Тема 4.10 — Безопасные среды данных и доступ к данным для исследований

В здравоохранении и уходе безопасное повторное использование данных пациентов для исследований и планирования зависит от одного с трудом завоёванного принципа — приводи аналитика к данным, а не данные к аналитику, — обеспечиваемого защищёнными средами, многоуровневым управлением и видимой общественной подотчётностью.

Почему это важно в здравоохранении и уходе#

Системы здравоохранения и ухода хранят одни из богатейших лонгитюдных данных о человеческих жизнях, когда-либо собранных: рождения, диагнозы, назначения, операции, смерти и социальные обстоятельства вокруг них. При хорошем повторном использовании эти данные находят более безопасные лекарства, выявляют неблагополучные службы, направляют дефицитные ресурсы и питают открытие методов лечения, спасающих жизни. При плохом — нарушают доверие миллионов людей, никогда не выбиравших быть субъектами данных, разъедают доверие, на котором работает вся система, и, поскольку утраченное доверие восстанавливается медленно, отбрасывают назад те самые исследования, которые должны были быть возможными.

Напряжение структурное, а не случайное. Общество последовательно поддерживает использование своих данных для исследований в общественных интересах и столь же последовательно возражает против того, чтобы данные покидали безопасное хранение, продавались без подотчётности или попадали в коммерческие руки на условиях, которые оно не видит. Цифровой руководитель стоит ровно на этом разломе. Вас просят высвободить ценность данных (обязанность перед ещё не родившимися пациентами и перед общественным бюджетом), удерживая столь же серьёзную обязанность конфиденциальности перед людьми, которых данные описывают.

Безопасные среды данных (Secure Data Environments, SDE), называемые также доверенными исследовательскими средами, — оперативный ответ, к которому пришла Великобритания. Они меняют умолчание с копирования данных исследователям на приход исследователей для работы с данными, которые никуда не движутся. Это не техническое излишество; это механизм, посредством которого система держит общественное обещание. Сделать это правильно — ответственность, смежная с клинической безопасностью, и ответственность за равенство и общественное доверие (см. тему 1.8 — Этика данных, согласие и общественное доверие), и всё более — законодательное ожидание, а не вопрос местного усмотрения.

Ключевые понятия#

Безопасная среда данных (SDE) — термин, теперь предпочитаемый в политике NHS, — платформа хранения и анализа данных, в которой одобренные исследователи получают доступ к одобренным данным для одобренных целей без извлечения или копирования данных наружу. Более старое и международно распространённое название — доверенная исследовательская среда (TRE); обе описывают одну модель. Управляющая идея: приводи аналитика к данным, а не данные к аналитику: вычисления происходят внутри стен, а выходят лишь проверенные агрегированные результаты.

Рамка, структурирующая это, — «Пять безопасностей» (Five Safes), разработанная в британском Office for National Statistics. Она раскладывает безопасный доступ к данным на пять измерений: безопасные люди (обучены, аккредитованы и подотчётны ли исследователи?), безопасные проекты (законно, этично и в общественных интересах ли это использование?), безопасная обстановка (предотвращает ли среда утечку?), безопасные данные (минимизированы и деидентифицированы ли данные в той степени, какую допускает проект?) и безопасные результаты (проверяются ли результаты перед выпуском, чтобы никакого отдельного человека нельзя было идентифицировать?). Ни один контроль не достаточен; безопасность — произведение всех пяти.

Две дисциплины защищают сами данные. Минимизация данных означает предоставление только тех полей и записей, которые проекту действительно нужны, и никогда всей записи «на всякий случай». Деидентификация — общий термин для снижения идентифицируемости данных. В её рамках псевдонимизация заменяет прямые идентификаторы (имя, номер NHS) токеном, связанным ключом, так что реидентификация возможна, только если владеть отдельным ключом: данные остаются персональными в правовом смысле. Анонимизация стремится сделать данные вообще более не персональными, что намного труднее, чем кажется, потому что реидентификация — сопоставление якобы анонимных данных с другими наборами для выявления того, кто это, — становится проще по мере того, как в мире появляется больше данных. Подлинная анонимизация богатых клинических данных часто невозможна; именно поэтому существует модель SDE.

