トピック4.10 — セキュアデータ環境と研究データへのアクセス

医療・ケアにおいて、研究と計画のための患者データの安全な再利用は、苦労して得られたただ一つの原則、すなわち、分析者をデータのもとへ連れて行き、データを分析者のもとへ持って行ってはならないという原則に依拠しており、それは、セキュアな環境、重層的なガバナンス、目に見える国民への説明責任を通じて徹底されます。

医療・ケアにおいてなぜ重要か#

医療・ケアのシステムは、これまでに集められた、人間の生に関する最も豊かな縦断データの一部を保持しています。出生、診断、処方、手術、死亡、そしてそれらを取り巻く社会的な状況。うまく再利用されれば、そのデータは、より安全な薬を見つけ、失敗しているサービスを見つけ出し、乏しい資源の対象を定め、命を救う治療法の発見を後押しします。悪く再利用されれば、データ主体になることを選んだことのない何百万人もの人々の信頼を破り、システム全体が拠って立つ信頼を蝕み、そして、一度失われた信頼は再構築に時間がかかるため、可能にするはずだったまさにその研究を後退させます。

その緊張は、偶発的ではなく、構造的なものです。国民は、公益のための研究に自分のデータを使うことを一貫して支持しますが、同じく一貫して、データが安全な管理下を離れること、説明責任なく売られること、自分には見えない条件で商業の手に流れることに反対します。デジタルのリーダーは、まさにその断層線の上に立っています。データから価値を引き出すこと（まだ生まれていない患者と、公的な財布に対する義務）と、データが記述する人々に対する、同じく重い守秘の義務を、同時に果たすよう求められています。

セキュアデータ環境（SDE）は、信頼できる研究環境とも呼ばれ、英国が収斂した運用上の答えです。それは、研究者にデータをコピーして出す既定から、決して動かないデータの上で働くために、研究者が入ってくる既定へと変えます。これは技術上の小ぎれいさではありません。システムが、国民への約束を守る仕組みです。これを正しく行うことは、臨床安全に隣接する、公平性と国民の信頼の責任であり（トピック1.8 — データ倫理、同意、国民の信頼参照）、ますます、ローカルの裁量の問題ではなく、法定の期待になっています。

中核概念#

**セキュアデータ環境（SDE）は、NHSの政策でいま好まれる用語で、承認された研究者が、承認された目的のために、承認されたデータにアクセスし、データが抽出もコピーもされないデータの保存・分析のプラットフォームです。より古く、国際的に一般的な名前は信頼できる研究環境（TRE）**で、この二つは同じモデルを指します。統べる考え方は、分析者をデータのもとへ連れて行き、データを分析者のもとへ持って行かないことです。計算は壁の内側で行われ、チェックされ集計された結果だけが外に出ます。

これを構造化する枠組みは、英国のOffice for National Statisticsで開発されたFive safesです。それは、安全なデータアクセスを五つの次元に分解します。安全な人（研究者は訓練され、認定され、説明責任を負っているか）、安全なプロジェクト（この利用は適法で、倫理的で、公益にかなうか）、安全な環境（環境は漏えいを防ぐか）、安全なデータ（データは、プロジェクトが許す範囲で最小化され、匿名化されているか）、そして安全なアウトプット（個人が特定されないよう、結果は公開前にチェックされるか）。単独の統制では十分ではありません。安全は、五つすべての積です。

二つの規律がデータそのものを守ります。データの最小化は、プロジェクトが本当に必要とする項目と記録だけを提供し、「念のため」記録の全体を渡さないことを意味します。匿名化（de-identification）は、データの識別可能性を減らすことの総称です。その中で、仮名化は、直接の識別子（氏名、NHS番号）を、鍵で結びついたトークンに置き換え、別の鍵を持つことによってのみ再識別が可能になります。データは、法律上、個人データのままです。匿名化（anonymisation）は、データを、もはや個人のものではなくすることを目指しますが、それは聞こえるよりはるかに困難です。再識別、つまり、匿名とされるデータを他のデータセットと照合して誰かを明らかにすることは、世の中にデータが増えるほど容易になるからです。豊富な臨床データの真の匿名化は、しばしば不可能であり、これがまさに、SDEのモデルが存在する理由です。

