Onderwerp 4.10 — Beveiligde dataomgevingen en toegang tot onderzoeksdata

In gezondheid en zorg hangt het veilig hergebruiken van patiëntdata voor onderzoek en planning af van één moeizaam verworven beginsel — breng de analist naar de data, nooit de data naar de analist — afgedwongen door beveiligde omgevingen, gelaagd bestuur en zichtbare publieke verantwoording.

Waarom dit ertoe doet in gezondheid en zorg#

Gezondheids- en zorgstelsels bezitten enkele van de rijkste longitudinale gegevens over menselijke levens die ooit zijn verzameld: geboorten, diagnoses, recepten, operaties, overlijdens en de sociale omstandigheden eromheen. Goed hergebruikt vinden die data veiligere geneesmiddelen, signaleren zij falende diensten, richten zij schaarse middelen en voeden zij de ontdekking van behandelingen die levens redden. Slecht hergebruikt schenden zij het vertrouwen van miljoenen mensen die nooit hebben gekozen datasubject te zijn, ondermijnen zij het vertrouwen waarop het hele stelsel draait en — omdat verloren vertrouwen traag terugkomt — werpen zij juist het onderzoek terug dat zij mogelijk moesten maken.

De spanning is structureel, niet toevallig. Het publiek steunt consequent het gebruik van hun data voor onderzoek in het algemeen belang, en maakt even consequent bezwaar tegen data die de veilige bewaring verlaten, zonder verantwoording worden verkocht of op voorwaarden die zij niet kunnen zien in commerciële handen belanden. Een digitale leider zit precies op die breuklijn. U wordt gevraagd waarde uit data vrij te maken (een plicht jegens patiënten die nog niet geboren zijn en jegens de publieke kas) en tegelijk een even ernstige plicht van vertrouwelijkheid te dragen jegens de mensen die de data beschrijven.

Beveiligde dataomgevingen (Secure Data Environments, SDE’s), ook wel Trusted Research Environments genoemd, zijn het operationele antwoord waartoe het VK is gekomen. Zij verleggen de standaard van het kopiëren van data naar onderzoekers toe naar onderzoekers die binnenkomen om te werken aan data die nooit verhuist. Dit is geen technische beleefdheid; het is het mechanisme waarmee het stelsel een publieke belofte nakomt. Het goed doen is een verantwoordelijkheid die grenst aan klinische veiligheid, billijkheid en publiek vertrouwen (zie Onderwerp 1.8 — Data-ethiek, toestemming en publiek vertrouwen), en het is steeds meer een wettelijke verwachting en geen kwestie van lokale discretie.

Kernbegrippen#

Een Secure Data Environment (SDE) — de term die nu in het NHS-beleid de voorkeur heeft — is een platform voor opslag en analyse van data waarop goedgekeurde onderzoekers voor goedgekeurde doelen toegang krijgen tot goedgekeurde data, zonder dat de data worden geëxtraheerd of eruit gekopieerd. De oudere en internationaal gangbare naam is Trusted Research Environment (TRE); de twee beschrijven hetzelfde model. Het leidende idee is breng de analist naar de data, niet de data naar de analist: rekenen gebeurt binnen de muren, en alleen gecontroleerde, geaggregeerde resultaten komen naar buiten.

Het kader dat dit structureert is de Five safes, ontwikkeld bij het Britse Office for National Statistics. Het ontleedt veilige toegang tot data in vijf dimensies: veilige mensen (zijn de onderzoekers getraind, geaccrediteerd en aanspreekbaar?), veilige projecten (is dit gebruik rechtmatig, ethisch en in het algemeen belang?), veilige omgevingen (voorkomt de omgeving lekkage?), veilige data (zijn de data geminimaliseerd en gede-identificeerd voor zover het project toelaat?) en veilige uitkomsten (worden de resultaten vóór vrijgave gecontroleerd zodat geen individu kan worden geïdentificeerd?). Geen enkele maatregel volstaat; veiligheid is het product van alle vijf.

Twee disciplines beschermen de data zelf. Dataminimalisatie betekent alleen de velden en dossiers leveren die een project werkelijk nodig heeft, nooit het hele dossier “voor de zekerheid”. De-identificatie is de overkoepelende term voor het verminderen van de identificeerbaarheid van data. Daarbinnen vervangt pseudonimisering directe identificatoren (naam, NHS-nummer) door een met een sleutel gekoppeld token, zodat heridentificatie alleen mogelijk is met de afzonderlijke sleutel — de data blijven wettelijk persoonsgegevens. Anonimisering beoogt data helemaal niet meer persoonlijk te maken, wat veel moeilijker is dan het klinkt, omdat heridentificatie — ogenschijnlijk anonieme data vergelijken met andere datasets om te onthullen wie iemand is — gemakkelijker wordt naarmate er meer data in de wereld bestaan. Echte anonimisering van rijke klinische data is vaak onmogelijk; juist daarom bestaat het SDE-model.

Voordat resultaten de omgeving verlaten, doorlopen zij uitvoercontrole (output checking), de menselijke en procedurele poort die statistische bescherming tegen onthulling toepast — technieken die voorkomen dat kleine celaantallen, unieke uitschieters of differencing-aanvallen individuen blootleggen. Die poort heet vaak een sluis (airlock): resultaten gaan naar een wachtruimte, een getrainde controleur beoordeelt ze en alleen vrijgegeven uitkomsten gaan door naar de onderzoeker. Opkomende privacytechnieken als differentiële privacy, die gekalibreerde statistische ruis toevoegt om te begrenzen wat één enkel dossier tot een resultaat bijdraagt, vullen deze menselijke controle aan zonder haar te vervangen.

Twee verdere begrippen vormen de toekomst. Federated learning en gefedereerde analyse laten een query of model draaien over meerdere SDE’s, elk met eigen data, zodat inzichten worden gecombineerd zonder dat ruwe data worden samengevoegd — de natuurlijke volgende stap voor een gedistribueerd nationaal netwerk. En maatschappelijk draagvlak (social licence) — de informele, voortdurende publieke toestemming waaronder een dataprogramma werkt — is het immateriële activum dat al de bovenstaande machinerie moet beschermen. Het waarschuwende verhaal is care.data, het programma van NHS England uit 2013–2016 om data van huisartsen te extraheren, dat werd stopgezet nadat het zichzelf niet aan het publiek wist uit te leggen en hun vertrouwen verloor.

Beste praktijken#

1. Maak de omgeving, niet de export, tot de standaard. De belangrijkste ontwerpbeslissing is dat data niet vertrekken. Voorzie onderzoekers van rekenkracht, instrumenten en gecureerde datasets binnen de SDE en verwijder de routes waarlangs data vroeger naar buiten sijpelden — bulkdownloads, gemailde extracten, gekopieerde spreadsheets. Elke oude overeenkomst voor het delen van data die eindigt in een kopie die het gebouw verlaat is een aansprakelijkheid die u actief moet uitfaseren ten gunste van toegang ter plaatse.

2. Operationaliseer alle Five Safes, niet alleen de technologie. Het is verleidelijk een beveiligd platform aan te schaffen en het probleem opgelost te verklaren, maar een versterkte omgeving met zwakke projectbeoordeling of zonder uitvoercontrole is een inbreuk die wacht om te gebeuren. Bouw voor elke safe expliciete, onderbouwde processen: accreditatie en training van onderzoekers, een onafhankelijk oordeel of een project rechtmatig en in het algemeen belang is, geminimaliseerde en gede-identificeerde dataverstrekking en gedisciplineerde uitvoercontrole. Behandel de vijf als een systeem waarin de zwakste schakel uw werkelijke veiligheidsniveau bepaalt.