Прежде чем результаты покинут среду, они проходят проверку выходных данных — человеческий и процедурный шлюз, применяющий контроль статистического раскрытия: методы, не дающие малым счётам ячеек, уникальным выбросам или атакам через разности раскрыть отдельных людей. Шлюз часто называют шлюзовой камерой (airlock): результаты попадают в зону хранения, обученный проверяющий их рассматривает, и только одобренные выходы передаются исследователю. Возникающие методы приватности, такие как дифференциальная приватность, добавляющая калиброванный статистический шум, чтобы ограничить вклад любой отдельной записи в результат, дополняют, а не заменяют этот человеческий контроль.

Ещё два понятия формируют будущее. Федеративное обучение и федеративная аналитика позволяют запросу или модели выполняться в нескольких SDE, каждая из которых держит свои данные, так что выводы объединяются без пулинга сырых данных: естественный следующий шаг для распределённой национальной сети. И общественная лицензия (social licence) — неформальное, непрерывное общественное разрешение, на котором действует программа данных, — нематериальный актив, ради защиты которого существует вся описанная выше машинерия. Поучительная история — care.data, программа NHS England 2013–2016 по извлечению данных общей практики, оставленная после того, как не смогла объясниться с обществом и потеряла его доверие.

Лучшие практики#

1. Сделайте умолчанием среду, а не экспорт. Важнейшее проектное решение — данные не покидают среду. Предоставляйте исследователям вычисления, инструменты и курируемые наборы данных внутри SDE и убирайте пути, по которым данные раньше просачивались наружу: массовые выгрузки, отправленные по почте выписки, скопированные таблицы. Каждое унаследованное соглашение об обмене данными, заканчивающееся уходом копии из здания, — обязательство, которое следует активно выводить в пользу доступа на месте.

2. Операционализируйте все «Пять безопасностей», а не только технологию. Соблазнительно купить защищённую платформу и объявить проблему решённой, но укреплённая обстановка со слабым отбором проектов или без проверки выходных данных — нарушение в ожидании. Постройте явные, подтверждённые доказательствами процессы для каждой безопасности: аккредитацию и обучение исследователей, независимое мнение о том, законен ли проект и в общественных ли он интересах, предоставление минимизированных и деидентифицированных данных и дисциплинированную проверку выходных данных. Относитесь к пяти как к системе, где слабейшее звено определяет ваш реальный уровень безопасности.

3. Минимизируйте и деидентифицируйте до наименьшей идентифицируемости, которую проект способен вынести. Не отдавайте всю запись, когда на вопрос ответили бы когорта и дюжина полей. Псевдонимизируйте прямые идентификаторы по умолчанию, удаляйте или огрубляйте квазиидентификаторы, такие как полный почтовый индекс и точная дата рождения, и резервируйте доступ к более идентифицируемым данным для редких проектов, которым это действительно необходимо, при более строгом одобрении. Помните, что псевдонимизированные данные в правовом смысле всё ещё персональные (см. тему 1.7 — Управление информацией, защита данных и кибербезопасность), так что вас сохраняет законным контроль SDE, а не заявление об анонимности.

4. Поставьте настоящую шлюзовую камеру и обученных проверяющих выходных данных между результатами и выпуском. Момент наибольшего риска — когда что-то покидает среду. Пропускайте каждый выход через зону хранения, где обученный проверяющий применяет контроль статистического раскрытия — подавляя малые ячейки, округляя и следя за разностями между последовательными запросами исследователя, — прежде чем что-либо достигнет внешнего мира. Обеспечьте это ресурсами должным образом: проверка выходных данных — квалифицированная работа, а затор, искушающий людей «просто отправить по почте», разрушает всю модель.