結果が環境を出る前に、それらはアウトプットのチェック、つまり統計的開示制御を適用する、人手と手続きの関門を通ります。これは、小さなセルの件数、固有の外れ値、差分攻撃が個人を露わにするのを防ぐ技法です。この関門は、しばしばエアロックと呼ばれます。結果は保留の領域に入り、訓練されたチェッカーがレビューし、承認されたアウトプットだけが研究者に渡ります。結果に対して、単一の記録が寄与しうるものを制限するために、調整された統計的ノイズを加える差分プライバシーのような、新しいプライバシー技術は、この人間による統制に取って代わるのではなく、補完します。

さらに二つの概念が将来を形づくります。連合学習と連合分析は、クエリやモデルが、それぞれ自分のデータを保持する複数のSDEにまたがって実行できるようにし、生データを一か所に集めることなく、洞察が結合されるようにします。分散した国のネットワークにとっての、自然な次の一歩です。そして社会的な許可（ソーシャルライセンス）、つまりデータプログラムが運営される、非公式で継続的な国民の許可は、上記のあらゆる仕組みが守るために存在する、無形の資産です。戒めとなる物語は、care.data、つまり、GPのデータを抽出する2013〜2016年のNHS Englandのプログラムで、国民に自らを説明できず、信頼を失ったあとに断念されました。

ベストプラクティス#

1. エクスポートではなく、環境を既定にする。 最も重要な単一の設計上の決定は、データが出て行かないことです。研究者に、SDEの内側で、計算資源、ツール、キュレーションされたデータセットを提供し、データがこれまで漏れ出ていた経路、つまり一括ダウンロード、メールで送られた抽出物、コピーされた表計算を取り除きます。コピーが建物を出て行くことで終わる、従来のデータ共有契約はどれも、積極的に退役させ、その場でのアクセスに置き換えるべき負債です。

2. 技術だけでなく、Five Safesのすべてを運用可能にする。 セキュアなプラットフォームを購入して問題は解決したと宣言したくなりますが、プロジェクトの審査が弱く、あるいはアウトプットのチェックがない、堅牢化された環境は、起きるのを待っている侵害です。それぞれの「安全」について、明示的でエビデンスのあるプロセスを構築します。研究者の認定と研修、プロジェクトが適法で公益にかなうかについての独立した見解、最小化され匿名化されたデータの提供、そして規律あるアウトプットのチェック。この五つを、最も弱い輪が実際の安全の水準を決める、一つのシステムとして扱います。

3. プロジェクトが許容できる最低の識別可能性まで、最小化し匿名化する。 コホートと十数項目で問いに答えられるとき、記録の全体を渡さないでください。直接の識別子を既定で仮名化し、完全な郵便番号や正確な生年月日のような準識別子を取り除くか粗くし、より識別可能なデータへのアクセスは、本当にそれを必要とする、まれなプロジェクトのために、より厳しい承認のもとで取っておきます。仮名化されたデータは、法律上、なお個人データであること（トピック1.7 — 情報ガバナンス、データ保護、サイバーセキュリティ参照）を思い出してください。したがって、あなたを適法に保つのは、匿名性の主張ではなく、SDEの統制です。

4. 結果と公開の間に、本物のエアロックと訓練されたアウトプットのチェッカーを置く。 最もリスクの高い瞬間は、何かが環境を出るときです。すべてのアウトプットを、外に届く前に、訓練されたチェッカーが統計的開示制御を適用する保留の領域、つまり、小さなセルの抑制、丸め、研究者の連続した要求にわたる差分への注意を経由させます。これに適切に資源を与えてください。アウトプットのチェックは熟練の仕事であり、人々に「メールで送るだけにしよう」と誘惑するバックログは、モデル全体を無効にします。

