Viðfangsefni 4.10 — Öruggt gagnaumhverfi og aðgangur að rannsóknargögnum

Í heilbrigðis- og velferðarþjónustu veltur örugg endurnotkun sjúklingagagna fyrir rannsóknir og áætlanagerð á einni dýrkeyptri meginreglu — færðu greinandann að gögnunum, aldrei gögnin til greinandans — framfylgt gegnum örugg umhverfi, lagskipta stjórnarhætti og sýnilega almenna ábyrgð.

Hvers vegna þetta skiptir máli í heilbrigðis- og velferðarþjónustu#

Heilbrigðis- og velferðarkerfi halda sumum ríkustu langsniðsgögnum um mannslíf sem nokkru sinni hafa verið safnað: fæðingar, greiningar, lyfseðla, aðgerðir, dauðsföll og félagslegar aðstæður kringum þau. Vel endurnotuð finna þau gögn öruggari lyf, koma auga á bilandi þjónustu, beina af skornum skammti auðlindum og knýja uppgötvun meðferða sem bjarga lífum. Illa endurnotuð brjóta þau trúnað milljóna manna sem aldrei völdu að vera gagnaviðfangsefni, tæra traustið sem allt kerfið keyrir á og — þar sem traust, einu sinni tapað, er hægt og dýrt að endurbyggja — setja aftur einmitt rannsóknirnar sem þeim var ætlað að gera mögulegar.

Spennan er byggingarleg, ekki tilfallandi. Almenningur styður stöðugt notkun gagna sinna til rannsókna í almannaþágu, og andmælir jafn stöðugt að gögn yfirgefi örugga vörslu, séu seld án ábyrgðar eða flæði í hendur fyrirtækja á skilmálum sem þeir sjá ekki. Stafrænn leiðtogi situr nákvæmlega á þeirri misgengislínu. Þú ert beðinn um að leysa úr læðingi virði gagna (skylda við sjúklinga sem ekki eru enn fæddir og við almannasjóði) meðan þú heldur jafn alvarlegri trúnaðarskyldu gagnvart fólkinu sem gögnin lýsa.

Öruggt gagnaumhverfi (SDE), einnig kallað Trusted Research Environment, er rekstrarsvarið sem Bretland hefur komist að. Þau breyta sjálfgefnu gildi frá því að afrita gögn út til rannsakenda, í átt að rannsakendum sem koma inn til að vinna á gögnum sem aldrei hreyfast. Þetta er ekki tæknilegt fínirí; það er vélbúnaðurinn sem kerfið heldur opinbert loforð með. Að fá það rétt er klínískt öryggis-tengd, jafnræðis- og almannatraustsábyrgð (sjá Viðfangsefni 1.8 — Gagnasiðfræði, samþykki og almannatraust), og er í vaxandi mæli lögbundin vænting, ekki spurning um staðbundna geðþótta.

Lykilhugtök#

Öruggt gagnaumhverfi (SDE) — hugtakið sem nú er kjörið í NHS-stefnu — er gagnageymslu- og greiningarvettvangur þar sem samþykktir rannsakendur nálgast samþykkt gögn fyrir samþykkta tilgangi, án þess að gögnin séu dregin út eða afrituð. Eldra og alþjóðlega algengt nafnið er Trusted Research Environment (TRE); hugtökin tvö lýsa sama líkani. Stjórnandi hugmyndin er færðu greinandann að gögnunum, ekki gögnin til greinandans: útreikningar gerast innan veggja, og aðeins athugaðar, samanlagðar niðurstöður fara út.

Ramminn sem byggir þetta upp eru Fimm öryggin (Five safes), þróuð hjá bresku Office for National Statistics. Hann sundurliðar öruggan gagnaaðgang í fimm víddir: örugga einstaklinga (eru rannsakendur þjálfaðir, vottaðir og ábyrgir?), örugg verkefni (er þessi notkun lögleg, siðleg og í almannaþágu?), örugga umgjörð (kemur umhverfið í veg fyrir leka?), örugg gögn (hafa gögnin verið lágmörkuð og afpersónugreind eins og verkefnið leyfir?) og örugg úttök (eru niðurstöður athugaðar fyrir útgáfu svo enginn einstaklingur sé greinanlegur?). Engin ein stýring dugar; öryggi er afurð allra fimm.