5. Сделайте одобрение управления информацией строгим, независимым и достаточно быстрым, чтобы им пользовались. Доступ должен зависеть от независимого суждения, что проект законен и в общественных интересах, обычно через комитет доступа к данным и, где конфиденциальная информация о пациентах используется без согласия, Confidentiality Advisory Group (CAG), консультирующую по поддержке по section 251 в рамках соответствующих положений. Строгость и скорость не противоположности: прозрачный, хорошо укомплектованный комитет с ясными критериями одобряет хорошие проекты быстрее и отклоняет плохие более защитимо, чем непрозрачный, медленный. Процесс настолько медленный, что исследователи его обходят, — провал управления, а не его успех.

6. Завоюйте и сохраните общественную лицензию радикальной прозрачностью. Урок care.data: законно — не значит заслуживает доверия. Публикуйте реестр использования данных, показывающий, кто получил доступ к каким данным, с какой целью и с каким результатом; ведите настоящее вовлечение общества и пациентов в управление SDE; и предлагайте ясный, уважаемый национальный отказ от использования данных (national data opt-out). Прозрачность — не коммуникационная запоздалая мысль, приделанная при запуске, а условие функционирования, позволяющее всему предприятию продолжаться (см. тему 1.8 — Этика данных, согласие и общественное доверие).

7. Проектируйте для федерации по сети SDE, а не одного обнесённого стеной сада. Модель Англии — национальная SDE наряду с аккредитованными субнациональными SDE, и исследованиям всё чаще нужно объединять данные, которые законно нельзя собрать в пул. Принимайте общие стандарты, курируемые модели данных и интероперабельные инструменты, чтобы проект мог со временем выполнять федеративные запросы или обучать модели по средам, пока сырые данные остаются на месте в каждой (см. тему 4.3 — Интероперабельность и стандарты данных). Построение индивидуальной изолированной среды, не способной взаимодействовать, — стратегический тупик, как бы хорошо она ни выглядела локально.

8. Управляйте коммерческим доступом явно, с возвратом ценности. Доступ индустрии к данным NHS законен и часто необходим для разработки лечения и технологий, но именно здесь концентрируется общественное недоверие. Задайте ясные правила: те же контроли SDE применяются к коммерческим пользователям, что и к академическим, соглашения прозрачны и опубликованы, а общество получает справедливую ценность взамен — в цене, доступе к полученной инновации или реинвестировании в инфраструктуру данных. Никогда не позволяйте «коммерческому партнёрству» стать эвфемизмом ухода данных из безопасного хранения на тихих условиях (см. тему 6.3 — Закупки и коммерческие вопросы).

Вопросы для обсуждения с командой#

1. Когда мы говорим, что наши данные «деидентифицированы», какой риск реидентификации мы на самом деле принимаем и кто подписал это суждение? Это важно, потому что «анонимизировано» используется расплывчато: от действительно неперсональных данных до слегка псевдонимизированных записей, которые решительный аналитик мог бы реидентифицировать, связав с другими источниками. Обсудите конкретику: какие квазиидентификаторы остаются (детальность почтового индекса, даты, редкие диагнозы), с какими внешними наборами данных злоумышленник реалистично мог бы связать и является ли ваш контроль самой SDE или оптимистичной этикеткой. Учтите, что богатые лонгитюдные клинические данные часто не поддаются подлинной анонимизации, а значит законными и безопасными вас делает контроль среды, а не преобразование данных. Выясните, кому принадлежит эта оценка риска: названному подотчётному человеку, применяющему документированную методологию, или непроверенному допущению, унаследованному от старого соглашения об обмене данными. Хороший, честный ответ прямо называет остаточный риск реидентификации, привязывает его к конкретным контролям и называет человека, отвечающего за суждение, а не прячется за словом «анонимно».

2. Как бы мы объяснили конкретный доступ к данным скептически настроенному пациенту на первой полосе газеты и выдержало бы объяснение? Провал care.data был не в первую очередь техническим; это был провал объяснения и завоевания доверия. Возьмите реальный или реалистичный доступ — фармацевтическая компания ведёт исследование в вашей SDE — и разыграйте публичный разговор: какие данные, зачем, кому выгода, что получает компания, что получает общество взамен и как человек может отказаться. Обсудите, где ваша нынешняя прозрачность тонка: есть ли публичный реестр использования данных, виден ли коммерческий доступ, знают ли пациенты, что отказ существует и что он соблюдён? Подумайте о разнице между защитимым, потому что законно, и защитимым, потому что вызывает доверие, и будьте честны, что второе труднее и хрупче. Сильный ответ выдаёт ясное, свободное от жаргона изложение, которое пациент счёл бы разумным, и определяет конкретные пробелы прозрачности, которые нужно закрыть, прежде чем произнести его с невозмутимым лицом.

3. Достаточно ли наше управление быстро и независимо, чтобы хорошие исследователи пользовались им, а не обходили его? Между строгостью и доступом реальное напряжение: управляйте слишком свободно — предадите общественное доверие; слишком медленно — исследователи либо сдаются (общественная ценность потеряна), либо находят неформальные обходные пути (контроль потерян полностью). Обсудите ваши реальные сроки от заявки до доступа к данным, где узкие места (управление информацией, CAG, инженерия данных, проверка выходных данных) и есть ли у вашего комитета доступа к данным ясные опубликованные критерии или он решает по случаю так, что заявители не могут предсказать. Честно проверьте независимость: говорит ли «нет» тот, у кого есть власть это сказать, или коммерческое либо институциональное давление делает одобрение формальностью? Учтите вид отказа, когда медленный процесс загоняет работу в неуправляемые углы, что хуже быстрого прозрачного. Хороший ответ называет реальные сроки цикла, отличает строгость от простой задержки и обязуется внести конкретные улучшения, ускоряющие доступ, не ослабляя независимого суждения в центре.

4. Когда коммерческий партнёр работает в нашей SDE, какая справедливая ценность возвращается обществу и можем ли мы это показать? Доступ индустрии законен и часто единственный путь превратить данные в лечение, но именно здесь концентрируется общественное недоверие, потому что страх в том, что общественный актив отдаётся частным рукам на тихих условиях. Обсудите, что «справедливая ценность» конкретно значит для вашей организации: льготная цена на полученный продукт, гарантированный доступ к инновации для вашего населения, реинвестирование в инфраструктуру данных или просто деньги — и кто решает, что именно. Проверьте, действительно ли те же контроли SDE применяются к коммерческим пользователям, что и к академическим, или хорошо обеспеченная ресурсами компания тихо получает более гладкий путь. Спросите, опубликованы ли соглашение и условия разделения ценности или они обсуждаются по случаю за закрытыми дверями, где никто не может их проверить. Честный ответ называет ценность, которую вернуло ваше последнее коммерческое соглашение, говорит, куда эта ценность пошла, и признаёт, где «коммерческое партнёрство» рискует стать эвфемизмом привилегированного доступа без подотчётности.

5. Представляют ли данные в нашей среде и исследования, которые они делают возможными, всё население или только те его части, которые легче всего захватить? Равенство — обязанность, а не запоздалая мысль: если данные недопредставляют определённые группы (людей, меньше пользующихся услугами, записанных менее полно или чаще отказывающихся), исследования, построенные на них, будут хуже работать именно для этих групп, тихо расширяя неравенство в здоровье под лаком доказательности. Обсудите, какие группы населения тонки или отсутствуют в ваших данных, как практики кодирования и записи искажают то, что захватывается, и не разъедают ли высокие доли отказа в определённых сообществах репрезентативность так, как никто не отслеживает. Подумайте о напряжении: улучшение включения может идти против минимизации данных и против доверия групп с хорошими историческими причинами для осторожности. Подумайте, кто проверяет выходы проектов на дифференциальное влияние и спрашивает ли «общественная польза» в ваших решениях о доступе когда-нибудь явно польза для кого. Сильный ответ определяет конкретные пробелы репрезентации, называет риск равенства в текущих или планируемых исследованиях и обязуется отслеживать пользу и включение, а не полагать, что большой набор данных справедлив.

6. Уверены ли мы, что SDE — единственный путь, которым уходят данные, или унаследованные экспорты тихо сохраняются рядом с ней? Защищённая среда выполняет обещание, только если становится единственной дверью; каждое уцелевшее двустороннее соглашение, отправленная по почте выписка или скопированная таблица — путь, обходящий каждый построенный вами контроль, и такие договорённости славятся тем, что переживают память о том, кто их подписал. Обсудите, ведёт ли кто-нибудь живой реестр существующих соглашений об обмене данными, где сейчас лежат копии данных за вашими стенами и кому принадлежит сознательная работа по их выводу. Выясните неудобные стимулы: экспорты быстры и привычны, и исследователи, и внутренние команды могут предпочитать старый путь, воздавая новому лишь словесные почести. Подумайте, что сверкающая SDE, запущенная поверх не выведенного хозяйства экспортов, — ложное чувство безопасности, а не решённая проблема. Честный ответ говорит, сколько унаследованных экспортов всё ещё существует, называет план и владельца их закрытия и откровенен о том, какие труднее всего выключить и почему.

На практике: пример из здравоохранения и ухода#

Fenwater Integrated Care System охватывает три острых траста, общинные службы и службы психического здоровья и около девяноста практик общей практики. Её аналитики давно полагались на индивидуальные выгрузки данных — псевдонимизированные файлы, копируемые на серверы партнёра-исследователя по двусторонним соглашениям, — а команда управления информацией годами тихо беспокоилась о том, где теперь лежат эти копии. Когда политика SDE NHS England делает доступ на месте ожиданием, совет Fenwater решает развернуть Fenwater Secure Data Environment как аккредитованную субнациональную SDE вместо того, чтобы продолжать подписывать соглашения об экспорте.

Программа начинается не с технологии, а с «Пяти безопасностей». Fenwater определяет аккредитацию и обязательное обучение исследователей (безопасные люди); создаёт комитет доступа к данным с непрофессиональными членами и независимым председателем, оценивающий каждый проект на законность и общественную пользу и направляющий случаи с конфиденциальными данными за консультацией по section 251 (безопасные проекты и обстановка); строит курируемую, минимизированную модель данных, где прямые идентификаторы псевдонимизированы, а почтовые индексы огрублены до первой части (безопасные данные); и нанимает и обучает двух проверяющих выходных данных для работы шлюзовой камеры (безопасные результаты). Принципиально: с первого дня она публикует публичный реестр использования данных и собирает постоянную панель пациентов для контроля управления.

Первое реальное испытание — запрос диагностической компании на изучение ранних маркеров рака по пятилетним данным патологии и визуализации. По старой модели это был бы очередной экспорт. Теперь аналитики компании аккредитованы, их проект оценён на общественную пользу и одобрен с условиями, и они работают целиком внутри SDE — никакие сырые данные не выходят. Их статистические выходы проходят через шлюзовую камеру, где проверяющий подавляет несколько малых счётов ячеек, которые выделили бы пациентов с редким подтипом. Коммерческое соглашение опубликовано в реестре, включая обязательство, что любой полученный тест предлагается ICS на льготных условиях.

Через восемнадцать месяцев Fenwater выводит последнее из своих унаследованных соглашений об экспорте. Последующий запрос требует данных Fenwater в сочетании с записями соседней ICS; вместо копирования любого набора данных две аккредитованные SDE пилотируют федеративный запрос, чтобы анализ выполнялся в обеих средах, а объединялись только агрегированные результаты. Когда местный журналист спрашивает, кто использовал данные пациентов, ICS указывает на свой публичный реестр. Работа строилась медленнее, чем отправка таблицы по почте, — но превратила тревожную, невидимую привычку экспорта в защитимый, прозрачный общественный актив.

Секторные линзы#

Стартап#

Стартап в области цифрового здравоохранения редко строит собственную SDE; он пользователь чужой, и его способы работы должны исходить из среды, а не экспорта. Проектируйте конвейеры аналитики и обучения моделей так, чтобы они выполнялись внутри TRE против данных, которые нельзя скачать, потому что это всё чаще единственный законный путь к данным NHS в масштабе, а больница или ICS оценят зрелость вашего управления, прежде чем пустить вас внутрь. Реалистично закладывайте бюджет на аккредитацию, на более медленный темп работы на месте и на проверку выходных данных, которая задержит результаты, которые вы ожидали унести. Ваше конкурентное преимущество — не привилегированный доступ к сырым данным (эта эпоха заканчивается), а способность порождать достоверное, публикуемое понимание в рамках ограничений и быть прозрачным о том, что вы сделали с предоставленным доступом.

Малый бизнес#

Устоявшийся малый поставщик или поставщик услуг — общая практика, общинная аптека, дом ухода, клиника на одной площадке или небольшой аналитический вендор, перешагнувший стадию стартапа, — гораздо чаще оператор данных с обязанностями, чем потенциальный исследователь, и никогда не будет вести собственную SDE. Его практическая задача — противиться старой привычке копировать псевдонимизированные выписки на ноутбук партнёра или в таблицу и вместо этого настаивать, чтобы любое вторичное использование данных его пациентов происходило внутри аккредитованной среды, на которую он может указать и за которую отчитаться. Без выделенного персонала по управлению информацией опирайтесь на общие и региональные SDE, вашего ответственного по защите данных или ICB и шаблонные условия обмена данными, а не договаривайтесь об индивидуальных соглашениях, которые не сможете должным образом проверить. Знайте, что национальный отказ от использования данных и обязанность конфиденциальности применяются к вам полностью независимо от размера, так что самая безопасная позиция — направлять запросы на ваши данные в управляемую SDE и отклонять неформальные экспорты, даже когда доверенный местный исследователь просит вежливо.

Предприятие#

Крупный траст NHS, ICS или фармацевтическая фирма эксплуатирует SDE в масштабе и по многим одновременным проектам, поэтому его задача — пропускная способность без потери контроля. Реалистичная цель — аккредитованная среда с индустриализированными процессами — постоянные комитеты доступа к данным, курируемая и минимизированная модель данных, обеспеченная ресурсами проверка выходных данных и опубликованный реестр использования, — а не индивидуальная платформа на каждый проект. Встройте SDE в закупки и партнёрские условия, чтобы коммерческий доступ шёл через неё по умолчанию, а разделение ценности было договорным, а не обсуждалось ситуативно (см. тему 6.4 — Управление и обеспечение гарантий). В таком масштабе крупнейшие риски — медленный конвейер управления, толкающий исследователей к обходным путям, и унаследованные соглашения об экспорте, тихо сохраняющиеся рядом со сверкающей новой средой; выводите их сознательно.

Правительство#

Национальный орган — NHS England, делегированные администрации здравоохранения, UK Statistics Authority — задаёт правила, внутри которых работают все остальные, и его рычаг — стандарты, аккредитация и общественное доверие. Он определяет политику SDE, аккредитует субнациональные среды, ведёт национальную SDE и, следуя рекомендациям «Better, broader, safer» из обзора Голдакра, подталкивает к меньшему числу хорошо управляемых, интероперабельных сред вместо сотен неконтролируемых потоков данных. Его труднейшая и важнейшая обязанность — стюардство общественной лицензии на национальном уровне: соблюдение национального отказа от использования данных, настаивание на прозрачности коммерческого доступа и обеспечение того, чтобы общество видело справедливую ценность, возвращаемую за использование общественного актива (см. тему 9.2 — Глобальное и международное цифровое здравоохранение). Правительство также несёт обязанность равенства: чтобы исследования с использованием этих данных приносили пользу всему населению, а не только лучше всего представленным в них группам.

Типичные виды отказов#

• Экспорт, который на самом деле не прекратился. Сверкающая новая SDE запускается, а старые соглашения об обмене данными тихо продолжают копировать данные через чёрный ход. Инвентаризируйте и сознательно выводите унаследованные экспорты; среда помогает, только если становится единственным путём.
• «Анонимизировано» как слово-утешение. Назвать богатые клинические данные анонимными не значит сделать их таковыми; риск реидентификации часто реален и растёт. Оценивайте и документируйте фактический остаточный риск и полагайтесь на контроли среды, а не на этикетку.
• Технология без управления. Защищённая платформа со слабым отбором проектов или без проверки выходных данных — нарушение в ожидании. Все «Пять безопасностей» должны действовать, а не только обстановка.
• Шлюзовая камера, которая течёт. Недообеспеченная ресурсами проверка выходных данных создаёт заторы, а заторы создают давление обойти камеру. Укомплектуйте её как квалифицированную, ценимую работу с достижимым временем обработки.
• Управление настолько медленное, что его обходят. Непрозрачный, многомесячный процесс одобрения толкает хороших исследователей к неформальным обходным путям — худшее из обоих миров. Сделайте одобрение независимым и пригодно быстрым.
• Тихие коммерческие сделки. Доступ индустрии на неопубликованных условиях — быстрейший способ потерять общественное доверие, как бы законно это ни было. Применяйте те же контроли к коммерческим пользователям и публикуйте договорённости.
• Прозрачность как театр дня запуска. Разовая публичная кампания — не общественная лицензия; поддерживаемый реестр использования данных и подлинное общественное вовлечение — да. Care.data — постоянное напоминание, что доверие — условие функционирования, а не событие запуска.

Модель зрелости#

Контрольный список#

• Доступ на месте через SDE — умолчание; унаследованные экспорты данных инвентаризированы и выводятся.
• Все «Пять безопасностей» операционализированы с подтверждёнными процессами, а не только защищённой платформой.
• Данные минимизированы и деидентифицированы до наименьшей идентифицируемости, которую способен вынести каждый проект, с псевдонимизацией по умолчанию.
• Риск реидентификации оценивается и документируется названным подотчётным владельцем, а не предполагается по этикетке «анонимизировано».
• Каждый выход проходит через шлюзовую камеру, где обученные проверяющие применяют контроль статистического раскрытия до выпуска.
• Независимый комитет доступа к данным одобряет проекты по опубликованным критериям, с путём CAG / section 251 для конфиденциальных данных.
• Сроки управления измеряются, публикуются и достаточно быстры, чтобы исследователи пользовались процессом, а не обходили его.
• Публичный реестр использования данных показывает, кто получил доступ к каким данным, с какой целью и с каким результатом.
• Национальный отказ от использования данных соблюдается, а его существование ясно доводится до пациентов.
• Коммерческий доступ идёт через те же контроли SDE, публикуется и возвращает обществу справедливую ценность.
• Среда принимает общие стандарты, чтобы взаимодействовать и со временем поддерживать федеративную аналитику по SDE.

Ключевые источники#

• NHS England — политические руководящие принципы Secure Data Environment (SDE) и национальная и субнациональная сеть SDE.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (обзор Голдакра), Department of Health and Social Care, 2022.
• Office for National Statistics — рамка Five Safes для безопасного доступа к данным.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — принципы и стандарты для доверенных исследовательских сред.
• Health Research Authority — Confidentiality Advisory Group (CAG) и поддержка по section 251 для использования конфиденциальной информации о пациентах без согласия.
• UK Statistics Authority — аккредитация и безопасное использование данных для исследований и статистики.
• Information Commissioner's Office — руководство по анонимизации, псевдонимизации и минимизации данных по UK GDPR.

Литература#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/