Mada 4.10 — Mazingira Salama ya Data na Ufikiaji wa Data ya Utafiti

Katika afya na huduma, matumizi salama ya tena ya data ya wagonjwa kwa utafiti na mipango hutegemea kanuni moja iliyopatikana kwa shida — mlete mchambuzi kwenye data, kamwe usilete data kwa mchambuzi — inayotekelezwa kupitia mazingira salama, utawala wa tabaka na uwajibikaji wa umma unaoonekana.

Kwa nini hili ni muhimu katika afya na huduma#

Mifumo ya afya na huduma inashikilia baadhi ya data tajiri zaidi ya muda mrefu kuhusu maisha ya binadamu kuwahi kukusanywa: kuzaliwa, utambuzi, maagizo ya dawa, upasuaji, vifo, na mazingira ya kijamii yanayozunguka. Ikitumiwa tena vizuri, data hiyo hupata dawa salama zaidi, hubaini huduma zinazoshindwa, hulenga rasilimali adimu, na huwezesha ugunduzi wa matibabu yanayookoa maisha. Ikitumiwa tena vibaya, huvunja usiri wa mamilioni ya watu ambao hawakuchagua kamwe kuwa wahusika wa data, huharibu uaminifu ambao mfumo mzima unaendeshwa nao, na — kwa sababu uaminifu ukipotea hujengwa upya polepole — huirudisha nyuma utafiti uleule ilikusudiwa kuuwezesha.

Mvutano ni wa kimuundo, si wa bahati. Umma kwa uthabiti unaunga mkono matumizi ya data yao kwa utafiti wa maslahi ya umma, na kwa uthabiti uleule unapinga data kuondoka kwenye ulinzi salama, kuuzwa bila uwajibikaji, au kutiririka kwa mikono ya kibiashara kwa masharti wasiyoweza kuyaona. Kiongozi wa kidijitali yuko hasa kwenye mstari huo wa mpasuko. Unaombwa kufungua thamani kutoka kwa data (wajibu kwa wagonjwa ambao bado hawajazaliwa, na kwa mfuko wa umma) huku ukishikilia wajibu wa siri wa uzito sawa kwa watu ambao data inawaelezea.

Mazingira Salama ya Data (SDE), pia huitwa Mazingira ya Utafiti Yanayoaminika (TRE), ndilo jibu la kiuendeshaji ambalo Uingereza imekubaliana nalo. Yanabadilisha chaguo-msingi kutoka kunakili data kwa watafiti, kuelekea watafiti kuingia kufanya kazi kwenye data ambayo haisogei kamwe. Hii si ustaarabu wa kiufundi; ni utaratibu ambao mfumo unashikilia ahadi ya umma. Kuupata sawa ni wajibu unaoambatana na usalama wa kitabibu, wa usawa na wa uaminifu wa umma (angalia Mada 1.8 — Maadili ya Data, Ridhaa na Uaminifu wa Umma), na unazidi kuwa matarajio ya kisheria, si suala la hiari ya mahali.

Dhana kuu#

Mazingira Salama ya Data (SDE) — neno linalopendelewa sasa katika sera ya NHS — ni jukwaa la kuhifadhi na kuchanganua data ambamo watafiti walioidhinishwa hufikia data iliyoidhinishwa kwa madhumuni yaliyoidhinishwa, bila data kutolewa au kunakiliwa nje. Jina la zamani na la kawaida kimataifa ni Mazingira ya Utafiti Yanayoaminika (TRE); hayo mawili yanaelezea kielelezo kimoja. Wazo kuu ni mlete mchambuzi kwenye data, si data kwa mchambuzi: hesabu hufanyika ndani ya kuta, na matokeo yaliyokaguliwa, yaliyokusanywa tu ndiyo yanayotoka.

Mfumo unaopanga hili ni Five safes, uliotengenezwa katika Office for National Statistics ya Uingereza. Unagawa ufikiaji salama wa data katika vipimo vitano: watu salama (je, watafiti wamefunzwa, wameidhinishwa na wanawajibika?), miradi salama (je, matumizi haya ni halali, ya kimaadili na ya maslahi ya umma?), mazingira salama (je, mazingira yanazuia uvujaji?), data salama (je, data imepunguzwa na kuondolewa utambulisho kadiri mradi unavyoruhusu?), na matokeo salama (je, matokeo yanakaguliwa kabla ya kutolewa ili mtu yeyote asitambuliwe?). Hakuna udhibiti mmoja unaotosha; usalama ni zao la yote matano.