Tvær fræðigreinar vernda gögnin sjálf. Gagnalágmörkun þýðir að veita aðeins reitina og skrárnar sem verkefni þarfnast í raun, aldrei alla skrána „til öryggis“. Afpersónugreining er regnhlífarhugtakið um að draga úr auðkennanleika gagna. Innan hennar kemur gerviauðkenning í stað beinna auðkenna (nafn, NHS-númer) fyrir lykiltengt tákn, svo endurauðkenning er aðeins möguleg með því að halda aðskilda lyklinum — gögnin eru áfram persónuupplýsingar að lögum. Nafnleynd (anonymization) stefnir að því að gera gögn ekki lengur persónuleg yfirleitt, sem er langtum erfiðara en það hljómar, því endurauðkenning — að bera meinta nafnlaus gögn saman við önnur gagnasett til að afhjúpa hver einhver er — verður auðveldari eftir því sem fleiri gögn eru til í heiminum. Ósvik nafnleynd ríkra klínískra gagna er oft ómöguleg; það er einmitt hvers vegna SDE-líkanið er til.

Áður en niðurstöður yfirgefa umhverfið fara þær gegnum úttaksathugun, mannlega og ferlislega hliðið sem beitir tölfræðilegri birtingarstýringu — aðferðum sem koma í veg fyrir að litlar reitatalningar, einstakir frávikspunktar eða mismunaárásir afhjúpi einstaklinga. Hliðið er oft kallað loftlás (airlock): niðurstöður fara í biðsvæði, þjálfaður athugandi yfirfer þær og aðeins samþykkt úttök fara til rannsakandans. Nýjar friðhelgistækni eins og mismunadrifin friðhelgi (differential privacy), sem bætir kvörðuðum tölfræðilegum hávaða við til að afmarka hvað nokkur ein skrá leggur til niðurstöðu, viðbætir frekar en kemur í stað þeirrar mannlegu stýringar.

Tvö hugtök til viðbótar móta framtíðina. Sambandsnám (federated learning) og sambandsgreining leyfa fyrirspurn eða líkani að keyra yfir nokkur SDE, hvert með eigin gögn, svo innsæi sé sameinað án þess að nokkur hrá gögn séu safnað saman — eðlilega næsta skrefið fyrir dreift landsnet. Og samfélagsleyfi (social licence) — óformlega, áframhaldandi almenna heimildin sem gagnaáætlun starfar undir — er óáþreifanlega eignin sem öll vélin hér að ofan er til að vernda. Varnaðarsagan er care.data, NHS England áætlunin 2013–2016 um að draga út gögn heimilislækna, yfirgefin eftir að hún mistókst að útskýra sig fyrir almenningi og tapaði trausti hans.

Bestu starfsvenjur#

1. Gerðu umhverfið, ekki útdráttinn, að sjálfgefnu. Mikilvægasta einstaka hönnunarákvörðunin er að gögn fara ekki út. Útvegaðu rannsakendum reikniafl, tól og vandlega sniðin gagnasett inni í SDE, og fjarlægðu leiðirnar sem gögn láku áður út um — magnniðurhal, tölvupóstsútdrættir, afrituð töflureikna. Sérhver arfagagnamiðlunarsamningur sem endar í afriti sem yfirgefur bygginguna er skuldbinding sem þú ættir að afnema virkt í þágu aðgangs á staðnum.

2. Gerðu öll Fimm öryggin virk, ekki bara tæknina. Það er freistandi að kaupa öruggan vettvang og lýsa vandanum leystum, en hert umgjörð með slakri verkefnaskoðun eða án úttaksathugunar er brot í bið. Byggðu skýr, studd sönnunargögnum ferli fyrir hvert öryggi: vottun og þjálfun rannsakenda, óháð álit á hvort verkefni sé löglegt og í almannaþágu, lágmörkuð og afpersónugreind gagnaúthlutun og agað úttaksathugun. Meðhöndlaðu fimm sem kerfi þar sem veikasti hlekkurinn ákvarðar raunverulegt öryggisstig þitt.