3. Minimaliseer en de-identificeer tot de laagste identificeerbaarheid die het project kan verdragen. Overhandig niet het hele dossier wanneer een cohort en een dozijn velden de vraag zouden beantwoorden. Pseudonimiseer directe identificatoren standaard, verwijder of verruw quasi-identificatoren als volledige postcode en exacte geboortedatum en bewaar toegang tot meer identificeerbare data voor de zeldzame projecten die dat werkelijk vereisen, onder strengere goedkeuring. Bedenk dat gepseudonimiseerde data wettelijk nog steeds persoonsgegevens zijn (zie Onderwerp 1.7 — Informatiebeheer, gegevensbescherming en cyberbeveiliging), dus de beheersmaatregelen van de SDE, niet een claim van anonimiteit, houden u rechtmatig.

4. Plaats een echte sluis en getrainde uitvoercontroleurs tussen resultaten en vrijgave. Het moment van het hoogste risico is wanneer iets de omgeving verlaat. Leid elke uitvoer door een wachtruimte waar een getrainde controleur statistische bescherming tegen onthulling toepast — kleine cellen onderdrukken, afronden en letten op differencing over de opeenvolgende verzoeken van een onderzoeker — voordat iets de buitenwereld bereikt. Bemens dit behoorlijk: uitvoercontrole is vaardig werk, en een achterstand die mensen verleidt het “gewoon te mailen” doorbreekt het hele model.

5. Maak goedkeuring door informatiebeheer streng, onafhankelijk en snel genoeg om te gebruiken. Toegang moet draaien om een onafhankelijk oordeel dat het project rechtmatig en in het algemeen belang is, doorgaans via een commissie voor datatoegang en, waar vertrouwelijke patiëntinformatie zonder toestemming wordt gebruikt, de Confidentiality Advisory Group (CAG) die adviseert over steun onder section 251 van de betreffende regelgeving. Strengheid en snelheid zijn geen tegenpolen: een transparante, goed bemande commissie met duidelijke criteria keurt goede projecten sneller goed en wijst slechte verdedigbaarder af dan een ondoorzichtige, trage. Een proces dat zo traag is dat onderzoekers er omheen gaan is een falen van bestuur, geen succes ervan.

6. Verdien maatschappelijk draagvlak en behoud het door radicale transparantie. De les van care.data is dat rechtmatig niet hetzelfde is als vertrouwd. Publiceer een register van datagebruik dat toont wie welke data voor welk doel en met welk resultaat benaderde; voer echte betrokkenheid van publiek en patiënten in het bestuur van de SDE; en bied een duidelijke, gerespecteerde nationale opt-out voor data. Transparantie is geen communicatie-achteraf die bij de lancering wordt opgeplakt — het is de bedrijfsvoorwaarde die de hele onderneming laat voortbestaan (zie Onderwerp 1.8 — Data-ethiek, toestemming en publiek vertrouwen).

7. Ontwerp voor federatie over het SDE-netwerk, niet één ommuurde tuin. Het Engelse model is een nationale SDE naast geaccrediteerde subnationale SDE’s, en onderzoek moet steeds vaker data combineren die legitiem niet kunnen worden samengevoegd. Neem gemeenschappelijke normen, gecureerde datamodellen en interoperabele instrumenten over zodat een project te zijner tijd gefedereerde queries kan draaien of modellen kan trainen over omgevingen terwijl de ruwe data in elk ervan blijven (zie Onderwerp 4.3 — Interoperabiliteit en datastandaarden). Een eigen, geïsoleerde omgeving bouwen die niet kan samenwerken is een strategische doodlopende weg, hoe goed zij lokaal ook oogt.

8. Bestuur commerciële toegang expliciet, met waarde die terugvloeit. Toegang van de industrie tot NHS-data is legitiem en vaak essentieel voor het ontwikkelen van behandelingen en technologieën, maar het is waar publieke argwaan zich concentreert. Stel duidelijke regels: dezelfde SDE-beheersmaatregelen gelden voor commerciële gebruikers als voor academici, overeenkomsten zijn transparant en gepubliceerd en het publiek krijgt eerlijke waarde terug — in prijs, toegang tot de resulterende innovatie of herinvestering in de data-infrastructuur. Laat “commercieel partnerschap” nooit een eufemisme worden voor data die op stille voorwaarden de veilige bewaring verlaten (zie Onderwerp 6.3 — Inkoop en commercie).

