주제 1.8 — 데이터 윤리, 동의 및 대중의 신뢰

**보건·돌봄에서 법은 데이터로 무엇을 할 수 있는지 알려 주지만, 대중의 신뢰는 해야 하는지에 달려 있다. 사람들이 자신의 정보가 자기도 모르는 사이에 쓰이고 있다고 믿는 순간 그들은 정보를 숨기고, 옵트아웃하고, 돌봄을 피한다. 따라서 윤리와 정직한 참여는 부드러운 덤이 아니라 데이터를 사용할 수 있게 하는 조건이다.**

보건·돌봄에서 이것이 중요한 이유#

주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안은 법과 기술적 통제, 곧 적법 근거, 영국 일반 데이터 보호 규정(UK GDPR), Data Security and Protection Toolkit, 암호화, 접근 통제를 다룬다. 이 주제는 법적으로 규정을 준수한 이후에 남는 모든 것에 관한 것이다. 모든 법령을 충족하고도 대중의 신뢰를 잃을 수 있다. 신뢰는 변호사가 부여하는 것이 아니라, 환자와 시민이 여러분이 자신의 정보를 공정하다고 알아볼 만한 방식으로 다루고 있다고 믿는지를 개별적으로 그리고 집단적으로 결정함으로써 부여하는 것이기 때문이다.

이 구분은 보건·돌봄에서 거의 다른 어느 곳보다 중요하다. 사람들은 임상의에게 정신건강 위기, 약물 사용, 성 건강, 학대, 이민과 연결된 자격 같은 것을 털어놓는데, 그 정보는 자신을 돕기 위해 존재하는 것이지 자신도 모르게 거래되거나, 공표되거나, 용도가 바뀌기 위한 것이 아니라는 암묵적 이해 위에서 그렇게 한다. 그 이해가 깨지면 피해는 측정 가능하다. 환자는 임상의에게 거짓말하고, 병력 공유를 거부하고, 서비스에서 멀어진다. 이는 임상 안전과 형평성의 실패이며, 이미 기관을 가장 덜 신뢰하는 사람들에게 가장 세게 떨어진다.

시스템은 또한 단일 진료를 넘어 데이터를 사용하는 데 진정으로 의존한다. 서비스를 계획하고, 인구 건강 관리를 수행하고, 안전 신호를 탐지하고, 내일의 치료법을 낳는 연구를 지원하기 위해서다. 그래서 여러분은 상시적 긴장 안에 있다. 데이터를 보류하면 돌봄과 연구를 굶기고, 부주의하게 쓰면 데이터의 주인인 대중의 동의를 잃는다. 이 주제는 그 긴장을 정직하게 붙드는 것에 관한 것이다. 보건 서비스의 최근 역사에는 조직이 법적 질문에만 답하고 윤리적 질문에는 결코 답하지 않을 때 어떤 일이 일어나는지에 대한 크고 값비싼 교훈이 적어도 하나 있다.

핵심 개념#

여기서 다스리는 학문은 데이터 윤리, 곧 데이터, 특히 개인정보의 수집, 사용, 공유에서의 옳고 그른 행위에 대한 체계적 연구다. 그 핵심 동작은 조직이 일상적으로 뒤섞는 두 질문을 분리하는 것이다. 이것을 합법적으로 할 수 있는가, 그리고 사람들이 합리적으로 기대하는 바와 뒤따를 수 있는 피해를 감안할 때 이것을 해야 하는가. 적법 근거는 첫 번째에 답한다. 신중한 윤리적 추론, 투명성, 참여만이 두 번째에 답한다.

동의는 일상적 용법이 시사하는 것보다 더 층층이 쌓여 있다. 충분한 설명에 근거한 동의, 곧 사람이 무엇이 수반되는지 충분히 이해하고 어떤 것에 동의하는 것은 직접 돌봄과 대부분의 연구에서 황금 표준이다. 그러나 인구 규모에서 개인의 명시적 동의는 흔히 비현실적이거나 그 자체로 데이터를 편향시키므로, 시스템은 다른 모델에 의존한다. 직접 돌봄에 대한 묵시적 동의(치료하는 임상의가 기록을 읽는다는 것을 받아들임), 그리고 일부 2차 사용에 대한 옵트아웃 모델, 곧 사람이 적극적으로 반대하지 않는 한 데이터를 사용하는 것이다. 잉글랜드에서 주된 수단은 NHS 국가 데이터 옵트아웃으로, 개인이 자신의 기밀 환자 정보가 자기 돌봄 이상의 계획과 연구에 쓰이지 않도록 막게 해 준다. 어느 모델이 적용되는지 알고, 옵트아웃이 적극적 동의와 같지 않다는 점을 정직하게 인정하는 것이 핵심 역량이다.