5. 情報ガバナンスの承認を、厳格で、独立しており、使えるほど速くする。 アクセスは、プロジェクトが適法で公益にかなうという、独立した判断に拠るべきで、通常、データアクセス委員会と、同意なしに機密の患者情報が使われる場合には、関連する規則に基づくsection 251の支援について助言するConfidentiality Advisory Group（CAG）を通じます。厳格さと速さは対立するものではありません。明確な基準を持つ、透明で人員の整った委員会は、不透明で遅い委員会より、良いプロジェクトをより速く承認し、かつ悪いものを、より擁護可能な形で却下します。研究者が迂回するほど遅いプロセスは、ガバナンスの成功ではなく、失敗です。

6. 徹底した透明性を通じて、社会的な許可を獲得し、保つ。 care.dataの教訓は、適法であることは、信頼されることと同じではない、ということです。誰が、どのデータに、何の目的でアクセスし、どのような結果になったかを示す、データ利用の登録簿を公表し、SDEがどう統治されるかについて、本物の国民・患者の関与を運営し、明確で尊重される、国のデータのオプトアウトを提供します。透明性は、立ち上げ時に取り付けられる広報の後回しではなく、企て全体を続けさせる運用上の条件です（トピック1.8 — データ倫理、同意、国民の信頼参照）。

7. 一つの壁に囲まれた庭ではなく、SDEのネットワーク全体での連合のために設計する。 イングランドのモデルは、認定された地方レベルのSDEと並ぶ、国のSDEであり、研究は、正当にプールできないデータを、ますます結合する必要があります。共通の標準、キュレーションされたデータモデル、相互運用可能なツールを採用し、プロジェクトが、やがて、生データが各環境に留まったまま、連合クエリを実行したり、環境をまたいでモデルを訓練したりできるようにします（トピック4.3 — 相互運用性とデータ標準参照）。相互運用できない、特注の孤立した環境を構築することは、ローカルでどれだけ良く見えても、戦略上の行き止まりです。

8. 商業的なアクセスを明示的に統治し、価値が還元されるようにする。 NHSデータへの産業界のアクセスは正当で、治療法や技術の開発にしばしば不可欠ですが、国民の疑念が集中する場所でもあります。明確な規則を設けます。学術の利用者と同じSDEの統制が商業の利用者にも適用され、契約は透明で公表され、国民が、価格、結果として生まれるイノベーションへのアクセス、あるいはデータインフラへの再投資のいずれであれ、公正な価値を受け取ること。「商業的なパートナーシップ」が、データが静かな条件で安全な管理下を離れることの婉曲表現になってはなりません（トピック6.3 — 調達と商務参照）。

チームで話し合うための問い#

1. 私たちがデータは「匿名化されている」と言うとき、実際にどんな再識別のリスクを受け入れているのか。そして、その判断を誰が承認したのか。 これが重要なのは、「匿名化された」が、真に非個人のデータから、決意を持つ分析者が他のソースとの照合で再識別しうる、軽く仮名化されただけの記録まで、あらゆるものを緩く意味するために使われるからです。具体的に議論します。どの準識別子が残っているか（郵便番号の粒度、日付、まれな診断）、攻撃者が現実的にどの外部データセットと照合できるか、そして自分たちの統制がSDEそのものなのか、楽観的なラベルなのか。豊富な縦断的な臨床データは、しばしば真には匿名化できず、つまり、あなたを適法で安全にするのは、データの変換ではなく、環境の統制だと考えます。このリスク評価を誰が所有するかを表に出します。文書化された方法論を適用する、名前のある説明責任者か、古いデータ共有契約から引き継がれた、検討されていない想定か。良く誠実な答えは、残る再識別のリスクを平易な言葉で述べ、それを具体的な統制に結びつけ、「匿名」という言葉の陰に隠れず、その判断に説明責任を負う人を名指しします。

