주제 4.10 — 안전한 데이터 환경 및 연구 데이터 접근

보건·돌봄에서 환자 데이터의 안전한 재사용은 힘들게 얻은 하나의 원칙, 곧 분석가를 데이터로 데려오고 결코 데이터를 분석가에게 가져가지 않는다는 원칙에 달려 있으며, 이는 안전한 환경, 층층의 거버넌스, 눈에 보이는 대중 책임성을 통해 시행된다.

보건·돌봄에서 이것이 중요한 이유#

보건·돌봄 시스템은 지금까지 모인 인간의 삶에 대한 가장 풍부한 종단 데이터를 보유한다. 출생, 진단, 처방, 수술, 사망, 그리고 그 주변의 사회적 상황이다. 잘 재사용하면 그 데이터는 더 안전한 약을 찾고, 실패하는 서비스를 알아채며, 희소한 자원을 겨냥하고, 생명을 구하는 치료법의 발견을 이끈다. 잘못 재사용하면 데이터 주체가 되기를 선택한 적 없는 수백만 명의 신뢰를 깨뜨리고, 시스템 전체가 돌아가는 신뢰를 부식시키며, 한 번 잃은 신뢰는 다시 쌓기 느리기 때문에 가능하게 하려던 바로 그 연구를 뒤로 되돌린다.

긴장은 우연이 아니라 구조적이다. 대중은 공익을 위한 연구에 자신의 데이터가 쓰이는 것을 일관되게 지지하며, 데이터가 안전한 보관을 떠나거나, 책임 없이 팔리거나, 볼 수 없는 조건으로 상업적 손에 흘러가는 것에는 똑같이 일관되게 반대한다. 디지털 리더는 정확히 그 단층선 위에 앉아 있다. 데이터에서 가치를 풀어내라는 요구(아직 태어나지 않은 환자와 공적 자금에 대한 의무)와, 데이터가 기술하는 사람들에 대한 똑같이 심각한 비밀 유지 의무를 동시에 지고 있다.

신뢰 연구 환경이라고도 불리는 안전 데이터 환경(SDE)은 영국이 수렴한 운영상의 답이다. 기본값을 연구자에게 데이터를 복사해 내보내는 것에서, 연구자가 들어와 결코 움직이지 않는 데이터로 일하는 쪽으로 바꾼다. 이는 기술적 세련됨이 아니라, 시스템이 대중과의 약속을 지키는 기제다. 이를 제대로 하는 것은 임상 안전에 인접한 형평성과 대중 신뢰의 책임이며(주제 1.8 — 데이터 윤리, 동의 및 대중의 신뢰 참조), 점점 더 지역 재량의 문제가 아니라 법정 기대가 되고 있다.

핵심 개념#

안전 데이터 환경(SDE) — 이제 NHS 정책에서 선호되는 용어 — 은 승인된 연구자가 승인된 목적으로 승인된 데이터에 접근하되 데이터가 추출되거나 복사되어 나가지 않는 데이터 저장 및 분석 플랫폼이다. 더 오래되고 국제적으로 흔한 이름은 **신뢰 연구 환경(TRE)**이며, 둘은 같은 모델을 기술한다. 지배적 발상은 분석가를 데이터로 데려오고, 데이터를 분석가에게 가져가지 않는다는 것이다. 계산은 벽 안에서 일어나고, 점검되고 집계된 결과만 나간다.

이를 구조화하는 틀은 영국 통계청(ONS)에서 개발한 Five safes다. 안전한 데이터 접근을 다섯 차원으로 분해한다. 안전한 사람(연구자가 훈련받고, 인증받고, 책임을 지는가?), 안전한 프로젝트(이 사용이 합법적이고, 윤리적이며, 공익에 부합하는가?), 안전한 환경(환경이 유출을 막는가?), 안전한 데이터(프로젝트가 허용하는 한도까지 데이터가 최소화되고 비식별화되었는가?), 안전한 산출물(개인이 식별될 수 없도록 결과가 공개 전에 점검되는가?)이다. 어떤 단일 통제도 충분하지 않다. 안전은 다섯 가지 모두의 산물이다.