데이터 보호법 옆에는 더 오래되고 별개인 의무가 있다. 비밀 유지에 관한 관습법상 의무로, 비밀로 공유된 정보는 동의, 법적 요구, 또는 압도적 공익 없이는 공개될 수 없다. 여기서 합리적 기대 또는 "놀라움 없음" 원칙이 나온다. 누군가의 데이터를 그가 알게 되면 진정으로 놀랄 방식으로 사용해서는 안 된다는 것이다. 이는 법보다 훨씬 앞서 작동하는 경우가 많은 실용적 윤리 시험이다.

두 보건 특화 제도가 윤리적 부담을 진다. Caldicott 원칙은 각 조직에서 Caldicott Guardian이 지키며, 정보를 공유할 의무는 정보를 보호할 의무만큼 중요할 수 있다고 유명하게 강조하여, 보류를 자동으로 안전한 것으로 취급하는 반사를 바로잡는다. 국가 수준에서 보건 및 사회적 돌봄 국가 데이터 수호자(NDG)는 환자 데이터를 어떻게 사용하고 보호해야 하는지에 대한 독립적 법정 목소리다. 이를 둘러싼 것이 **사회적 허가(social licence)**라는 개념이다. 기관이 데이터를 사용하는 방식을 정당화하는 대중의 지속적이고 비공식적인 수용으로서, 법령이 부여하는 것이 아니라 투명성과 참여를 통해 얻어지며, 신뢰가 깨지면 곧바로 철회된다.

직접 돌봄이 아니라 분석, 계획, 연구인 2차 사용에서 유용성과 프라이버시 사이의 기술적 다리는 비식별화다. 가명화(식별자를 별도로 보관된 키로 되돌릴 수 있는 인공 토큰으로 대체)나 익명화(식별자를 제거해 사람을 더는 식별할 수 없게 함)를 통해 데이터의 식별 가능성을 줄이는 것이다. 둘 다 한계가 있다. 풍부한 건강 데이터는 다른 데이터셋과 연결해 재식별할 수 있는 경우가 많으며, 이는 "모자이크 효과"다. 그래서 "익명화되었다"는 가정할 것이 아니라 시험할 주장이다. 마지막으로 데이터가 자동화되거나 모형 기반의 결정을 이끌 때는 알고리즘 편향, 곧 일부 집단을 불리하게 만드는 체계적 불공정과, 그 결과에 대한 책임의 배분인 알고리즘 책임성의 질문을 물려받는다. AI의 깊은 거버넌스는 주제 8.4 — AI 및 신기술 거버넌스에 속하며, 여기서는 대중의 신뢰를 얻어야 하는 데이터의 또 다른 사용으로서만 중요하다.

모범 사례#

1. "해야 하는가?"를 "할 수 있는가?"의 각주가 아니라 별개의 회의록에 남는 결정으로 다루라. 자명하지 않은 모든 데이터 사용에 대해 윤리적 질문을 법적 질문과 따로 진행하고 답을 기록하라. 누가 이익을 얻고, 누가 해를 입을 수 있는지, 사람들이 합리적으로 무엇을 기대하는지, 그리고 신문 1면에서 그 사용을 설명하는 것이 편안한지 명명하라. 합법적이지만 합리적 기대 시험에 실패하는 사용은 조용히 진행할 것이 아니라 재설계하거나 공개적으로 설명할 것이다.

2. 동의 모델을 사용에 맞추고, 어느 것을 쓰고 있는지 정직하라. 직접 돌봄은 묵시적 동의로 돌아가고, 대부분의 연구는 명시적인 충분한 설명에 근거한 동의나 승인된 법적 경로를 필요로 하며, 일부 계획 사용은 옵트아웃에 의존한다. 옵트아웃을 적극적 합의인 것처럼 꾸미지 말고, 실제 근거가 법정 권한일 때 "동의"라는 말에 기대지 말라. 여기서의 명확성은 환자의 자율성과 약정이 검증받을 때 여러분 자신의 신뢰성을 모두 보호한다.