2. 特定のデータアクセスを、懐疑的な患者に、新聞の一面で説明するなら、どう説明するか。そして、その説明は持ちこたえるか。 care.dataの崩壊は、主に技術的な失敗ではありませんでした。それは、説明し、信頼を勝ち得ることの失敗でした。実際の、あるいは現実的なアクセス、たとえば、あなたのSDEで研究を行う製薬会社を取り上げ、国民との会話をロールプレイします。どのデータか、なぜか、誰が利益を得るか、会社は何を得るか、国民は何を返してもらうか、そして人はどうやってオプトアウトできるか。現在の透明性が薄いところを議論します。公開のデータ利用の登録簿はあるか、商業的なアクセスは見えるか、患者はオプトアウトが存在し、尊重されたことを知っているか。適法だから擁護可能であることと、信頼されているから擁護可能であることの違いを考え、後者のほうが難しく脆いことを率直に認めます。強い答えは、患者が妥当だと感じる、専門用語のない明確な説明を作り出し、それを胸を張って述べる前に、閉じる必要のある透明性の具体的なギャップを特定します。

3. 私たちのガバナンスは、優れた研究者がそれを迂回せずに使うほど、速く独立しているか。 厳格さとアクセスの間には、本物の緊張があります。緩く統治すれば国民の信頼を裏切り、遅く統治すれば、研究者は諦める（公共の価値が失われる）か、非公式な回避策を見つける（統制が完全に失われる）かです。申請からデータアクセスまでの実際のタイムライン、ボトルネックはどこか（情報ガバナンス、CAG、データエンジニアリング、アウトプットのチェック）、データアクセス委員会が公表された明確な基準を持つのか、申請者が予測できないやり方で個別に判断するのかを話し合います。独立性を率直に探ります。ノーと言う権限を持つ誰かが、実際にそれを言うのか、商業的あるいは組織的な圧力が、承認を形式にしているのか。遅いプロセスが仕事を統治されない片隅に押しやる失敗パターンを考えます。それは、速く透明なものより悪いのです。良い答えは、現実のサイクルタイムを挙げ、厳格さを単なる遅れと区別し、中心にある独立した判断を弱めずに、アクセスを速める具体的な改善にコミットします。

4. 商業的なパートナーが私たちのSDEで働くとき、どんな公正な価値が国民に還元されるか。そして、それを示せるか。 産業界のアクセスは正当で、データを治療法に変える唯一の道であることも多いのですが、まさに国民の疑念が集中するところです。恐れは、公共の資産が、静かな条件で民間の手に渡されているというものだからです。自分の組織にとって「公正な価値」が具体的に何を意味するかを議論します。結果として生まれる製品の優遇価格、自分の人口へのイノベーションの保証されたアクセス、データインフラへの再投資、あるいは単に現金。そして、どれを誰が決めるのか。同じSDEの統制が、学術の利用者と同様に商業の利用者にも本当に適用されているのか、資金力のある会社が静かにより滑らかな道を得ているのかを探ります。契約とその価値共有の条件が公表されているのか、誰も確認できない閉じた扉の向こうで、個別に交渉されているのかを問います。誠実な答えは、直近の商業的な取り決めが返した価値を挙げ、その価値がどこへ行ったかを述べ、「商業的なパートナーシップ」が、説明責任のない特権的なアクセスの婉曲表現になる危険があるところを認めます。

5. 私たちの環境にあるデータ、そしてそれが可能にする研究は、人口全体を代表しているか。それとも、最も取得しやすい部分だけか。 公平性は後回しではなく責務です。データが、特定のグループ（サービスの利用が少ない、記録がより不完全、あるいはオプトアウトの率が高い人々）を過少に代表しているなら、それに基づく研究は、まさにそれらのグループに対してうまく機能せず、エビデンスの体裁の下で、健康格差を静かに広げます。あなたのデータで、どの集団が薄いか欠けているか、コーディングと記録の実践が、何が取得されるかをどう歪めているか、特定のコミュニティでの高いオプトアウト率が、誰も追跡していない形で代表性を損なっていないかを話し合います。包摂を改善することが、データの最小化や、歴史的にもっともな理由で警戒するグループの信頼と、引き合うかもしれない緊張を考えます。誰が、プロジェクトのアウトプットを、差異的な影響についてレビューするか、そしてアクセスの決定の中の「公益」が、誰にとっての益かを明示的に問うことがあるかを考えます。強い答えは、具体的な代表性のギャップを特定し、現在の、あるいは計画中の研究の公平性のリスクを挙げ、大きなデータセットが公正であると想定するのではなく、便益と包摂の監視にコミットします。