3. Lágmarkaðu og afpersónugreindu að lægsta auðkennanleika sem verkefnið þolir. Afhentu ekki alla skrána þegar hópur og tylft reita myndi svara spurningunni. Gerviauðkenndu bein auðkenni sjálfgefið, fjarlægðu eða grófgerðu hálf-auðkenni eins og fullt póstnúmer og nákvæman fæðingardag og taktu frá aðgang að auðkennanlegri gögnum fyrir sjaldgæfu verkefnin sem þarfnast þeirra í raun, undir strangara samþykki. Munið að gerviauðkennd gögn eru enn persónuupplýsingar að lögum (sjá Viðfangsefni 1.7 — Upplýsingastjórnarhættir, gagnavernd og netöryggi), svo stýringar SDE, ekki fullyrðing um nafnleynd, halda þér löglegum.

4. Settu raunverulegan loftlás og þjálfaða úttaksathuganda milli niðurstaðna og útgáfu. Augnablikið með mestu áhættuna er þegar eitthvað yfirgefur umhverfið. Beindu hverju úttaki gegnum biðsvæði þar sem þjálfaður athugandi beitir tölfræðilegri birtingarstýringu — bælir litlar reitir, rúnnar og fylgist með mismunaárásum yfir síðari beiðnir rannsakanda — áður en nokkuð nær út. Fjármagnaðu þetta almennilega: úttaksathugun er færnisvinna, og bakskrá sem freistar fólks til að „senda það bara í tölvupósti“ rífur allt líkanið niður.

5. Gerðu upplýsingastjórnarháttasamþykki strangt, óháð og nógu hratt til að nota. Aðgangur ætti að velta á óháðum dómi um að verkefni sé löglegt og í almannaþágu, venjulega gegnum gagnaaðgangsnefnd og, þar sem trúnaðarupplýsingar sjúklinga eru notaðar án samþykkis, Confidentiality Advisory Group (CAG) sem ráðleggur um section 251 stuðning undir viðeigandi reglugerðum. Strangleiki og hraði eru ekki andstæður: gagnsæ, vel mönnuð nefnd með skýr viðmið samþykkir góð verkefni hraðar og hafnar slæmum verjanlegar en ógagnsæ, hæg. Ferli svo hægt að rannsakendur fara framhjá því er stjórnarháttabrestur, ekki stjórnarháttasigur.

6. Vinndu og haltu samfélagsleyfi með róttæku gagnsæi. Lærdómur care.data er að löglegt er ekki það sama og treyst. Birtu skrá yfir gagnanotkun sem sýnir hver nálgaðist hvaða gögn, í hvaða tilgangi og með hvaða niðurstöðu; rektu ósvika almenna þátttöku og þátttöku sjúklinga í hvernig SDE er stýrt; og bjóddu skýra, virta landsútskráningu gagna (opt-out). Gagnsæi er ekki samskiptaeftiráhugsun fest á við opnun — það er rekstrarskilyrðið sem leyfir öllu fyrirtækinu að halda áfram (sjá Viðfangsefni 1.8 — Gagnasiðfræði, samþykki og almannatraust).

7. Hannaðu fyrir samband yfir SDE-netið, ekki einn múrgirtan garð. Líkan Englands er landsbundið SDE samhliða vottuðum SDE á undirlandsstigi, og rannsóknir þurfa í vaxandi mæli að sameina gögn sem ekki er löglega hægt að safna saman. Taktu upp sameiginlega staðla, sniðin gagnalíkön og samvirk tól svo verkefni geti, með tímanum, keyrt sambandsfyrirspurnir eða þjálfað líkön yfir umhverfi meðan hrá gögn haldast kyrr í hverju (sjá Viðfangsefni 4.3 — Samvirkni og gagnastaðlar). Að smíða sérsniðið, einangrað umhverfi sem getur ekki unnið saman er stefnumótandi blindgata, hversu gott sem það lítur út staðbundið.

8. Stýrðu viðskiptalegum aðgangi skýrt, með virði sem rennur til baka. Aðgangur iðnaðar að NHS-gögnum er lögmætur og oft nauðsynlegur til að þróa meðferðir og tækni, en þar þéttist almenn tortryggni. Settu skýrar reglur: sömu SDE-stýringar gilda um viðskiptanotendur og fræðimenn, samningar eru gagnsæir og birtir og almenningur fær sanngjarnt virði til baka — hvort sem í verði, aðgangi að nýsköpuninni sem leiðir af eða endurfjárfestingu í gagnainnviðum. Láttu aldrei „viðskiptasamstarf“ verða tískuorð fyrir gögn sem yfirgefa örugga vörslu á hljóðlátum skilmálum (sjá Viðfangsefni 6.3 — Innkaup og viðskipti).

