Тема 1.8 — Этика данных, согласие и общественное доверие

В здравоохранении и уходе закон говорит вам, что вы можете делать с данными, но общественное доверие зависит от того, следует ли вам это делать, и как только люди начинают верить, что их информацию используют за их спиной, они перестают её предоставлять, отказываются от записей или избегают помощи, поэтому этика и честное вовлечение — не мягкие дополнения, а условия, при которых данные вообще можно использовать.

Почему это важно в здравоохранении и уходе#

Тема 1.7 — Управление информацией, защита данных и кибербезопасность охватывает закон и технические контроли: законные основания, UK General Data Protection Regulation (UK GDPR), Data Security and Protection Toolkit, шифрование и контроль доступа. Эта тема — обо всём, что остаётся, когда вы уже законно соответствуете. Вы можете удовлетворить каждый закон и всё равно потерять доверие общества, потому что доверие даруют не юристы, а пациенты и граждане, которые решают, индивидуально и коллективно, верят ли они, что вы обращаетесь с их информацией так, как они признали бы справедливым.

Это различие важнее в здравоохранении и уходе, чем почти где-либо ещё. Люди раскрывают клиницистам то, о чём иначе молчат (кризисы психического здоровья, употребление веществ, сексуальное здоровье, насилие, права, связанные с иммиграцией), исходя из негласного понимания, что информация существует, чтобы помочь им, а не для торговли, публикации или иного применения без их ведома. Когда это понимание нарушается, вред измерим: пациенты лгут клиницистам, отказываются делиться историей или держатся подальше от услуг. Это сбои клинической безопасности и равенства, и они сильнее всего бьют по тем, кто и так меньше всех доверяет институтам.

Система также действительно зависит от использования данных за рамками одной консультации: для планирования услуг, управления здоровьем населения, обнаружения сигналов безопасности и поддержки исследований, дающих завтрашние методы лечения. Так что вы находитесь внутри постоянного противоречия: удерживайте данные, и вы обескровите уход и исследования; используйте небрежно, и вы лишитесь согласия общественности, чьи это данные. Эта тема — об удержании этого противоречия честно. Недавняя история службы здравоохранения содержит как минимум один большой, дорогой урок о том, что происходит, когда организация отвечает только на юридический вопрос и никогда на этический.

Ключевые понятия#

Руководящая дисциплина здесь — этика данных: систематическое изучение правильного и неправильного поведения при сборе, использовании и обмене данными, особенно персональными. Её центральный ход — разделить два вопроса, которые организации регулярно смешивают: можем ли мы делать это законно и следует ли нам делать это с учётом того, чего люди разумно ожидают и какой вред может последовать. Законное основание отвечает на первый. На второй отвечают только намеренное этическое рассуждение, прозрачность и вовлечение.

Согласие многослойнее, чем предполагает повседневное употребление. Информированное согласие, когда человек соглашается на что-то с адекватным пониманием того, что это включает, — золотой стандарт для непосредственного ухода и большинства исследований. Но в масштабе населения индивидуальное явное согласие часто непрактично или само исказило бы данные, поэтому система опирается на другие модели: подразумеваемое согласие для непосредственного ухода (вы принимаете, что лечащий клиницист прочтёт вашу карту) и модели отказа (opt-out) для некоторых вторичных использований, когда данные используются, если человек активно не возражает. В Англии главный инструмент — национальный отказ NHS от использования данных (national data opt-out), позволяющий человеку не допустить использования его конфиденциальной информации о пациенте для планирования и исследований за рамками его собственного ухода. Знать, какая модель применима, и быть честным, что отказ не равен активному согласию, — основная компетенция.

Наряду с законодательством о защите данных стоит более древнее и отдельное обязательство: обязанность конфиденциальности по общему праву, по которой информация, переданная конфиденциально, не может быть раскрыта без согласия, юридического требования или преобладающего общественного интереса. Из него вытекает принцип разумных ожиданий, или «без сюрпризов»: вы не должны использовать чьи-либо данные так, что человека действительно удивило бы, узнай он об этом. Это практический этический критерий, который часто срабатывает задолго до закона.