3. 국가 데이터 옵트아웃을 안정적으로 존중하고, 천장이 아니라 바닥으로 다루라. NHS 국가 데이터 옵트아웃을 그것이 다루는 모든 2차 사용 흐름에 적용하고, 그렇게 하고 있음을 입증할 수 있어야 한다. 그러나 옵트아웃에 대한 법적 준수는 최소한임을 인식하라. 기술적으로 옵트아웃을 존중하면서 대중의 허를 찌르는 사용은 여전히 신뢰를 잃게 한다. 사용이 새롭거나 민감한 경우, 더 명확한 고지나 더 적극적인 선택으로 기준선을 넘어서는 것을 고려하라.

4. 모든 새 데이터 흐름 전에 합리적 기대 시험을 적용하라. 분명히 물으라. 이 데이터의 주인들이 우리가 하고 있는 일을 정확히 안다면 놀랄 것인가, 그리고 속았다고 느낄 것인가? 놀라움은 법적 침해보다 훨씬 앞서 도착하는 조기 경보 신호다. 정직한 답이 "그렇다, 놀랄 것이다"라면 선택지는 셋이다. 사용을 바꾸거나, 의미 있는 동의를 얻거나, 놀라움이 사라질 만큼 철저하고 이르게 설명하는 것이다.

5. 공유할 의무가 보호할 의무만큼 중요할 수 있음을 기억하라. Caldicott 원칙은 부분적으로 방어적 과잉 신중을 막기 위해 존재한다. 임상의가 알레르기를 볼 수 없거나, 안전 보호 우려가 기관 사이로 떨어지거나, 맥락 부족으로 퇴원이 실패할 때 과잉 신중은 조용히 환자를 해친다. 윤리적 데이터 취급은 데이터 사재기와 같지 않다. 공유하지 않는 피해를 공유하는 피해만큼 신중하게 따지고, 이를 주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안의 안전한 공유 설계와 주제 1.6 — 임상 안전 및 위험 관리의 안전 결과와 연결하라.

6. 비식별화를 마법의 지우개가 아니라 위험 감소로 다루라. 2차 사용 데이터를 가명화하거나 익명화하되, 특히 희귀 질환, 소규모 집단, 풍부하게 연결된 데이터셋처럼 모자이크 효과가 심하게 작용하는 곳에서 재식별 위험을 현실적으로 평가하라. 데이터뿐 아니라 환경도 통제하라. "익명화된" 추출물을 건물 밖으로 내보내기보다, 분석가가 거버넌스되는 환경을 떠나지 않는 데이터로 작업하는 인증된 안전 데이터 환경을 선호하라. 잔여 위험과 이를 누가 수용하는지 문서화하라.

7. 법만으로 해결되지 않는 사용에는 윤리 검토를 수행하라. 새롭거나, 민감하거나, 상업적으로 얽힌 사용이 진행되기 전에 이를 면밀히 검토할 경로를 마련하라. 데이터 윤리 위원회, 기존 연구 윤리 절차, 또는 상설 기능이다. 조직이 스스로를 안심시키는 데 그치지 않도록 독립적 위원과 일반인 위원을 두고, 프라이버시뿐 아니라 집단에 대한 공정성과 차별적 영향도 고려하도록 요구하라.

8. 투명성을 선제적이고, 구체적이며, 사람이 읽을 수 있게 하라. 어떤 데이터를 보유하는지, 무엇에 쓰는지, 누구와(상업적 파트너 포함) 공유하는지, 사람들에게 어떤 선택권이 있는지를 쉬운 말로 공표하라. 규제 기관을 위해 쓴 빽빽한 개인정보 고지는 투명성이 아니며, 명확한 공적 데이터 사용 등록부가 투명성이다. 새롭거나 상업적인 약정은 시작되기 전에 공개하라. 기자의 폭로로 불거진 사용은 그 장점과 무관하게 은폐로 읽히기 때문이다.

9. 자신의 데이터에 관한 결정에 환자와 지역사회를 참여시키라 — 일찍, 그리고 진짜로. 대중과 환자의 참여는 출시 때 덧붙이는 소통 활동이 아니라, 무엇을 만들지와 그것이 사회적 허가를 얻는지를 형성한다. 환자, 돌봄 제공자, 지역사회 대표, 특히 기관을 불신할 역사적 이유가 충분한 집단을 설계와 거버넌스에 끌어들이고, 그들의 의견이 결정을 어떻게 바꿨는지 보여 주라. 이는 주제 3.0 — 사용자 리서치 및 서비스 디자인과 주제 8.2 — 커뮤니케이션 및 참여와 직접 이어진다.

10. 데이터가 결정을 이끌 때 공정성과 책임을 소유하라. 데이터가 위험 점수, 우선순위 도구, 모형에 쓰이는 곳에서는 누구의 데이터로 훈련되었는지, 어떤 집단이 과소 대표될 수 있는지, 출력이 틀리거나 차별적일 때 누가 답하는지 물으라. 결과가 중대한 결정에는 사람을 개입시키고 시간에 따라 인구 집단별 결과를 모니터링하라. 상세한 모형 거버넌스는 주제 8.4 — AI 및 신기술 거버넌스에 넘기되, "알고리즘이 결정했다"를 책임으로부터의 탈출구로 취급하지 말라.

팀과 논의할 질문#

1. 가장 민감하거나 새로운 데이터 사용에 대해, 법적으로 허용되는 것과 우리 환자가 실제로 기대할 것 사이의 정직한 간극은 무엇이며 — 어떻게 그것을 메울 것인가? 이 주제의 핵심 질문이므로 추상적이 아니라 구체적으로 만들라. 조직의 실제 사용, 곧 연구 파트너십, 공급업체 약정, 인구 건강 대시보드, 모형 하나를 고르라. 법이 허용하는 바를 짚은 다음, 평범하고 적당히 회의적인 환자가 무슨 일이 벌어지고 있다고 가정할지를 따로 묻고, 둘 사이의 간극을 명명하라. 그 간극이 신뢰를 얻거나 잃는 곳이며, 법적 질문만 던진다면 눈에 보이지 않는다. 좋은 논의는 팀이 더 어려운 대화를 피하려고 "합법이다"에 기대고 있는 사용을 적어도 하나 드러내고, 사용을 바꾸거나, 의미 있는 동의를 구하거나, 훨씬 더 공개적으로 설명하겠다는 결정을 낳는다. "하지만 우리는 허용된다"는 전형적 변명에 주의하라. 대개 윤리적 질문이 한 번도 던져지지 않았다는 뜻이다.

2. **어디서 데이터를 공유하지 않음으로써 환자를 해치고 있으며, 침해의 위험만큼 그 해악에 대해서도 정직한가?** 데이터 윤리는 데이터 최소화로 일상적으로 오해되며, 방어적 과잉 신중은 안전의 옷을 입고 실질적 피해를 낳는다. 자신의 환경에서 구체적 사례를 논의하라. 놓친 알레르기, 기관 사이로 떨어진 안전 보호 우려, 지역사회 팀이 맥락을 몰라 잘못된 퇴원, 안전 신호를 찾을 수 있었을 데이터가 막힌 연구자다. 공유할 의무가 보호할 의무만큼 중요할 수 있다는 Caldicott 원칙은, 조직이 보류를 심리적으로 더 안전하다고 느끼는 경향이 있고 환자에게는 사실 더 안전하지 않은 때조차 그렇기 때문에 존재한다. 성숙한 팀은 양방향의 실패를 명명할 수 있고 "안 된다"를 위험 없는 기본값으로 취급하는 대신 각각을 상향 보고할 경로가 있다. 적절히 공유하는 사람보다 공유를 거부하는 사람에게 유인이 훨씬 더 보상하고 있지는 않은지도 생각하라.

3. 내일 전국 신문이 우리의 데이터 공유 약정 하나를 정확하지만 동정 없이 보도한다면, 우리는 살아남을 것이며, 그 답이 지금 무엇을 고쳐야 하는지 알려 주는가? care.data 프로그램을 무너뜨린 것은 불법이 아니었다. 실질적인 설명도 실질적인 선택도 없이 자신들에게 무언가가 행해지고 있다는 대중의 느낌이었다. 자신의 약정, 특히 상업적 파트너, 모형 훈련, 환자가 명확히 듣지 못한 2차 사용이 관련된 것에 대해 이 시험을 적용하라. 이야기가 불편해지는 곳은 어디인가? 파트너인가, 옵트아웃의 부재인가, 모호한 공적 고지인가, 지역사회 참여의 부재인가? 그 불편함은 사회적 허가가 얇은 곳의 정밀한 지도다. 좋은 답은 "언론을 잘 다루겠다"가 아니라 더 투명하게, 더 동의를 받아, 또는 아예 그만두겠다는 목록이며, 주제 8.2 — 커뮤니케이션 및 참여의 참여 규율과 이어진다.

4. 데이터를 "익명화되었다"고 부를 때, 사람에게 다시 연결될 수 없다고 얼마나 확신하며 — 누가 그 주장을 실제로 시험했는가? 비식별화는 마땅한 것보다 훨씬 자주 결승선으로 취급되고, "익명화됨"은 평가되기보다 주장되는 경우가 많다. 실제 2차 사용 데이터셋을 하나 골라 정확히 어떤 처리가 되었는지, 별도로 보관된 키를 가진 가명화인지 진정한 익명화인지 물은 뒤, 누군가 다른 데이터와 연결하면 모자이크 효과에 어떻게 버틸지, 특히 희귀 질환, 소규모 집단, 세부가 풍부한 기록에서 물으라. 데이터가 물리적으로 어디에 있는지도 물으라. 데이터를 떠나지 못하게 하는 인증된 안전 데이터 환경 안에서 분석되는가, 아니면 라벨이 안전하게 만든다고 가정하고 추출물로 내보내는가? 정직한 논의는 잔여 재식별 위험을 명시적으로 명명하고, 누가 그 위험을 수용했는지 기록하며, 시험된 것과 단지 바랐던 것을 구별한다. 방 안의 누구도 그 주장을 마지막으로 누가 스트레스 테스트했는지 말할 수 없다면, 그 부재가 발견 사항이다.

5. 데이터가 위험 점수, 우선순위 도구, 모형에 쓰이는 곳에서 누구의 데이터가 그것을 훈련시켰고, 누구를 불리하게 만들 수 있으며, 틀렸을 때 누가 답하는가? 공정성은 원칙적으로 지지하기 쉽고 실천에서는 소홀히 하기 쉽다. 편향은 완전해 보이지만 이미 가장 나쁜 결과를 겪는 바로 그 집단을 과소 대표하는 데이터에 숨기 때문이다. 구체적인 사례, 곧 입원 위험 모형, 분류 도구, 사례 부하 우선순위 점수를 들어, 훈련 데이터에서 어떤 집단이 얇은지, 잘못 표시되거나 잘못 간과된 사람이 어떤 영향을 받을지, 누군가 출시 때만이 아니라 시간에 따라 인종과 빈곤에 걸친 결과를 모니터링하는지 물으라. 책임을 밀어붙여라. 출력이 이의를 받을 때 결정을 소유하는 지정된 사람이 있는가, 아니면 "알고리즘이 결정했다"가 책임을 조용히 흡수하는가? 깊은 모형 거버넌스는 주제 8.4 — AI 및 신기술 거버넌스에 속하지만 윤리적 소유권은 여기에 있다. 성숙한 답은 구체적인 공정성 모니터링 약속을 명확한 책임 선과 짝지우며, 수학은 중립적이라는 안심이 아니다.

6. 데이터의 주인들 — 특히 우리를 불신할 가장 충분한 이유가 있는 지역사회 — 을 어떻게 참여시키며, 그들의 참여가 실제로 바꾼 결정을 짚을 수 있는가? 참여는 가장 쉽게 장식으로 환원되는 부분이다. 설계가 고정된 뒤에 열리는 자문, 이미 기관을 신뢰하는 사람들로만 꾸린 패널이다. 더 어렵고 가치 있는 질문은 환자, 돌봄 제공자, 지역사회 대표, 특히 보건 서비스가 역사적으로 실망시킨 집단의 사람들이 만들어지는 것을 바꿀 수 있을 만큼 일찍 그 자리에 있는지, 그리고 그 결과로 일어난 구체적 변화를 명명할 수 있는지다. 우리가 듣지 못하는 사람이 누구이며 왜인지, 참여가 목소리가 잘 들리지 않는 사람들에게 닿는지 아니면 편안한 사람들을 재확인할 뿐인지 논의하라. 이는 주제 3.0 — 사용자 리서치 및 서비스 디자인과 주제 8.2 — 커뮤니케이션 및 참여와 이어진다. 정직한 답은 결정을 이동시킨 진정한 공동 설계와 결정을 알리기만 한 소통 활동을 구별하고, 현재 둘 중 어느 것을 하고 있는지 솔직하다.