두 가지 학문이 데이터 자체를 보호한다. 데이터 최소화는 "혹시 몰라서" 전체 기록을 주지 않고 프로젝트가 진정으로 필요로 하는 필드와 기록만 제공한다는 뜻이다. 비식별화는 데이터의 식별 가능성을 줄이는 포괄 용어다. 그 안에서 가명화는 직접 식별자(이름, NHS 번호)를 키로 연결된 토큰으로 대체하여, 별도의 키를 가진 사람만 재식별할 수 있게 한다. 데이터는 법적으로 여전히 개인정보다. 익명화는 데이터를 더는 개인정보가 아니게 만드는 것을 목표로 하며, 이는 들리는 것보다 훨씬 어렵다. 세상에 더 많은 데이터가 존재할수록 겉보기 익명 데이터를 다른 데이터셋과 맞춰 누구인지 드러내는 재식별이 쉬워지기 때문이다. 풍부한 임상 데이터의 진정한 익명화는 흔히 불가능하며, 이것이 바로 SDE 모델이 존재하는 이유다.

결과가 환경을 떠나기 전에 산출물 점검을 거친다. 작은 셀 수, 고유한 이상치, 차분 공격이 개인을 노출하지 못하게 하는 기법인 통계적 공개 통제를 적용하는 사람과 절차의 관문이다. 이 관문은 흔히 에어락이라 불린다. 결과가 보관 구역에 들어가고, 훈련받은 점검자가 검토하며, 통과된 산출물만 연구자에게 넘어간다. 어떤 단일 기록이 결과에 기여하는 정도를 제한하기 위해 보정된 통계적 잡음을 더하는 차등 프라이버시 같은 신흥 프라이버시 기법은 이 인간적 통제를 대체하지 않고 보완한다.

두 개념이 더 미래를 형성한다. 연합 학습과 연합 분석은 질의나 모형이 각자 자체 데이터를 보유한 여러 SDE에 걸쳐 실행되게 하여, 원시 데이터를 모으지 않고도 통찰을 결합한다. 분산된 국가 네트워크의 자연스러운 다음 단계다. 그리고 사회적 허가(social licence) — 데이터 프로그램이 운영되는 비공식적이고 지속적인 대중의 허락 — 는 위의 모든 장치가 보호하려고 존재하는 무형의 자산이다. 경고의 이야기는 care.data, 곧 일반의 데이터를 추출하려던 2013–2016년 NHS England 프로그램으로, 스스로를 대중에게 설명하지 못해 신뢰를 잃고 폐기되었다.

모범 사례#

1. 반출이 아니라 환경을 기본으로 만들라. 가장 중요한 단일 설계 결정은 데이터가 떠나지 않는다는 것이다. 연구자에게 SDE 안에서 컴퓨팅, 도구, 큐레이션된 데이터셋을 제공하고, 데이터가 새어 나가던 경로 — 대량 다운로드, 이메일 추출물, 복사된 스프레드시트 — 를 제거하라. 사본이 건물을 떠나는 것으로 끝나는 모든 레거시 데이터 공유 협약은 현장 접근을 위해 적극적으로 폐기해야 할 부채다.

2. 기술만이 아니라 Five Safes 전부를 운영화하라. 안전한 플랫폼을 사서 문제가 해결되었다고 선언하고 싶은 유혹이 있지만, 프로젝트 심사가 약하거나 산출물 점검이 없는 강화된 환경은 일어날 침해다. 각 안전에 대해 명시적이고 증거가 있는 프로세스를 구축하라. 연구자 인증과 훈련, 프로젝트가 합법적이고 공익에 부합하는지에 대한 독립적 견해, 최소화되고 비식별화된 데이터 제공, 규율 있는 산출물 점검이다. 다섯 가지를 가장 약한 고리가 실제 안전 수준을 정하는 시스템으로 다루라.

3. 프로젝트가 감당할 수 있는 가장 낮은 식별 가능성까지 최소화하고 비식별화하라. 코호트와 열두 개 필드면 질문에 답할 수 있는데 전체 기록을 넘기지 말라. 직접 식별자는 기본으로 가명화하고, 전체 우편번호와 정확한 생년월일 같은 준식별자는 제거하거나 거칠게 만들며, 더 식별 가능한 데이터에 대한 접근은 더 엄격한 승인 아래 진정으로 필요한 드문 프로젝트에 남겨 두라. 가명화된 데이터는 법적으로 여전히 개인정보임을 기억하라(주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안 참조). 따라서 익명이라는 주장이 아니라 SDE의 통제가 여러분을 합법적으로 유지한다.

4. 결과와 공개 사이에 진짜 에어락과 훈련받은 산출물 점검자를 두라. 위험이 가장 높은 순간은 무언가가 환경을 떠날 때다. 모든 산출물을 훈련받은 점검자가 외부에 닿기 전에 통계적 공개 통제 — 작은 셀 억제, 반올림, 연구자의 연속 요청에 걸친 차분 감시 — 를 적용하는 보관 구역을 거치게 하라. 이를 제대로 자원 배정하라. 산출물 점검은 숙련된 업무이며, "그냥 이메일로 보내자"는 유혹을 부르는 적체는 모델 전체를 무력화한다.

5. 정보 거버넌스 승인을 엄격하고, 독립적이며, 쓸 수 있을 만큼 빠르게 하라. 접근은 프로젝트가 합법적이고 공익에 부합한다는 독립적 판단에 달려야 하며, 보통 데이터 접근 위원회와, 동의 없이 기밀 환자 정보를 쓰는 경우 관련 규정에 따른 section 251 지원에 대해 자문하는 Confidentiality Advisory Group(CAG)을 통한다. 엄밀함과 속도는 반대가 아니다. 명확한 기준을 가진 투명하고 인력이 충분한 위원회는 좋은 프로젝트를 더 빨리 승인하고 또한 나쁜 프로젝트를 불투명하고 느린 위원회보다 더 방어 가능하게 거부한다. 연구자가 우회할 만큼 느린 프로세스는 거버넌스의 성공이 아니라 실패다.

6. 철저한 투명성으로 사회적 허가를 얻고 유지하라. care.data의 교훈은 합법적이라는 것이 신뢰받는 것과 같지 않다는 점이다. 누가 어떤 데이터에, 어떤 목적으로, 어떤 결과와 함께 접근했는지 보여 주는 데이터 사용 등록부를 공표하고, SDE가 어떻게 거버넌스되는지에 대한 진정한 대중 및 환자 참여를 운영하며, 분명하고 존중되는 국가 데이터 옵트아웃을 제공하라. 투명성은 출시 때 덧붙이는 소통의 사후 고려가 아니라 전체 사업이 계속되게 하는 운영 조건이다(주제 1.8 — 데이터 윤리, 동의 및 대중의 신뢰 참조).

7. 하나의 담 높은 정원이 아니라 SDE 네트워크 전반의 연합을 위해 설계하라. 잉글랜드의 모델은 인증된 지역 SDE와 나란히 있는 국가 SDE이며, 연구는 합법적으로 모을 수 없는 데이터를 결합하는 일이 점점 필요하다. 공통 표준, 큐레이션된 데이터 모델, 상호운용 가능한 도구를 채택하여, 프로젝트가 시간이 지나 각 환경에서 원시 데이터가 제자리에 있는 채 환경 전반에 걸쳐 연합 질의를 실행하거나 모형을 훈련할 수 있게 하라(주제 4.3 — 상호운용성 및 데이터 표준 참조). 상호운용할 수 없는 맞춤 고립 환경을 구축하는 것은 지역적으로 아무리 좋아 보여도 전략적 막다른 길이다.

8. 상업적 접근을 명시적으로 거버넌스하고 가치가 되돌아오게 하라. NHS 데이터에 대한 업계의 접근은 정당하고 치료법과 기술을 개발하는 데 필수인 경우가 많지만, 대중의 의심이 집중되는 곳이다. 명확한 규칙을 정하라. 상업적 사용자에게도 학계와 같은 SDE 통제가 적용되고, 협약은 투명하게 공표되며, 대중이 가격, 결과 혁신에 대한 접근, 데이터 인프라에 대한 재투자 중 어느 것이든 공정한 가치를 돌려받는다. "상업적 파트너십"이 조용한 조건으로 안전한 보관을 떠나는 데이터의 완곡어법이 되지 않게 하라(주제 6.3 — 조달 및 상업 계약 참조).

팀과 논의할 질문#

1. 우리 데이터가 "비식별화"되었다고 할 때, 실제로 어떤 재식별 위험을 감수하고 있으며 — 그 판단을 누가 승인했는가? "익명화"가 진정으로 개인정보가 아닌 데이터에서 다른 원천과 연결해 단호한 분석가가 재식별할 수 있는 가볍게 가명화된 기록까지 모든 것을 뜻하도록 느슨하게 쓰이기 때문에 이것이 중요하다. 구체적으로 토론하라. 어떤 준식별자가 남아 있는지(우편번호 세분도, 날짜, 희귀 진단), 공격자가 현실적으로 어떤 외부 데이터셋과 연결할 수 있는지, 통제가 SDE 자체인지 낙관적인 라벨인지다. 풍부한 종단 임상 데이터는 흔히 진정으로 익명화할 수 없으며, 이는 우리를 합법적이고 안전하게 하는 것이 데이터 변환이 아니라 환경의 통제임을 뜻한다는 점을 생각하라. 이 위험 평가를 누가 소유하는지 드러내라. 문서화된 방법론을 적용하는 지정된 책임자인가, 옛 데이터 공유 협약에서 물려받은 검토되지 않은 가정인가? 좋고 정직한 답은 잔여 재식별 위험을 쉬운 말로 진술하고, 구체적 통제에 연결하며, "익명"이라는 말 뒤에 숨는 대신 판단에 책임지는 사람을 명명한다.

2. 특정 데이터 접근을 신문 1면에서 회의적인 환자에게 어떻게 설명하며 — 그 설명이 버틸 수 있는가? care.data의 붕괴는 주로 기술적 실패가 아니라 설명하고 신뢰를 이끄는 데 실패한 것이었다. 실제 또는 현실적인 접근 — 제약 회사가 SDE에서 연구를 운영함 — 을 하나 골라 대중 대화를 역할극으로 해 보라. 어떤 데이터를, 왜, 누가 이익을 얻고, 회사는 무엇을 얻고, 대중은 무엇을 돌려받고, 어떻게 옵트아웃하는가. 현재 투명성이 얇은 곳을 토론하라. 공개 데이터 사용 등록부가 있는가, 상업적 접근이 보이는가, 환자들이 옵트아웃이 있고 존중되었음을 아는가? 합법적이라서 방어 가능한 것과 신뢰받아서 방어 가능한 것의 차이를 생각하고, 후자가 더 어렵고 더 취약함에 정직하라. 강한 답은 환자가 합리적이라고 여길 분명하고 전문 용어 없는 설명을 낳고, 떳떳하게 그것을 말하기 전에 메워야 할 구체적 투명성 격차를 식별한다.

3. 우리 거버넌스는 좋은 연구자가 우회하지 않고 이용할 만큼 빠르고 독립적인가? 엄밀함과 접근 사이에는 진정한 긴장이 있다. 너무 느슨하게 거버넌스하면 대중 신뢰를 배신하고, 너무 느리게 하면 연구자는 포기하거나(공적 가치 상실) 비공식 우회책을 찾는다(통제 완전 상실). 신청에서 데이터 접근까지의 실제 일정, 병목이 어디인지(정보 거버넌스, CAG, 데이터 엔지니어링, 산출물 점검), 데이터 접근 위원회에 공표된 명확한 기준이 있는지 신청자가 예측할 수 없는 방식으로 사안별로 결정하는지 논의하라. 독립성을 정직하게 파고들라. 아니라고 말할 권한이 있는 사람이 실제로 말하는가, 상업적 또는 기관의 압력이 승인을 형식으로 만드는가? 느린 프로세스가 작업을 거버넌스되지 않는 구석으로 밀어내는 실패 양상을 생각하라. 빠르고 투명한 프로세스보다 나쁘다. 좋은 답은 실제 주기 시간을 명명하고, 엄밀함과 단순한 지연을 구별하며, 중심의 독립적 판단을 약화하지 않고 접근을 빠르게 하는 구체적 개선을 약속한다.

4. 상업적 파트너가 우리 SDE에서 일할 때, 어떤 공정한 가치가 대중에게 돌아가며 — 그것을 보일 수 있는가? 업계의 접근은 정당하고 흔히 데이터를 치료법으로 바꾸는 유일한 경로이지만, 공적 자산이 조용한 조건으로 사적 손에 넘겨지고 있다는 두려움 때문에 바로 대중의 의심이 집중되는 곳이다. 조직에 "공정한 가치"가 구체적으로 무엇을 뜻하는지 토론하라. 결과 제품에 대한 우대 가격, 우리 인구에 대한 혁신의 보장된 접근, 데이터 인프라에 대한 재투자, 또는 단순히 현금이며, 누가 어느 것인지 결정하는가. 상업적 사용자에게도 학계와 같은 SDE 통제가 진정으로 적용되는지, 자원이 풍부한 회사가 더 매끄러운 경로를 조용히 얻는지 파고들라. 협약과 그 가치 공유 조건이 공표되는지, 아무도 확인할 수 없는 닫힌 문 뒤에서 사안별로 협상되는지 물으라. 정직한 답은 마지막 상업적 약정이 돌려준 가치를 명명하고, 그 가치가 어디로 갔는지 밝히며, "상업적 파트너십"이 책임 없는 특권적 접근의 완곡어법이 될 위험이 있는 곳을 인정한다.

5. 우리 환경의 데이터와 그것이 가능하게 하는 연구는 전체 인구를 대표하는가, 아니면 가장 포착하기 쉬운 부분만 대표하는가? 형평성은 사후 고려가 아니라 의무다. 데이터가 일부 집단(서비스를 덜 쓰고, 덜 완전하게 기록되고, 더 높은 비율로 옵트아웃하는 사람들)을 과소 대표하면, 그 위에 구축된 연구는 정확히 그 집단에게 덜 잘 작동하며 증거라는 겉옷 아래 보건 불평등을 조용히 벌린다. 데이터에서 어떤 인구가 얇거나 빠져 있는지, 코딩과 기록 관행이 무엇이 포착되는지 어떻게 왜곡하는지, 특정 지역사회의 높은 옵트아웃 비율이 아무도 추적하지 않는 방식으로 대표성을 침식하고 있는지 논의하라. 포용을 개선하는 것이 데이터 최소화와, 조심할 역사적 이유가 충분한 집단의 신뢰와 충돌할 수 있다는 긴장을 생각하라. 누가 차별적 영향에 대해 프로젝트 산출물을 검토하는지, 접근 결정의 "공익"이 누구를 위한 이익인지 명시적으로 묻는 일이 있는지 생각하라. 강한 답은 구체적인 대표성 격차를 식별하고, 현재 또는 계획된 연구의 형평성 위험을 명명하며, 큰 데이터셋이 공정하다고 가정하는 대신 이익과 포용을 모니터링하겠다고 약속한다.

6. SDE가 데이터가 떠나는 유일한 경로임을 확신하는가 — 아니면 레거시 반출이 그 옆에서 조용히 지속되는가? 안전한 환경은 단일한 문이 될 때만 약속을 전달한다. 살아남은 모든 양자 협약, 이메일 추출물, 복사된 스프레드시트는 구축한 모든 통제를 우회하는 경로이며, 이런 약정은 누가 서명했는지에 대한 기억보다 오래 사는 것으로 악명이 높다. 누군가 기존 데이터 공유 협약의 살아 있는 목록을 갖고 있는지, 데이터 사본이 현재 우리 벽 밖 어디에 있는지, 이를 폐기하는 의도적 업무를 누가 소유하는지 논의하라. 불편한 유인을 파고들라. 반출은 빠르고 익숙하며, 연구자도 내부 팀도 새 경로에 립서비스를 하면서 옛 경로를 선호할 수 있다. 폐기되지 않은 반출 자산 위에 출시된 빛나는 SDE는 해결된 문제가 아니라 거짓 안심임을 생각하라. 정직한 답은 레거시 반출이 몇 개 남았는지 밝히고, 이를 닫을 계획과 소유자를 명명하며, 어느 것이 끄기 가장 어렵고 왜인지 솔직하다.

실제 사례: 보건·돌봄 예시#

Fenwater 통합 돌봄 시스템은 세 급성기 트러스트, 지역사회 및 정신건강 서비스, 약 90개 일반의 진료소를 아우른다. 분석가들은 오랫동안 맞춤 추출물에 의존해 왔다. 양자 협약에 따라 연구 파트너의 서버로 복사된 가명화 파일이며, 정보 거버넌스 팀은 이제 그 사본이 어디에 있는지를 몇 년 동안 조용히 걱정해 왔다. NHS England의 SDE 정책이 현장 접근을 기대로 만들자, Fenwater 이사회는 반출 협약에 계속 서명하는 대신 인증된 지역 SDE로 Fenwater 안전 데이터 환경을 세우기로 결정한다.

프로그램은 기술이 아니라 Five Safes로 시작한다. Fenwater는 연구자 인증과 필수 훈련(안전한 사람)을 정의하고, 일반인 위원과 독립 의장을 둔 데이터 접근 위원회를 세워 모든 프로젝트를 합법성과 공익에 대해 평가하고 기밀 데이터 사례는 section 251 자문에 회부하며(안전한 프로젝트와 환경), 직접 식별자는 가명화하고 우편번호는 첫 부분으로만 거칠게 만든 큐레이션되고 최소화된 데이터 모델을 구축하고(안전한 데이터), 에어락을 운영할 산출물 점검자 두 명을 채용하고 훈련한다(안전한 산출물). 결정적으로, 첫날부터 공개 데이터 사용 등록부를 공표하고 거버넌스를 면밀히 검토할 상설 환자 패널을 소집한다.

첫 실제 시험은 진단 회사가 5년 치 병리 및 영상 데이터로 암의 초기 표지를 연구하겠다는 요청이다. 옛 모델에서는 또 하나의 반출이었을 것이다. 이제 회사의 분석가는 인증받고, 프로젝트는 공익에 대해 평가되어 조건부로 승인되며, SDE 안에서만 일하고 원시 데이터는 나가지 않는다. 통계 산출물은 에어락을 통과하고, 점검자는 희귀 아형의 환자를 특정했을 몇 개의 작은 셀 수를 억제한다. 상업적 협약은 결과 검사가 ICS에 우대 조건으로 제공된다는 약속을 포함해 등록부에 공표된다.

18개월 뒤 Fenwater는 마지막 레거시 반출 협약을 폐기한다. 이후 요청이 Fenwater가 보유한 데이터와 이웃 ICS의 기록을 합친 것을 필요로 하자, 어느 데이터셋도 복사하는 대신 두 인증 SDE가 분석이 두 환경에서 실행되고 집계 결과만 결합되도록 연합 질의를 시범 운영한다. 지역 기자가 누가 환자 데이터를 써 왔는지 물었을 때 ICS는 공개 등록부를 가리킨다. 스프레드시트를 이메일로 보내는 것보다 구축이 느렸지만, 불안하고 보이지 않는 반출 습관을 방어 가능하고 투명한 공공 자산으로 바꿨다.

부문별 관점#

스타트업#

보건 기술 스타트업이 자체 SDE를 구축하는 일은 드물다. 남의 것의 사용자이며, 일하는 방식은 반출이 아니라 환경을 전제해야 한다. 분석 및 모형 훈련 파이프라인을 내려받을 수 없는 데이터에 대해 TRE 안에서 실행되도록 설계하라. 점점 더 규모에서 NHS 데이터에 대한 유일한 합법적 경로이고, 병원이나 ICS는 들여보내기 전에 거버넌스 성숙도를 평가할 것이기 때문이다. 인증, 현장 업무의 더 느린 속도, 가져갈 것으로 기대한 결과를 붙잡아 두는 산출물 점검에 현실적으로 예산을 배정하라. 경쟁 우위는 원시 데이터에 대한 특권적 접근(그 시대는 끝나고 있다)이 아니라 제약 안에서 신뢰할 만하고 공표 가능한 통찰을 생산하는 능력과, 허락받은 접근으로 한 일에 대해 투명한 것이다.

소규모 사업체#

확립된 소규모 제공자나 공급업체 — 일반의 진료소, 지역 약국, 요양원, 단일 사업장 클리닉, 또는 스타트업 단계를 지난 소규모 분석 공급업체 — 는 연구자가 되려는 사람이라기보다 훨씬 더 자주 의무를 지닌 데이터 관리자이며, 자체 SDE를 운영하는 일은 없을 것이다. 실용적 과제는 가명화된 추출물을 파트너의 노트북이나 스프레드시트로 복사하는 옛 습관에 저항하고, 대신 환자 데이터의 모든 2차 사용이 가리키고 책임질 수 있는 인증 환경 안에서 일어나도록 고집하는 것이다. 전담 정보 거버넌스 직원이 없으므로 면밀히 검토할 수 없는 맞춤 약정을 협상하는 대신 공유 및 지역 SDE, 정보보호책임자나 ICB, 템플릿 데이터 공유 조건에 기대라. 국가 데이터 옵트아웃과 비밀 유지 의무는 규모와 무관하게 전면적으로 적용됨을 알라. 따라서 가장 안전한 자세는 신뢰하는 지역 연구자가 정중히 요청해도 데이터 요청을 거버넌스되는 SDE로 향하게 하고 비공식 반출을 거절하는 것이다.

대기업#

대형 NHS 트러스트, ICS, 제약 회사는 규모에서, 많은 동시 프로젝트에 걸쳐 SDE를 운영하므로 과제는 통제를 잃지 않는 처리량이다. 현실적인 목표는 프로젝트마다 맞춤 플랫폼이 아니라 산업화된 프로세스 — 상설 데이터 접근 위원회, 큐레이션되고 최소화된 데이터 모델, 자원이 있는 산출물 점검, 공표된 사용 등록부 — 를 갖춘 인증된 환경이다. SDE를 조달과 파트너십 조건에 내장하여 상업적 접근이 기본으로 그것을 거치고 가치 공유가 사안별 협상이 아니라 계약적이 되게 하라(주제 6.4 — 거버넌스 및 보증 참조). 이 규모에서 가장 큰 위험은 연구자를 우회책으로 밀어내는 느린 거버넌스 파이프라인과, 번쩍이는 새 환경 옆에서 조용히 지속되는 레거시 반출 협약이다. 의도적으로 폐기하라.

정부#

NHS England, 지방분권 보건 당국, UK Statistics Authority 같은 국가 기관은 모두가 일하는 규칙을 정하며, 그 레버는 표준, 인증, 대중 신뢰다. SDE 정책을 정의하고, 지역 환경을 인증하며, 국가 SDE를 운영하고, Goldacre Review의 "Better, broader, safer" 권고에 따라 통제되지 않는 수백 개의 데이터 흐름이 아니라 더 적은 수의 잘 거버넌스되고 상호운용 가능한 환경을 향해 밀고 나간다. 가장 어렵고 중요한 의무는 사회적 허가를 국가적으로 청지기로서 관리하는 것이다. 국가 데이터 옵트아웃을 존중하고, 상업적 접근에 대한 투명성을 고집하며, 공적 자산의 사용에 대해 대중이 공정한 가치가 돌아오는 것을 보게 하는 것이다(주제 9.2 — 글로벌 및 국제 디지털 보건 참조). 정부는 형평성 의무도 쥔다. 이 데이터를 사용하는 연구가 가장 잘 대표되는 집단만이 아니라 전체 인구에게 이익이 되게 하는 것이다.