Две специфичные для здравоохранения институции несут этическую нагрузку. Принципы Калдикотта, соблюдаемые в каждой организации Caldicott Guardian, знаменито настаивают, что обязанность делиться информацией может быть столь же важна, как обязанность её защищать, исправляя рефлекс, считающий удержание автоматически безопасным. На национальном уровне National Data Guardian for Health and Social Care (NDG) — независимый законодательный голос о том, как данные пациентов следует использовать и защищать. Вокруг этого лежит идея общественной лицензии (social licence): непрерывного неформального принятия обществом, легитимирующего то, как институция использует данные, которое зарабатывается прозрачностью и вовлечением, не даруется законом и быстро отзывается, когда доверие нарушено.

Для вторичных использований (аналитика, планирование и исследования, а не непосредственный уход) технический мост между полезностью и приватностью — деидентификация: снижение идентифицируемости данных посредством псевдонимизации (замена идентификаторов искусственными токенами, обратимая с помощью отдельно хранимых ключей) или анонимизации (удаление идентификаторов, так что человека больше нельзя идентифицировать). У обоих есть пределы: богатые данные о здоровье часто можно повторно идентифицировать, связав их с другими наборами данных (эффект «мозаики»), поэтому «анонимизировано» — утверждение, которое нужно проверять, а не предполагать. Наконец, там, где данные управляют автоматизированными или основанными на моделях решениями, вы наследуете вопросы алгоритмического смещения, системной несправедливости, ущемляющей некоторые группы, и алгоритмической подотчётности, распределения ответственности за эти результаты. Глубокое управление ИИ относится к теме 8.4 — Управление ИИ и новыми технологиями; здесь оно важно лишь как ещё одно использование данных, которое должно заслужить общественное доверие.

Лучшие практики#

1. Задавайте «следует ли нам?» как отдельное, занесённое в протокол решение, а не как сноску к «можем ли мы?». Для любого неочевидного использования данных ведите этический вопрос отдельно от юридического и записывайте ответ. Назовите, кто выигрывает, кто может пострадать, чего люди разумно ожидали бы и было ли бы вам комфортно объяснять это использование на первой полосе газеты. Использование, которое законно, но не проходит критерий разумных ожиданий, — использование, которое нужно перепроектировать или открыто объяснить, а не тихо продолжать.

2. Соотносите модель согласия с использованием и будьте честны в том, какую именно используете. Непосредственный уход работает на подразумеваемом согласии; большинству исследований нужно явное информированное согласие или одобренный юридический путь; некоторые виды использования для планирования опираются на отказ. Не выдавайте отказ за активное согласие и не опирайтесь на язык «согласия», когда реальное основание — законодательное полномочие. Ясность здесь защищает и автономию пациента, и вашу собственную достоверность, когда договорённость проверяют.

3. Надёжно соблюдайте национальный отказ от использования данных и считайте его нижней планкой, а не потолком. Применяйте национальный отказ NHS к каждому потоку вторичного использования, который он охватывает, и будьте способны это продемонстрировать. Но признавайте, что юридическое соблюдение отказа — минимум; использование, технически уважающее отказы, но застающее общественность врасплох, всё равно будет стоить вам доверия. Там, где использование новое или чувствительное, подумайте о выходе за базовый уровень с более ясным уведомлением или более активным выбором.

4. Применяйте критерий разумных ожиданий перед каждым новым потоком данных. Спросите прямо: если бы люди, чьи это данные, точно знали, что мы делаем, удивились бы они и почувствовали бы себя обманутыми? Удивление — сигнал раннего предупреждения, приходящий задолго до юридического нарушения. Когда честный ответ «да, они бы удивились», у вас три выбора: изменить использование, получить осмысленное согласие или объяснить это так подробно и так рано, чтобы оно перестало быть сюрпризом.

5. Помните, что обязанность делиться может быть столь же важна, как обязанность защищать. Принципы Калдикотта существуют отчасти для противодействия оборонительной сверхосторожности, тихо вредящей пациентам, когда клиницист не видит аллергию, проблема защиты теряется между ведомствами или выписка проходит неудачно из-за отсутствия контекста. Этичное обращение с данными — не то же самое, что накопление данных. Взвешивайте вред от необмена так же сознательно, как вред от обмена, и связывайте это с проектированием безопасного обмена в теме 1.7 — Управление информацией, защита данных и кибербезопасность и последствиями для безопасности в теме 1.6 — Клиническая безопасность и управление рисками.

6. Относитесь к деидентификации как к снижению риска, а не к волшебному ластику. Псевдонимизируйте или анонимизируйте данные вторичного использования, но оценивайте риск повторной идентификации реалистично, особенно для редких состояний, малых популяций или богато связанных наборов данных, где действует эффект «мозаики». Контролируйте среду так же, как данные: предпочитайте аккредитованные безопасные среды данных (Secure Data Environments), где аналитики работают с данными, которые никогда не покидают управляемую среду, отправке «анонимизированных» выгрузок за пределы здания. Документируйте остаточный риск и того, кто его принимает.

7. Проводите этическую экспертизу для использований, которые один закон не решает. Создайте путь (комитет по этике данных, существующий процесс этики исследований или постоянную функцию) для проверки новых, чувствительных или коммерчески связанных использований до их начала. Дайте ему независимый состав и состав из непрофессионалов, чтобы это не было просто организацией, успокаивающей саму себя, и требуйте, чтобы он рассматривал справедливость и дифференцированное воздействие на группы, а не только приватность.

8. Делайте прозрачность проактивной, конкретной и читаемой человеком. Публикуйте простым языком, какие данные вы храните, для чего используете, с кем делитесь (включая коммерческих партнёров) и какой выбор есть у людей. Плотное уведомление о конфиденциальности, написанное для регуляторов, — не прозрачность; ясный публичный реестр использований данных — прозрачность. Раскрывайте новые или коммерческие договорённости до их начала, потому что использование, всплывшее через утечку журналисту, читается как сокрытие независимо от его достоинств.

9. Вовлекайте пациентов и сообщества в решения об их данных: рано и по-настоящему. Вовлечение пациентов и общественности — не коммуникационное упражнение, навешенное при запуске; оно формирует то, что вы строите, и заслуживает ли это общественную лицензию. Приводите пациентов, лиц, осуществляющих уход, и представителей сообществ, особенно из групп с исторически веской причиной не доверять институтам, в проектирование и управление и показывайте, как их вклад изменил решения. Это напрямую связано с темой 3.0 — Исследование пользователей и проектирование услуг и темой 8.2 — Коммуникации и вовлечение.

10. Принимайте на себя справедливость и подотчётность, когда данные управляют решениями. Там, где данные питают оценки риска, инструменты приоритизации или модели, спрашивайте, чьи данные их обучали, какие группы могут быть недопредставлены и кто отвечает, когда результат неверен или дискриминационен. Держите человека в цикле для значимых решений и отслеживайте результаты по демографическим группам во времени. Передайте подробное управление моделями теме 8.4 — Управление ИИ и новыми технологиями, но не считайте «решил алгоритм» способом уйти от ответственности.

Вопросы для обсуждения с командой#

1. Для нашего самого чувствительного или нового использования данных каков честный разрыв между тем, что юридически допустимо, и тем, чего на самом деле ожидали бы наши пациенты, и как бы мы его закрыли? Это центральный вопрос темы, поэтому сделайте его конкретным, а не абстрактным: выберите реальное использование в вашей организации (исследовательское партнёрство, договорённость с поставщиком, дашборд здоровья населения, модель). Пройдите по тому, что допускает закон, затем отдельно спросите, что предположил бы обычный, умеренно скептичный пациент о происходящем, и назовите разрыв между двумя. Разрыв — место, где доверие выигрывается или проигрывается, и он невидим, если вы всегда задаёте только юридический вопрос. Хорошее обсуждение выявляет хотя бы одно использование, где команда опирается на «это законно», чтобы избежать более трудного разговора, и приводит к решению либо изменить использование, либо искать осмысленное согласие, либо объяснить его гораздо более открыто. Следите за выдающей защитой «но нам разрешено»: обычно она означает, что этический вопрос так и не был задан.

2. Где мы вредим пациентам тем, что не делимся данными, и столь же ли честны мы в отношении этого вреда, как в отношении риска утечки? Этику данных регулярно путают с минимизацией данных, а оборонительная сверхосторожность носит костюм безопасности, нанося реальный ущерб. Обсудите конкретные случаи из вашей практики: пропущенная аллергия, проблема защиты, потерявшаяся между ведомствами, выписка, прошедшая неудачно, потому что у общественных команд не было контекста, исследователь, которому закрыли доступ к данным, способным выявить сигнал безопасности. Принцип Калдикотта, что обязанность делиться может быть столь же важна, как обязанность защищать, существует именно потому, что организации находят удержание психологически безопаснее, даже когда оно на деле не безопаснее для пациента. Зрелая команда может назвать сбои в обоих направлениях и имеет путь эскалации для каждого, а не считает «нет» безрисковым значением по умолчанию. Подумайте также, вознаграждают ли ваши стимулы того, кто отказывается делиться, гораздо больше, чем того, кто делится надлежащим образом.

3. Если бы национальная газета завтра сообщила об одной из наших договорённостей по обмену данными, точно, но без сочувствия, пережили бы мы это и что ответ говорит нам исправить сейчас? Программу care.data погубила не незаконность; её погубило ощущение общества, что с ним что-то делают без реального объяснения или реального выбора. Проведите проверку на собственных договорённостях, особенно с участием коммерческих партнёров, обучения моделей или вторичных использований, о которых пациентам не сообщили ясно. Где история становится неловкой: партнёр, отсутствие отказа, расплывчатость публичного уведомления, отсутствие участия сообщества? Эта неловкость — точная карта того, где ваша общественная лицензия тонка. Хороший ответ — не «мы справимся с прессой», а список того, что вы сделаете более прозрачным, более согласованным или просто прекратите, и он связан с дисциплиной вовлечения из темы 8.2 — Коммуникации и вовлечение.

4. Когда мы называем данные «анонимизированными», насколько мы уверены, что их нельзя повторно связать с человеком, и кто на самом деле проверил это утверждение? Деидентификацию воспринимают как финишную черту гораздо чаще, чем она заслуживает, а «анонимизировано» часто утверждается, а не оценивается. Выберите реальный набор данных вторичного использования и спросите точно, что с ним сделали: псевдонимизацию с отдельно хранимым ключом или подлинную анонимизацию, а затем спросите, как он выдержал бы эффект «мозаики», если бы кто-то связал его с другими данными, особенно для редких состояний, малых популяций или подробных записей. Спросите также, где данные физически находятся: анализируются ли они внутри аккредитованной безопасной среды данных, которая никогда не выпускает их, или отправляются как выгрузка в предположении, что метка делает их безопасными? Честное обсуждение прямо называет остаточный риск повторной идентификации, фиксирует, кто принял этот риск, и отличает проверенное от просто желаемого. Если никто в комнате не может сказать, кто в последний раз проверял это утверждение на прочность, это отсутствие и есть результат.

5. Там, где данные питают оценку риска, инструмент приоритизации или модель, чьи данные её обучали, кого она может ущемить и кто отвечает, когда она неверна? Справедливость легко одобрить в принципе и легко забыть на практике, потому что смещение прячется в данных, выглядящих полными, но недопредставляющих именно те группы, которые и так хуже всех живут. Возьмите конкретный пример (модель риска госпитализации, инструмент сортировки, оценку приоритизации нагрузки) и спросите, какие группы населения тонки в обучающих данных, как повлияет ошибочная пометка или ошибочный пропуск человека и отслеживает ли кто-нибудь результаты по этнической принадлежности и уровню лишений во времени, а не только при запуске. Нажмите на подотчётность: когда результат оспаривают, есть ли названный человек, владеющий решением, или «решил алгоритм» тихо поглощает ответственность? Глубокое управление моделями относится к теме 8.4 — Управление ИИ и новыми технологиями, но этическая принадлежность находится здесь. Зрелый ответ сочетает конкретное обязательство по мониторингу справедливости с чёткой линией подотчётности, а не заверением, что математика нейтральна.