6. SDEがデータの出る唯一の経路だと、私たちは確信しているか。それとも、従来のエクスポートが、静かにそのかたわらで存続していないか。 セキュアな環境は、唯一の扉になって初めて、その約束を果たします。生き残っているあらゆる二者間の契約、メールで送られた抽出物、コピーされた表計算は、あなたが築いたあらゆる統制を迂回する経路であり、これらの取り決めは、誰が署名したかの記憶より長く生き延びることで悪名高いものです。既存のデータ共有契約の、生きた台帳を誰かが保持しているか、データのコピーが現在、壁の外のどこにあるか、それらを退役させる意図的な作業を誰が所有するかを話し合います。居心地の悪いインセンティブを探ります。エクスポートは速く、なじみがあり、研究者も内部のチームも、新しい道に口先だけで賛意を示しながら、古い道を好むかもしれません。退役していないエクスポートの環境の上に立ち上げられた、輝くSDEは、解決された問題ではなく、偽りの安心だと考えます。誠実な答えは、従来のエクスポートがまだいくつ残っているかを述べ、それらを閉じる計画と所有者を挙げ、どれが止めるのが最も難しく、なぜかについて率直です。

実践例：医療・ケアの事例#

Fenwater統合ケアシステムは、三つの急性期トラスト、コミュニティと精神保健のサービス、約90のGP診療所にまたがります。そのアナリストは、長く、特注のデータ抽出、つまり二者間の契約のもとで研究パートナーのサーバーにコピーされた仮名化ファイルに頼ってきており、情報ガバナンスのチームは、何年も、それらのコピーがいまどこにあるのかを、静かに心配してきました。NHS EnglandのSDE政策が、その場でのアクセスを期待とするとき、Fenwaterの取締役会は、エクスポートの契約に署名し続けるのではなく、認定された地方レベルのSDEとして、Fenwater セキュアデータ環境を立ち上げることを決めます。

プログラムは、技術からではなく、Five Safesから始まります。Fenwaterは、研究者の認定と必須の研修（安全な人）を定め、あらゆるプロジェクトを適法性と公益について評価し、機密データの事例をsection 251の助言に付託する、一般の委員と独立した議長を伴うデータアクセス委員会を設け（安全なプロジェクトと環境）、直接の識別子が仮名化され、郵便番号が最初の部分だけに粗くされた、キュレーションされ最小化されたデータモデルを構築し（安全なデータ）、エアロックを運営する二人のアウトプットのチェッカーを採用して訓練します（安全なアウトプット）。決定的に、初日から公開のデータ利用の登録簿を公表し、ガバナンスを精査する常設の患者パネルを招集します。

最初の本物の試験は、ある診断の会社からの、がんの早期マーカーを、5年分の病理と画像のデータで研究したいという依頼です。従来のモデルでは、これはまた一つのエクスポートになっていたでしょう。いまや、その会社のアナリストは認定され、彼らのプロジェクトは公益について評価され、条件付きで承認され、彼らは完全にSDEの内側で働き、生データは一切出て行きません。彼らの統計のアウトプットはエアロックを通り、そこでチェッカーが、まれなサブタイプの患者を特定しかねなかった、いくつかの小さなセルの件数を抑制します。商業契約は、結果として生まれる検査がICSに優遇条件で提供されるという約束を含めて、登録簿に公表されます。