Spurningar til að ræða með teyminu#

1. Þegar við segjum að gögn okkar séu „afpersónugreind“, hvaða endurauðkenningaráhættu erum við í raun að samþykkja – og hver undirritaði þann dóm? Þetta skiptir máli því „nafnlaust“ er notað lauslega um allt frá ósvikið ópersónulegum gögnum til lítillega gerviauðkenndra skráa sem ákveðinn greinandi gæti endurauðkennt með því að tengja við aðrar uppsprettur. Þrætið um smáatriðin: hvaða hálf-auðkenni eru eftir (póstnúmerakornastærð, dagsetningar, sjaldgæfar greiningar), hvaða ytri gagnasett árásaraðili gæti raunhæft tengt við og hvort stýringar ykkar eru SDE sjálft eða bjartsýnn merkimiði. Íhugið að rík langsniðs klínísk gögn eru oft ekki ósvikið nafnleyndanleg, sem þýðir að stýringar umhverfisins — ekki gagnabreytingin — eru það sem gerir ykkur lögleg og örugg. Dragið fram hver á þetta áhættumat: nafngreind ábyrg manneskja sem beitir skjalfestri aðferðafræði, eða óyfirheyrð forsenda erfð úr gömlum gagnamiðlunarsamningi. Gott, heiðarlegt svar segir afgangsendurauðkenningaráhættuna á einföldu máli, tengir hana við tilteknar stýringar og nefnir manneskjuna ábyrga fyrir dómnum frekar en að fela sig á bak við orðið „nafnlaust“.

2. Hvernig myndum við útskýra tiltekinn gagnaaðgang fyrir efins sjúkling á forsíðu dagblaðs – og myndi útskýringin standast? Hrun care.data var ekki fyrst og fremst tæknileg bilun; það var bilun í að útskýra og skipa traust. Takið raunverulegan eða raunsæjan aðgang — lyfjafyrirtæki sem keyrir rannsókn í SDE ykkar — og leikið opinbera samtalið: hvaða gögn, hvers vegna, hver nýtur góðs, hvað fyrirtækið fær, hvað almenningur fær til baka og hvernig einhver getur skráð sig út. Þrætið um hvar núverandi gagnsæi ykkar er þunnt: er til opinber skrá yfir gagnanotkun, er viðskiptalegur aðgangur sýnilegur, vita sjúklingar að útskráning er til og að henni var virt? Íhugið muninn á verjanlegt-því-löglegt og verjanlegt-því-treyst, og verið heiðarleg um að hið síðara er erfiðara og viðkvæmara. Sterkt svar framleiðir skýra, hrognamálslausa frásögn sem sjúklingur myndi finna sanngjarna, og greinir tilteknu gagnsæisbilin sem þið þyrftuð að loka áður en þið gætuð gefið hana með beinu andliti.

3. Er stjórnun okkar nógu hröð og óháð að góðir rannsakendur noti hana frekar en að fara framhjá henni? Það er raunveruleg spenna milli strangleika og aðgangs: stýrðu of lauslega og þú svíkur almannatraust; stýrðu of hægt og rannsakendur gefast annaðhvort upp (almannavirði tapað) eða finna óformlegar krókaleiðir (stjórn tapað alfarið). Ræðið raunverulega tímalínu ykkar frá umsókn til gagnaaðgangs, hvar flöskuhálsarnir eru (upplýsingastjórnarhættir, CAG, gagnaverkfræði, úttaksathugun) og hvort gagnaaðgangsnefnd ykkar hefur skýr birt viðmið eða ákveður tilvik fyrir tilvik á vegu sem umsækjendur geta ekki spáð fyrir. Kannið sjálfstæði heiðarlega: segir einhver með vald til að segja nei í raun nei, eða gerir viðskipta- eða stofnanaþrýstingur samþykkt að formsatriði? Íhugið bilunarháttinn þar sem hægt ferli ýtir vinnu inn í óstýrð horn, sem er verra en hratt gagnsætt. Gott svar nefnir raunverulegan lotutíma, aðgreinir strangleika frá hreinni töf og skuldbindur sig til tiltekinna umbóta sem flýta aðgangi án þess að veikja óháða dóminn í miðjunni.

4. Þegar viðskiptasamstarfsaðili vinnur í SDE okkar, hvaða sanngjarna virði rennur til baka til almennings – og getum við sýnt það? Aðgangur iðnaðar er lögmætur og oft eina leiðin til að breyta gögnum í meðferðir, en það er nákvæmlega þar sem almenn tortryggni þéttist, því óttinn er að opinber eign sé afhent í einkahendur á hljóðlátum skilmálum. Þrætið um hvað „sanngjarnt virði“ merkir áþreifanlega fyrir skipulagsheild ykkar: forgangsverð á afurðinni sem leiðir af, tryggðan aðgang að nýsköpuninni fyrir þýði ykkar, endurfjárfestingu í gagnainnviðum eða einfaldlega fé — og hver ákveður hvert. Kannið hvort sömu SDE-stýringar gilda ósvikið um viðskiptanotendur og fræðimenn, eða hvort vel fjármagnað fyrirtæki fær hljóðlega mýkri leið. Spyrjið hvort samningurinn og virðisdeilingarskilmálar hans eru birtir, eða samið tilvik fyrir tilvik á bak við lokaðar dyr þar sem enginn getur athugað þá. Heiðarlegt svar nefnir virðið sem síðasta viðskiptafyrirkomulag ykkar skilaði, segir hvert það virði fór og viðurkennir hvar „viðskiptasamstarf“ er í hættu á að verða orðaleppa fyrir forgangsaðgang án ábyrgðar.

5. Táknar gögnin í umhverfi okkar – og rannsóknirnar sem það gerir mögulegar – allt þýðið, eða aðeins hlutana sem eru auðveldast að fanga? Jafnræði er skylda, ekki eftiráhugsun: ef gögnin vanfulltrúa tiltekna hópa (fólk sem notar þjónustu minna, er skráð minna tæmandi eða skráir sig út hærra hlutfalli) munu rannsóknir byggðar á þeim virka verr einmitt fyrir þá hópa, og hljóðlega víkka heilsuójöfnuð undir yfirskini sönnunargagna. Ræðið hvaða þýði eru þunn eða vantar í gögn ykkar, hvernig kóðunar- og skráningarvenjur skekkja það sem er fangað og hvort há útskráningarhlutföll í tilteknum samfélögum eru að rýra dæmigildi á vegu sem enginn rekur. Íhugið spennuna að bætt þátttaka getur togað gegn gagnalágmörkun og gegn trausti hópa sem hafa góðar sögulegar ástæður fyrir tortryggni. Hugsið um hver yfirfer verkefnaúttök fyrir mismunaráhrif, og hvort „almannaheill“ í aðgangsákvörðunum ykkar spyr nokkru sinni skýrt ávinningur fyrir hvern. Sterkt svar greinir áþreifanleg dæmigildisbil, nefnir jafnræðisáhættuna í núverandi eða fyrirhuguðum rannsóknum og skuldbindur sig til að vakta ávinning og þátttöku frekar en að gera ráð fyrir að stórt gagnasett sé sanngjarnt.

6. Erum við viss um að SDE sé eina leiðin sem gögn yfirgefa – eða lifa arfaútdrættir hljóðlega samhliða því? Öruggt umhverfi skilar loforði sínu aðeins ef það verður einu dyrnar; sérhver eftirlifandi tvíhliða samningur, tölvupóstsútdráttur eða afritað töflureikna er leið sem sniðgengur hverja stýringu sem þið hafið smíðað, og þessi fyrirkomulög eru alræmd fyrir að lifa lengur en minnið um hver undirritaði þau. Ræðið hvort nokkur heldur lifandi skrá yfir fyrirliggjandi gagnamiðlunarsamninga, hvar afrit gagna sitja nú utan veggja ykkar og hver á vísvitandi verkið að afnema þau. Skoðið óþægilegu hvatana: útdrættir eru fljótir og kunnuglegir, og bæði rannsakendur og innri teymi kunna að kjósa gömlu leiðina meðan þau segja nýju lof. Íhugið að glansandi SDE opnað ofan á óafnumda útdráttareign er falskt öryggi, ekki leyst vandamál. Heiðarlegt svar segir hve margir arfaútdrættir eru enn til, nefnir áætlun og eiganda til að loka þeim og er hreinskilið um hverjir eru erfiðastir að slökkva á og hvers vegna.

Í reynd: dæmi úr heilbrigðis- og velferðarþjónustu#

Fenwater samþætta umönnunarkerfið spannar þrjár bráðasamsteypur, samfélags- og geðheilsuþjónustu og um níutíu heimilislæknastofur. Greinendur þess hafa lengi reitt sig á sérsniðna gagnaútdrætti — gerviauðkenndar skrár afritaðar á netþjóna rannsóknarsamstarfsaðila undir tvíhliða samningum — og upplýsingastjórnarháttateymið hefur hljóðlega haft áhyggjur í mörg ár af hvar þessi afrit sitja nú. Þegar SDE-stefna NHS England gerir aðgang á staðnum að væntingunni ákveður stjórn Fenwater að setja á fót Fenwater Secure Data Environment sem vottað SDE á undirlandsstigi frekar en að halda áfram að skrifa undir útdráttarsamninga.

Áætlunin byrjar ekki á tækni heldur Fimm öryggjunum. Fenwater skilgreinir vottun rannsakenda og skyldubundna þjálfun (öruggir einstaklingar); kemur á gagnaaðgangsnefnd, með leikmenn og óháðan formann, sem metur hvert verkefni fyrir lögmæti og almannaheill og vísar trúnaðargagnatilfellum til section 251 ráðgjafar (örugg verkefni og umgjörð); smíðar sniðið, lágmarkað gagnalíkan þar sem bein auðkenni eru gerviauðkennd og póstnúmer grófgerð að fyrsta hluta einum (örugg gögn); og ræður og þjálfar tvo úttaksathuganda til að reka loftlásinn (örugg úttök). Mikilvægt er að hún birtir opinbera gagnanotkunarskrá frá fyrsta degi og kallar saman fastan sjúklingahóp til að rýna stjórnarhætti.

Fyrsta raunverulega prófið er beiðni frá greiningarfyrirtæki um að rannsaka snemmbúin merki krabbameins yfir fimm ára meinafræði- og myndgreiningargögn. Undir gamla líkaninu hefði þetta verið enn ein útdrátturinn. Nú eru greinendur fyrirtækisins vottaðir, verkefni þeirra er metið fyrir almannaheill og samþykkt með skilyrðum, og þeir vinna alfarið inni í SDE — engin hrá gögn fara út. Tölfræðileg úttök þeirra fara gegnum loftlásinn, þar sem athugandi bælir nokkrar litlar reitatalningar sem hefðu auðkennt sjúklinga með sjaldgæfa undirgerð. Viðskiptasamningurinn er birtur á skránni, þar með talin skuldbinding um að hvert prófun sem af leiðir sé boðið ICS á forgangsskilmálum.

Átján mánuðum síðar afnemur Fenwater síðasta arfaútdráttarsamning sinn. Síðari beiðni þarf gögn sem Fenwater heldur sameinuð skrám nágranna-ICS; frekar en að afrita hvort gagnasett tilraunakeyra tvö vottuðu SDE sambandsfyrirspurn svo greiningin keyri í báðum umhverfum og aðeins samanlagðar niðurstöður séu sameinaðar. Þegar staðbundinn blaðamaður spyr hver hefur notað gögn sjúklinga bendir ICS á opinberu skrá sína. Vinnan var hægari að smíða en að senda töflureikna í tölvupósti — en hún breytti kvíðnum, ósýnilegum útdráttarvana í varanlega, gagnsæja almannaeign.

Geirasjónarhorn#

Sprotafyrirtæki#

Heilbrigðistæknisprotafyrirtæki smíðar sjaldan eigið SDE; það er notandi annars, og vinnuaðferðir þess verða að gera ráð fyrir umhverfinu, ekki útdrættinum. Hannaðu greiningar- og líkanaþjálfunarleiðslur þínar til að keyra inni í TRE á gögnum sem þú getur ekki hlaðið niður, því það er í vaxandi mæli eina löglega leiðin að NHS-gögnum í stórum stíl — og sjúkrahús eða ICS mun meta stjórnarháttaþroska þinn áður en það hleypir þér inn. Gerðu raunhæf fjárlög fyrir vottun, fyrir hægari takt vinnu á staðnum og fyrir úttaksathugun sem mun halda aftur niðurstöðum sem þú bjóst við að taka með þér. Samkeppnisforskot þitt er ekki forgangsaðgangur að hráum gögnum (sú öld er að enda) heldur hæfileikinn til að framleiða trúverðugt, birtanlegt innsæi innan skorðanna, og að vera gagnsær um hvað þú gerðir við aðganginn sem þér var veittur.

Lítil fyrirtæki#

Rótgróinn lítill veitandi eða birgir — heimilislæknastofa, samfélagsapótek, hjúkrunarheimili, stakstaða stofa eða lítill greiningarbirgi umfram sprotastigið — er langtum oftar gagnaábyrgðaraðili með skyldur en væntanlegur rannsakandi, og mun aldrei reka eigið SDE. Hagnýta verkefni hans er að standast gamla vanann að afrita gerviauðkenndar útdrættir á fartölvu samstarfsaðila eða í töflureikni, og krefjast þess í staðinn að öll aukanotkun sjúklingagagna hans gerist inni í vottuðu umhverfi sem hann getur bent á og borið ábyrgð á. Án sérstaks upplýsingastjórnarháttastarfsfólks, styddu þig við sameiginleg og svæðisbundin SDE, persónuverndarfulltrúa þinn eða ICB og sniðmátsgagnamiðlunarskilmála frekar en að semja um sérsniðin fyrirkomulög sem þú getur ekki skoðað almennilega. Vittu að landsútskráning gagna og trúnaðarskyldan gilda um þig að fullu, óháð stærð, svo öruggasta afstaðan er að beina beiðnum um gögn þín að stýrðu SDE og hafna óformlegum útdráttum, jafnvel þegar traustur staðbundinn rannsakandi biður vingjarnlega.

Stórfyrirtæki#

Stór NHS-sjúkrahússamsteypa, ICS eða lyfjafyrirtæki rekur SDE í stórum stíl og yfir mörg samtímaverkefni, svo áskorun hennar er afköst án taps á stjórn. Raunsæja markmiðið er vottað umhverfi með iðnvæddum ferlum — föstum gagnaaðgangsnefndum, sniðnu og lágmörkuðu gagnalíkani, fjármagnaðri úttaksathugun og birtri notkunarskrá — ekki sérsniðnum vettvangi fyrir hvert verkefni. Felldu SDE inn í innkaup og samstarfsskilmála svo viðskiptalegur aðgangur flæði gegnum það sjálfgefið og virðisdeiling sé samningsbundin frekar en samin tilfallandi (sjá Viðfangsefni 6.4 — Stjórnarhættir og trygging). Í þessum mæli eru stærstu áhætturnar hægt stjórnarháttaleiðsla sem ýtir rannsakendum í átt að krókaleiðum, og arfaútdráttarsamningar sem hljóðlega lifa samhliða glansandi nýja umhverfinu; afnemdu þá vísvitandi.

Hið opinbera#

Landsstofnun — NHS England, heilbrigðisstjórnsýsla landshluta, UK Statistics Authority — setur reglurnar sem allir aðrir starfa innan, og áhrifamáttur hennar eru staðlar, vottun og almannatraust. Hún skilgreinir SDE-stefnu, vottar SDE á undirlandsstigi, rekur landsbundið SDE og — í kjölfar „Better, broader, safer“ tilmæla Goldacre Review — ýtir í átt að færri vel stýrðum, samvirkum umhverfum frekar en hundruðum óstýrðra gagnaflæða. Erfiðasta og mikilvægasta skylda hennar er að gæta samfélagsleyfis á landsvísu: að virða landsútskráningu gagna, krefjast gagnsæis um viðskiptalegan aðgang og tryggja að almenningur sjái sanngjarnt virði skilað fyrir notkun opinberrar eignar (sjá Viðfangsefni 9.2 — Alþjóðleg stafræn heilbrigðisþjónusta). Ríkisvaldið heldur líka jafnræðisskyldunni — að rannsóknir sem nota þessi gögn gagnist öllu þýðinu, ekki aðeins hópunum sem best eru fulltrúaðir í þeim.