Nidhamu mbili zinalinda data yenyewe. Upunguzaji wa data (data minimization) humaanisha kutoa tu sehemu na rekodi ambazo mradi unahitaji kweli, kamwe si rekodi nzima "ikiwa tu". Uondoaji wa utambulisho ni neno mwavuli la kupunguza uwezekano wa kutambulika kwa data. Ndani yake, utumiaji wa majina bandia (pseudonymization) hubadilisha vitambulisho vya moja kwa moja (jina, namba ya NHS) na tokeni iliyounganishwa kwa ufunguo, kwa hiyo kutambua tena kunawezekana tu kwa kushikilia ufunguo tofauti — data inabaki kuwa data binafsi kisheria. Kutotambulisha kabisa (anonymization) hulenga kufanya data isiwe binafsi tena kabisa, jambo gumu zaidi kuliko linavyosikika, kwa sababu kutambua tena (re-identification) — kulinganisha data inayodhaniwa isiyotambulisha na mikusanyiko mingine ya data kufichua mtu ni nani — kunakuwa rahisi zaidi data nyingi zinavyokuwepo duniani. Kutotambulisha kikweli data tajiri ya kitabibu mara nyingi haiwezekani; ndiyo sababu hasa kielelezo cha SDE kipo.

Kabla matokeo kutoka kwenye mazingira, hupitia ukaguzi wa matokeo, lango la kibinadamu na la kiutaratibu linalotumia udhibiti wa ufichuzi wa kitakwimu — mbinu zinazozuia hesabu ndogo za seli, vipekee vya kipekee au mashambulizi ya tofauti kufichua watu binafsi. Lango hilo mara nyingi huitwa airlock: matokeo huwekwa eneo la kusubiri, mkaguzi aliyefunzwa huyapitia, na ni matokeo yaliyoruhusiwa tu yanayopita kwa mtafiti. Mbinu zinazoibuka za faragha kama faragha tofauti (differential privacy), inayoongeza kelele ya kitakwimu iliyopimwa kudhibiti kinachochangiwa na rekodi moja katika matokeo, hukamilisha badala ya kubadilisha udhibiti huo wa kibinadamu.

Dhana mbili zaidi huunda siku zijazo. Kujifunza kwa shirikisho (federated learning) na uchanganuzi wa shirikisho huruhusu swali au kielelezo kuendeshwa kuvuka SDE kadhaa, kila moja ikishikilia data yake, ili ufahamu uunganishwe bila data ghafi yoyote kukusanywa pamoja — hatua ya asili inayofuata kwa mtandao wa kitaifa uliosambazwa. Na leseni ya kijamii — ruhusa isiyo rasmi, endelevu ya umma ambayo programu ya data inafanya kazi chini yake — ndiyo mali isiyoshikika ambayo mashine zote hapo juu zipo kuilinda. Hadithi ya tahadhari ni care.data, programu ya NHS England ya mwaka 2013–2016 ya kutoa data ya GP, iliyoachwa baada ya kushindwa kujieleza kwa umma na kupoteza imani yao.

Mazoea bora#

1. Fanya mazingira, si usafirishaji nje, kuwa chaguo-msingi. Uamuzi muhimu zaidi wa usanifu ni kwamba data haitoki. Wape watafiti hesabu, zana na mikusanyiko ya data iliyoratibiwa ndani ya SDE, na uondoe njia ambazo data ilikuwa ikitiririka kupitia — upakuaji wa wingi, nakala zinazotumwa kwa barua pepe, lahajedwali zilizonakiliwa. Kila makubaliano ya zamani ya kushiriki data yanayoishia na nakala kuondoka jengoni ni dhima unayopaswa kuistaafisha kwa bidii kwa ajili ya ufikiaji ndani ya mahali (in-situ).

2. Tekeleza Five Safes zote, si teknolojia tu. Ni kishawishi kununua jukwaa salama na kutangaza tatizo limetatuliwa, lakini mazingira yaliyoimarishwa yenye uchunguzi dhaifu wa miradi au bila ukaguzi wa matokeo ni uvunjaji unaosubiri kutokea. Jenga michakato wazi, yenye ushahidi kwa kila moja: uidhinishaji na mafunzo ya watafiti, mtazamo huru kuhusu kama mradi ni halali na wa maslahi ya umma, utoaji wa data iliyopunguzwa na kuondolewa utambulisho, na ukaguzi wa nidhamu wa matokeo. Chukulia hayo matano kama mfumo ambapo kiungo dhaifu zaidi huweka kiwango chako halisi cha usalama.