6. Как мы вовлекаем людей, чьи это данные, особенно сообщества с наилучшей причиной нам не доверять, и можем ли мы указать решение, которое их участие реально изменило? Вовлечение — часть, легче всего сводимая к декорации: консультация, проведённая после фиксации проекта, или панель, набранная только из тех, кто уже доверяет институции. Более трудный и более ценный вопрос — находятся ли пациенты, лица, осуществляющие уход, и представители сообществ, особенно из групп, исторически подведённых службой здравоохранения, в комнате достаточно рано, чтобы изменить то, что будет построено, и можете ли вы назвать конкретное изменение, которое из этого получилось. Обсудите, от кого вы не слышите и почему, и достигает ли ваше вовлечение редко слышимых или просто подтверждает комфортных. Это связано с темой 3.0 — Исследование пользователей и проектирование услуг и темой 8.2 — Коммуникации и вовлечение. Честный ответ отличает подлинное совместное проектирование, сдвинувшее решение, от коммуникационного упражнения, лишь объявившего его, и откровенен о том, которым из двух вы сейчас занимаетесь.

На практике: пример из здравоохранения и ухода#

Интегрированная система ухода Riverbourne хочет использовать связанные данные пациентов, чтобы сократить внеплановые госпитализации среди людей с несколькими хроническими заболеваниями. У аналитической команды сильный довод: свести данные больницы, врача общей практики, общественных служб и социального ухода, построить модель риска и предложить проактивную поддержку тем, у кого наиболее вероятно ухудшение. Юридически путь рабочий. Однако директор программы помнит care.data и настаивает, чтобы этические вопросы и вопросы доверия были решены до того, как написана хоть строка модели.

Команда сознательно разделяет два вопроса. Можем ли мы? решается с инспектором по защите данных и Caldicott Guardian: законное основание, оценка воздействия на защиту данных и подтверждение, что национальный отказ от использования данных применяется к этому вторичному использованию. Следует ли нам? идёт в недавно созванную группу по этике данных с независимыми членами и непрофессионалами, включая двух представителей пациентов из сообществ с исторически низким доверием к службе здравоохранения. Группа задаёт более трудные вопросы, чем юристы: кого может ущемить оценка риска, что происходит с человеком, помеченным ошибочно, и удивились бы пациенты, узнав, что данные их социального ухода питают больничную модель?

Эти вопросы меняют проект. Анализ идёт внутри аккредитованной безопасной среды данных, так что аналитики работают только с псевдонимизированными записями, которые никогда не покидают управляемую среду. Результаты модели просматривает клиницист, прежде чем кто-либо будет связан с пациентом, а не используются автоматически. Команда обязуется отслеживать, одинаково ли хорошо модель работает по этническим группам и уровням лишений, обнаружив, что недопредставленность в обучающих данных иначе могла бы закрепить неравенство. А ICS публикует описание простым языком (какие данные, какая цель, кому выгода, какие гарантии и как отказаться) до начала программы, а не ждёт вопросов.

Когда местный журналист действительно спрашивает спустя месяцы, история проходит без событий: договорённость уже публична, отказ соблюдается, пациенты помогали её формировать, а гарантии настоящие. Доля отказов почти не меняется. Программа скромно сокращает госпитализации в первый год, но более долговечная победа в том, что Riverbourne теперь может предлагать свою следующую инициативу с данными с позиции доверия, а не подозрения. Компромисс был явным: вовлечение и этическая экспертиза добавили три месяца и неудобное перепроектирование и купили общественную лицензию, которую более быстрый, тихий запуск проиграл бы.

Отраслевые перспективы#

Стартап#

У стартапа health-tech обычно острые технические инстинкты и слабое чувство динамики доверия в секторе, а его коммерческая модель часто зависит от использований данных (аналитика, обучение моделей, партнёрства), которых пациенты не ожидали бы. Если вы стартап, ваш экзистенциальный риск — не штраф регулятора, а партнёр из NHS, уходящий, когда всплывает плохо объяснённое использование данных. Закладывайте вопрос «следует ли нам?» в продуктовые решения с самого начала, будьте скрупулёзно честны в отношении согласия, отказа и законодательного основания и никогда не считайте «анонимизировано» установленным фактом, когда ваши данные достаточно богаты для повторной идентификации. Заслужить доверие, пока вы малы, гораздо дешевле, чем восстанавливать его после публичной ошибки.

Малый бизнес#

Устоявшийся небольшой поставщик (практика врача общей практики, общественная аптека, дом престарелых, агентство ухода на дому, клиника в одном месте или небольшой поставщик health-tech, миновавший стадию стартапа) несёт ту же обязанность конфиденциальности и то же обязательство «без сюрпризов», что и крупный траст, но с реальными пациентами в списках, горсткой персонала и малой или нулевой выделенной IG- или ИТ-мощностью. Риски доверия здесь обычно тише заголовка о сделке с данными: новый инструмент напоминаний о приёме, функция аналитики, включённая поставщиком, или данные пациентов, небрежно переданные третьей стороне, потому что ни у кого не было времени спросить «следует ли нам?». Сделайте критерий разумных ожиданий быстрой, рутинной привычкой, а не формальным комитетом, честно называйте модель согласия для каждого использования и опирайтесь на свои обязанности по Caldicott и защите данных, даже когда они ложатся на одного человека на неполной ставке. Выбирайте поставщиков, чьи настройки по умолчанию соблюдают национальный отказ от использования данных и держат данные в управляемой среде, поскольку вы наследуете их этику так же, как и их программное обеспечение. И помните, что обязанность делиться работает в обе стороны: отказ передать информацию о проблеме защиты или историю лекарств, потому что это кажется безопаснее, может навредить пациенту сильнее, чем обмен.

Крупная организация#

Крупный траст или ICS хранит огромные, глубоко чувствительные данные и обычно имеет зрелое юридическое управление, но более слабую этическую мускулатуру: много DPIA, мало подлинных этических разговоров. Ваш вызов — добавить этический слой, не парализуя законный обмен и не позволяя коммерческим и исследовательским партнёрствам опережать общественное понимание. Создайте настоящую функцию этики данных с участием непрофессионалов, открыто публикуйте ваше использование данных и партнёрства и следите, чтобы обязанность делиться соблюдалась, чтобы оборонительная сверхосторожность не вредила пациентам тихо. Отличие — принадлежность общественного доверия на уровне совета, а не только соответствие, и это связано с темой 6.4 — Управление и гарантии.

Государство#

Национальные органы задают рамки, которые наследуют все остальные (национальный отказ от использования данных, руководство National Data Guardian, принципы Калдикотта), и несут общественное доверие в масштабе населения, где последствия ошибки исторические, а не локальные. Программа care.data — предостерегающий памятник: законная, благонамеренная национальная схема, рухнувшая, потому что общественность чувствовала себя неинформированной и не спрошенной, и она годами подавляла доверие. Ведите с прозрачности, содержательного национального вовлечения и независимого надзора до масштабирования, а не после ответной реакции. Признайте компромисс, которым вы владеете: излишне осторожная национальная политика обескровливает уход и исследования, а небрежная лишает общественного согласия, от которого зависит вся система данных, как рассмотрено подробнее в теме 4.5 — Данные, аналитика и управление здоровьем населения.