Algeng mistök#

• Útdrátturinn sem aldrei raunverulega hætti. Glansandi nýtt SDE opnar meðan gamlir gagnamiðlunarsamningar halda hljóðlega áfram að afrita gögn út bakdyramegin. Skráðu og afnemdu arfaútdrætti vísvitandi; umhverfið hjálpar aðeins ef það verður eina leiðin.
• „Nafnlaust“ sem huggunarorð. Að kalla rík klínísk gögn nafnlaus gerir þau ekki þannig; endurauðkenningaráhætta er oft raunveruleg og vaxandi. Metðu og skjalaðu raunverulega afgangsáhættu og reiddu þig á stýringar umhverfisins, ekki merkimiðann.
• Tækni án stjórnarhátta. Öruggur vettvangur með slaka verkefnaskoðun eða enga úttaksathugun er brot í bið. Öll Fimm öryggin verða að vera virk, ekki bara umgjörðin.
• Loftlásinn sem lekur. Vanfjármögnuð úttaksathugun skapar bakskrár, og bakskrár skapa þrýsting að sniðganga loftlásinn. Mannaðu það sem hæfa, metna vinnu með raunhæfan afgreiðslutíma.
• Stjórnarhættir svo hægir að farið er framhjá þeim. Ógagnsætt, mánaða samþykktarferli ýtir góðum rannsakendum í óformlegar krókaleiðir — það versta úr báðum heimum. Gerðu samþykki óháð og nothæft hratt.
• Þögulir viðskiptasamningar. Aðgangur iðnaðar skipulagður á óbirtum skilmálum er fljótasta leiðin til að tapa almannatrausti, hversu löglegur sem hann er. Beittu sömu stýringum á viðskiptanotendur og birtu fyrirkomulagið.
• Gagnsæi sem opnunardagsleikhús. Einskipta almenn herferð er ekki samfélagsleyfi; viðhöldin gagnanotkunarskrá og ósvik almenn þátttaka eru það. Care.data er varanleg áminning um að traust er rekstrarskilyrði, ekki opnunaratburður.

Þroskalíkan#

Gátlisti#

• Aðgangur á staðnum gegnum SDE er sjálfgefinn; arfagagnaútdrættir eru skráðir og afnumdir.
• Öll Fimm öryggin eru virk með ferlum studdum sönnunargögnum, ekki bara öruggum vettvangi.
• Gögn eru lágmörkuð og afpersónugreind að lægsta auðkennanleika sem hvert verkefni þolir, með gerviauðkenningu sjálfgefið.
• Endurauðkenningaráhætta er metin og skjalfest af nafngreindum ábyrgum eiganda, ekki gert ráð fyrir af „nafnlaus“ merkimiða.
• Sérhvert úttak fer gegnum loftlás þar sem þjálfaðir athugendur beita tölfræðilegri birtingarstýringu fyrir útgáfu.
• Óháð gagnaaðgangsnefnd samþykkir verkefni gegn birtum viðmiðum, með CAG / section 251 leið fyrir trúnaðargögn.
• Stjórnarháttatímalínur eru mældar, birtar og nógu hraðar að rannsakendur noti ferlið frekar en að fara framhjá því.
• Opinber gagnanotkunarskrá sýnir hver nálgaðist hvaða gögn, í hvaða tilgangi og með hvaða niðurstöðu.
• Landsútskráning gagna (opt-out) er virt og tilvist hennar skýrt miðluð til sjúklinga.
• Viðskiptalegur aðgangur rennur gegnum sömu SDE-stýringar, er birtur og skilar sanngjörnu virði til almennings.
• Umhverfið tekur upp sameiginlega staðla svo það geti unnið saman og, með tímanum, stutt sambandsgreiningu yfir SDE.

Helstu heimildir#

• NHS England — Secure Data Environment (SDE) policy guidelines og lands- og undirlandsnet SDE.
• Ben Goldacre o.fl. — Better, broader, safer: using health data for research and analysis (Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — Five Safes rammi fyrir öruggan gagnaaðgang.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — meginreglur og staðlar fyrir Trusted Research Environments.
• Health Research Authority — Confidentiality Advisory Group (CAG) og section 251 stuðningur við notkun trúnaðarupplýsinga um sjúklinga án samþykkis.
• UK Statistics Authority — vottun og örugg notkun gagna fyrir rannsóknir og tölfræði.
• Information Commissioner's Office — leiðbeiningar um nafnleynd, gerviauðkenningu og gagnalágmörkun undir UK GDPR.

Tilvísanir#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/