3. Punguza na uondoe utambulisho hadi kiwango cha chini cha kutambulika ambacho mradi unaweza kuvumilia. Usikabidhi rekodi nzima wakati kundi na sehemu dazeni vingejibu swali. Tumia majina bandia kwa vitambulisho vya moja kwa moja kwa chaguo-msingi, ondoa au punguza ukali wa vitambulisho visivyo vya moja kwa moja kama msimbo kamili wa posta na tarehe kamili ya kuzaliwa, na uhifadhi ufikiaji wa data inayotambulika zaidi kwa miradi adimu inayoihitaji kweli, chini ya idhini kali zaidi. Kumbuka kwamba data yenye majina bandia bado ni data binafsi kisheria (angalia Mada 1.7 — Utawala wa Taarifa, Ulinzi wa Data na Usalama wa Mtandao), kwa hiyo udhibiti wa SDE, si dai la kutotambulika, ndio unaokuweka ndani ya sheria.

4. Weka airlock halisi na wakaguzi wa matokeo waliofunzwa kati ya matokeo na kutolewa. Wakati wa hatari kubwa zaidi ni kitu kinapotoka kwenye mazingira. Pitisha kila tokeo kupitia eneo la kusubiri ambapo mkaguzi aliyefunzwa hutumia udhibiti wa ufichuzi wa kitakwimu — kukandamiza seli ndogo, kuzungusha, na kuangalia tofauti kuvuka maombi mfululizo ya mtafiti — kabla ya chochote kufika nje. Lipe rasilimali ipasavyo: ukaguzi wa matokeo ni kazi ya ujuzi, na mrundikano unaowashawishi watu "kutuma tu kwa barua pepe" unaharibu kielelezo kizima.

5. Fanya idhini ya utawala wa taarifa kuwa kali, huru na ya haraka vya kutosha kutumika. Ufikiaji unapaswa kutegemea hukumu huru kwamba mradi ni halali na wa maslahi ya umma, kwa kawaida kupitia kamati ya ufikiaji wa data na, pale taarifa za siri za wagonjwa zinatumika bila ridhaa, Confidentiality Advisory Group (CAG) ikishauri kuhusu msaada wa kifungu cha 251 chini ya kanuni husika. Ukali na kasi si kinyume: kamati wazi, yenye wafanyakazi wa kutosha na vigezo wazi huidhinisha miradi mizuri haraka na kukataa mibaya kwa utetezi zaidi kuliko isiyo wazi, ya polepole. Mchakato wa polepole kiasi kwamba watafiti wanauzunguka ni kushindwa kwa utawala, si mafanikio ya utawala.

6. Pata na udumishe leseni ya kijamii kupitia uwazi mkali. Somo la care.data ni kwamba halali si sawa na kuaminika. Chapisha rejista ya matumizi ya data inayoonyesha nani alifikia data gani, kwa madhumuni gani, na kwa matokeo gani; endesha ushirikishaji halisi wa umma na wagonjwa katika jinsi SDE inavyotawaliwa; na toa uchaguzi wazi, unaoheshimiwa wa kitaifa wa kutoshiriki data (national data opt-out). Uwazi si wazo la baadaye la mawasiliano lililoambatishwa wakati wa kuzinduliwa — ni hali ya uendeshaji inayoruhusu biashara nzima kuendelea (angalia Mada 1.8 — Maadili ya Data, Ridhaa na Uaminifu wa Umma).

7. Buni kwa shirikisho kuvuka mtandao wa SDE, si bustani moja iliyozungushiwa ukuta. Kielelezo cha Uingereza ni SDE ya kitaifa pamoja na SDE za chini ya kitaifa zilizoidhinishwa, na utafiti unahitaji zaidi kuchanganya data ambayo kihalali haiwezi kukusanywa pamoja. Kubali viwango vya pamoja, mifano ya data iliyoratibiwa na zana zinazoweza kuunganishwa ili mradi uweze, baada ya muda, kuendesha maswali ya shirikisho au kufunza mifano kuvuka mazingira data ghafi ikibaki mahali pake kwa kila moja (angalia Mada 4.3 — Uwezo wa Kuunganishwa na Viwango vya Data). Kujenga mazingira maalumu, yaliyotengwa yasiyoweza kuunganishwa ni mwisho-wa-njia kimkakati, hata yaonekane mazuri kiasi gani kimahali.

8. Tawala ufikiaji wa kibiashara waziwazi, thamani ikirudi. Ufikiaji wa viwanda kwa data ya NHS ni halali na mara nyingi muhimu kwa kutengeneza matibabu na teknolojia, lakini ndipo shaka ya umma inapokusanyika. Weka kanuni wazi: udhibiti uleule wa SDE unatumika kwa watumiaji wa kibiashara kama wa kitaaluma, makubaliano ni wazi na yanachapishwa, na umma unapata thamani ya haki — iwe ni bei, ufikiaji wa uvumbuzi unaotokana, au uwekezaji upya katika miundombinu ya data. Usiruhusu kamwe "ushirikiano wa kibiashara" kuwa kisingizio cha data kuondoka kwenye ulinzi salama kwa masharti ya kimya (angalia Mada 6.3 — Ununuzi na Biashara).

Maswali ya kujadili na timu yako#

1. Tunaposema data yetu "imeondolewa utambulisho", ni hatari gani ya kutambua tena tunayokubali kweli — na nani aliidhinisha hukumu hiyo? Hili ni muhimu kwa sababu "isiyotambulisha" hutumika kwa upana kumaanisha chochote kuanzia data isiyo binafsi kweli hadi rekodi zenye majina bandia kidogo ambazo mchambuzi aliyedhamiria angeweza kuzitambua tena kwa kuziunganisha na vyanzo vingine. Bishaneni mahususi: vitambulisho visivyo vya moja kwa moja vipi vinabaki (ukali wa msimbo wa posta, tarehe, utambuzi adimu), mikusanyiko ipi ya nje ya data mshambulizi angeweza kweli kuiunganisha nayo, na kama udhibiti wako ni SDE yenyewe au lebo ya matumaini. Fikiria kwamba data tajiri ya muda mrefu ya kitabibu mara nyingi haiwezi kutotambulishwa kikweli, ambayo ina maana udhibiti wa mazingira — si ubadilishaji wa data — ndio unaokufanya uwe halali na salama. Ibua nani anamiliki tathmini hii ya hatari: mtu aliyetajwa anayewajibika akitumia mbinu iliyoandikwa, au dhana isiyochunguzwa iliyorithiwa kutoka kwa makubaliano ya zamani ya kushiriki data. Jibu zuri, la uaminifu linaeleza hatari iliyobaki ya kutambua tena kwa lugha rahisi, kuifunga na udhibiti mahususi, na kutaja mtu anayewajibika kwa hukumu hiyo badala ya kujificha nyuma ya neno "isiyotambulisha".

2. Tungeelezaje ufikiaji mahususi wa data kwa mgonjwa mwenye shaka kwenye ukurasa wa mbele wa gazeti — na je, maelezo yangesimama? Kuanguka kwa care.data hakukuwa kushindwa kwa kiufundi hasa; ulikuwa kushindwa kueleza na kuamsha uaminifu. Chukua ufikiaji halisi au unaowezekana — kampuni ya dawa ikiendesha utafiti katika SDE yako — na uigize mazungumzo ya umma: data gani, kwa nini, nani anafaidika, kampuni inapata nini, umma unapata nini kurudi, na mtu anawezaje kutoshiriki. Bishaneni mahali uwazi wako wa sasa ni mwembamba: je, kuna rejista ya umma ya matumizi ya data, ufikiaji wa kibiashara unaonekana, wagonjwa wanajua kutoshiriki kupo na kwamba kuliheshimiwa? Fikiria tofauti kati ya kutetewa kwa sababu ni halali na kutetewa kwa sababu kunaaminika, na uwe mwaminifu kwamba la pili ni gumu zaidi na dhaifu zaidi. Jibu imara linazalisha maelezo wazi, yasiyo na jargon ambayo mgonjwa angeona ni ya busara, na kutambua mapengo mahususi ya uwazi ambayo ungehitaji kuyaziba kabla ya kuweza kuyatoa kwa uso ulionyooka.

3. Je, utawala wetu ni wa haraka na huru vya kutosha ili watafiti wazuri uutumie badala ya kuuzunguka? Kuna mvutano halisi kati ya ukali na ufikiaji: tawala kwa ulegevu mno na unasaliti uaminifu wa umma; tawala kwa polepole mno na watafiti ama wanakata tamaa (thamani ya umma inapotea) au wanapata njia zisizo rasmi za kuzunguka (udhibiti unapotea kabisa). Jadili ratiba zako halisi kutoka ombi hadi ufikiaji wa data, vikwazo viko wapi (utawala wa taarifa, CAG, uhandisi wa data, ukaguzi wa matokeo), na kama kamati yako ya ufikiaji wa data ina vigezo vilivyochapishwa wazi au inaamua kesi kwa kesi kwa njia ambazo waombaji hawawezi kutabiri. Chunguza uhuru kwa uaminifu: je, mtu mwenye mamlaka ya kusema hapana anasema kweli, au shinikizo la kibiashara au la kitaasisi linafanya idhini kuwa sherehe tu? Fikiria namna ya kushindwa ambapo mchakato wa polepole unasukuma kazi kwenye pembe zisizotawaliwa, ambayo ni mbaya zaidi kuliko mchakato wa haraka, wazi. Jibu zuri hutaja muda halisi wa mzunguko, hutofautisha ukali na ucheleweshaji tu, na hujitolea kwa maboresho mahususi yanayoharakisha ufikiaji bila kudhoofisha hukumu huru iliyo kiini.

4. Mshirika wa kibiashara anapofanya kazi katika SDE yetu, ni thamani gani ya haki inayorudi kwa umma — na tunaweza kuionyesha? Ufikiaji wa viwanda ni halali na mara nyingi njia pekee ya kugeuza data kuwa matibabu, lakini ndipo shaka ya umma hukusanyika hasa, kwa sababu hofu ni kwamba mali ya umma inakabidhiwa mikono ya kibinafsi kwa masharti ya kimya. Bishaneni "thamani ya haki" inamaanisha nini kwa shirika lako kwa uhalisia: bei ya upendeleo kwa bidhaa inayotokana, ufikiaji uliohakikishwa wa uvumbuzi kwa idadi ya watu wako, uwekezaji upya katika miundombinu ya data, au fedha tu — na nani anaamua ipi. Chunguza kama udhibiti uleule wa SDE unatumika kweli kwa watumiaji wa kibiashara kama wa kitaaluma, au kampuni yenye rasilimali nyingi inapata njia laini kimyakimya. Uliza kama makubaliano na masharti yake ya kugawana thamani yanachapishwa, au yanajadiliwa kesi kwa kesi nyuma ya milango iliyofungwa ambapo hakuna anayeweza kuyakagua. Jibu la uaminifu hutaja thamani ambayo mpango wako wa mwisho wa kibiashara ulirudisha, hueleza thamani hiyo ilikwenda wapi, na hukiri mahali "ushirikiano wa kibiashara" uko katika hatari ya kuwa kisingizio cha ufikiaji wa upendeleo bila uwajibikaji.

5. Je, data iliyo katika mazingira yetu — na utafiti inaouwezesha — inawakilisha idadi nzima ya watu, au sehemu rahisi zaidi kunasa tu? Usawa ni wajibu, si wazo la baadaye: data ikiwakilisha kidogo makundi fulani (watu wanaotumia huduma kidogo, wanaorekodiwa kwa ukamilifu mdogo, au wanaotoshiriki kwa viwango vya juu), utafiti uliojengwa juu yake utafanya kazi vibaya zaidi kwa makundi hayo hasa, ukipanua kimyakimya ukosefu wa usawa wa afya chini ya vazi la ushahidi. Jadili ni idadi ya watu ipi ni nyembamba au inakosekana katika data yako, mazoea ya kuweka misimbo na kurekodi yanapotosha vipi kinachonaswa, na kama viwango vya juu vya kutoshiriki katika jamii fulani vinamomonyoa uwakilishi kwa njia ambazo hakuna anayefuatilia. Fikiria mvutano kwamba kuboresha ujumuishaji kunaweza kuvuta dhidi ya upunguzaji wa data na dhidi ya uaminifu wa makundi yenye sababu nzuri za kihistoria za tahadhari. Fikiria nani anapitia matokeo ya mradi kwa athari tofauti, na kama "manufaa ya umma" katika maamuzi yako ya ufikiaji huwahi kuuliza waziwazi manufaa kwa nani. Jibu imara hutambua mapengo mahususi ya uwakilishi, hutaja hatari ya usawa katika utafiti wa sasa au uliopangwa, na hujitolea kufuatilia manufaa na ujumuishaji badala ya kudhani mkusanyiko mkubwa wa data ni wa haki.

6. Je, tuna uhakika SDE ndiyo njia pekee ambayo data inatoka — au usafirishaji wa zamani unaendelea kimyakimya pamoja nayo? Mazingira salama hutimiza ahadi yake tu likiwa mlango mmoja; kila makubaliano ya pande mbili yaliyosalia, nakala iliyotumwa kwa barua pepe au lahajedwali iliyonakiliwa ni njia inayopita kila udhibiti ulioujenga, na mipangilio hii inajulikana kwa kuishi muda mrefu kuliko kumbukumbu ya nani aliyetia saini. Jadili kama yeyote ana orodha hai ya makubaliano ya kushiriki data yaliyopo, mahali nakala za data zilipo sasa nje ya kuta zako, na nani anamiliki kazi ya makusudi ya kuzistaafisha. Chunguza motisha zisizofurahisha: usafirishaji ni wa haraka na unaojulikana, na watafiti na timu za ndani wanaweza kupendelea njia ya zamani huku wakitoa heshima za midomo kwa mpya. Fikiria kwamba SDE inayong'aa iliyozinduliwa juu ya mali ya usafirishaji isiyostaafishwa ni hisia ya uongo ya usalama, si tatizo lililotatuliwa. Jibu la uaminifu hueleza usafirishaji wa zamani wangapi bado upo, hutaja mpango na mmiliki wa kuufunga, na ni wazi kuhusu upi unathibitika kuwa mgumu zaidi kuzima na kwa nini.

Kwa vitendo: mfano wa afya na huduma#

Fenwater Integrated Care System inajumuisha hospitali tatu za huduma kali, huduma za jamii na afya ya akili, na takriban zahanati tisini za GP. Wachambuzi wake wametegemea kwa muda mrefu usafirishaji maalumu wa data — mafaili yenye majina bandia yaliyonakiliwa kwenye seva za mshirika wa utafiti chini ya makubaliano ya pande mbili — na timu ya utawala wa taarifa imekuwa na wasiwasi kimyakimya kwa miaka kuhusu mahali nakala hizo ziko sasa. Sera ya SDE ya NHS England inapofanya ufikiaji ndani ya mahali kuwa matarajio, bodi ya Fenwater inaamua kuanzisha Fenwater Secure Data Environment kama SDE iliyoidhinishwa ya chini ya kitaifa badala ya kuendelea kutia saini makubaliano ya usafirishaji.

Programu inaanza si na teknolojia bali na Five Safes. Fenwater inafafanua uidhinishaji wa watafiti na mafunzo ya lazima (watu salama); inaanzisha kamati ya ufikiaji wa data, yenye wajumbe wa umma na mwenyekiti huru, inayotathmini kila mradi kwa uhalali na manufaa ya umma na kurejesha kesi za data ya siri kwa ushauri wa kifungu cha 251 (miradi na mazingira salama); inajenga kielelezo cha data kilichoratibiwa, kilichopunguzwa ambapo vitambulisho vya moja kwa moja vimepewa majina bandia na misimbo ya posta imepunguzwa kwa sehemu ya kwanza tu (data salama); na kuajiri na kufunza wakaguzi wawili wa matokeo kuendesha airlock (matokeo salama). Muhimu, inachapisha rejista ya umma ya matumizi ya data tangu siku ya kwanza na kuitisha jopo la kudumu la wagonjwa kuchunguza utawala.

Mtihani wa kwanza halisi ni ombi kutoka kwa kampuni ya uchunguzi la kusoma viashiria vya mapema vya saratani kwenye data ya miaka mitano ya patholojia na picha. Chini ya kielelezo cha zamani hii ingekuwa usafirishaji mwingine. Sasa wachambuzi wa kampuni wameidhinishwa, mradi wao unatathminiwa kwa manufaa ya umma na kuidhinishwa kwa masharti, na wanafanya kazi kabisa ndani ya SDE — hakuna data ghafi inayotoka. Matokeo yao ya kitakwimu yanapita kwenye airlock, ambapo mkaguzi anakandamiza hesabu kadhaa ndogo za seli ambazo zingewatenga wagonjwa wenye aina ndogo adimu. Makubaliano ya kibiashara yanachapishwa kwenye rejista, ikijumuisha ahadi kwamba kipimo chochote kitakachotokana kitatolewa kwa ICS kwa masharti ya upendeleo.

Miezi kumi na minane baadaye, Fenwater inastaafisha makubaliano ya mwisho ya usafirishaji wa zamani. Ombi la baadaye linahitaji data ambayo Fenwater inashikilia ikiunganishwa na rekodi za ICS jirani; badala ya kunakili mkusanyiko wowote wa data, SDE hizo mbili zilizoidhinishwa zinajaribu swali la shirikisho ili uchambuzi uendeshwe katika mazingira yote mawili na ni matokeo ya jumla tu yanayounganishwa. Mwandishi wa habari wa mahali anapouliza nani amekuwa akitumia data ya wagonjwa, ICS inaelekeza kwenye rejista yake ya umma. Kazi ilikuwa ya polepole kujenga kuliko kutuma lahajedwali kwa barua pepe — lakini ilibadilisha tabia ya usafirishaji yenye wasiwasi, isiyoonekana kuwa mali ya umma inayotetewa, iliyo wazi.

Mitazamo ya sekta#

Kampuni changa#

Kampuni changa ya teknolojia ya afya mara chache hujenga SDE yake; ni mtumiaji wa ya mtu mwingine, na njia zake za kufanya kazi lazima zidhanie mazingira, si usafirishaji. Buni mabomba yako ya uchanganuzi na kufunza mifano yaendeshwe ndani ya TRE kwenye data usiyoweza kupakua, kwa sababu hiyo inazidi kuwa njia pekee ya kisheria ya data ya NHS kwa ukubwa — na hospitali au ICS itatathmini ukomavu wa utawala wako kabla ya kukuruhusu ndani. Panga bajeti kwa uhalisia kwa uidhinishaji, kwa kasi ndogo ya kazi ya ndani ya mahali, na kwa ukaguzi wa matokeo utakaozuia matokeo uliyotarajia kuyachukua. Faida yako ya ushindani si ufikiaji wa upendeleo wa data ghafi (enzi hiyo inaisha) bali uwezo wa kuzalisha ufahamu wa kuaminika, unaoweza kuchapishwa ndani ya vikwazo, na kuwa wazi kuhusu ulichofanya na ufikiaji uliopewa.

Biashara ndogo#

Mtoa huduma au msambazaji mdogo aliyeimarika — zahanati ya GP, duka la dawa la jamii, nyumba ya wazee, kliniki ya eneo moja, au muuzaji mdogo wa uchanganuzi aliyepita hatua ya kampuni changa — kwa kawaida ni mdhibiti wa data mwenye wajibu kuliko mtafiti mtarajiwa, na hataendesha SDE yake kamwe. Kazi yake ya vitendo ni kupinga tabia ya zamani ya kunakili mafaili yenye majina bandia kwa kompyuta mpakato ya mshirika au lahajedwali, na badala yake kusisitiza kwamba matumizi yoyote ya pili ya data ya wagonjwa wake yafanyike ndani ya mazingira yaliyoidhinishwa anayoweza kuyaelekeza na kuyawajibikia. Bila wafanyakazi maalumu wa utawala wa taarifa, tegemea SDE za pamoja na za kanda, afisa wako wa ulinzi wa data au ICB, na masharti ya kiolezo ya kushiriki data badala ya kujadili mipangilio maalumu usiyoweza kuichunguza ipasavyo. Jua kwamba national data opt-out na wajibu wa usiri vinatumika kwako kikamilifu, bila kujali ukubwa, kwa hiyo msimamo salama zaidi ni kuelekeza maombi ya data yako kwa SDE inayotawaliwa na kukataa usafirishaji usio rasmi, hata mtafiti wa mahali anayeaminika anapoomba kwa upole.

Biashara kubwa#

Hospitali kubwa ya NHS, ICS au kampuni ya dawa huendesha SDE kwa ukubwa na kuvuka miradi mingi ya wakati mmoja, kwa hiyo changamoto yake ni uzalishaji bila kupoteza udhibiti. Lengo la kweli ni mazingira yaliyoidhinishwa yenye michakato ya kiwanda — kamati za kudumu za ufikiaji wa data, kielelezo cha data kilichoratibiwa na kupunguzwa, ukaguzi wa matokeo wenye rasilimali, na rejista ya matumizi iliyochapishwa — si jukwaa maalumu kwa kila mradi. Ingiza SDE katika masharti ya ununuzi na ushirikiano ili ufikiaji wa kibiashara upitie humo kwa chaguo-msingi na ugawanaji wa thamani uwe wa mkataba badala ya kujadiliwa kwa ghafla (angalia Mada 6.4 — Utawala na Uhakikisho). Katika ukubwa huu hatari kubwa zaidi ni bomba la utawala la polepole linalosukuma watafiti kwenye njia za kuzunguka, na makubaliano ya zamani ya usafirishaji yanayodumu kimyakimya pamoja na mazingira mapya yanayong'aa; yastaafishe kwa makusudi.

Serikali#

Chombo cha kitaifa — NHS England, mamlaka za afya zilizogatuliwa, UK Statistics Authority — huweka kanuni ambazo kila mtu mwingine hufanya kazi ndani yake, na kiegemeo chake ni viwango, uidhinishaji na uaminifu wa umma. Hufafanua sera ya SDE, huidhinisha mazingira ya chini ya kitaifa, huendesha SDE ya kitaifa, na — kufuatia mapendekezo ya Goldacre Review ya "Better, broader, safer" — husukuma kuelekea idadi ndogo ya mazingira yaliyotawaliwa vizuri, yanayoweza kuunganishwa badala ya mamia ya mitiririko ya data isiyodhibitiwa. Wajibu wake mgumu na muhimu zaidi ni kusimamia leseni ya kijamii kitaifa: kuheshimu national data opt-out, kusisitiza uwazi kuhusu ufikiaji wa kibiashara, na kuhakikisha umma unaona thamani ya haki inarudi kwa matumizi ya mali ya umma (angalia Mada 9.2 — Afya ya Kidijitali ya Kimataifa). Serikali pia hushikilia wajibu wa usawa — kwamba utafiti unaotumia data hii unanufaisha idadi nzima ya watu, si makundi yanayowakilishwa vizuri zaidi tu.

Njia za kawaida za kushindwa#

• Usafirishaji ambao haukuisha kweli. SDE mpya inayong'aa inazinduliwa huku makubaliano ya zamani ya kushiriki data yakiendelea kimyakimya kunakili data nje kwa mlango wa nyuma. Fanya orodha na kustaafisha usafirishaji wa zamani kwa makusudi; mazingira husaidia tu yakiwa njia pekee.
• "Isiyotambulisha" kama neno la faraja. Kuita data tajiri ya kitabibu isiyotambulisha hakuifanyi hivyo; hatari ya kutambua tena mara nyingi ni halisi na inaongezeka. Tathmini na uandike hatari halisi iliyobaki na utegemee udhibiti wa mazingira, si lebo.
• Teknolojia bila utawala. Jukwaa salama lenye uchunguzi dhaifu wa miradi au bila ukaguzi wa matokeo ni uvunjaji unaosubiri kutokea. Five Safes zote lazima ziwe zinafanya kazi, si mazingira tu.
• Airlock inayovuja. Ukaguzi wa matokeo usio na rasilimali za kutosha huunda mrundikano, na mrundikano huunda shinikizo la kuipita airlock. Wapatie wafanyakazi kama kazi ya ujuzi, yenye thamani yenye muda unaowezekana wa kukamilisha.
• Utawala wa polepole kiasi cha kuzungushwa. Mchakato wa idhini usio wazi, wa miezi mingi unasukuma watafiti wazuri kwenye njia zisizo rasmi za kuzunguka — mbaya zaidi ya yote mawili. Fanya idhini kuwa huru na ya haraka kwa kutosha kutumika.
• Mikataba ya kibiashara ya kimya. Ufikiaji wa viwanda uliopangwa kwa masharti yasiyochapishwa ndiyo njia ya haraka zaidi ya kupoteza uaminifu wa umma, ingawa ni halali. Tumia udhibiti uleule kwa watumiaji wa kibiashara na uchapishe mipangilio.
• Uwazi kama maigizo ya siku ya uzinduzi. Kampeni ya umma ya mara moja si leseni ya kijamii; rejista ya matumizi ya data inayodumishwa na ushirikishaji halisi wa umma ndivyo. Care.data ni ukumbusho wa kudumu kwamba uaminifu ni hali ya uendeshaji, si tukio la uzinduzi.

Kielelezo cha ukomavu#

Orodha hakiki#

• Ufikiaji ndani ya mahali kupitia SDE ndio chaguo-msingi; usafirishaji wa zamani wa data umeorodheshwa na unastaafishwa.
• Five Safes zote zimetekelezwa kwa michakato yenye ushahidi, si jukwaa salama tu.
• Data imepunguzwa na kuondolewa utambulisho hadi kiwango cha chini cha kutambulika ambacho kila mradi unaweza kuvumilia, majina bandia yakiwa chaguo-msingi.
• Hatari ya kutambua tena inatathminiwa na kuandikwa na mmiliki aliyetajwa anayewajibika, si kudhaniwa kutoka lebo ya "isiyotambulisha".
• Kila tokeo hupita kwenye airlock ambapo wakaguzi waliofunzwa hutumia udhibiti wa ufichuzi wa kitakwimu kabla ya kutolewa.
• Kamati huru ya ufikiaji wa data huidhinisha miradi dhidi ya vigezo vilivyochapishwa, na njia ya CAG / kifungu cha 251 kwa data ya siri.
• Ratiba za utawala zinapimwa, kuchapishwa, na ni za haraka vya kutosha ili watafiti watumie mchakato badala ya kuuzunguka.
• Rejista ya umma ya matumizi ya data inaonyesha nani alifikia data gani, kwa madhumuni gani, na kwa matokeo gani.
• National data opt-out inaheshimiwa na kuwepo kwake kunawasilishwa wazi kwa wagonjwa.
• Ufikiaji wa kibiashara hupitia udhibiti uleule wa SDE, unachapishwa, na unarudisha thamani ya haki kwa umma.
• Mazingira yanakubali viwango vya pamoja ili yaweze kuunganishwa na, baada ya muda, kuunga mkono uchanganuzi wa shirikisho kuvuka SDE.

Vyanzo muhimu#

• NHS England — Secure Data Environment (SDE) policy guidelines na mtandao wa SDE wa kitaifa na wa chini ya kitaifa.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (Goldacre Review), Department of Health and Social Care, 2022.
• Office for National Statistics — mfumo wa Five Safes kwa ufikiaji salama wa data.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — kanuni na viwango vya Mazingira ya Utafiti Yanayoaminika.
• Health Research Authority — Confidentiality Advisory Group (CAG) na msaada wa kifungu cha 251 kwa matumizi ya taarifa za siri za wagonjwa bila ridhaa.
• UK Statistics Authority — uidhinishaji na matumizi salama ya data kwa utafiti na takwimu.
• Information Commissioner's Office — mwongozo kuhusu kutotambulisha, majina bandia na upunguzaji wa data chini ya UK GDPR.

Marejeo#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/