Vragen om met uw team te bespreken#

1. Wanneer wij zeggen dat onze data “gede-identificeerd” zijn, welk risico op heridentificatie aanvaarden wij dan werkelijk — en wie heeft dat oordeel goedgekeurd? Dit doet ertoe omdat “geanonimiseerd” losjes wordt gebruikt voor alles van werkelijk niet-persoonlijke data tot licht gepseudonimiseerde dossiers die een vastberaden analist kan heridentificeren door ze aan andere bronnen te koppelen. Debatteer de specifieke punten: welke quasi-identificatoren blijven (granulariteit van postcode, data, zeldzame diagnoses), tegen welke externe datasets een aanvaller realistisch zou kunnen koppelen en of uw beheersmaatregelen de SDE zelf zijn of een optimistisch etiket. Overweeg dat rijke longitudinale klinische data vaak niet werkelijk te anonimiseren zijn, wat betekent dat de beheersmaatregelen van de omgeving — niet de datatransformatie — u rechtmatig en veilig maken. Breng aan het licht wie deze risicobeoordeling bezit: een benoemde verantwoordelijke persoon die een gedocumenteerde methodologie toepast, of een ononderzochte aanname geërfd van een oude overeenkomst voor het delen van data. Een goed, eerlijk antwoord noemt het resterende risico op heridentificatie in gewone taal, koppelt het aan specifieke beheersmaatregelen en noemt de persoon die voor het oordeel verantwoordelijk is in plaats van zich te verschuilen achter het woord “anoniem”.

2. Hoe zouden wij een specifieke toegang tot data op de voorpagina van een krant aan een sceptische patiënt uitleggen — en zou de uitleg standhouden? De ineenstorting van care.data was niet in de eerste plaats een technisch falen; het was een falen om uit te leggen en vertrouwen af te dwingen. Neem een echte of realistische toegang — een farmaceutisch bedrijf dat een onderzoek in uw SDE uitvoert — en speel het publieke gesprek na: welke data, waarom, wie profiteert, wat het bedrijf krijgt, wat het publiek terugkrijgt en hoe iemand zich kan afmelden. Debatteer waar uw huidige transparantie dun is: is er een openbaar register van datagebruik, is commerciële toegang zichtbaar, weten patiënten dat de opt-out bestaat en dat die werd gehonoreerd? Overweeg het verschil tussen verdedigbaar omdat rechtmatig en verdedigbaar omdat vertrouwd, en wees eerlijk dat het tweede moeilijker en kwetsbaarder is. Een sterk antwoord levert een helder, jargonvrij verhaal op dat een patiënt redelijk zou vinden en identificeert de specifieke transparantiegaten die u zou moeten dichten voordat u het met een stalen gezicht zou kunnen vertellen.

3. Is ons bestuur snel en onafhankelijk genoeg dat goede onderzoekers het gebruiken in plaats van er omheen te gaan? Er is een echte spanning tussen strengheid en toegang: bestuur te los en u verraadt publiek vertrouwen; bestuur te traag en onderzoekers geven het op (publieke waarde verloren) of vinden informele omwegen (controle geheel verloren). Bespreek uw werkelijke doorlooptijden van aanvraag tot toegang tot data, waar de knelpunten zitten (informatiebeheer, CAG, data-engineering, uitvoercontrole) en of uw commissie voor datatoegang duidelijke gepubliceerde criteria heeft of geval voor geval beslist op manieren die aanvragers niet kunnen voorspellen. Peil eerlijk de onafhankelijkheid: zegt iemand met het gezag om nee te zeggen dat ook werkelijk, of maakt commerciële of institutionele druk goedkeuring een formaliteit? Overweeg de faalwijze waarin een traag proces werk naar onbestuurde hoeken duwt, wat erger is dan een snel transparant proces. Een goed antwoord noemt echte doorlooptijden, onderscheidt strengheid van louter vertraging en verbindt zich aan specifieke verbeteringen die toegang versnellen zonder het onafhankelijke oordeel in het hart te verzwakken.

4. Wanneer een commerciële partner in onze SDE werkt, welke eerlijke waarde vloeit terug naar het publiek — en kunnen wij dat aantonen? Toegang voor de industrie is legitiem en vaak de enige route om data om te zetten in behandelingen, maar het is precies waar publieke argwaan zich concentreert, omdat de vrees is dat een publiek bezit op stille voorwaarden in private handen wordt gegeven. Debatteer wat “eerlijke waarde” concreet betekent voor uw organisatie: een voorkeursprijs op het resulterende product, gegarandeerde toegang tot de innovatie voor uw populatie, herinvestering in de data-infrastructuur of gewoon geld — en wie bepaalt welke. Peil of dezelfde SDE-beheersmaatregelen werkelijk voor commerciële gebruikers gelden als voor academici, of dat een goed bemiddeld bedrijf stilletjes een gladder pad krijgt. Vraag of de overeenkomst en haar voorwaarden voor het delen van waarde zijn gepubliceerd, of geval voor geval achter gesloten deuren worden onderhandeld waar niemand ze kan controleren. Een eerlijk antwoord noemt de waarde die uw laatste commerciële regeling opleverde, zegt waar die waarde heen ging en geeft toe waar “commercieel partnerschap” risico loopt een eufemisme te worden voor bevoorrechte toegang zonder verantwoording.

5. Vertegenwoordigen de data in onze omgeving — en het onderzoek dat zij mogelijk maken — de hele bevolking, of alleen de delen ervan die het gemakkelijkst te vangen zijn? Billijkheid is een plicht, geen bijzaak: als de data bepaalde groepen ondervertegenwoordigen (mensen die diensten minder gebruiken, minder volledig worden vastgelegd of vaker een opt-out kiezen), dan werkt onderzoek erop gebouwd minder goed voor juist die groepen en vergroot het gezondheidsongelijkheid stilletjes onder een vernis van bewijs. Bespreek welke populaties dun of afwezig zijn in uw data, hoe praktijken van coderen en vastleggen vertekenen wat wordt vastgelegd en of hoge opt-outpercentages in bepaalde gemeenschappen de representativiteit uithollen op manieren die niemand bijhoudt. Overweeg de spanning dat betere inclusie kan botsen met dataminimalisatie en met het vertrouwen van groepen die goede historische redenen voor behoedzaamheid hebben. Denk na over wie projectuitkomsten toetst op verschillend effect en of “publiek voordeel” in uw toegangsbesluiten ooit expliciet vraagt voordeel voor wie. Een sterk antwoord identificeert concrete hiaten in representatie, noemt het billijkheidsrisico in huidig of gepland onderzoek en verbindt zich aan het monitoren van voordeel en inclusie in plaats van aan te nemen dat een grote dataset een eerlijke is.

6. Weten wij zeker dat de SDE de enige route is waarlangs data vertrekken — of bestaan oude exports stilletjes naast haar voort? Een beveiligde omgeving levert alleen op wat zij belooft als zij de enige deur wordt; elke overlevende bilaterale overeenkomst, gemailde extract of gekopieerde spreadsheet is een route die elke beheersmaatregel die u bouwde omzeilt, en deze regelingen zijn berucht om hun vermogen de herinnering aan wie ze tekende te overleven. Bespreek of iemand een actuele inventaris heeft van bestaande overeenkomsten voor het delen van data, waar kopieën van data zich nu buiten uw muren bevinden en wie het bewuste werk bezit om ze uit te faseren. Peil de ongemakkelijke prikkels: exports zijn snel en vertrouwd, en zowel onderzoekers als interne teams kunnen het oude pad verkiezen terwijl zij lippendienst bewijzen aan het nieuwe. Overweeg dat een glanzende SDE gelanceerd bovenop een niet-uitgefaseerd exportlandschap schijnveiligheid is, geen opgelost probleem. Een eerlijk antwoord zegt hoeveel oude exports er nog bestaan, noemt het plan en de eigenaar om ze te sluiten en is openhartig over welke het moeilijkst uit te zetten blijken en waarom.

In de praktijk: een voorbeeld uit gezondheid en zorg#

Het Fenwater Integrated Care System omspant drie algemene ziekenhuizen, gemeenschaps- en ggz-diensten en ongeveer negentig huisartsenpraktijken. Zijn analisten vertrouwen al lang op maatwerkextracten van data — gepseudonimiseerde bestanden gekopieerd naar de servers van een onderzoekspartner onder bilaterale overeenkomsten — en het team voor informatiebeheer maakt zich al jaren stilletjes zorgen over waar die kopieën nu staan. Wanneer het SDE-beleid van NHS England toegang ter plaatse tot de verwachting maakt, besluit het bestuur van Fenwater de Fenwater Secure Data Environment op te zetten als geaccrediteerde subnationale SDE in plaats van exportovereenkomsten te blijven tekenen.

Het programma begint niet met technologie maar met de Five Safes. Fenwater definieert accreditatie en verplichte training van onderzoekers (veilige mensen); stelt een commissie voor datatoegang in, met leden uit het publiek en een onafhankelijke voorzitter, die elk project beoordeelt op rechtmatigheid en publiek voordeel en gevallen met vertrouwelijke data verwijst voor advies onder section 251 (veilige projecten en omgevingen); bouwt een gecureerd, geminimaliseerd datamodel waarin directe identificatoren worden gepseudonimiseerd en postcodes worden verruwd tot alleen het eerste deel (veilige data); en werft en traint twee uitvoercontroleurs om de sluis te runnen (veilige uitkomsten). Cruciaal is dat het vanaf dag één een openbaar register van datagebruik publiceert en een vast patiëntenpanel bijeenroept om het bestuur te toetsen.

De eerste echte test is een verzoek van een diagnostiekbedrijf om vroege markers van een kanker te bestuderen over vijf jaar pathologie- en beeldvormingsdata. Onder het oude model was dit weer een export geweest. Nu zijn de analisten van het bedrijf geaccrediteerd, wordt hun project beoordeeld op publiek voordeel en onder voorwaarden goedgekeurd en werken zij geheel binnen de SDE — geen ruwe data verlaten haar. Hun statistische uitkomsten gaan door de sluis, waar een controleur enkele kleine celaantallen onderdrukt die patiënten met een zeldzaam subtype hadden uitgelicht. De commerciële overeenkomst wordt in het register gepubliceerd, inclusief de toezegging dat elke resulterende test het ICS tegen voorkeursvoorwaarden wordt aangeboden.

Achttien maanden later faseert Fenwater de laatste van zijn oude exportovereenkomsten uit. Een volgend verzoek heeft data nodig die Fenwater bezit gecombineerd met dossiers van een naburig ICS; in plaats van een van beide datasets te kopiëren, voeren de twee geaccrediteerde SDE’s als pilot een gefedereerde query uit zodat de analyse in beide omgevingen draait en alleen geaggregeerde resultaten worden gecombineerd. Wanneer een lokale journalist vraagt wie het gebruik van patiëntdata heeft gedaan, wijst het ICS naar zijn openbare register. Het werk kostte meer tijd om te bouwen dan een spreadsheet mailen — maar het zette een angstige, onzichtbare exportgewoonte om in een verdedigbaar, transparant publiek activum.

Sectorperspectieven#

Startup#

Een health-techstartup bouwt zelden een eigen SDE; zij is gebruiker van die van een ander, en haar werkwijzen moeten uitgaan van de omgeving, niet van de export. Ontwerp uw analyse- en modeltrainingsketens om binnen een TRE te draaien tegen data die u niet kunt downloaden, want dat is steeds meer de enige rechtmatige route naar NHS-data op schaal — en een ziekenhuis of ICS zal uw volwassenheid van bestuur beoordelen voordat het u binnenlaat. Begroot realistisch voor accreditatie, voor het langzamere ritme van werk ter plaatse en voor uitvoercontrole die resultaten tegenhoudt die u dacht mee te nemen. Uw concurrentievoordeel is niet bevoorrechte toegang tot ruwe data (die tijd loopt ten einde) maar het vermogen geloofwaardig, publiceerbaar inzicht te genereren binnen de beperkingen en transparant te zijn over wat u deed met de toegang die u kreeg.

Klein bedrijf#

Een gevestigde kleine aanbieder of leverancier — een huisartsenpraktijk, een gemeenschapsapotheek, een verzorgingshuis, een kliniek met één vestiging of een kleine analyseleverancier voorbij de startupfase — is veel vaker een verwerkingsverantwoordelijke met plichten dan een beoogd onderzoeker, en zal nooit een eigen SDE runnen. Zijn praktische taak is de oude gewoonte te weerstaan gepseudonimiseerde extracten naar de laptop van een partner of een spreadsheet te kopiëren, en erop aan te dringen dat elk secundair gebruik van de data van zijn patiënten plaatsvindt binnen een geaccrediteerde omgeving waarnaar het kan wijzen en waarover het verantwoording kan afleggen. Leun zonder toegewijd personeel voor informatiebeheer op gedeelde en regionale SDE’s, uw Functionaris Gegevensbescherming of ICB en sjablonen voor voorwaarden voor datadeling in plaats van maatwerkregelingen te onderhandelen die u niet behoorlijk kunt toetsen. Weet dat de nationale opt-out voor data en de plicht tot vertrouwelijkheid volledig voor u gelden, ongeacht grootte, dus de veiligste houding is verzoeken om uw data naar een bestuurde SDE te leiden en informele exports te weigeren, ook wanneer een vertrouwde lokale onderzoeker er vriendelijk om vraagt.

Grote onderneming#

Een groot NHS-ziekenhuis, ICS of farmaceutisch bedrijf runt SDE’s op schaal en over veel gelijktijdige projecten, dus zijn uitdaging is doorvoer zonder verlies van controle. Het realistische doel is een geaccrediteerde omgeving met geïndustrialiseerde processen — vaste commissies voor datatoegang, een gecureerd en geminimaliseerd datamodel, bemande uitvoercontrole en een gepubliceerd register van gebruik — geen maatwerkplatform per project. Bed de SDE in inkoop- en partnerschapsvoorwaarden in zodat commerciële toegang standaard erdoorheen loopt en het delen van waarde contractueel is in plaats van ad hoc onderhandeld (zie Onderwerp 6.4 — Bestuur en borging). Op deze schaal zijn de grootste risico’s een traag bestuurlijk traject dat onderzoekers naar omwegen duwt en oude exportovereenkomsten die stilletjes naast de glanzende nieuwe omgeving voortbestaan; faseer ze bewust uit.

Overheid#

Een nationaal orgaan — NHS England, de gedecentraliseerde gezondheidsbesturen, de UK Statistics Authority — stelt de regels vast waarbinnen iedereen werkt, en zijn hefboom zijn normen, accreditatie en publiek vertrouwen. Het definieert het SDE-beleid, accrediteert subnationale omgevingen, runt een nationale SDE en duwt — in navolging van de aanbevelingen “Better, broader, safer” van de Goldacre Review — richting een kleiner aantal goed bestuurde, interoperabele omgevingen in plaats van honderden ongecontroleerde datastromen. Zijn moeilijkste en belangrijkste plicht is het nationale rentmeesterschap van maatschappelijk draagvlak: de nationale opt-out voor data honoreren, aandringen op transparantie over commerciële toegang en zorgen dat het publiek eerlijke waarde ziet terugkomen voor het gebruik van een publiek activum (zie Onderwerp 9.2 — Mondiale en internationale digitale gezondheid). De overheid draagt ook de plicht tot billijkheid — dat onderzoek met deze data de hele bevolking ten goede komt, niet alleen de groepen die er het best in vertegenwoordigd zijn.

Veelvoorkomende faalpatronen#

• De export die nooit echt stopte. Een glanzende nieuwe SDE gaat live terwijl oude overeenkomsten voor het delen van data stilletjes via de achterdeur data blijven kopiëren. Inventariseer en faseer oude exports bewust uit; de omgeving helpt alleen als zij de enige route wordt.
• “Geanonimiseerd” als troostwoord. Rijke klinische data anoniem noemen maakt ze niet zo; het risico op heridentificatie is vaak echt en stijgend. Beoordeel en documenteer het werkelijke resterende risico en leun op de beheersmaatregelen van de omgeving, niet op het etiket.
• Technologie zonder bestuur. Een beveiligd platform met zwakke projectbeoordeling of zonder uitvoercontrole is een inbreuk die wacht om te gebeuren. Alle Five Safes moeten operationeel zijn, niet alleen de omgeving.
• De sluis die lekt. Onderbemande uitvoercontrole creëert achterstanden, en achterstanden creëren druk om de sluis te omzeilen. Bemens haar als vaardig, gewaardeerd werk met haalbare doorlooptijd.
• Bestuur zo traag dat men er omheen gaat. Een ondoorzichtig goedkeuringsproces van maanden duwt goede onderzoekers naar informele omwegen — het slechtste van twee werelden. Maak goedkeuring onafhankelijk en bruikbaar snel.
• Stille commerciële deals. Toegang voor de industrie geregeld op ongepubliceerde voorwaarden is de snelste manier om publiek vertrouwen te verliezen, hoe rechtmatig ook. Pas dezelfde beheersmaatregelen toe op commerciële gebruikers en publiceer de regelingen.
• Transparantie als toneel op lanceerdag. Een eenmalige publiekscampagne is geen maatschappelijk draagvlak; een onderhouden register van datagebruik en echte publieksbetrokkenheid zijn dat wel. Care.data is de blijvende herinnering dat vertrouwen een bedrijfsvoorwaarde is, geen lanceringsgebeurtenis.

Volwassenheidsmodel#

Checklist#

• Toegang ter plaatse via de SDE is de standaard; oude data-exports zijn geïnventariseerd en worden uitgefaseerd.
• Alle Five Safes zijn geoperationaliseerd met onderbouwde processen, niet alleen een beveiligd platform.
• Data worden geminimaliseerd en gede-identificeerd tot de laagste identificeerbaarheid die elk project kan verdragen, met pseudonimisering als standaard.
• Het risico op heridentificatie wordt beoordeeld en gedocumenteerd door een benoemde verantwoordelijke eigenaar, niet aangenomen op grond van een etiket “geanonimiseerd”.
• Elke uitvoer gaat door een sluis waar getrainde controleurs vóór vrijgave statistische bescherming tegen onthulling toepassen.
• Een onafhankelijke commissie voor datatoegang keurt projecten goed tegen gepubliceerde criteria, met een CAG-/section 251-route voor vertrouwelijke data.
• Doorlooptijden van bestuur worden gemeten, gepubliceerd en zijn snel genoeg dat onderzoekers het proces gebruiken in plaats van er omheen te gaan.
• Een openbaar register van datagebruik toont wie welke data voor welk doel en met welk resultaat benaderde.
• De nationale opt-out voor data wordt gehonoreerd en het bestaan ervan wordt duidelijk aan patiënten gecommuniceerd.
• Commerciële toegang loopt via dezelfde SDE-beheersmaatregelen, wordt gepubliceerd en levert het publiek eerlijke waarde op.
• De omgeving neemt gemeenschappelijke normen over zodat zij kan samenwerken en te zijner tijd gefedereerde analyse over SDE’s kan ondersteunen.

Belangrijkste bronnen#

• NHS England — Secure Data Environment (SDE) policy guidelines en het nationale en subnationale SDE-netwerk.
• Ben Goldacre e.a. — Better, broader, safer: using health data for research and analysis (de Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — het kader van de Five Safes voor veilige toegang tot data.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — beginselen en normen voor Trusted Research Environments.
• Health Research Authority — Confidentiality Advisory Group (CAG) en steun onder section 251 voor het gebruik van vertrouwelijke patiëntinformatie zonder toestemming.
• UK Statistics Authority — accreditatie en het veilig gebruik van data voor onderzoek en statistiek.
• Information Commissioner’s Office — richtlijnen over anonimisering, pseudonimisering en dataminimalisatie onder de UK GDPR.

Referenties#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/