흔한 실패 양상#

• 실제로는 멈추지 않은 반출. 빛나는 새 SDE가 출시되는 동안 옛 데이터 공유 협약이 뒷문으로 계속 데이터를 복사해 낸다. 레거시 반출을 목록화하고 의도적으로 폐기하라. 환경은 유일한 경로가 될 때만 도움이 된다.
• 위안의 단어로서의 "익명화". 풍부한 임상 데이터를 익명이라 부른다고 그렇게 되지 않는다. 재식별 위험은 실재하고 커지는 경우가 많다. 실제 잔여 위험을 평가하고 문서화하며, 라벨이 아니라 환경의 통제에 의존하라.
• 거버넌스 없는 기술. 프로젝트 심사가 약하거나 산출물 점검이 없는 안전한 플랫폼은 일어날 침해다. 환경만이 아니라 Five Safes 전부가 운영되어야 한다.
• 새는 에어락. 자원이 부족한 산출물 점검은 적체를 낳고, 적체는 에어락을 우회하라는 압력을 낳는다. 달성 가능한 처리 시간이 있는 숙련되고 존중받는 업무로 인력을 배치하라.
• 우회될 만큼 느린 거버넌스. 불투명하고 몇 달 걸리는 승인 프로세스가 좋은 연구자를 비공식 우회책으로 밀어내는데, 양쪽의 가장 나쁜 점이다. 승인을 독립적이면서 쓸 수 있을 만큼 빠르게 만들라.
• 조용한 상업적 거래. 공표되지 않은 조건으로 마련된 업계 접근은 합법적이라 해도 대중 신뢰를 잃는 가장 빠른 길이다. 상업적 사용자에게도 같은 통제를 적용하고 약정을 공표하라.
• 출시일의 연극으로서의 투명성. 일회성 대중 캠페인은 사회적 허가가 아니다. 유지되는 데이터 사용 등록부와 진정한 대중 참여가 그렇다. care.data는 신뢰가 출시 사건이 아니라 운영 조건이라는 상시 알림이다.

성숙도 모델#

체크리스트#

• SDE를 통한 현장 접근이 기본이며, 레거시 데이터 반출은 목록화되어 폐기되고 있다.
• Five Safes 전부가 안전한 플랫폼만이 아니라 증거 있는 프로세스로 운영화되어 있다.
• 데이터가 각 프로젝트가 감당할 수 있는 가장 낮은 식별 가능성까지 최소화되고 비식별화되며, 가명화가 기본이다.
• 재식별 위험이 "익명화" 라벨에서 가정되지 않고 지정된 책임 소유자에 의해 평가되고 문서화된다.
• 모든 산출물이 공개 전에 훈련받은 점검자가 통계적 공개 통제를 적용하는 에어락을 거친다.
• 독립 데이터 접근 위원회가 공표된 기준에 따라 프로젝트를 승인하며, 기밀 데이터에 대해서는 CAG / section 251 경로가 있다.
• 거버넌스 일정이 측정되고 공표되며, 연구자가 우회하지 않고 프로세스를 쓸 만큼 빠르다.
• 공개 데이터 사용 등록부가 누가 어떤 데이터에 어떤 목적으로 어떤 결과와 함께 접근했는지 보여 준다.
• 국가 데이터 옵트아웃이 존중되며 그 존재가 환자에게 분명히 알려진다.
• 상업적 접근도 같은 SDE 통제를 거치고, 공표되며, 대중에게 공정한 가치를 돌려준다.
• 환경이 상호운용할 수 있고 시간이 지나 SDE 전반의 연합 분석을 지원하도록 공통 표준을 채택한다.

주요 출처#

• NHS England — Secure Data Environment (SDE) policy guidelines와 국가 및 지역 SDE 네트워크.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — 안전한 데이터 접근을 위한 Five Safes 프레임워크.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — 신뢰 연구 환경의 원칙과 표준.
• Health Research Authority — 동의 없는 기밀 환자 정보 사용을 위한 Confidentiality Advisory Group (CAG)과 section 251 지원.
• UK Statistics Authority — 연구와 통계를 위한 데이터의 인증과 안전한 사용.
• Information Commissioner's Office — UK GDPR에 따른 익명화, 가명화, 데이터 최소화 지침.

참고문헌#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/