18か月後、Fenwaterは、最後の従来のエクスポート契約を退役させます。その後の依頼は、Fenwaterが保持するデータと、隣のICSの記録との結合を必要とします。どちらのデータセットもコピーするのではなく、二つの認定されたSDEが連合クエリを試行し、分析が両方の環境で実行され、集計された結果だけが結合されます。地元の記者が、誰が患者のデータを使ってきたかを尋ねたとき、ICSは公開の登録簿を示します。この取り組みは、表計算をメールで送るより構築に時間がかかりました。しかし、不安で見えないエクスポートの習慣を、擁護可能で透明な公共の資産に変えたのです。

セクター別の視点#

スタートアップ#

ヘルステックのスタートアップが、自前のSDEを構築することはまれです。それは他の誰かのSDEの利用者であり、その働き方は、エクスポートではなく環境を前提としなければなりません。分析とモデル訓練のパイプラインを、ダウンロードできないデータに対して、TREの内部で動くよう設計してください。それが、ますます、NHSデータに規模で届く唯一の適法な経路であり、病院やICSは、入れる前に、あなたのガバナンスの成熟度を評価するからです。認定、その場での作業のよりゆっくりしたリズム、持ち帰れると期待していた結果を差し止めるアウトプットのチェックに、現実的に予算を組みます。あなたの競争優位は、生データへの特権的なアクセス（その時代は終わりつつあります）ではなく、制約の範囲内で、信頼できる公表可能な洞察を生み出し、与えられたアクセスで何をしたかについて透明であることです。

小規模事業者#

確立した小規模の提供者やサプライヤー、つまり一般診療所、地域薬局、介護施設、単独拠点のクリニック、あるいはスタートアップの段階を過ぎた小規模なアナリティクスのベンダーは、研究者になろうとする人というより、はるかに多くの場合、義務を負うデータ管理者であり、自前のSDEを運営することは決してありません。その実務上の課題は、仮名化された抽出物を、パートナーのノートパソコンや表計算にコピーする古い習慣に抵抗し、代わりに、患者のデータのあらゆる二次利用が、指し示して説明できる、認定された環境の内側で行われるよう主張することです。専任の情報ガバナンスの職員がいないなら、十分に精査できない特注の取り決めを交渉するのではなく、共有された地域のSDE、データ保護責任者またはICB、ひな型のデータ共有条件に頼ります。国のデータのオプトアウトと守秘義務は、規模にかかわらず、あなたに全面的に適用されることを知ってください。したがって、最も安全な姿勢は、信頼できる地元の研究者が丁寧に頼んできても、データへの依頼を統治されたSDEへ向け、非公式なエクスポートを断ることです。

大企業#

大規模なNHSトラスト、ICS、製薬企業は、多くの並行するプロジェクトにわたって、規模でSDEを運営するため、その課題は、統制を失わずにスループットを出すことです。現実的な目標は、常設のデータアクセス委員会、キュレーションされ最小化されたデータモデル、資源を与えられたアウトプットのチェック、公表された利用の登録簿という、産業化されたプロセスを持つ認定された環境であり、プロジェクトごとの特注のプラットフォームではありません。SDEを、調達とパートナーシップの条件に組み込み、商業的なアクセスが既定でそれを通り、価値の共有が、場当たり的に交渉されるのではなく契約上のものになるようにします（トピック6.4 — ガバナンスと保証参照）。この規模での最大のリスクは、研究者を回避策へ向かわせる遅いガバナンスのパイプラインと、輝く新しい環境のかたわらで静かに存続する従来のエクスポート契約です。それらを意図して退役させてください。

政府#

国の機関、つまりNHS England、権限移譲された保健行政、UK Statistics Authorityは、他の全員が働く規則を定めており、その梃子は、標準、認定、国民の信頼です。SDEの政策を定義し、地方レベルの環境を認定し、国のSDEを運営し、Goldacre Reviewの「Better, broader, safer」の勧告に従って、統制されない何百ものデータの流れではなく、少数の、よく統治され、相互運用可能な環境へと押し進めます。その最も困難で重要な責務は、社会的な許可を国のレベルでスチュワードすることです。国のデータのオプトアウトを尊重し、商業的なアクセスについての透明性を主張し、公共の資産の利用に対して、国民が公正な価値の還元を見られるようにすること（トピック9.2 — グローバル・国際的なデジタルヘルス参照）。政府は公平性の責務も担います。このデータを使う研究が、最もよく代表されるグループだけでなく、人口全体に利益をもたらすことです。

よくある失敗パターン#

• 実際には止まっていなかったエクスポート。 輝く新しいSDEが立ち上がる一方、古いデータ共有契約が、裏口から静かにデータをコピーし続ける。従来のエクスポートを棚卸しして、意図して退役させる。環境は、それが唯一の経路になって初めて役に立つ。
• 安心の言葉としての「匿名化」。 豊富な臨床データを匿名と呼んでも、そうはならない。再識別のリスクはしばしば本物で、高まっている。実際の残余リスクを評価して文書化し、ラベルではなく環境の統制に頼る。
• ガバナンスのない技術。 プロジェクトの審査が弱いか、アウトプットのチェックがないセキュアなプラットフォームは、起きるのを待っている侵害である。環境だけでなく、Five Safesのすべてが運用可能でなければならない。
• 漏れるエアロック。 資源の不足したアウトプットのチェックはバックログを生み、バックログはエアロックを迂回する圧力を生む。達成可能な処理時間を伴う、熟練の評価される仕事として人員を配置する。
• 迂回されるほど遅いガバナンス。 不透明な、数か月に及ぶ承認のプロセスは、優れた研究者を、非公式な回避策へ押しやり、両方の最悪を生む。承認を独立しており、かつ使えるほど速くする。
• 静かな商業的取引。 公表されない条件で手配された産業界のアクセスは、適法であっても、国民の信頼を失う最速の道である。商業の利用者にも同じ統制を適用し、取り決めを公表する。
• 初日の芝居としての透明性。 一度限りの国民向けキャンペーンは、社会的な許可ではない。維持されるデータ利用の登録簿と本物の国民の関与がそれである。care.dataは、信頼が、立ち上げの出来事ではなく運用上の条件であることを、常に思い出させる。

成熟度モデル#

チェックリスト#

• SDEを通じたその場でのアクセスが既定であり、従来のデータのエクスポートが棚卸しされ、退役されつつある。
• Five Safesのすべてが、セキュアなプラットフォームだけでなく、エビデンスのあるプロセスで運用可能になっている。
• データが、各プロジェクトが許容できる最低の識別可能性まで最小化され匿名化され、既定で仮名化されている。
• 再識別のリスクが、「匿名化された」というラベルから想定されるのではなく、名前のある説明責任を負う所有者によって評価され文書化されている。
• すべてのアウトプットが、公開前に、訓練されたチェッカーが統計的開示制御を適用するエアロックを通る。
• 独立したデータアクセス委員会が、公表された基準に照らしてプロジェクトを承認し、機密データのためのCAG / section 251の経路がある。
• ガバナンスのタイムラインが、測定され、公表され、研究者がプロセスを迂回せずに使うほど速い。
• 公開のデータ利用の登録簿が、誰が、どのデータに、何の目的で、どんな結果でアクセスしたかを示している。
• 国のデータのオプトアウトが尊重され、その存在が患者に明確に伝えられている。
• 商業的なアクセスが、同じSDEの統制を通り、公表され、国民に公正な価値を還元している。
• 環境が共通の標準を採用し、相互運用でき、やがてSDE間の連合分析を支えられる。

主要な情報源#

• NHS England — Secure Data Environment (SDE) policy guidelines、および国と地方レベルのSDEのネットワーク。
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis（Goldacre Review）、保健・社会的ケア省、2022年。
• Office for National Statistics — 安全なデータアクセスのためのFive Safesの枠組み。
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — 信頼できる研究環境の原則と標準。
• Health Research Authority — Confidentiality Advisory Group (CAG)と、同意なしの機密の患者情報の利用のためのsection 251の支援。
• UK Statistics Authority — 研究と統計のためのデータの認定と安全な利用。
• Information Commissioner's Office — UK GDPRに基づく、匿名化、仮名化、データ最小化に関するガイダンス。

参考文献#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/