실제 사례: 보건·돌봄 예시#

Riverbourne 통합 돌봄 시스템은 여러 장기 질환을 가진 사람들 사이에서 응급 입원을 줄이기 위해 연결된 환자 데이터를 사용하려 한다. 분석 팀에는 강한 논거가 있다. 병원, 일반의, 지역사회, 사회적 돌봄 데이터를 모으고, 위험 모형을 만들어, 악화될 가능성이 가장 높은 사람들에게 선제적 지원을 제공한다는 것이다. 법적으로 경로는 실행 가능하다. 그러나 프로그램 책임자는 care.data를 기억하고, 모형의 한 줄이 만들어지기 전에 윤리와 신뢰 질문에 먼저 답해야 한다고 고집한다.

팀은 두 질문을 의도적으로 분리한다. *할 수 있는가?*는 정보보호책임자 및 Caldicott Guardian과 함께 다룬다. 적법 근거, 데이터 보호 영향 평가, 국가 데이터 옵트아웃이 이 2차 사용에 적용됨의 확인이다. *해야 하는가?*는 새로 소집된 독립적 위원과 일반인 위원, 보건 서비스에 대한 신뢰가 역사적으로 낮은 지역사회 출신 환자 대표 두 명을 포함한 데이터 윤리 그룹에 간다. 이 그룹은 변호사들보다 더 어려운 질문을 던진다. 위험 점수가 누구를 불리하게 만들 수 있는가, 잘못 표시된 사람은 어떻게 되는가, 환자들은 자신의 사회적 돌봄 데이터가 병원 모형에 쓰인다는 것을 알면 놀랄 것인가?

그 질문이 설계를 바꾼다. 분석은 인증된 안전 데이터 환경 안에서 실행되어, 분석가는 거버넌스되는 환경을 떠나지 않는 가명화된 기록으로만 작업한다. 모형의 출력은 누군가에게 연락하기 전에 임상의가 검토하며 자동으로 조치되지 않는다. 팀은 모형이 인종 집단과 빈곤 수준에 걸쳐 똑같이 잘 작동하는지 모니터링하겠다고 약속하는데, 훈련 데이터의 과소 대표가 그렇지 않으면 불평등을 굳힐 수 있음을 발견했기 때문이다. 그리고 ICS는 프로그램이 시작되기 전에, 질문을 받기를 기다리지 않고, 어떤 데이터를, 어떤 목적으로, 누가 이익을 얻고, 어떤 안전장치가 있으며, 어떻게 옵트아웃하는지에 대한 쉬운 말의 설명을 공표한다.

몇 달 뒤 지역 기자가 실제로 물었을 때, 이야기는 평범하다. 약정은 이미 공개되어 있고, 옵트아웃은 존중되며, 환자들이 형성하는 데 도움을 주었고, 안전장치는 실재한다. 옵트아웃 비율은 거의 움직이지 않는다. 프로그램은 첫해에 입원을 완만하게 줄이지만, 더 오래가는 성과는 Riverbourne이 이제 다음 데이터 사업을 의심이 아니라 신뢰의 위치에서 제안할 수 있다는 점이다. 상충 관계는 명시적이었다. 참여와 윤리 검토는 석 달과 약간의 어색한 재설계를 더했고, 더 빠르고 조용한 출시라면 도박에 걸었을 사회적 허가를 샀다.

부문별 관점#

스타트업#

보건 기술 스타트업은 대개 기술적 본능이 예리하고 업계의 신뢰 역학에 대한 감각은 얇으며, 상업 모델이 환자가 기대하지 않을 데이터 사용, 곧 분석, 모형 훈련, 파트너십에 의존하는 경우가 많다. 스타트업이라면 존재를 위협하는 위험은 규제 기관의 벌금이 아니라 충분히 설명되지 않은 데이터 사용이 드러날 때 NHS 파트너가 떠나는 것이다. "해야 하는가?" 질문을 처음부터 제품 결정에 내장하고, 동의 대 옵트아웃 대 법정 근거에 대해 철저히 정직하며, 데이터가 재식별할 만큼 풍부할 때 "익명화됨"을 확정된 사실로 취급하지 말라. 작을 때 신뢰를 얻는 것이 대중 앞의 실수 이후에 다시 쌓는 것보다 훨씬 저렴하다.

소규모 사업체#

확립된 소규모 제공자 — 일반의 진료소, 지역 약국, 요양원, 재가 돌봄 기관, 단일 사업장 클리닉, 또는 스타트업 단계를 지난 소규모 보건 기술 공급업체 — 는 대형 트러스트와 같은 비밀 유지 의무와 같은 "놀라움 없음" 의무를 지지만, 장부에는 실제 환자가 있고, 직원은 소수이며, 전담 IG나 IT 역량은 거의 없다. 여기서의 신뢰 위험은 대개 헤드라인을 장식하는 데이터 거래보다 조용하다. 새 예약 알림 도구, 공급업체가 켜 놓은 분석 기능, 아무도 "해야 하는가?"를 물을 시간이 없어 제3자와 무심코 공유된 환자 데이터다. 합리적 기대 시험을 공식 위원회가 아니라 빠르고 일상적인 습관으로 만들고, 각 사용에 대해 동의 모델을 정직하게 명명하며, 한 명의 파트타임 인력에게 떨어지더라도 Caldicott와 데이터 보호 책임에 기대라. 기본 설정이 국가 데이터 옵트아웃을 존중하고 데이터를 거버넌스되는 환경에 두는 공급업체를 선택하라. 소프트웨어만이 아니라 그들의 윤리도 물려받는 것이기 때문이다. 그리고 공유할 의무가 양방향으로 작용함을 기억하라. 더 안전하게 느껴진다는 이유로 안전 보호 우려나 약물 이력 전달을 거부하는 것은 공유하는 것보다 환자를 더 해칠 수 있다.

대기업#

대형 트러스트나 ICS는 방대하고 매우 민감한 데이터를 보유하며 대개 성숙한 법적 거버넌스를 갖추었으나 윤리의 근육은 약하다. DPIA는 많은데 진정한 윤리 대화는 거의 없다. 과제는 정당한 공유를 마비시키거나 상업 및 연구 파트너십이 대중의 이해를 앞지르게 두지 않으면서 윤리 층을 더하는 것이다. 일반인 위원을 둔 진짜 데이터 윤리 기능을 세우고, 데이터 사용과 파트너십을 공개적으로 공표하며, 방어적 과잉 신중이 조용히 환자를 해치지 않도록 공유할 의무가 존중되게 하라. 규정 준수만이 아니라 대중 신뢰에 대한 이사회 수준의 소유권이 차별화 요소이며, 이는 주제 6.4 — 거버넌스 및 보증과 이어진다.

정부#

국가 기관은 국가 데이터 옵트아웃, 국가 데이터 수호자의 지침, Caldicott 원칙 같은 다른 모든 이가 물려받을 틀을 정하고 인구 규모의 대중 신뢰를 짊어지며, 여기서 잘못되었을 때의 결과는 지역적이 아니라 역사적이다. care.data 프로그램은 경고의 기념비다. 합법적이고 선의의 국가 계획이었으나 대중이 충분히 알리지 않았고 자문받지 못했다고 느껴 무너졌고, 수년간 신뢰를 떨어뜨렸다. 반발이 있은 뒤가 아니라 확대 전에 투명성, 의미 있는 국가적 참여, 독립적 감독을 앞세우라. 여러분이 소유한 상충 관계를 인식하라. 지나치게 신중한 국가 정책은 돌봄과 연구를 굶기고, 부주의한 정책은 전체 데이터 시스템이 기대는 대중의 동의를 잃는다. 이는 주제 4.5 — 데이터, 분석 및 인구 건강 관리에서 더 탐구된다.

흔한 실패 양상#

• 법적 질문에만 답하기. 적법 근거를 완전한 정당화로 취급하여, 사용이 공정한지, 기대되는지, 현명한지 아무도 묻지 않는 것. 이것이 선의의 완전히 규정을 준수한 프로그램이 대중의 신뢰를 잃는 바로 그 방식이다.
• 동의 연극. 옵트아웃, 묻혀 있는 개인정보 고지, 또는 법정 권한을 의미 있는 충분한 설명에 근거한 동의인 양 제시하여, "동의"가 실제로 무엇을 뜻했는지 알게 된 사람들이 속았다고 느끼는 것.
• 숨겨졌거나 놀라운 사용. 명확하고 선제적인 고지 없이, 돌봄을 위해 수집한 데이터를 분석, 상업적 거래, 모형 훈련으로 확장하는 것 — 유출이 변호 가능한 활동을 스캔들로 바꿀 때까지.
• 알리바이로서의 익명화. 풍부하고 연결 가능한 데이터를 "익명화됨"이라 부르고 윤리적 질문이 종결되었다고 취급하여 재식별 위험과 모자이크 효과를 무시하는 것.
• 장식으로서의 참여. 결정이 내려진 뒤에, 또는 이미 신뢰하는 사람들하고만 대중에게 자문하여 활동이 알려 주기보다 정당화하고, 신뢰가 가장 취약한 지역사회를 놓치는 것.
• 방어적 과잉 신중. 정당한 공유를 거부하고 이를 안전이라 부르며, 필요한 것을 볼 수 없는 임상의 때문에 환자가 해를 입는 것.

성숙도 모델#

체크리스트#

• 자명하지 않은 모든 데이터 사용에 적법 근거와 별개로 기록된 "해야 하는가?" 결정이 있다.
• 동의 모델(묵시적, 명시적, 옵트아웃)이 각 사용에 대해 정직하게 명명되어 있다.
• 국가 데이터 옵트아웃이 그것이 다루는 모든 2차 사용에 적용되며, 이를 입증할 수 있다.
• 각 새 데이터 흐름이 합리적 기대 / "놀라움 없음" 시험을 통과한다.
• 비식별화된 데이터의 재식별 위험이 평가되며, 실용적인 곳에서는 안전 데이터 환경을 사용한다.
• 새롭거나 민감한 사용에 독립적 위원과 일반인 위원이 있는 데이터 윤리 검토 경로가 있다.
• 데이터 사용, 파트너, 선택권에 대한 쉬운 말의 공적 등록부가 공표되고 최신으로 유지된다.
• 새롭거나 상업적인 데이터 약정이 시작되기 전에 선제적으로 공개된다.
• 신뢰가 낮은 집단을 포함한 환자와 지역사회가 설계와 거버넌스에 참여하며, 그 영향이 기록된다.
• 데이터가 결정을 이끄는 곳에서 편향과 차별적 영향이 평가되며, 책임이 명확히 소유된다.
• 공유할 의무가 보호할 의무만큼 신중하게 따져져, 과잉 신중이 안전으로 오인되지 않는다.

주요 출처#

• National Data Guardian for Health and Social Care — 검토, Caldicott 원칙, 신뢰할 만한 데이터 사용에 관한 지침.
• NHS England — 국가 데이터 옵트아웃: 정책, 운영 지침, 대중 정보.
• Understanding Patient Data — NHS 데이터가 어떻게 그리고 왜 쓰이는지에 대한 쉬운 말의 설명.
• Information Commissioner's Office (ICO) — 익명화, 가명화, 데이터 공유 지침.
• National Data Guardian & Department of Health — Review of Data Security, Consent and Opt-Outs (2016), care.data 경험 이후 발표됨.
• Ada Lovelace Institute — 보건 분야의 데이터 윤리, 대중의 태도, 신뢰할 만한 데이터 실천에 관한 연구.
• NHS Digital / NHS England — 보건 및 사회적 돌봄 데이터를 위한 Secure Data Environment 정책 지침.

참고문헌#

1. Big data ethics — Wikipedia — https://en.wikipedia.org/wiki/Big_data_ethics
2. Informed consent — Wikipedia — https://en.wikipedia.org/wiki/Informed_consent
3. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
4. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
8. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
9. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
10. Algorithmic bias — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_bias
11. Algorithmic accountability — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_accountability
12. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
13. Review of Data Security, Consent and Opt-Outs — National Data Guardian — https://www.gov.uk/government/publications/review-of-data-security-consent-and-opt-outs
14. The Caldicott Principles — National Data Guardian — https://www.gov.uk/government/publications/the-caldicott-principles
15. How we use and protect data / Understanding Patient Data — Understanding Patient Data — https://understandingpatientdata.org.uk/
16. Anonymisation and pseudonymisation guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/
17. Secure Data Environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines