トピック1.8 — データ倫理、同意、国民の信頼

医療・ケアでは、法律はデータで何ができるかを教えてくれますが、国民の信頼は、それをすべきかにかかっています。そして、自分の情報が知らないところで使われていると人々が信じたとたん、彼らはそれを差し控え、オプトアウトし、あるいはケアを避けるようになります。したがって、倫理と誠実な対話は、おまけのものではなく、そもそもデータを使えるための条件です。

医療・ケアにおいてなぜ重要か#

トピック1.7 — 情報ガバナンス、データ保護、サイバーセキュリティは、法律と技術的な統制、つまり適法な根拠、英国一般データ保護規則（UK GDPR）、Data Security and Protection Toolkit、暗号化、アクセス制御を扱いました。本トピックは、法的に準拠したあとに残るすべてについてです。あらゆる法令を満たしても、国民の信頼は失いえます。信頼は弁護士が与えるものではなく、患者と市民が、自分の情報が公正だと認識できる形で扱われていると信じるかどうかを、個人としても集団としても決めることで与えられるものだからです。

この区別は、医療・ケアでは、ほかのほとんどの場所より重要です。人々は臨床家に、精神保健の危機、物質使用、性の健康、虐待、移民に関わる受給資格といったことを、暗黙の了解のもとに打ち明けます。その情報は自分を助けるために存在するのであって、自分の知らないうちに取引され、公表され、転用されるためのものではない、という了解です。その了解が壊れると、害は測定可能です。患者は臨床家に嘘をつき、病歴を共有するのを断り、あるいはサービスから遠ざかります。これらは臨床安全と公平性の失敗であり、すでに制度を最も信頼していない人々を最も強く打ちます。

システムは、単一の診察を超えたデータの利用にも、実際に依存しています。サービスを計画し、集団健康管理を行い、安全性のシグナルを検出し、明日の治療法を生む研究を支えるためです。したがって、あなたは恒常的な緊張の中にいます。データを差し控えればケアと研究を飢えさせ、不注意に使えば、そのデータの持ち主である国民の同意を失います。本トピックは、その緊張を誠実に保つことについてです。医療サービスの最近の歴史には、組織が法的な問いにしか答えず、倫理的な問いには決して答えなかったときに何が起こるかについての、大きく高価な教訓が少なくとも一つあります。

中核概念#

ここで統べる規律は、データ倫理です。データ、特に個人データの収集、利用、共有における正しい行いと誤った行いについての体系的な研究です。その中心的な動きは、組織が日常的に混同する二つの問いを分けることです。これを合法的に行えるか、そして、人々が合理的に期待すること、起こりうる害を踏まえて、これを行うべきか。適法な根拠は、最初の問いに答えます。二つ目に答えるのは、意図的な倫理的推論、透明性、対話だけです。

同意は、日常の使い方が示唆するより重層的です。インフォームド・コンセント、つまり、関わる内容を十分に理解したうえで、人が何かに同意することは、直接のケアとほとんどの研究のゴールドスタンダードです。しかし、集団の規模では、個人の明示的な同意は非現実的であったり、それ自体がデータに偏りを生んだりするため、システムは別のモデルに頼ります。直接のケアには黙示の同意（自分を治療する臨床家が自分の記録を読むことを受け入れている）、一部の二次利用にはオプトアウトモデル（本人が積極的に異議を唱えない限りデータが使われる）です。イングランドでは、主要な仕組みはNHS全国データ・オプトアウトで、自分のケアを超えた計画や研究に、機密の患者情報が使われるのを防げます。どのモデルが適用されるかを知り、オプトアウトは積極的な同意と同じではないことに誠実であることが、中核的な能力です。

データ保護法と並んで、より古く別個の義務があります。コモン・ローの守秘義務であり、秘密に共有された情報は、同意、法的要件、優越する公益のいずれかなしに開示されてはなりません。そこから、合理的な期待、つまり「不意打ちなし」の原則が導かれます。もし本人が知ったら本当に驚くような形で、誰かのデータを使うべきではないのです。これは実践的な倫理のテストで、法律が効力を持つはるか前に効いてくることがよくあります。

二つの医療固有の制度が、倫理的な重荷を担います。Caldicott原則は、各組織でCaldicott Guardianによって維持され、情報を共有する義務は、守る義務と同じくらい重要でありうると、有名な形で主張し、差し控えを自動的に安全だとみなす反射を正します。国のレベルでは、National Data Guardian for Health and Social Care（NDG）が、患者データをどう使い、守るべきかについての独立した法定の声です。これらの周りには、社会的ライセンスという考えがあります。機関がデータをどう使うかを正当化する、国民からの継続的で非公式な受容であり、法令によって与えられるのではなく、透明性と対話を通じて得られ、信頼が壊れればすぐに撤回されます。

二次利用、つまり直接のケアではなく、分析、計画、研究のために、有用性とプライバシーをつなぐ技術的な橋が、非識別化です。データの識別可能性を、仮名化（識別子を人工的なトークンに置き換え、別に保管された鍵で元に戻せる）または匿名化（人がもはや識別できないよう識別子を取り除く）によって下げます。どちらにも限界があります。豊富な健康データは、他のデータセットと突き合わせることで、再識別できることが多く（「モザイク効果」）、「匿名化された」は、想定するのではなく、検証すべき主張です。最後に、データが自動化またはモデルに基づく決定を動かす場合、アルゴリズムのバイアス（特定の集団を不利にする体系的な不公正）と、その結果に対する責任の配分であるアルゴリズムの説明責任という問いを引き継ぎます。AIの深いガバナンスはトピック8.4 — AIと新興技術のガバナンスに属し、ここでは、国民の信頼を得なければならない、データのもう一つの使い道として重要なだけです。

ベストプラクティス#

1. 「すべきか」を、「できるか」の脚注ではなく、議事録に残る独立した決定として問う。 自明でないあらゆるデータの利用について、倫理的な問いを法的な問いとは別に行い、その答えを記録します。誰が得をし、誰が害を受けうるか、人々が合理的に何を期待するか、その利用を新聞の一面で説明しても平気かを挙げます。適法だが合理的な期待のテストに通らない利用は、こっそり進めるのではなく、再設計するか、公然と説明すべき利用です。

2. 同意のモデルを利用に合わせ、どれを使っているかについて誠実になる。 直接のケアは黙示の同意で動き、ほとんどの研究は明示的なインフォームド・コンセントか承認された法的な経路を必要とし、一部の計画の利用はオプトアウトに頼ります。オプトアウトを、積極的な合意であるかのように飾り立てないでください。また、本当の根拠が法定の権限であるときに、「同意」という言葉に寄りかからないでください。ここでの明確さは、患者の自律と、取り決めが精査されたときのあなた自身の信頼性の両方を守ります。

3. 全国データ・オプトアウトを確実に尊重し、それを上限ではなく下限として扱う。 NHS全国データ・オプトアウトを、それが対象とするすべての二次利用の流れに適用し、そうしていることを示せるようにします。ただし、オプトアウトへの法的な準拠は最低限であることを認識してください。技術的にはオプトアウトを尊重しながら国民を不意打ちする利用は、やはり信頼を失わせます。利用が新奇または機微な場合は、より明確な通知や、より積極的な選択によって、基準を超えることを検討してください。

4. 新しいデータの流れの前に、合理的な期待のテストを適用する。 率直に問います。このデータの持ち主が、私たちが何をしているかを正確に知ったら、驚くか、欺かれたと感じるか。驚きは、法的な違反よりずっと前に届く早期警報のシグナルです。正直な答えが「はい、驚くだろう」であれば、選択肢は三つあります。利用を変える、意味のある同意を得る、あるいは驚きでなくなるほど徹底的に、かつ早期に説明する。

5. 共有する義務が、守る義務と同じくらい重要でありうることを忘れない。 Caldicott原則は、部分的には、防衛的な過度の慎重さに対抗するために存在します。臨床家がアレルギーを見られないとき、セーフガーディングの懸念が機関の間に落ちるとき、文脈が欠けて退院が失敗するとき、それは静かに患者を害します。倫理的なデータの扱いは、データの抱え込みと同じではありません。共有しないことの害を、共有することの害と同じくらい意図的に比較衡量し、これを、トピック1.7 — 情報ガバナンス、データ保護、サイバーセキュリティでの安全な共有の設計と、トピック1.6 — 臨床安全とリスクマネジメントでの安全上の帰結と結びつけてください。

6. 非識別化を、魔法の消しゴムではなく、リスクの低減として扱う。 二次利用のデータは仮名化または匿名化しますが、特にまれな疾患、小さな集団、モザイク効果が効く、豊富に連結されたデータセットについて、再識別のリスクを現実的に評価します。データだけでなく環境も統制してください。「匿名化された」抽出物を建物の外に送るより、分析者がデータを統治された環境から決して出さずに作業できる、認定された安全なデータ環境を優先します。残存リスクと、誰がそれを受け入れたかを記録します。

7. 法律だけでは決着しない利用について、倫理レビューを実施する。 新奇、機微、あるいは商業と絡み合う利用を、進める前に精査する経路、つまりデータ倫理委員会、既存の研究倫理のプロセス、あるいは常設の機能を設けます。組織が自らを安心させるだけのものにならないよう、独立したメンバーと一般市民のメンバーを加え、プライバシーだけでなく、公正さと、集団ごとの影響の違いも検討するよう求めてください。

8. 透明性を、積極的で、具体的で、人が読める形にする。 どのデータを保有し、何に使い、誰と（商業パートナーを含めて）共有し、人々にどんな選択肢があるかを、平易な言葉で公表します。規制当局向けに書かれた濃密なプライバシー通知は透明性ではありません。データの利用の明確な公開台帳は透明性です。新しい、または商業的な取り決めは、始まる前に開示してください。ジャーナリストの漏えいで表面化した利用は、その是非にかかわらず、隠蔽と読まれるからです。

9. 自分たちのデータについての決定に、患者とコミュニティを、早期に、本気で関与させる。 国民と患者の関与は、ローンチ時に付け足す広報活動ではありません。それは何を作るか、そして社会的ライセンスを得られるかを形づくります。患者、介護者、コミュニティの代表、特に、制度を信頼しないもっともな歴史的理由のある集団の人々を、設計とガバナンスに招き、彼らの意見がどう決定を変えたかを示してください。これは、トピック3.0 — ユーザーリサーチとサービスデザインと、トピック8.2 — コミュニケーションと関与に直結します。

10. データが決定を動かすとき、公正さと説明責任を所有する。 データがリスクスコア、優先順位づけのツール、モデルを動かすなら、誰のデータで訓練されたか、どの集団が過少に代表されうるか、出力が誤っていたり差別的であったりしたとき、誰が答えるのかを問います。重大な決定には、人間を関与させ続け、人口統計上の集団ごとに、時間をかけて結果を監視します。詳細なモデルのガバナンスはトピック8.4 — AIと新興技術のガバナンスに委ねますが、「アルゴリズムが決めた」を、責任からの逃げ道として扱ってはなりません。

チームで話し合うための問い#

1. 最も機微な、あるいは新奇なデータの利用について、法的に許されることと、患者が実際に期待することの間の、率直なギャップは何か。そして、それをどう埋めるか。 これは本トピックの中核の問いなので、抽象的ではなく具体的にしてください。自組織の実際の利用、つまり研究パートナーシップ、サプライヤーとの取り決め、集団健康のダッシュボード、モデルを一つ選びます。法律が許すことを確認し、そのあと別に、普通で、ほどほどに懐疑的な患者が、何が起きていると思うかを問い、二つの間のギャップを挙げます。そのギャップこそ、信頼が勝ち取られたり失われたりする場所であり、法的な問いしか尋ねなければ見えません。良い議論は、チームが、より難しい会話を避けるために「適法だ」に頼っている利用を少なくとも一つ浮かび上がらせ、利用を変える、意味のある同意を求める、あるいははるかに公然と説明するのいずれかの決定を生みます。「でも私たちは許されている」という、お決まりの弁明に注意してください。たいてい、倫理的な問いが一度も尋ねられていないことを意味します。

2. データを共有しないことで、私たちはどこで患者を害しているか。そして、その害について、侵害のリスクについてと同じくらい正直か。 データ倫理は日常的にデータの最小化と取り違えられ、防衛的な過度の慎重さは、安全の衣装をまとって本物の害を与えます。自分たちの現場の具体的な事例を議論してください。見逃されたアレルギー、機関の間に落ちたセーフガーディングの懸念、コミュニティのチームが文脈を欠いたために失敗した退院、安全性のシグナルを見つけられたかもしれないデータから遮断された研究者。共有する義務は、守る義務と同じくらい重要でありうるというCaldicott原則は、まさに、組織が差し控えを心理的により安全だと感じるのに、患者にとっては実際には安全でないことがあるために存在します。成熟したチームは、両方向の失敗を挙げることができ、「ノー」をリスクのないデフォルトとして扱うのではなく、それぞれをエスカレーションする経路を持っています。また、適切に共有する人より、共有を拒む人の方を、あなたの誘因が、はるかに報いていないかも考えてください。

3. 明日、全国紙が、私たちのデータ共有の取り決めの一つを、正確だが好意的でなく報じたら、私たちは生き延びられるか。そしてその答えは、いま何を直すべきかを教えてくれるか。 care.dataプログラムは、違法性によって倒れたのではなく、本当の説明も本当の選択もないまま、自分たちに何かが行われているという、国民の感覚によって倒れました。自分たちの取り決めに対して、そのテストを行ってください。特に、商業パートナー、モデルの訓練、あるいは患者が明確に知らされていない二次利用を伴うものです。記事が居心地悪くなるのはどこか。パートナーか、オプトアウトの欠如か、国民向けの通知の曖昧さか、コミュニティの関与がまったくないことか。その居心地の悪さは、自分たちの社会的ライセンスが薄い場所を、正確に示した地図です。良い答えは「報道には対応できる」ではなく、より透明にする、より同意を得る、あるいは単にやめるものの一覧であり、トピック8.2 — コミュニケーションと関与の関与の規律に結びつきます。

4. データを「匿名化された」と呼ぶとき、それが人に再び結びつけられないと、どの程度確信しているか。そして、その主張を実際に検証したのは誰か。 非識別化は、値する以上に頻繁にゴールとして扱われ、「匿名化された」は、評価されるよりも主張されることが多いものです。実際の二次利用のデータセットを一つ選び、何が施されたかを正確に問ってください。別に保管された鍵を使った仮名化か、真の匿名化か。そして、誰かが他のデータと結びつけたらモザイク効果に対してどうなるか、特にまれな疾患、小さな集団、詳細に記述された記録について問います。また、データが物理的にどこにあるかも問います。決して外に出さない、認定された安全なデータ環境の中で分析されているのか、ラベルがそれを安全にすると想定して、抽出物として送り出されているのか。誠実な議論は、残存する再識別のリスクを明示的に挙げ、誰がそのリスクを受け入れたかを記録し、検証されたものと、単に願われたものを区別します。その場の誰も、誰が最後にその主張をストレステストしたかを言えないなら、その不在が発見です。

5. データがリスクスコア、優先順位づけのツール、モデルを動かすとき、誰のデータで訓練されたか、誰を不利にしうるか、そして誤っているとき誰が答えるのか。 公正さは、原則として支持するのは易しく、実際には怠りやすいものです。バイアスは、完全に見えるデータの中に隠れ、すでに最も不利な集団を、まさに過少に代表しているからです。具体例、たとえば入院リスクのモデル、トリアージのツール、担当件数の優先順位づけのスコアを取り上げ、訓練データで薄いのはどの集団か、誤ってフラグを立てられた、あるいは誤って見過ごされた人がどう影響を受けるか、誰かが、ローンチ時だけでなく時間をかけて、民族と貧困度ごとに結果を監視しているかを問います。説明責任に踏み込んでください。出力に異議が出たとき、決定を所有する名前のある人間がいるのか、それとも「アルゴリズムが決めた」が責任を静かに吸収するのか。深いモデルのガバナンスはトピック8.4 — AIと新興技術のガバナンスに属しますが、倫理的な所有はここにあります。成熟した答えは、数学は中立だという保証ではなく、具体的な公正さの監視へのコミットメントを、明確な説明責任の線と組み合わせます。

6. このデータの持ち主である人々、特に私たちを最も不信に思う理由のあるコミュニティを、どう関与させているか。そして、その関与が実際に変えた決定を示せるか。 関与は、最も容易に飾りにされる部分です。設計が固まったあとで行われる意見聴取や、すでに制度を信頼している人々だけから集めたパネルです。より難しく、より価値のある問いは、患者、介護者、コミュニティの代表、特に、医療サービスに歴史的に失望させられた集団の人々が、作られるものを変えられるほど早い段階でその場にいるか、そしてそこから生じた具体的な変化を挙げられるかです。誰の声を聞けていないのか、なぜかを議論し、関与が、あまり聞かれない人々に届いているのか、心地よい人々を再確認しているだけなのかを問ってください。これは、トピック3.0 — ユーザーリサーチとサービスデザインと、トピック8.2 — コミュニケーションと関与に結びつきます。誠実な答えは、決定を動かした本物の共同設計と、決定をただ告げただけの広報活動を区別し、いまどちらを行っているかについて率直です。

実践例：医療・ケアの事例#

Riverbourne統合ケアシステムは、複数の慢性疾患を持つ人々の救急入院を減らすために、連結した患者データを使いたいと考えています。分析チームには強い論拠があります。病院、一般診療、コミュニティ、社会的ケアのデータを集め、リスクモデルを構築し、最も悪化しやすい人々に、先手を打った支援を提供します。法的には、その経路は実行可能です。しかし、プログラムディレクターはcare.dataを覚えており、モデルの一行が書かれる前に、倫理と信頼の問いに答えることを求めます。

チームは、二つの問いを意図的に分けます。できるかは、データ保護責任者とCaldicott Guardianとともに扱います。適法な根拠、データ保護影響評価、そして全国データ・オプトアウトがこの二次利用に適用されることの確認です。すべきかは、独立したメンバーと一般市民のメンバー、医療サービスへの信頼が歴史的に低いコミュニティ出身の2人の患者代表を含む、新たに招集されたデータ倫理グループに回ります。グループは、弁護士たちより難しい問いを投げかけます。リスクスコアは誰を不利にしうるか、誤ってフラグを立てられた人はどうなるか、社会的ケアのデータが病院のモデルを動かしていると知ったら、患者は驚くだろうか。

それらの問いが設計を変えます。分析は、認定された安全なデータ環境の中で行われ、分析者は、統治された環境から決して出ない、仮名化された記録だけを扱います。モデルの出力は、誰かに連絡が行く前に臨床家がレビューし、自動的に動かされることはありません。チームは、モデルが民族集団と貧困度の水準をまたいで等しく機能するかを監視することを約束します。訓練データにおける過少な代表が、そうしなければ不平等を固定化しうることがわかったからです。そしてICSは、プログラムが始まる前に、尋ねられるのを待たず、どのデータを、何の目的で、誰が得をし、どんな安全策があり、どうオプトアウトするかを平易な言葉で公表します。

数か月後に地元の記者が実際に尋ねたとき、記事は波風を立てません。取り決めはすでに公開され、オプトアウトは尊重され、患者がその形成を手伝い、安全策は本物です。オプトアウト率はほとんど動きません。プログラムは最初の年に、入院を控えめに減らしますが、より持続的な成果は、Riverbourneがいま、次のデータの取り組みを、疑いではなく信頼の立場から提案できることです。トレードオフは明示的でした。関与と倫理レビューが、3か月と、いくらかの気まずい再設計を加え、より速く静かなローンチなら賭けに出してしまったであろう社会的ライセンスを買ったのです。

セクター別の視点#

スタートアップ#

ヘルステックのスタートアップは、たいてい技術的な本能は鋭い一方、このセクターの信頼の力学への感覚は薄く、その商業モデルは、患者が期待しないデータの利用、つまり分析、モデルの訓練、パートナーシップにしばしば依存します。スタートアップなら、存続に関わるリスクは規制当局の罰金ではなく、説明の不十分なデータの利用が表面化したときにNHSのパートナーが去ることです。「すべきか」という問いを、最初から製品の意思決定に組み込み、同意とオプトアウトと法定の根拠について厳密に誠実であり、データが再識別できるほど豊富なときに、「匿名化された」を確定した事実として扱わないでください。小さいうちに信頼を得る方が、公の場での失敗のあとに再建するよりずっと安くつきます。

小規模事業者#

確立した小規模の提供者、つまり一般診療所、地域薬局、介護施設、訪問介護事業所、単独拠点のクリニック、スタートアップ段階を過ぎた小規模なヘルステックのサプライヤーは、大きなトラストと同じ守秘義務と「不意打ちなし」の義務を負いますが、名簿には実際の患者がおり、職員は数人で、専任のIGやITの能力はほとんど、あるいはまったくありません。ここでの信頼のリスクは、通常、見出しになるデータ取引より静かなものです。新しい予約リマインダーツール、サプライヤーが有効にした分析機能、誰も「すべきか」と尋ねる時間がなかったために、何気なくサードパーティと共有された患者データです。合理的な期待のテストを、正式な委員会ではなく、素早い日常的な習慣にし、利用ごとに同意のモデルを誠実に名指しし、CaldicottとData Protectionの責任が、パートタイムの一人に降りかかる場合でも、それに頼ってください。デフォルトの設定が全国データ・オプトアウトを尊重し、データを統治された環境に置くサプライヤーを選んでください。ソフトウェアだけでなく、彼らの倫理も引き継ぐからです。そして、共有する義務は両方向に働くことを忘れないでください。そのほうが安全に感じられるからといって、セーフガーディングの懸念や服薬歴を渡すのを拒むことは、共有するよりも患者を害しうるのです。

大企業#

大規模なトラストやICSは、膨大で深く機微なデータを保有し、通常、成熟した法的ガバナンスを持つ一方、倫理の筋力は弱いものです。DPIAは豊富にあるが、本物の倫理の対話は少ないのです。課題は、正当な共有を麻痺させることも、商業や研究のパートナーシップが国民の理解を先走ることも許さずに、倫理の層を加えることです。一般市民のメンバーを含む本物のデータ倫理の機能を立ち上げ、データの利用とパートナーシップを公然と公表し、共有する義務が尊重され、防衛的な過度の慎重さが静かに患者を害することがないようにしてください。単なるコンプライアンスではなく、国民の信頼についての取締役会レベルの所有こそが差別化要因であり、トピック6.4 — ガバナンスとアシュアランスに結びつきます。

政府#

国の機関は、他の全員が引き継ぐ枠組み、つまり全国データ・オプトアウト、National Data Guardianのガイダンス、Caldicott原則を定め、国民規模で公的な信頼を担います。そこでは、誤ったときの帰結は、局所的ではなく歴史的です。care.dataプログラムは、戒めの記念碑です。適法で善意に基づく国の計画が、国民が知らされておらず相談もされなかったと感じたために崩壊し、何年も信頼を押し下げました。反発のあとではなく、拡大の前に、透明性、意味のある国の対話、独立した監督を先頭に据えてください。自分が負うトレードオフを認識してください。過度に慎重な国の政策はケアと研究を飢えさせ、不注意な政策は、データのシステム全体が依存する国民の同意を失います。これはトピック4.5 — データ、分析、集団健康管理でさらに探ります。

よくある失敗パターン#

• 法的な問いにしか答えない。 適法な根拠を完全な正当化として扱い、利用が公正か、期待されているか、賢明かを誰も問わない。これこそが、善意で完全に準拠したプログラムが国民の信頼を失う道である。
• 同意の芝居。 オプトアウト、埋もれたプライバシー通知、法定の権限を、意味のあるインフォームド・コンセントであるかのように提示し、人々が「同意する」とは実際何を意味したかを知ったときに、欺かれたと感じさせる。
• 隠された、あるいは意外な利用。 ケアのために収集されたデータを、明確で積極的な通知なしに、分析、商業取引、モデルの訓練へ拡張する。漏えいが、擁護できる活動をスキャンダルに変えるまで。
• アリバイとしての匿名化。 豊富で連結可能なデータを「匿名化された」とラベル付けし、再識別のリスクとモザイク効果を無視して、倫理的な問いを片づけたものとして扱う。
• 飾りとしての関与。 決定がなされた後に、あるいはすでに信頼している人々とだけ国民に意見を聞き、そのため、その取り組みは情報を与えるのではなく正当化するだけになり、信頼が最も脆いコミュニティを逃す。
• 防衛的な過度の慎重さ。 正当な共有を拒んで、それを安全と呼ぶ一方で、患者は、必要なものを見られない臨床家に害されている。

成熟度モデル#

チェックリスト#

• 自明でないデータの利用はすべて、適法な根拠とは別に、記録された「すべきか」の決定がある。
• 同意のモデル（黙示、明示、オプトアウト）が、利用ごとに誠実に示されている。
• 全国データ・オプトアウトが、それが対象とするすべての二次利用に適用され、それを示せる。
• 新しいデータの流れは、合理的な期待/「不意打ちなし」のテストを通過している。
• 非識別化されたデータの再識別リスクが評価され、実行可能な場合は安全なデータ環境を使っている。
• 新奇または機微な利用について、独立した一般市民のメンバーを含むデータ倫理レビューの経路がある。
• データの利用、パートナー、選択肢についての平易な言葉の国民向けの公開台帳が、公表され最新に保たれている。
• 新規または商業的なデータの取り決めが、始まる前に積極的に開示されている。
• 患者とコミュニティ（信頼の低い集団を含む）が設計とガバナンスに関与し、その影響が記録されている。
• データが決定を動かすところで、バイアスと影響の差が評価され、説明責任が明確に所有されている。
• 共有する義務が、守る義務と同じくらい意図的に比較衡量され、過度の慎重さが安全と取り違えられていない。

主要な情報源#

• National Data Guardian for Health and Social Care — レビュー、Caldicott原則、信頼できるデータ利用についてのガイダンス。
• NHS England — 全国データ・オプトアウト：方針、運用ガイダンス、国民向けの情報。
• Understanding Patient Data — NHSのデータがどのように、なぜ使われるかについての平易な解説。
• Information Commissioner's Office (ICO) — 匿名化、仮名化、データ共有のガイダンス。
• National Data Guardian & Department of Health — Review of Data Security, Consent and Opt-Outs（2016年）。care.dataの経験を受けたもの。
• Ada Lovelace Institute — 医療におけるデータ倫理、国民の態度、信頼できるデータ実践についての研究。
• NHS Digital / NHS England — 医療・社会的ケアのデータのための、Secure Data Environmentの方針ガイドライン。

参考文献#

1. Big data ethics — Wikipedia — https://en.wikipedia.org/wiki/Big_data_ethics
2. Informed consent — Wikipedia — https://en.wikipedia.org/wiki/Informed_consent
3. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
4. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
8. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
9. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
10. Algorithmic bias — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_bias
11. Algorithmic accountability — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_accountability
12. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
13. Review of Data Security, Consent and Opt-Outs — National Data Guardian — https://www.gov.uk/government/publications/review-of-data-security-consent-and-opt-outs
14. The Caldicott Principles — National Data Guardian — https://www.gov.uk/government/publications/the-caldicott-principles
15. How we use and protect data / Understanding Patient Data — Understanding Patient Data — https://understandingpatientdata.org.uk/
16. Anonymisation and pseudonymisation guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/
17. Secure Data Environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines