने के लिए योजना और स्वामी को नाम देता है, और यह स्पष्ट है कि कौन से बंद करना सबसे कठिन साबित हो रहा है और क्यों।

व्यवहार में: एक स्वास्थ्य और देखभाल उदाहरण#

Fenwater Integrated Care System तीन तीव्र ट्रस्ट, सामुदायिक और मानसिक-स्वास्थ्य सेवाओं, और लगभग नब्बे GP प्रैक्टिसों में फैला है। इसके विश्लेषक लंबे समय से बेस्पोक डेटा उद्धरणों पर निर्भर रहे हैं — द्विपक्षीय समझौतों के तहत एक अनुसंधान साझेदार के सर्वरों में कॉपी की गई स्यूडोनिमाइज़्ड फ़ाइलें — और सूचना प्रशासन टीम वर्षों से चुपचाप चिंतित रही है कि वे प्रतियां अब कहां बैठती हैं। जब NHS England की SDE नीति स्थान-पर अभिगम को अपेक्षा बनाती है, Fenwater का बोर्ड निर्यात समझौतों पर हस्ताक्षर करना जारी रखने के बजाय Fenwater Secure Data Environment को एक मान्यता प्राप्त उप-राष्ट्रीय SDE के रूप में खड़ा करने का फैसला करता है।

कार्यक्रम तकनीक से नहीं बल्कि पांच सुरक्षाओं से शुरू होता है। Fenwater शोधकर्ता मान्यता और अनिवार्य प्रशिक्षण को परिभाषित करता है (सुरक्षित लोग); एक डेटा अभिगम समिति स्थापित करता है, जिसमें आम सदस्य और एक स्वतंत्र अध्यक्ष है, जो हर परियोजना का कानूनी और सार्वजनिक लाभ के लिए मूल्यांकन करती है और गोपनीय-डेटा मामलों को section 251 सलाह के लिए संदर्भित करती है (सुरक्षित परियोजनाएं और सेटिंग्स); एक देखभाल किया गया, न्यूनीकृत डेटा मॉडल बनाता है जहां प्रत्यक्ष पहचानकर्ता स्यूडोनिमाइज़ किए जाते हैं और पोस्टकोड को केवल पहले भाग तक मोटा किया जाता है (सुरक्षित डेटा); और एयरलॉक चलाने के लिए दो आउटपुट जांचकर्ताओं को नियुक्त और प्रशिक्षित करता है (सुरक्षित आउटपुट)। महत्वपूर्ण रूप से, यह पहले दिन से एक सार्वजनिक डेटा उपयोग रजिस्टर प्रकाशित करता है और प्रशासन की जांच के लिए एक स्थायी रोगी पैनल बुलाता है।

पहला वास्तविक परीक्षण पैथोलॉजी और इमेजिंग डेटा के पांच वर्षों में एक कैंसर के शुरुआती मार्करों का अध्ययन करने के लिए एक डायग्नोस्टिक्स कंपनी से एक अनुरोध है। पुराने मॉडल के तहत यह एक और निर्यात होता। अब कंपनी के विश्लेषक मान्यता प्राप्त हैं, उनकी परियोजना का सार्वजनिक लाभ के लिए मूल्यांकन किया जाता है और शर्तों के साथ अनुमोदित किया जाता है, और वे पूरी तरह SDE के अंदर काम करते हैं — कोई कच्चा डेटा नहीं निकलता। उनके सांख्यिकीय आउटपुट एयरलॉक से गुजरते हैं, जहां एक जांचकर्ता कई छोटी सेल गिनती को दबाता है जो एक दुर्लभ उपप्रकार वाले रोगियों को अलग कर देती। वाणिज्यिक समझौता रजिस्टर पर प्रकाशित है, जिसमें यह प्रतिबद्धता शामिल है कि कोई भी परिणामी परीक्षण अधिमान्य शर्तों पर ICS को दिया जाता है।

अठारह महीने बाद, Fenwater अपने अंतिम विरासत निर्यात समझौते को रिटायर करता है। एक बाद का अनुरोध Fenwater द्वारा रखे गए डेटा को एक पड़ोसी ICS के रिकॉर्ड के साथ संयुक्त डेटा की आवश्यकता रखता है; किसी भी डेटासेट को कॉपी करने के बजाय, दो मान्यता प्राप्त SDE एक संघीय क्वेरी का पायलट करते हैं ताकि विश्लेषण दोनों वातावरणों में चले और केवल समग्र परिणाम संयुक्त हों। जब एक स्थानीय पत्रकार पूछता है कि रोगियों के डेटा का उपयोग कौन कर रहा है, ICS अपने सार्वजनिक रजिस्टर की ओर इशारा करता है। काम एक स्प्रेडशीट ईमेल करने की तुलना में बनाने में धीमा था — लेकिन इसने एक चिंतित, अदृश्य निर्यात आदत को एक बचाव योग्य, पारदर्शी सार्वजनिक संपत्ति में बदल दिया।

क्षेत्र दृष्टिकोण#

स्टार्टअप#

एक स्वास्थ्य-तकनीक स्टार्टअप शायद ही कभी अपना खुद का SDE बनाता है; यह किसी और के का एक उपयोगकर्ता है, और इसके काम करने के तरीकों को वातावरण मानना चाहिए, निर्यात नहीं। अपने विश्लेषिकी और मॉडल-प्रशिक्षण पाइपलाइनों को एक TRE के अंदर उस डेटा के विरुद्ध चलाने के लिए डिज़ाइन करें जिसे आप डाउनलोड नहीं कर सकते, क्योंकि यह तेज़ी से पैमाने पर NHS डेटा तक एकमात्र कानूनी मार्ग बन रहा है — और एक अस्पताल या ICS आपको अंदर आने देने से पहले आपकी प्रशासन परिपक्वता का आकलन करेगा। मान्यता के लिए, स्थान-पर काम की धीमी गति के लिए, और उन परिणामों को रोकने वाली आउटपुट जांच के लिए यथार्थवादी रूप से बजट बनाएं जिन्हें आपने ले जाने की उम्मीद की थी। आपकी प्रतिस्पर्धी बढ़त कच्चे डेटा तक विशेषाधिकार प्राप्त अभिगम नहीं है (वह युग समाप्त हो रहा है) बल्कि बाधाओं के भीतर विश्वसनीय, प्रकाशन योग्य अंतर्दृष्टि उत्पन्न करने की क्षमता है, और आपको दी गई अभिगम के साथ आपने क्या किया इसके बारे में पारदर्शी होना है।

छोटा व्यवसाय#

एक स्थापित छोटा प्रदाता या आपूर्तिकर्ता — एक GP प्रैक्टिस, एक सामुदायिक फार्मेसी, एक केयर होम, एक एकल-साइट क्लिनिक, या स्टार्टअप चरण से आगे एक छोटा विश्लेषिकी आपूर्तिकर्ता — अक्सर एक होने वाला शोधकर्ता से कहीं अधिक कर्तव्यों वाला एक डेटा नियंत्रक होता है, और यह कभी अपना खुद का SDE नहीं चलाएगा। इसका व्यावहारिक कार्य स्यूडोनिमाइज़्ड उद्धरणों को एक साझेदार के लैपटॉप या स्प्रेडशीट में कॉपी करने की पुरानी आदत का विरोध करना है, और इसके बजाय ज़ोर देना है कि इसके रोगियों के डेटा का कोई भी द्वितीयक उपयोग एक मान्यता प्राप्त वातावरण के अंदर हो जिसकी ओर यह इशारा कर सके और जिसके लिए जवाबदेह ठहरा सके। बिना किसी समर्पित सूचना-प्रशासन स्टाफ के, बेस्पोक व्यवस्थाओं पर बातचीत करने के बजाय साझा और क्षेत्रीय SDE, अपने डेटा सुरक्षा अधिकारी या ICB, और टेम्पलेट डेटा-साझाकरण शर्तों पर झुकें जिनकी आप ठीक से जांच नहीं कर सकते। जानें कि राष्ट्रीय डेटा ऑप्ट-आउट और गोपनीयता का कर्तव्य आकार की परवाह किए बिना आप पर पूरी तरह लागू होते हैं, इसलिए सबसे सुरक्षित मुद्रा यह है कि आपके डेटा के अनुरोधों को एक शासित SDE की ओर रूट करें और अनौपचारिक निर्यात को अस्वीकार करें, भले ही एक भरोसेमंद स्थानीय शोधकर्ता विनम्रता से पूछे।

बड़ा संगठन#

एक बड़ा NHS ट्रस्ट, ICS, या फार्मास्युटिकल फर्म पैमाने पर और कई समवर्ती परियोजनाओं में SDE संचालित करता है, इसलिए इसकी चुनौती नियंत्रण के नुकसान के बिना थ्रूपुट है। यथार्थवादी लक्ष्य औद्योगिकीकृत प्रक्रियाओं वाला एक मान्यता प्राप्त वातावरण है — स्थायी डेटा अभिगम समितियां, एक देखभाल किया गया और न्यूनीकृत डेटा मॉडल, संसाधित आउटपुट जांच, और एक प्रकाशित उपयोग रजिस्टर — प्रति परियोजना एक बेस्पोक प्लेटफ़ॉर्म नहीं। SDE को खरीद और साझेदारी शर्तों में एम्बेड करें ताकि वाणिज्यिक अभिगम डिफ़ॉल्ट रूप से इसके माध्यम से बहे और मूल्य-साझाकरण संविदात्मक हो, तदर्थ बातचीत न हो (विषय 6.4 — प्रशासन और आश्वासन देखें)। इस पैमाने पर सबसे बड़े जोखिम एक धीमी प्रशासन पाइपलाइन है जो शोधकर्ताओं को वर्कअराउंड की ओर धकेलती है, और विरासत निर्यात समझौते जो चमकते नए वातावरण के साथ-साथ चुपचाप बने रहते हैं; उन्हें जानबूझकर रिटायर करें।

सरकार#

एक राष्ट्रीय निकाय — NHS England, विकेंद्रीकृत स्वास्थ्य प्रशासन, UK Statistics Authority — वे नियम निर्धारित करता है जिनके भीतर बाकी सभी काम करते हैं, और इसका लाभ मानक, मान्यता, और सार्वजनिक विश्वास है। यह SDE नीति परिभाषित करता है, उप-राष्ट्रीय वातावरणों को मान्यता देता है, एक राष्ट्रीय SDE चलाता है, और — Goldacre Review की "बेहतर, व्यापक, सुरक्षित" सिफारिशों का पालन करते हुए — सैकड़ों अनियंत्रित डेटा प्रवाहों के बजाय अच्छी तरह से शासित, अंतरसंचालनीय वातावरणों की एक छोटी संख्या की ओर धकेलता है। इसका सबसे कठिन और सबसे महत्वपूर्ण कर्तव्य राष्ट्रीय स्तर पर सामाजिक लाइसेंस का प्रबंधन करना है: राष्ट्रीय डेटा ऑप्ट-आउट का सम्मान करना, वाणिज्यिक अभिगम के बारे में पारदर्शिता पर ज़ोर देना, और यह सुनिश्चित करना कि जनता एक सार्वजनिक संपत्ति के उपयोग के लिए उचित मूल्य वापस देखे (विषय 9.2 — वैश्विक और अंतरराष्ट्रीय डिजिटल स्वास्थ्य देखें)। सरकार समानता कर्तव्य भी रखती है — कि इस डेटा का उपयोग करने वाला अनुसंधान पूरी जनसंख्या को लाभान्वित करता है, केवल इसमें सबसे अच्छी तरह से प्रतिनिधित्व किए गए समूहों को नहीं।

सामान्य विफलता मोड#

• निर्यात जो वास्तव में कभी नहीं रुका। एक चमकता नया SDE लॉन्च होता है जबकि पुराने डेटा-साझाकरण समझौते चुपचाप डेटा को पीछे से बाहर कॉपी करते रहते हैं। विरासत निर्यातों की सूची बनाएं और उन्हें जानबूझकर रिटायर करें; वातावरण केवल तभी मदद करता है जब यह एकमात्र मार्ग बन जाता है।
• आराम शब्द के रूप में "अनामीकृत"। समृद्ध क्लिनिकल डेटा को अनाम कहना इसे वैसा नहीं बनाता; पुनः-पहचान जोखिम अक्सर वास्तविक और बढ़ रहा है। वास्तविक अवशिष्ट जोखिम का आकलन और दस्तावेज़ीकरण करें और लेबल के बजाय वातावरण के नियंत्रणों पर भरोसा करें।
• प्रशासन के बिना तकनीक। कमज़ोर परियोजना जांच या कोई आउटपुट जांच नहीं वाला एक सुरक्षित प्लेटफ़ॉर्म एक उल्लंघन है जो होने की प्रतीक्षा कर रहा है। केवल सेटिंग ही नहीं, सभी पांच सुरक्षाएं परिचालन होनी चाहिए।
• एयरलॉक जो रिसता है। कम-संसाधित आउटपुट जांच बैकलॉग बनाती है, और बैकलॉग एयरलॉक को दरकिनार करने का दबाव बनाते हैं। इसे कुशल, मूल्यवान काम के रूप में प्राप्य टर्नअराउंड के साथ स्टाफ करें।
• इतना धीमा प्रशासन कि इसके चारों ओर रूट किया जाता है। एक अपारदर्शी, महीनों लंबी अनुमोदन प्रक्रिया अच्छे शोधकर्ताओं को अनौपचारिक वर्कअराउंड में धकेलती है — दोनों दुनियाओं का सबसे बुरा। अनुमोदन को स्वतंत्र और उपयोग करने योग्य तेज़ बनाएं।
• मौन वाणिज्यिक सौदे। अप्रकाशित शर्तों पर व्यवस्थित उद्योग अभिगम सार्वजनिक विश्वास खोने का सबसे तेज़ तरीका है, चाहे यह कितना भी कानूनी हो। वाणिज्यिक उपयोगकर्ताओं पर वही नियंत्रण लागू करें और व्यवस्थाओं को प्रकाशित करें।
• लॉन्च-डे थिएटर के रूप में पारदर्शिता। एक बार का सार्वजनिक अभियान सामाजिक लाइसेंस नहीं है; एक बनाए रखा गया डेटा उपयोग रजिस्टर और वास्तविक सार्वजनिक भागीदारी है। care.data इस बात की स्थायी याद है कि विश्वास एक परिचालन स्थिति है, एक लॉन्च घटना नहीं।

परिपक्वता मॉडल#

जांच-सूची#

• SDE के माध्यम से स्थान-पर अभिगम डिफ़ॉल्ट है; विरासत डेटा निर्यात सूचीबद्ध हैं और रिटायर किए जा रहे हैं।
• केवल एक सुरक्षित प्लेटफ़ॉर्म नहीं, सभी पांच सुरक्षाएं साक्ष्य वाली प्रक्रियाओं के साथ संचालित हैं।
• डेटा प्रत्येक परियोजना जिस निम्नतम पहचान योग्यता को सहन कर सके उसमें न्यूनतम और गैर-पहचान किया गया है, डिफ़ॉल्ट रूप से स्यूडोनिमाइज़ेशन के साथ।
• पुनः-पहचान जोखिम एक नामित जवाबदेह स्वामी द्वारा मूल्यांकित और दस्तावेज़ीकृत है, "अनामीकृत" लेबल से मान्य नहीं।
• हर आउटपुट एक एयरलॉक से गुजरता है जहां प्रशिक्षित जांचकर्ता रिलीज़ से पहले सांख्यिकीय प्रकटीकरण नियंत्रण लागू करते हैं।
• एक स्वतंत्र डेटा अभिगम समिति प्रकाशित मानदंडों के विरुद्ध परियोजनाओं को अनुमोदित करती है, गोपनीय डेटा के लिए CAG / section 251 मार्ग के साथ।
• प्रशासन समयसीमा मापी, प्रकाशित, और इतनी तेज़ है कि शोधकर्ता इसके चारों ओर रूट करने के बजाय प्रक्रिया का उपयोग करते हैं।
• एक सार्वजनिक डेटा उपयोग रजिस्टर दिखाता है कि किसने कौन सा डेटा, किस उद्देश्य के लिए, और किस परिणाम के साथ एक्सेस किया।
• राष्ट्रीय डेटा ऑप्ट-आउट का सम्मान किया जाता है और इसका अस्तित्व रोगियों को स्पष्ट रूप से बताया जाता है।
• वाणिज्यिक अभिगम उसी SDE नियंत्रणों के माध्यम से चलता है, प्रकाशित है, और जनता को उचित मूल्य वापस देता है।
• वातावरण सामान्य मानक अपनाता है ताकि यह अंतरसंचालन कर सके और, समय के साथ, SDE में संघीय विश्लेषिकी का समर्थन कर सके।

मुख्य स्रोत#

• NHS England — Secure Data Environment (SDE) policy guidelines और राष्ट्रीय और उप-राष्ट्रीय SDE नेटवर्क।
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (the Goldacre Review), Department of Health and Social Care, 2022।
• Office for National Statistics — सुरक्षित डेटा अभिगम के लिए Five Safes ढांचा।
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — Trusted Research Environments के लिए सिद्धांत और मानक।
• Health Research Authority — सहमति के बिना गोपनीय रोगी जानकारी के उपयोग के लिए Confidentiality Advisory Group (CAG) और section 251 समर्थन।
• UK Statistics Authority — अनुसंधान और आंकड़ों के लिए डेटा के सुरक्षित उपयोग की मान्यता।
• Information Commissioner's Office — UK GDPR के तहत अनामीकरण, स्यूडोनिमाइज़ेशन, और डेटा न्यूनीकरण पर मार्गदर्शन।

संदर्भ#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/