Tópico 4.10 — Ambientes seguros de dados e acesso a dados para pesquisa

Na saúde e nos cuidados, a reutilização segura de dados de pacientes para pesquisa e planejamento depende de um único princípio duramente conquistado — levar o analista aos dados, nunca os dados ao analista —, imposto por ambientes seguros, governança em camadas e responsabilização pública visível.

Por que isso importa na saúde e nos cuidados#

Os sistemas de saúde e cuidados guardam alguns dos dados longitudinais mais ricos já reunidos sobre vidas humanas: nascimentos, diagnósticos, prescrições, operações, mortes e as circunstâncias sociais ao redor. Bem reutilizados, esses dados encontram medicamentos mais seguros, identificam serviços em dificuldade, direcionam recursos escassos e impulsionam a descoberta de tratamentos que salvam vidas. Mal reutilizados, violam a confiança de milhões de pessoas que nunca escolheram ser titulares de dados, corroem a confiança em que todo o sistema funciona e — como a confiança, uma vez perdida, é lenta de reconstruir — atrasam a própria pesquisa que pretendiam viabilizar.

A tensão é estrutural, e não incidental. O público apoia de forma consistente o uso de seus dados para pesquisa de interesse público e, com a mesma consistência, objeta a que os dados saiam da custódia segura, sejam vendidos sem responsabilização ou fluam para mãos comerciais em termos que ele não pode ver. Um líder digital se situa exatamente nessa falha geológica. Pede-se que você libere valor dos dados (um dever para com pacientes ainda não nascidos e para com o erário) enquanto mantém um dever igualmente sério de confidencialidade para com as pessoas que os dados descrevem.

Os Ambientes Seguros de Dados (SDEs), também chamados de Ambientes de Pesquisa Confiáveis, são a resposta operacional a que o Reino Unido convergiu. Mudam o padrão de copiar os dados para fora, para os pesquisadores, para pesquisadores que entram para trabalhar sobre dados que nunca se movem. Isso não é um refinamento técnico; é o mecanismo pelo qual o sistema cumpre uma promessa pública. Acertar nisso é uma responsabilidade adjacente à segurança clínica, de equidade e de confiança pública (ver Tópico 1.8 — Ética de dados, consentimento e confiança pública) e é cada vez mais uma expectativa estatutária, e não uma questão de discricionariedade local.

Conceitos centrais#

Um Ambiente Seguro de Dados (SDE) — o termo hoje preferido na política do NHS — é uma plataforma de armazenamento e análise de dados na qual pesquisadores aprovados acessam dados aprovados para fins aprovados, sem que os dados sejam extraídos ou copiados para fora. O nome mais antigo e internacionalmente comum é Ambiente de Pesquisa Confiável (TRE); os dois descrevem o mesmo modelo. A ideia que governa é levar o analista aos dados, e não os dados ao analista: a computação acontece dentro das paredes, e apenas resultados verificados e agregados saem.

O arcabouço que estrutura isso são os Cinco Seguros (Five Safes), desenvolvidos no Office for National Statistics do Reino Unido. Decompõem o acesso seguro a dados em cinco dimensões: pessoas seguras (os pesquisadores são treinados, credenciados e responsabilizáveis?), projetos seguros (este uso é lícito, ético e de interesse público?), ambientes seguros (o ambiente impede vazamentos?), dados seguros (os dados foram minimizados e desidentificados na medida em que o projeto permite?) e saídas seguras (os resultados são verificados antes da liberação, de modo que nenhum indivíduo possa ser identificado?). Nenhum controle isolado basta; a segurança é o produto de todos os cinco.

Duas disciplinas protegem os próprios dados. A minimização de dados significa fornecer apenas os campos e registros de que um projeto genuinamente precisa, jamais o prontuário inteiro "por via das dúvidas". A desidentificação é o termo guarda-chuva para reduzir a identificabilidade dos dados. Dentro dela, a pseudonimização substitui identificadores diretos (nome, NHS Number) por uma ficha ligada a uma chave, de modo que a reidentificação só é possível com a posse da chave separada — os dados continuam sendo dados pessoais perante a lei. A anonimização busca tornar os dados definitivamente não pessoais, o que é muito mais difícil do que parece, porque a reidentificação — cruzar dados supostamente anônimos com outros conjuntos de dados para revelar quem alguém é — se torna mais fácil à medida que mais dados existem no mundo. A anonimização genuína de dados clínicos ricos costuma ser impossível; é precisamente por isso que o modelo do SDE existe.

Antes de os resultados saírem do ambiente, eles passam pela verificação de saídas, a barreira humana e procedimental que aplica o controle de divulgação estatística — técnicas que impedem que contagens pequenas de células, casos atípicos únicos ou ataques de diferenciação exponham indivíduos. A barreira costuma ser chamada de eclusa (airlock): os resultados vão para uma área de espera, um verificador treinado os revisa e só as saídas liberadas passam ao pesquisador. Técnicas emergentes de privacidade, como a privacidade diferencial, que acrescenta ruído estatístico calibrado para limitar o que qualquer registro isolado contribui para um resultado, complementam esse controle humano, e não o substituem.

Dois outros conceitos moldam o futuro. A aprendizagem federada e a análise federada permitem que uma consulta ou um modelo rode por vários SDEs, cada um guardando seus próprios dados, de modo que os insights são combinados sem que nenhum dado bruto seja reunido — o próximo passo natural para uma rede nacional distribuída. E a licença social — a permissão pública informal e contínua sob a qual um programa de dados opera — é o ativo intangível que toda a maquinaria acima existe para proteger. A história de advertência é o care.data, o programa do NHS England de 2013–2016 para extrair dados de clínicas gerais, abandonado depois de não conseguir se explicar ao público e perder a confiança dele.

Boas práticas#

1. Faça do ambiente, e não da exportação, o padrão. A decisão de projeto isolada mais importante é que os dados não saem. Forneçam aos pesquisadores computação, ferramentas e conjuntos de dados curados dentro do SDE e removam as vias pelas quais os dados costumavam vazar — downloads em massa, extratos enviados por e-mail, planilhas copiadas. Todo acordo legado de compartilhamento de dados que termina com uma cópia saindo do prédio é um passivo que vocês devem ativamente aposentar em favor do acesso no local.

2. Operacionalize todos os Cinco Seguros, e não apenas a tecnologia. É tentador comprar uma plataforma segura e declarar o problema resolvido, mas um ambiente endurecido com triagem fraca de projetos ou sem verificação de saídas é uma violação à espera de acontecer. Construam processos explícitos e evidenciados para cada um: credenciamento e treinamento de pesquisadores, um parecer independente sobre se um projeto é lícito e de interesse público, fornecimento de dados minimizados e desidentificados e verificação disciplinada de saídas. Tratem os cinco como um sistema em que o elo mais fraco define o seu nível real de segurança.

3. Minimize e desidentifique até a menor identificabilidade que o projeto tolerar. Não entreguem o prontuário inteiro quando uma coorte e uma dúzia de campos responderiam à pergunta. Pseudonimizem por padrão os identificadores diretos, removam ou tornem grosseiros os quase-identificadores, como o código postal completo e a data exata de nascimento, e reservem o acesso a dados mais identificáveis aos raros projetos que genuinamente o exigem, sob aprovação mais estrita. Lembrem-se de que dados pseudonimizados continuam sendo dados pessoais perante a lei (ver Tópico 1.7 — Governança da informação, proteção de dados e cibersegurança); assim, são os controles do SDE, e não uma alegação de anonimato, que mantêm vocês na licitude.

4. Ponha uma eclusa de verdade e verificadores de saídas treinados entre os resultados e a liberação. O momento de maior risco é quando algo sai do ambiente. Encaminhem toda saída por uma área de espera em que um verificador treinado aplique controle de divulgação estatística — suprimindo células pequenas, arredondando e vigiando ataques de diferenciação entre os pedidos sucessivos de um pesquisador — antes de qualquer coisa chegar ao exterior. Dotem isso de recursos adequados: a verificação de saídas é trabalho qualificado, e um acúmulo que tenta as pessoas a "simplesmente mandar por e-mail" derrota todo o modelo.

5. Torne a aprovação de governança da informação rigorosa, independente e rápida o bastante para ser usada. O acesso deve depender de um julgamento independente de que o projeto é lícito e de interesse público, tipicamente por meio de um comitê de acesso a dados e, quando informações confidenciais de pacientes são usadas sem consentimento, do Confidentiality Advisory Group (CAG), que aconselha sobre o apoio da seção 251 nos termos dos regulamentos pertinentes. Rigor e rapidez não são opostos: um comitê transparente e bem dotado de pessoal, com critérios claros, aprova bons projetos mais depressa e rejeita os ruins de forma mais defensável do que um opaco e lento. Um processo tão lento que os pesquisadores o contornam é uma falha de governança, e não um sucesso de governança.

6. Conquiste e mantenha a licença social por meio de transparência radical. A lição do care.data é que lícito não é o mesmo que confiável. Publiquem um registro de usos de dados mostrando quem acessou que dados, para que fim e com que resultado, conduzam um envolvimento público e de pacientes genuíno na governança do SDE e ofereçam uma recusa nacional de uso de dados clara e respeitada. A transparência não é uma reflexão tardia de comunicação acrescentada no lançamento — é a condição operacional que permite a todo o empreendimento continuar (ver Tópico 1.8 — Ética de dados, consentimento e confiança pública).

7. Projete para a federação em toda a rede de SDEs, e não para um jardim murado. O modelo da Inglaterra é um SDE nacional ao lado de SDEs subnacionais credenciados, e a pesquisa precisa cada vez mais combinar dados que legitimamente não podem ser reunidos. Adotem padrões comuns, modelos de dados curados e ferramentas interoperáveis, para que um projeto possa, com o tempo, rodar consultas federadas ou treinar modelos entre ambientes enquanto os dados brutos permanecem em cada um (ver Tópico 4.3 — Interoperabilidade e padrões de dados). Construir um ambiente sob medida e isolado, que não consegue interoperar, é um beco sem saída estratégico, por melhor que pareça localmente.

8. Governe explicitamente o acesso comercial, com o valor retornando. O acesso da indústria aos dados do NHS é legítimo e muitas vezes essencial para desenvolver tratamentos e tecnologias, mas é onde a suspeita pública se concentra. Fixem regras claras: os mesmos controles do SDE se aplicam a usuários comerciais e a acadêmicos, os acordos são transparentes e publicados e o público recebe valor justo em troca — seja em preço, em acesso à inovação resultante ou em reinvestimento na infraestrutura de dados. Jamais deixem "parceria comercial" virar eufemismo para dados saindo da custódia segura em termos discretos (ver Tópico 6.3 — Aquisições e contratações).

Perguntas para discutir com a sua equipe#

1. Quando dizemos que nossos dados são "desidentificados", que risco de reidentificação estamos de fato aceitando — e quem aprovou esse julgamento? Isto importa porque "anonimizado" é usado de forma frouxa para significar de tudo, de dados genuinamente não pessoais a registros levemente pseudonimizados que um analista determinado poderia reidentificar cruzando com outras fontes. Debatam as especificidades: que quase-identificadores permanecem (granularidade do código postal, datas, diagnósticos raros), com que conjuntos de dados externos um atacante poderia realisticamente cruzar e se os seus controles são o próprio SDE ou um rótulo otimista. Considerem que dados clínicos longitudinais ricos muitas vezes não são genuinamente anonimizáveis, o que significa que os controles do ambiente — e não a transformação dos dados — é que os tornam lícitos e seguros. Tragam à tona quem é dono dessa avaliação de risco: uma pessoa responsável nomeada aplicando uma metodologia documentada, ou uma suposição não examinada herdada de um velho acordo de compartilhamento de dados. Uma boa resposta, honesta, declara o risco residual de reidentificação em termos simples, liga-o a controles específicos e nomeia a pessoa responsável pelo julgamento, em vez de se esconder atrás da palavra "anônimo".

2. Como explicaríamos um acesso específico a dados a um paciente cético na primeira página de um jornal — e a explicação sobreviveria? O colapso do care.data não foi principalmente uma falha técnica; foi uma falha de explicar e de comandar a confiança. Tomem um acesso real ou realista — uma empresa farmacêutica conduzindo um estudo no seu SDE — e encenem a conversa pública: que dados, por quê, quem se beneficia, o que a empresa recebe, o que o público recebe de volta e como alguém pode recusar. Debatam onde a sua transparência atual é fina: existe um registro público de usos de dados, o acesso comercial é visível, os pacientes sabem que a recusa existe e que foi respeitada? Considerem a diferença entre defensável porque lícito e defensável porque confiável e sejam honestos de que a segunda é mais difícil e mais frágil. Uma resposta forte produz um relato claro, sem jargão, que um paciente consideraria razoável, e identifica as lacunas específicas de transparência que vocês precisariam fechar antes de poder dá-lo sem constrangimento.

3. A nossa governança é rápida e independente o bastante para que bons pesquisadores a usem em vez de contorná-la? Há uma tensão real entre rigor e acesso: governem de forma frouxa demais e traem a confiança pública; governem de forma lenta demais e os pesquisadores ou desistem (valor público perdido) ou encontram gambiarras informais (controle perdido por completo). Discutam os seus prazos reais da solicitação ao acesso aos dados, onde estão os gargalos (governança da informação, CAG, engenharia de dados, verificação de saídas) e se o seu comitê de acesso a dados tem critérios claros e publicados ou decide caso a caso, de modos que os candidatos não conseguem prever. Sondem a independência com honestidade: alguém com autoridade para dizer não de fato o diz, ou a pressão comercial ou institucional torna a aprovação uma formalidade? Considerem o modo de falha em que um processo lento empurra o trabalho para cantos não governados, o que é pior do que um processo rápido e transparente. Uma boa resposta nomeia tempos de ciclo reais, distingue rigor de mero atraso e se compromete com melhorias específicas que acelerem o acesso sem enfraquecer o julgamento independente no centro.

4. Quando um parceiro comercial trabalha no nosso SDE, que valor justo retorna ao público — e conseguimos mostrá-lo? O acesso da indústria é legítimo e muitas vezes a única via para transformar dados em tratamentos, mas é exatamente onde a suspeita pública se concentra, porque o temor é que um ativo público esteja sendo entregue a mãos privadas em termos discretos. Debatam o que "valor justo" significa concretamente para a sua organização: um preço preferencial no produto resultante, acesso garantido à inovação para a sua população, reinvestimento na infraestrutura de dados ou simplesmente dinheiro — e quem decide qual. Sondem se os mesmos controles do SDE de fato se aplicam a usuários comerciais e a acadêmicos ou se uma empresa bem dotada de recursos recebe, em silêncio, um caminho mais suave. Perguntem se o acordo e seus termos de compartilhamento de valor são publicados ou negociados caso a caso a portas fechadas, onde ninguém pode verificá-los. Uma resposta honesta nomeia o valor que o seu último arranjo comercial devolveu, declara para onde esse valor foi e admite onde "parceria comercial" corre o risco de virar eufemismo para acesso privilegiado sem responsabilização.

5. Os dados do nosso ambiente — e a pesquisa que eles viabilizam — representam toda a população, ou apenas as partes mais fáceis de captar? A equidade é um dever, e não uma reflexão tardia: se os dados sub-representam certos grupos (pessoas que usam menos os serviços, são registradas de forma menos completa ou recusam em taxas mais altas), a pesquisa construída sobre eles funcionará pior justamente para esses grupos, ampliando silenciosamente as desigualdades em saúde sob um verniz de evidência. Discutam que populações são escassas ou ausentes nos seus dados, como as práticas de codificação e registro distorcem o que é captado e se as altas taxas de recusa em determinadas comunidades estão corroendo a representatividade de modos que ninguém acompanha. Considerem a tensão de que melhorar a inclusão pode puxar contra a minimização de dados e contra a confiança de grupos com boas razões históricas para desconfiar. Pensem em quem revê as saídas dos projetos quanto a impacto diferencial e se o "benefício público" nas suas decisões de acesso alguma vez pergunta explicitamente benefício para quem. Uma resposta forte identifica lacunas concretas de representação, nomeia o risco de equidade na pesquisa atual ou planejada e se compromete a monitorar o benefício e a inclusão, em vez de supor que um grande conjunto de dados é um conjunto justo.

6. Temos certeza de que o SDE é a única via por onde os dados saem — ou as exportações legadas persistem silenciosamente ao lado dele? Um ambiente seguro só cumpre sua promessa se virar a porta única; todo acordo bilateral remanescente, extrato enviado por e-mail ou planilha copiada é uma via que contorna todos os controles que vocês construíram, e esses arranjos são notórios por sobreviver à memória de quem os assinou. Discutam se alguém detém um inventário vivo dos acordos de compartilhamento de dados existentes, onde as cópias de dados hoje estão fora das suas paredes e quem é dono do trabalho deliberado de aposentá-los. Sondem os incentivos incômodos: as exportações são rápidas e familiares, e tanto pesquisadores quanto equipes internas podem preferir o caminho antigo enquanto prestam homenagem de boca ao novo. Considerem que um SDE reluzente lançado sobre um parque de exportações não aposentado é falsa sensação de segurança, e não um problema resolvido. Uma resposta honesta declara quantas exportações legadas ainda existem, nomeia o plano e o responsável por fechá-las e é franca sobre quais estão se revelando mais difíceis de desligar e por quê.

Na prática: um exemplo de saúde e cuidados#

O Fenwater Integrated Care System abrange três hospitais de agudos, serviços comunitários e de saúde mental e cerca de noventa clínicas gerais. Seus analistas há muito dependem de extratos de dados sob medida — arquivos pseudonimizados copiados para os servidores de um parceiro de pesquisa em acordos bilaterais —, e a equipe de governança da informação se preocupa em silêncio, há anos, com onde essas cópias estão agora. Quando a política de SDE do NHS England torna o acesso no local a expectativa, o conselho do Fenwater decide montar o Fenwater Secure Data Environment como um SDE subnacional credenciado, em vez de continuar assinando acordos de exportação.

O programa começa não pela tecnologia, mas pelos Cinco Seguros. O Fenwater define o credenciamento e o treinamento obrigatório de pesquisadores (pessoas seguras); estabelece um comitê de acesso a dados, com membros leigos e um presidente independente, que avalia cada projeto quanto à licitude e ao benefício público e encaminha os casos de dados confidenciais para aconselhamento da seção 251 (projetos e ambientes seguros); constrói um modelo de dados curado e minimizado, em que os identificadores diretos são pseudonimizados e os códigos postais são reduzidos apenas à primeira parte (dados seguros); e contrata e treina dois verificadores de saídas para operar a eclusa (saídas seguras). De forma decisiva, publica um registro público de usos de dados desde o primeiro dia e convoca um painel permanente de pacientes para escrutinar a governança.

O primeiro teste real é um pedido de uma empresa de diagnósticos para estudar marcadores precoces de um câncer em cinco anos de dados de patologia e imagem. No modelo antigo, seria mais uma exportação. Agora, os analistas da empresa são credenciados, o projeto é avaliado quanto ao benefício público e aprovado com condições, e eles trabalham inteiramente dentro do SDE — nenhum dado bruto sai. Suas saídas estatísticas passam pela eclusa, onde um verificador suprime várias contagens pequenas de células que teriam singularizado pacientes com um subtipo raro. O acordo comercial é publicado no registro, incluindo o compromisso de que qualquer teste resultante seja oferecido ao ICS em termos preferenciais.

Dezoito meses depois, o Fenwater aposenta o último dos seus acordos legados de exportação. Um pedido subsequente precisa de dados que o Fenwater detém combinados com os registros de um ICS vizinho; em vez de copiar qualquer um dos conjuntos de dados, os dois SDEs credenciados pilotam uma consulta federada, para que a análise rode nos dois ambientes e apenas os resultados agregados sejam combinados. Quando um jornalista local pergunta quem tem usado os dados dos pacientes, o ICS aponta o seu registro público. O trabalho foi mais lento de construir do que enviar uma planilha por e-mail — mas transformou um hábito ansioso e invisível de exportação num ativo público defensável e transparente.

Perspectivas setoriais#

Startup#

Uma startup de tecnologia em saúde raramente constrói o próprio SDE; é usuária do de outra pessoa, e seus modos de trabalho devem pressupor o ambiente, e não a exportação. Projete suas esteiras de análise e de treinamento de modelos para rodar dentro de um TRE contra dados que você não pode baixar, porque essa é cada vez mais a única via lícita para dados do NHS em escala — e um hospital ou ICS avaliará a sua maturidade de governança antes de deixá-la entrar. Orce de forma realista o credenciamento, o ritmo mais lento do trabalho no local e a verificação de saídas, que reterá resultados que você esperava levar embora. Sua vantagem competitiva não é o acesso privilegiado a dados brutos (essa era está terminando), mas a capacidade de gerar insight crível e publicável dentro das restrições e de ser transparente sobre o que fez com o acesso concedido.

Pequena empresa#

Um pequeno prestador ou fornecedor estabelecido — um consultório de clínica geral, uma farmácia comunitária, uma casa de repouso, uma clínica de unidade única ou um pequeno fornecedor de análises que já passou da fase de startup — é muito mais frequentemente um controlador de dados com deveres do que um aspirante a pesquisador, e jamais operará o seu próprio SDE. Sua tarefa prática é resistir ao velho hábito de copiar extratos pseudonimizados para o notebook de um parceiro ou para uma planilha e, em vez disso, insistir que qualquer uso secundário dos dados dos seus pacientes aconteça dentro de um ambiente credenciado que você possa apontar e prestar contas. Sem equipe dedicada de governança da informação, apoie-se em SDEs compartilhados e regionais, no seu encarregado de proteção de dados ou no ICB e em termos-modelo de compartilhamento de dados, em vez de negociar arranjos sob medida que você não consegue escrutinar adequadamente. Saiba que a recusa nacional de uso de dados e o dever de confidencialidade se aplicam a você por inteiro, qualquer que seja o porte; assim, a postura mais segura é encaminhar os pedidos de seus dados para um SDE governado e recusar exportações informais, mesmo quando um pesquisador local de confiança pede com gentileza.

Grande organização#

Um grande hospital do NHS, ICS ou empresa farmacêutica opera SDEs em escala e em muitos projetos simultâneos; seu desafio é, portanto, a vazão sem perda de controle. O objetivo realista é um ambiente credenciado com processos industrializados — comitês permanentes de acesso a dados, um modelo de dados curado e minimizado, verificação de saídas dotada de recursos e um registro publicado de usos —, e não uma plataforma sob medida por projeto. Incorporem o SDE às aquisições e aos termos de parceria, para que o acesso comercial flua por ele por padrão e o compartilhamento de valor seja contratual e não negociado ad hoc (ver Tópico 6.4 — Governança e garantia). Nessa escala, os maiores riscos são um fluxo lento de governança que empurra os pesquisadores para gambiarras e acordos legados de exportação que persistem em silêncio ao lado do reluzente novo ambiente; aposentem-nos deliberadamente.

Governo#

Um órgão nacional — NHS England, as administrações de saúde descentralizadas, a UK Statistics Authority — define as regras dentro das quais todos os demais trabalham, e sua alavancagem são os padrões, o credenciamento e a confiança pública. Define a política de SDE, credencia os ambientes subnacionais, opera um SDE nacional e — seguindo as recomendações "Better, broader, safer" da Goldacre Review — empurra para um número menor de ambientes bem governados e interoperáveis, em vez de centenas de fluxos de dados incontrolados. Seu dever mais difícil e mais importante é zelar pela licença social em nível nacional: honrar a recusa nacional de uso de dados, insistir na transparência sobre o acesso comercial e garantir que o público veja valor justo devolvido pelo uso de um ativo público (ver Tópico 9.2 — Saúde digital global e internacional). O governo também detém o dever de equidade — de que a pesquisa com esses dados beneficie toda a população, e não apenas os grupos mais bem representados nela.

Modos de falha comuns#

• A exportação que nunca parou de fato. Um SDE reluzente é lançado enquanto antigos acordos de compartilhamento de dados continuam copiando dados para fora pela porta dos fundos. Inventariem e aposentem deliberadamente as exportações legadas; o ambiente só ajuda se virar a única via.
• "Anonimizado" como palavra de conforto. Chamar de anônimos dados clínicos ricos não os torna assim; o risco de reidentificação muitas vezes é real e crescente. Avaliem e documentem o risco residual real e apoiem-se nos controles do ambiente, e não no rótulo.
• Tecnologia sem governança. Uma plataforma segura com triagem fraca de projetos ou sem verificação de saídas é uma violação à espera de acontecer. Todos os Cinco Seguros precisam ser operacionais, e não apenas o ambiente.
• A eclusa que vaza. Uma verificação de saídas subdimensionada cria acúmulos, e os acúmulos criam pressão para contornar a eclusa. Dotem-na de pessoal como trabalho qualificado e valorizado, com tempo de resposta viável.
• Governança tão lenta que é contornada. Um processo de aprovação opaco, de meses, empurra bons pesquisadores para gambiarras informais — o pior dos dois mundos. Tornem a aprovação independente e rápida o bastante para ser usável.
• Acordos comerciais silenciosos. O acesso da indústria arranjado em termos não publicados é a forma mais rápida de perder a confiança pública, por mais lícito que seja. Apliquem os mesmos controles a usuários comerciais e publiquem os arranjos.
• Transparência como teatro do dia do lançamento. Uma campanha pública pontual não é licença social; um registro de usos de dados mantido e um envolvimento público genuíno é que são. O care.data é o lembrete permanente de que a confiança é uma condição operacional, e não um evento de lançamento.

Modelo de maturidade#

Lista de verificação#

• O acesso no local por meio do SDE é o padrão; as exportações legadas de dados estão inventariadas e sendo aposentadas.
• Todos os Cinco Seguros estão operacionalizados com processos evidenciados, e não apenas uma plataforma segura.
• Os dados são minimizados e desidentificados até a menor identificabilidade que cada projeto tolerar, com pseudonimização por padrão.
• O risco de reidentificação é avaliado e documentado por um responsável nomeado, e não presumido de um rótulo de "anonimizado".
• Toda saída passa por uma eclusa em que verificadores treinados aplicam controle de divulgação estatística antes da liberação.
• Um comitê independente de acesso a dados aprova projetos frente a critérios publicados, com uma via CAG / seção 251 para dados confidenciais.
• Os prazos de governança são medidos, publicados e rápidos o bastante para que os pesquisadores usem o processo em vez de contorná-lo.
• Um registro público de usos de dados mostra quem acessou que dados, para que fim e com que resultado.
• A recusa nacional de uso de dados é respeitada e sua existência é claramente comunicada aos pacientes.
• O acesso comercial passa pelos mesmos controles do SDE, é publicado e devolve valor justo ao público.
• O ambiente adota padrões comuns para poder interoperar e, com o tempo, apoiar a análise federada entre SDEs.

Fontes-chave#

• NHS England — Secure Data Environment (SDE) policy guidelines e a rede de SDEs nacional e subnacionais.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (a Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — o arcabouço dos Five Safes para o acesso seguro a dados.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — princípios e padrões para Ambientes de Pesquisa Confiáveis.
• Health Research Authority — Confidentiality Advisory Group (CAG) e apoio da seção 251 para o uso de informações confidenciais de pacientes sem consentimento.
• UK Statistics Authority — credenciamento e o uso seguro de dados para pesquisa e estatística.
• Information Commissioner's Office — orientações sobre anonimização, pseudonimização e minimização de dados sob o UK GDPR.

Referências#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/