Типичные способы сбоя#

• Ответ только на юридический вопрос. Законное основание принимается за полное оправдание, так что никто никогда не спрашивает, справедливо ли, ожидаемо ли и разумно ли использование. Именно так благонамеренные, полностью соответствующие программы теряют общественное доверие.
• Театр согласия. Подача отказа, зарытого уведомления о конфиденциальности или законодательного полномочия как осмысленного информированного согласия, так что люди чувствуют себя обманутыми, обнаружив, что на самом деле значило «согласие».
• Скрытые или неожиданные использования. Расширение данных, собранных для ухода, на аналитику, коммерческие сделки или обучение моделей без ясного проактивного уведомления, пока утечка не превратит защитимую деятельность в скандал.
• Анонимизация как алиби. Называние богатых, связываемых данных «анонимизированными» и закрытие этического вопроса при игнорировании риска повторной идентификации и эффекта «мозаики».
• Вовлечение как декорация. Консультации с общественностью после принятия решений или только с уже доверяющими, так что упражнение легитимирует, а не информирует, и упускает сообщества, чьё доверие наиболее хрупко.
• Оборонительная сверхосторожность. Отказ в законном обмене, названный безопасностью, пока пациентам вредят клиницисты, не видящие того, что им нужно.

Модель зрелости#

Контрольный список#

• Каждое неочевидное использование данных имеет записанное решение «следует ли нам?», отдельное от его законного основания.
• Модель согласия (подразумеваемое, явное или отказ) названа честно для каждого использования.
• Национальный отказ от использования данных применяется ко всем охватываемым вторичным использованиям, и это можно продемонстрировать.
• Каждый новый поток данных проходит критерий разумных ожиданий / «без сюрпризов».
• Риск повторной идентификации оценивается для деидентифицированных данных, с использованием безопасных сред данных там, где это практично.
• Для новых или чувствительных использований существует путь этической экспертизы с независимым составом и непрофессионалами.
• Публичный реестр использований данных, партнёров и вариантов выбора простым языком опубликован и поддерживается в актуальном состоянии.
• Новые или коммерческие договорённости о данных раскрываются проактивно, до их начала.
• Пациенты и сообщества, включая группы с низким доверием, вовлечены в проектирование и управление, их влияние фиксируется.
• Смещение и дифференцированное воздействие оцениваются там, где данные управляют решениями, подотчётность чётко принадлежит.
• Обязанность делиться взвешивается так же сознательно, как обязанность защищать, так что сверхосторожность не принимают за безопасность.

Ключевые источники#

• National Data Guardian for Health and Social Care — обзоры, принципы Калдикотта и руководство по заслуживающему доверия использованию данных.
• NHS England — национальный отказ от использования данных: политика, оперативное руководство и публичная информация.
• Understanding Patient Data — объяснения простым языком того, как и зачем используются данные NHS.
• Information Commissioner's Office (ICO) — руководство по анонимизации, псевдонимизации и обмену данными.
• National Data Guardian & Department of Health — Review of Data Security, Consent and Opt-Outs (2016), последовавший за опытом care.data.
• Ada Lovelace Institute — исследования по этике данных, общественным установкам и заслуживающей доверия практике работы с данными в здравоохранении.
• NHS Digital / NHS England — руководящие принципы политики безопасных сред данных для данных здравоохранения и социального ухода.

Ссылки#

1. Big data ethics — Wikipedia — https://en.wikipedia.org/wiki/Big_data_ethics
2. Informed consent — Wikipedia — https://en.wikipedia.org/wiki/Informed_consent
3. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
4. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
8. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
9. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
10. Algorithmic bias — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_bias
11. Algorithmic accountability — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_accountability
12. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
13. Review of Data Security, Consent and Opt-Outs — National Data Guardian — https://www.gov.uk/government/publications/review-of-data-security-consent-and-opt-outs
14. The Caldicott Principles — National Data Guardian — https://www.gov.uk/government/publications/the-caldicott-principles
15. How we use and protect data / Understanding Patient Data — Understanding Patient Data — https://understandingpatientdata.org.uk/
16. Anonymisation and pseudonymisation guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/
17. Secure Data Environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines