Chủ đề 1.8 — Đạo đức dữ liệu, sự đồng ý và niềm tin công chúng

Trong y tế và chăm sóc, luật cho bạn biết bạn có thể làm gì với dữ liệu, nhưng niềm tin của công chúng phụ thuộc vào việc bạn nên làm gì — và một khi người ta tin rằng thông tin của mình đang bị sử dụng sau lưng họ, họ sẽ giữ lại, từ chối hoặc tránh chăm sóc, nên đạo đức và sự tham gia trung thực không phải là phần phụ mềm mỏng mà là điều kiện để dữ liệu có thể được sử dụng.

Vì sao điều này quan trọng trong y tế và chăm sóc#

Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng đề cập luật và các biện pháp kiểm soát kỹ thuật: cơ sở pháp lý, Quy định Chung về Bảo vệ Dữ liệu của Vương quốc Anh (UK GDPR), Bộ công cụ Bảo mật và Bảo vệ Dữ liệu, mã hóa và kiểm soát truy cập. Chủ đề này nói về mọi thứ còn lại khi bạn đã tuân thủ pháp luật. Bạn có thể thỏa mãn mọi đạo luật mà vẫn đánh mất niềm tin của công chúng, vì niềm tin không do luật sư ban cho — nó do bệnh nhân và công dân ban cho, những người quyết định, riêng lẻ và tập thể, liệu họ có tin rằng bạn đang xử lý thông tin của họ theo cách mà họ nhận ra là công bằng hay không.

Sự phân biệt đó quan trọng trong y tế và chăm sóc hơn hầu như bất cứ nơi nào khác. Người ta tiết lộ với bác sĩ những điều — khủng hoảng sức khỏe tâm thần, sử dụng chất gây nghiện, sức khỏe tình dục, bạo hành, các quyền lợi gắn với nhập cư — dựa trên một sự hiểu ngầm rằng thông tin tồn tại để giúp họ, không phải để bị buôn bán, công bố hoặc dùng cho mục đích khác mà họ không hay biết. Khi sự hiểu ngầm đó vỡ, tác hại đo lường được: bệnh nhân nói dối bác sĩ, từ chối chia sẻ tiền sử, hoặc tránh xa dịch vụ. Đó là những thất bại về an toàn lâm sàng và công bằng, và chúng giáng nặng nhất lên những người vốn ít tin tưởng các tổ chức nhất.

Hệ thống cũng thực sự phụ thuộc vào việc sử dụng dữ liệu vượt ra ngoài một buổi khám đơn lẻ — để lập kế hoạch dịch vụ, vận hành quản lý sức khỏe dân số, phát hiện tín hiệu an toàn, và hỗ trợ nghiên cứu tạo ra các phương pháp điều trị ngày mai. Vì vậy bạn nằm trong một căng thẳng thường trực: giữ lại dữ liệu thì bạn bỏ đói chăm sóc và nghiên cứu; dùng nó cẩu thả thì bạn đánh mất sự đồng thuận của công chúng, những người sở hữu dữ liệu đó. Chủ đề này nói về việc nắm giữ căng thẳng ấy một cách trung thực. Lịch sử gần đây của dịch vụ y tế có ít nhất một bài học lớn, đắt giá về điều xảy ra khi một tổ chức chỉ trả lời câu hỏi pháp lý mà không bao giờ trả lời câu hỏi đạo đức.

Các khái niệm cốt lõi#

Ngành chi phối ở đây là đạo đức dữ liệu — nghiên cứu có hệ thống về hành vi đúng và sai trong việc thu thập, sử dụng và chia sẻ dữ liệu, đặc biệt là dữ liệu cá nhân. Bước đi trung tâm của nó là tách hai câu hỏi mà các tổ chức thường xuyên gộp lại: chúng ta có thể làm điều này một cách hợp pháp không, và chúng ta có nên làm điều này không xét đến những gì người ta kỳ vọng một cách hợp lý và những tác hại có thể xảy ra. Một cơ sở pháp lý trả lời câu hỏi đầu. Chỉ lập luận đạo đức có chủ đích, sự minh bạch và sự tham gia mới trả lời câu hỏi sau.

Sự đồng ý có nhiều tầng hơn cách dùng thường ngày gợi ý. Sự đồng ý có hiểu biết — một người đồng ý với điều gì đó với sự hiểu đầy đủ về nó — là chuẩn vàng cho chăm sóc trực tiếp và hầu hết nghiên cứu. Nhưng ở quy mô dân số, sự đồng ý rõ ràng của từng cá nhân thường không thực tế hoặc tự nó sẽ làm lệch dữ liệu, nên hệ thống dựa vào các mô hình khác: sự đồng ý ngầm định cho chăm sóc trực tiếp (bạn chấp nhận rằng bác sĩ điều trị bạn sẽ đọc hồ sơ của bạn), và các mô hình từ chối (opt-out) cho một số mục đích sử dụng thứ cấp, nơi dữ liệu được dùng trừ khi một người chủ động phản đối. Ở Anh, công cụ chính là cơ chế từ chối dữ liệu quốc gia của NHS, cho phép một người ngăn thông tin bệnh nhân bí mật của mình bị dùng cho lập kế hoạch và nghiên cứu vượt ra ngoài việc chăm sóc của chính họ. Biết mô hình nào áp dụng, và trung thực rằng từ chối không đồng nghĩa với sự đồng ý chủ động, là một năng lực cốt lõi.

Cạnh luật bảo vệ dữ liệu là một nghĩa vụ lâu đời hơn và riêng biệt: nghĩa vụ bảo mật theo thông luật, theo đó thông tin được chia sẻ trong sự tin cậy không được tiết lộ nếu thiếu sự đồng ý, một yêu cầu pháp lý hoặc lợi ích công cộng áp đảo. Từ đó có nguyên tắc kỳ vọng hợp lý hay "không bất ngờ": bạn không nên dùng dữ liệu của ai đó theo cách sẽ thực sự làm họ ngạc nhiên nếu họ phát hiện ra. Đây là một phép thử đạo đức thực tiễn thường cắn đau từ rất lâu trước khi luật làm điều đó.

Hai thiết chế đặc thù y tế gánh vác trọng trách đạo đức. Các nguyên tắc Caldicott — được duy trì trong mỗi tổ chức bởi một Người bảo vệ Caldicott — nổi tiếng với việc khẳng định rằng nghĩa vụ chia sẻ thông tin có thể quan trọng không kém nghĩa vụ bảo vệ nó, sửa lại phản xạ coi việc giữ lại là an toàn một cách tự động. Ở cấp quốc gia, Người bảo vệ Dữ liệu Quốc gia về Y tế và Chăm sóc Xã hội (NDG) là tiếng nói luật định độc lập về cách dữ liệu bệnh nhân nên được sử dụng và bảo vệ. Quanh chúng là ý tưởng về giấy phép xã hội: sự chấp nhận phi chính thức, liên tục của công chúng, hợp thức hóa cách một thể chế sử dụng dữ liệu — có được nhờ minh bạch và tham gia, không phải do luật ban cho, và nhanh chóng bị rút lại khi niềm tin bị phá vỡ.

Với các mục đích sử dụng thứ cấp — phân tích, lập kế hoạch và nghiên cứu thay vì chăm sóc trực tiếp — chiếc cầu kỹ thuật giữa tính hữu ích và quyền riêng tư là khử nhận dạng: giảm khả năng nhận dạng của dữ liệu thông qua giả danh hóa (thay các định danh bằng token nhân tạo, có thể đảo ngược bằng khóa được giữ riêng) hoặc ẩn danh hóa (loại bỏ định danh để không còn nhận ra được một người). Cả hai đều có giới hạn: dữ liệu y tế phong phú thường có thể bị nhận dạng lại bằng cách liên kết với các bộ dữ liệu khác — "hiệu ứng khảm" — nên "đã ẩn danh" là một tuyên bố cần kiểm chứng, không phải giả định. Cuối cùng, khi dữ liệu thúc đẩy các quyết định tự động hoặc dựa trên mô hình, bạn thừa hưởng các câu hỏi về thiên lệch thuật toán — sự bất công có hệ thống gây bất lợi cho một số nhóm — và trách nhiệm giải trình của thuật toán, việc phân bổ trách nhiệm cho các kết quả đó. Quản trị sâu về AI thuộc về Chủ đề 8.4 — Quản trị AI và công nghệ mới nổi; ở đây nó chỉ quan trọng như một cách sử dụng dữ liệu nữa phải giành được niềm tin của công chúng.

Thực hành tốt nhất#

1. Hỏi "chúng ta có nên?" như một quyết định riêng biệt, được ghi biên bản — không phải chú thích cho "chúng ta có thể?". Với bất kỳ việc sử dụng dữ liệu nào không hiển nhiên, hãy chạy câu hỏi đạo đức tách biệt với câu hỏi pháp lý và ghi lại câu trả lời. Nêu tên ai hưởng lợi, ai có thể bị hại, người ta kỳ vọng hợp lý điều gì, và liệu bạn có thoải mái giải thích việc sử dụng đó trên trang nhất của một tờ báo không. Một việc sử dụng hợp pháp nhưng không vượt qua phép thử kỳ vọng hợp lý là việc cần thiết kế lại hoặc giải thích cởi mở, không phải tiến hành một cách âm thầm.

2. Điều chỉnh mô hình đồng ý theo mục đích sử dụng, và trung thực về mô hình bạn đang dùng. Chăm sóc trực tiếp chạy trên sự đồng ý ngầm định; hầu hết nghiên cứu cần sự đồng ý có hiểu biết rõ ràng hoặc một lộ trình pháp lý được phê duyệt; một số mục đích lập kế hoạch dựa vào cơ chế từ chối. Đừng tô điểm một cơ chế từ chối như thể nó là sự đồng thuận chủ động, và đừng dựa vào ngôn ngữ "đồng ý" khi cơ sở thực sự là một quyền hạn luật định. Sự rõ ràng ở đây bảo vệ cả quyền tự chủ của bệnh nhân lẫn uy tín của chính bạn khi sắp xếp đó bị soi xét.

3. Tôn trọng cơ chế từ chối dữ liệu quốc gia một cách đáng tin cậy, và xem nó là mức sàn, không phải mức trần. Áp dụng cơ chế từ chối dữ liệu quốc gia của NHS cho mọi luồng sử dụng thứ cấp mà nó bao phủ, và có thể chứng minh rằng bạn làm vậy. Nhưng hãy nhận ra rằng tuân thủ pháp luật với cơ chế từ chối là mức tối thiểu; một cách sử dụng về mặt kỹ thuật tôn trọng việc từ chối mà vẫn làm công chúng bất ngờ thì vẫn khiến bạn mất niềm tin. Khi một cách sử dụng mới lạ hoặc nhạy cảm, hãy cân nhắc vượt ra ngoài mức cơ sở bằng thông báo rõ ràng hơn hoặc một lựa chọn chủ động hơn.

4. Áp dụng phép thử kỳ vọng hợp lý trước mỗi luồng dữ liệu mới. Hãy hỏi thẳng: nếu những người sở hữu dữ liệu này biết chính xác chúng ta đang làm gì, họ có ngạc nhiên không, và họ có cảm thấy bị lừa dối không? Sự ngạc nhiên là tín hiệu cảnh báo sớm đến từ rất lâu trước một vi phạm pháp lý. Khi câu trả lời trung thực là "có, họ sẽ ngạc nhiên", bạn có ba lựa chọn — thay đổi cách sử dụng, có được sự đồng ý có ý nghĩa, hoặc giải thích nó kỹ lưỡng và sớm đến mức nó thôi là một bất ngờ.

5. Hãy nhớ rằng nghĩa vụ chia sẻ có thể thiết yếu không kém nghĩa vụ bảo vệ. Các nguyên tắc Caldicott tồn tại một phần để chống lại sự quá thận trọng mang tính phòng thủ, thứ lặng lẽ gây hại cho bệnh nhân khi một bác sĩ không thấy được dị ứng, một mối lo ngại về bảo vệ người dễ bị tổn thương rơi giữa các cơ quan, hoặc một ca xuất viện thất bại vì thiếu bối cảnh. Xử lý dữ liệu có đạo đức không đồng nghĩa với tích trữ dữ liệu. Hãy cân nhắc tác hại của việc không chia sẻ một cách có chủ đích như tác hại của việc chia sẻ, và nối điều này với thiết kế chia sẻ an toàn ở Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng và các hệ quả an toàn ở Chủ đề 1.6 — An toàn lâm sàng và quản lý rủi ro.

6. Xem khử nhận dạng là giảm rủi ro, không phải cục tẩy thần kỳ. Hãy giả danh hóa hoặc ẩn danh hóa dữ liệu sử dụng thứ cấp, nhưng đánh giá rủi ro nhận dạng lại một cách thực tế, đặc biệt với các bệnh hiếm, quần thể nhỏ, hoặc các bộ dữ liệu liên kết phong phú nơi hiệu ứng khảm phát huy. Kiểm soát môi trường cũng như dữ liệu: ưu tiên các Môi trường Dữ liệu An toàn được công nhận, nơi các nhà phân tích làm việc trên dữ liệu không bao giờ rời khỏi một bối cảnh được quản trị, hơn là gửi ra khỏi tòa nhà các bản trích xuất "đã ẩn danh". Ghi lại rủi ro còn lại và ai chấp nhận nó.

7. Thực hiện một cuộc rà soát đạo đức cho những cách sử dụng mà riêng luật không giải quyết được. Thiết lập một lộ trình — một ủy ban đạo đức dữ liệu, một quy trình đạo đức nghiên cứu hiện có, hoặc một chức năng thường trực — để soi xét các cách sử dụng mới lạ, nhạy cảm hoặc vướng mắc thương mại trước khi chúng tiến hành. Trao cho nó thành viên độc lập và đại diện dân thường để nó không chỉ là tổ chức tự trấn an mình, và yêu cầu nó xem xét sự công bằng và tác động khác biệt lên các nhóm, không chỉ quyền riêng tư.

8. Làm cho sự minh bạch chủ động, cụ thể và dễ đọc với con người. Công bố, bằng ngôn ngữ dễ hiểu, bạn nắm giữ dữ liệu gì, dùng cho việc gì, chia sẻ với ai (bao gồm các đối tác thương mại), và người ta có những lựa chọn nào. Một thông báo quyền riêng tư dày đặc viết cho cơ quan quản lý không phải là minh bạch; một sổ đăng ký công khai rõ ràng về các cách sử dụng dữ liệu thì có. Hãy công bố các sắp xếp mới hoặc thương mại trước khi chúng bắt đầu, vì một cách sử dụng lộ ra qua một vụ rò rỉ cho nhà báo sẽ bị đọc là che giấu bất kể giá trị của nó.

9. Đưa bệnh nhân và cộng đồng vào các quyết định về dữ liệu của họ — sớm và thực sự. Sự tham gia của công chúng và bệnh nhân không phải một bài tập truyền thông gắn thêm lúc ra mắt; nó định hình những gì bạn xây dựng và liệu bạn có giành được giấy phép xã hội hay không. Đưa bệnh nhân, người chăm sóc và đại diện cộng đồng — đặc biệt từ các nhóm có lý do lịch sử chính đáng để không tin tưởng các thể chế — vào thiết kế và quản trị, và cho thấy ý kiến của họ đã thay đổi các quyết định như thế nào. Điều này liên quan trực tiếp đến Chủ đề 3.0 — Nghiên cứu người dùng và thiết kế dịch vụ và Chủ đề 8.2 — Truyền thông và gắn kết.

10. Sở hữu sự công bằng và trách nhiệm giải trình khi dữ liệu thúc đẩy các quyết định. Khi dữ liệu nuôi các điểm số rủi ro, công cụ ưu tiên hoặc mô hình, hãy hỏi dữ liệu của ai đã huấn luyện chúng, những nhóm nào có thể bị đại diện thiếu, và ai phải chịu trách nhiệm khi kết quả sai hoặc phân biệt đối xử. Giữ con người trong vòng lặp đối với các quyết định hệ quả và giám sát kết quả theo các nhóm nhân khẩu học theo thời gian. Giao quản trị mô hình chi tiết cho Chủ đề 8.4 — Quản trị AI và công nghệ mới nổi, nhưng đừng xem "thuật toán đã quyết định" là lối thoát khỏi trách nhiệm.

Câu hỏi để thảo luận với nhóm của bạn#

1. Với việc sử dụng dữ liệu nhạy cảm hoặc mới lạ nhất của chúng ta, khoảng cách trung thực giữa điều luật cho phép và điều bệnh nhân thực sự kỳ vọng là gì — và làm sao chúng ta thu hẹp nó? Đây là câu hỏi cốt lõi của chủ đề, vì vậy hãy làm cho nó cụ thể thay vì trừu tượng: chọn một cách sử dụng thực trong tổ chức của bạn — một quan hệ đối tác nghiên cứu, một thỏa thuận với nhà cung cấp, một bảng điều khiển sức khỏe dân số, một mô hình. Đi qua điều luật cho phép, rồi hỏi riêng điều một bệnh nhân bình thường, hơi hoài nghi sẽ cho rằng đang diễn ra, và gọi tên khoảng cách giữa hai điều đó. Khoảng cách ấy là nơi niềm tin được giành hay mất, và nó vô hình nếu bạn chỉ từng hỏi câu hỏi pháp lý. Một cuộc thảo luận tốt làm lộ ra ít nhất một cách sử dụng mà nhóm đang dựa vào "nó hợp pháp" để tránh một cuộc trò chuyện khó hơn, và đưa ra một quyết định hoặc thay đổi cách sử dụng, tìm sự đồng ý có ý nghĩa, hoặc giải thích nó cởi mở hơn nhiều. Hãy chú ý lời biện hộ đặc trưng "nhưng chúng tôi được phép" — nó thường có nghĩa là câu hỏi đạo đức chưa bao giờ được đặt ra.

2. Chúng ta đang gây hại cho bệnh nhân bằng việc không chia sẻ dữ liệu ở đâu, và chúng ta có trung thực về tác hại đó như về rủi ro vi phạm không? Đạo đức dữ liệu thường bị nhầm là tối thiểu hóa dữ liệu, và sự quá thận trọng mang tính phòng thủ khoác áo an toàn trong khi gây thiệt hại thực sự. Hãy thảo luận các trường hợp cụ thể từ môi trường của chính bạn: một dị ứng bị bỏ sót, một mối lo ngại về bảo vệ người dễ bị tổn thương rơi giữa các cơ quan, một ca xuất viện hỏng vì các nhóm cộng đồng thiếu bối cảnh, một nhà nghiên cứu bị chặn khỏi dữ liệu có thể đã tìm ra một tín hiệu an toàn. Nguyên tắc Caldicott rằng nghĩa vụ chia sẻ có thể quan trọng không kém nghĩa vụ bảo vệ tồn tại chính xác vì các tổ chức thấy việc giữ lại an toàn hơn về mặt tâm lý, ngay cả khi nó không thực sự an toàn hơn cho bệnh nhân. Một nhóm trưởng thành có thể nêu những thất bại theo cả hai hướng và có lộ trình để báo cáo mỗi loại, thay vì xem "không" là mặc định không rủi ro. Cũng hãy xem xét liệu các động cơ của bạn có thưởng cho người từ chối chia sẻ nhiều hơn người chia sẻ phù hợp hay không.

3. Nếu một tờ báo quốc gia đưa tin về một trong các sắp xếp chia sẻ dữ liệu của chúng ta vào ngày mai — chính xác nhưng không thiện cảm — chúng ta có vượt qua được không, và câu trả lời cho chúng ta biết điều gì cần sửa ngay bây giờ? Chương trình care.data không bị đánh sập vì bất hợp pháp; nó bị đánh sập vì công chúng cảm thấy có điều gì đó đang được làm với họ mà không có lời giải thích thực sự hay lựa chọn thực sự. Hãy chạy phép thử này với các sắp xếp của chính bạn, đặc biệt bất kỳ sắp xếp nào liên quan đến đối tác thương mại, huấn luyện mô hình, hoặc các mục đích sử dụng thứ cấp mà bệnh nhân chưa được thông báo rõ ràng. Câu chuyện trở nên khó chịu ở đâu — là đối tác, việc thiếu cơ chế từ chối, sự mơ hồ của thông báo công khai, hay sự vắng mặt của bất kỳ sự tham gia nào của cộng đồng? Sự khó chịu đó là bản đồ chính xác về nơi giấy phép xã hội của bạn mỏng. Một câu trả lời tốt không phải là "chúng tôi sẽ xoay xở với báo chí"; đó là một danh sách những điều bạn sẽ làm minh bạch hơn, có sự đồng ý hơn, hoặc đơn giản là ngừng làm, và nó nối với kỷ luật tham gia ở Chủ đề 8.2 — Truyền thông và gắn kết.

4. Khi chúng ta gọi dữ liệu là "đã ẩn danh", chúng ta tự tin đến đâu rằng nó không thể bị nối lại với một người — và ai đã thực sự kiểm thử tuyên bố đó? Khử nhận dạng được xem là vạch đích thường xuyên hơn mức nó xứng đáng, và "đã ẩn danh" thường được khẳng định thay vì được đánh giá. Hãy chọn một bộ dữ liệu sử dụng thứ cấp thực và hỏi chính xác điều gì đã được làm với nó — giả danh hóa với một khóa giữ riêng, hay ẩn danh hóa thực sự — rồi hỏi nó sẽ trụ ra sao trước hiệu ứng khảm nếu ai đó liên kết nó với dữ liệu khác, đặc biệt với các bệnh hiếm, quần thể nhỏ, hoặc hồ sơ chi tiết phong phú. Cũng hãy hỏi dữ liệu thực sự nằm ở đâu: nó được phân tích bên trong một Môi trường Dữ liệu An toàn được công nhận không bao giờ cho nó rời đi, hay được gửi ra như một bản trích xuất với giả định rằng nhãn mác làm nó an toàn? Một cuộc thảo luận trung thực nêu rõ rủi ro nhận dạng lại còn lại, ghi lại ai đã chấp nhận rủi ro đó, và phân biệt điều đã được kiểm thử với điều chỉ mới được hy vọng. Nếu không ai trong phòng nói được ai đã thử thách tuyên bố đó lần cuối, thì sự vắng mặt đó chính là phát hiện.

5. Khi dữ liệu nuôi một điểm số rủi ro, một công cụ ưu tiên hoặc một mô hình, dữ liệu của ai đã huấn luyện nó, nó có thể gây bất lợi cho ai, và ai chịu trách nhiệm khi nó sai? Công bằng dễ tán thành về nguyên tắc và dễ bỏ bê trong thực tế, vì thiên lệch ẩn trong dữ liệu trông đầy đủ nhưng đại diện thiếu chính những nhóm vốn đã chịu thiệt nhất. Hãy lấy một ví dụ cụ thể — một mô hình rủi ro nhập viện, một công cụ phân loại, một điểm ưu tiên danh sách ca bệnh — và hỏi quần thể nào mỏng trong dữ liệu huấn luyện, một người bị đánh dấu sai hay bị bỏ sót sai sẽ bị ảnh hưởng ra sao, và có ai giám sát kết quả theo sắc tộc và mức độ thiếu thốn theo thời gian chứ không chỉ lúc ra mắt không. Hãy ép vào trách nhiệm giải trình: khi kết quả bị thách thức, có một con người có tên sở hữu quyết định, hay "thuật toán đã quyết định" lặng lẽ hấp thụ trách nhiệm? Quản trị mô hình sâu thuộc về Chủ đề 8.4 — Quản trị AI và công nghệ mới nổi, nhưng quyền sở hữu đạo đức nằm ở đây. Một câu trả lời trưởng thành ghép một cam kết giám sát công bằng cụ thể với một đường trách nhiệm rõ ràng, không phải một lời trấn an rằng phép toán là trung lập.

6. Chúng ta tham gia với những người sở hữu dữ liệu này như thế nào — đặc biệt là các cộng đồng có lý do tốt nhất để không tin chúng ta — và chúng ta có thể chỉ ra một quyết định mà sự tham gia của họ thực sự đã thay đổi không? Sự tham gia là phần dễ bị biến thành đồ trang trí nhất: một cuộc tham vấn tổ chức sau khi thiết kế đã cố định, hoặc một hội đồng chỉ gồm những người vốn đã tin tưởng thể chế. Câu hỏi khó hơn và có giá trị hơn là liệu bệnh nhân, người chăm sóc và đại diện cộng đồng — đặc biệt từ các nhóm từng bị dịch vụ y tế phụ lòng trong lịch sử — có mặt trong phòng đủ sớm để thay đổi những gì được xây dựng hay không, và bạn có thể gọi tên một thay đổi cụ thể là kết quả hay không. Hãy thảo luận bạn không nghe được ai và vì sao, và liệu sự tham gia của bạn có chạm tới những người ít được lắng nghe hay chỉ khẳng định lại những người thoải mái. Điều này nối với Chủ đề 3.0 — Nghiên cứu người dùng và thiết kế dịch vụ và Chủ đề 8.2 — Truyền thông và gắn kết. Một câu trả lời trung thực phân biệt đồng thiết kế thực sự đã dịch chuyển một quyết định với một bài tập truyền thông chỉ thông báo một quyết định, và thẳng thắn về việc hiện tại bạn đang làm cái nào trong hai.

Trong thực tế: một ví dụ về y tế và chăm sóc#

Hệ thống Chăm sóc Tích hợp Riverbourne muốn dùng dữ liệu bệnh nhân được liên kết để giảm các ca nhập viện cấp cứu ở những người mắc nhiều bệnh mạn tính. Nhóm phân tích có một lập luận mạnh: đưa dữ liệu bệnh viện, bác sĩ gia đình, cộng đồng và chăm sóc xã hội lại với nhau, xây một mô hình rủi ro, và đề nghị hỗ trợ chủ động cho những người có khả năng xấu đi nhất. Về mặt pháp lý, lộ trình khả thi. Tuy nhiên, giám đốc chương trình nhớ lại care.data, và khăng khăng các câu hỏi đạo đức và niềm tin phải được trả lời trước khi một dòng của mô hình được xây.

Nhóm tách hai câu hỏi một cách có chủ đích. Chúng ta có thể? được xử lý cùng Cán bộ Bảo vệ Dữ liệu và Người bảo vệ Caldicott: một cơ sở pháp lý, một Đánh giá Tác động Bảo vệ Dữ liệu, và xác nhận rằng cơ chế từ chối dữ liệu quốc gia áp dụng cho mục đích sử dụng thứ cấp này. Chúng ta có nên? được đưa đến một nhóm đạo đức dữ liệu mới được triệu tập, gồm các thành viên độc lập và đại diện dân thường, trong đó có hai đại diện bệnh nhân từ các cộng đồng có mức tin tưởng lịch sử thấp với dịch vụ y tế. Nhóm đặt những câu hỏi khó hơn các luật sư: một điểm số rủi ro có thể gây bất lợi cho ai, điều gì xảy ra với người bị đánh dấu sai, và liệu bệnh nhân có ngạc nhiên khi biết dữ liệu chăm sóc xã hội của họ đang nuôi một mô hình của bệnh viện?

Những câu hỏi đó thay đổi thiết kế. Việc phân tích chạy bên trong một Môi trường Dữ liệu An toàn được công nhận, để các nhà phân tích chỉ làm việc trên các hồ sơ đã giả danh hóa không bao giờ rời khỏi bối cảnh được quản trị. Các kết quả đầu ra của mô hình được một bác sĩ rà soát trước khi bất kỳ ai được liên hệ, không được hành động tự động. Nhóm cam kết giám sát xem mô hình có hoạt động như nhau giữa các nhóm sắc tộc và mức độ thiếu thốn hay không, sau khi nhận thấy việc đại diện thiếu trong dữ liệu huấn luyện nếu không sẽ củng cố bất bình đẳng. Và ICS công bố một mô tả dễ hiểu — dữ liệu gì, mục đích gì, ai hưởng lợi, có biện pháp bảo vệ nào, và cách từ chối — trước khi chương trình bắt đầu, thay vì chờ được hỏi.

Khi một nhà báo địa phương hỏi, nhiều tháng sau, câu chuyện diễn ra bình lặng: sắp xếp đã công khai, việc từ chối được tôn trọng, bệnh nhân đã giúp định hình nó, và các biện pháp bảo vệ là thật. Tỷ lệ từ chối hầu như không thay đổi. Chương trình giảm nhập viện ở mức khiêm tốn trong năm đầu, nhưng chiến thắng bền vững hơn là Riverbourne giờ đây có thể đề xuất sáng kiến dữ liệu tiếp theo của mình từ một vị thế niềm tin thay vì nghi ngờ. Sự đánh đổi là rõ ràng: sự tham gia và rà soát đạo đức đã thêm ba tháng và một số thiết kế lại khó chịu, và mua được một giấy phép xã hội mà một lần ra mắt nhanh hơn, im lặng hơn sẽ đánh cược mất.

Góc nhìn theo khu vực#

Công ty khởi nghiệp#

Một công ty khởi nghiệp công nghệ y tế thường có bản năng kỹ thuật sắc bén và cảm nhận mỏng về động lực niềm tin của ngành, và mô hình thương mại của nó thường phụ thuộc vào những cách sử dụng dữ liệu — phân tích, huấn luyện mô hình, quan hệ đối tác — mà bệnh nhân sẽ không kỳ vọng. Nếu bạn là một công ty khởi nghiệp, rủi ro sống còn của bạn không phải một khoản phạt của cơ quan quản lý mà là một đối tác NHS bỏ đi khi một cách sử dụng dữ liệu giải thích chưa đủ lộ ra. Hãy lồng câu hỏi "chúng ta có nên?" vào các quyết định sản phẩm ngay từ đầu, thật sự trung thực về sự đồng ý so với từ chối so với cơ sở luật định, và đừng bao giờ xem "đã ẩn danh" là sự thật đã định khi dữ liệu của bạn đủ phong phú để nhận dạng lại. Giành niềm tin khi còn nhỏ rẻ hơn nhiều so với xây lại nó sau một sai lầm công khai.

Doanh nghiệp nhỏ#

Một nhà cung cấp nhỏ đã thành lập — một phòng khám bác sĩ gia đình, một hiệu thuốc cộng đồng, một nhà dưỡng lão, một cơ sở chăm sóc tại nhà, một phòng khám đơn lẻ, hoặc một nhà cung cấp công nghệ y tế nhỏ đã qua giai đoạn khởi nghiệp — mang cùng nghĩa vụ bảo mật và cùng nghĩa vụ "không bất ngờ" như một bệnh viện lớn, nhưng với bệnh nhân thật trong danh sách, một nhúm nhân viên, và ít hoặc không có năng lực quản trị thông tin hay CNTT chuyên trách. Rủi ro niềm tin ở đây thường lặng lẽ hơn một thỏa thuận dữ liệu gây tiêu đề: một công cụ nhắc lịch hẹn mới, một tính năng phân tích được nhà cung cấp bật lên, hoặc dữ liệu bệnh nhân bị chia sẻ tùy tiện với một bên thứ ba vì không ai có thời gian hỏi "chúng ta có nên?". Hãy biến phép thử kỳ vọng hợp lý thành một thói quen nhanh, thường quy thay vì một ủy ban chính thức, gọi tên trung thực mô hình đồng ý cho mỗi cách sử dụng, và dựa vào trách nhiệm Caldicott và Bảo vệ Dữ liệu của bạn ngay cả khi chúng rơi vào một người bán thời gian duy nhất. Hãy chọn các nhà cung cấp có cài đặt mặc định tôn trọng cơ chế từ chối dữ liệu quốc gia và giữ dữ liệu trong các bối cảnh được quản trị, vì bạn thừa hưởng đạo đức của họ cùng phần mềm của họ. Và hãy nhớ nghĩa vụ chia sẻ cắt hai chiều — từ chối chuyển một mối lo ngại về bảo vệ người dễ bị tổn thương hay tiền sử dùng thuốc vì cảm thấy an toàn hơn có thể gây hại cho bệnh nhân nhiều hơn chia sẻ.

Doanh nghiệp lớn#

Một bệnh viện lớn hoặc ICS nắm giữ dữ liệu đồ sộ, cực kỳ nhạy cảm và thường có quản trị pháp lý trưởng thành nhưng cơ bắp đạo đức yếu hơn — nhiều DPIA, ít cuộc trò chuyện đạo đức thực sự. Thách thức của bạn là thêm tầng đạo đức mà không làm tê liệt việc chia sẻ chính đáng hay để các quan hệ đối tác thương mại và nghiên cứu chạy trước sự hiểu biết của công chúng. Hãy lập một chức năng đạo đức dữ liệu thực sự có thành viên dân thường, công bố công khai các cách sử dụng dữ liệu và quan hệ đối tác, và bảo đảm nghĩa vụ chia sẻ được tôn trọng để sự quá thận trọng mang tính phòng thủ không lặng lẽ gây hại cho bệnh nhân. Quyền sở hữu niềm tin công chúng ở cấp hội đồng quản trị — không chỉ tuân thủ — là yếu tố tạo khác biệt, và nó nối với Chủ đề 6.4 — Quản trị và đảm bảo.

Chính phủ#

Các cơ quan quốc gia đặt ra các khung mà mọi người khác thừa hưởng — cơ chế từ chối dữ liệu quốc gia, hướng dẫn của Người bảo vệ Dữ liệu Quốc gia, các nguyên tắc Caldicott — và gánh niềm tin công chúng ở quy mô dân số, nơi hậu quả của việc làm sai mang tính lịch sử chứ không phải cục bộ. Chương trình care.data là đài tưởng niệm cảnh báo: một đề án quốc gia hợp pháp, thiện chí đã sụp đổ vì công chúng cảm thấy không được thông tin và không được tham vấn, và nó làm suy giảm niềm tin trong nhiều năm. Hãy dẫn đầu bằng sự minh bạch, sự tham gia quốc gia thực chất và giám sát độc lập trước khi mở rộng, không phải sau một phản ứng dữ dội. Hãy nhận ra sự đánh đổi bạn sở hữu: chính sách quốc gia quá thận trọng bỏ đói chăm sóc và nghiên cứu, trong khi chính sách cẩu thả đánh mất sự đồng thuận của công chúng mà cả hệ thống dữ liệu phụ thuộc vào, như được khám phá thêm ở Chủ đề 4.5 — Dữ liệu, phân tích và quản lý sức khỏe dân số.

Các kiểu thất bại thường gặp#

• Chỉ trả lời câu hỏi pháp lý. Xem một cơ sở pháp lý là sự biện minh trọn vẹn, nên không ai hỏi liệu một cách sử dụng có công bằng, được kỳ vọng hay khôn ngoan không. Đây chính là cách các chương trình thiện chí, hoàn toàn tuân thủ đánh mất niềm tin công chúng.
• Sân khấu đồng ý. Trình bày một cơ chế từ chối, một thông báo quyền riêng tư bị chôn, hoặc một quyền hạn luật định như thể nó là sự đồng ý có hiểu biết có ý nghĩa, khiến người ta cảm thấy bị lừa khi phát hiện "đồng ý" thực sự nghĩa là gì.
• Cách sử dụng bị che giấu hoặc gây bất ngờ. Mở rộng dữ liệu thu thập cho chăm sóc sang phân tích, thỏa thuận thương mại hoặc huấn luyện mô hình mà không có thông báo rõ ràng, chủ động — cho đến khi một vụ rò rỉ biến một hoạt động bảo vệ được thành một vụ bê bối.
• Ẩn danh hóa như bằng chứng ngoại phạm. Gắn nhãn dữ liệu phong phú, có thể liên kết là "đã ẩn danh" và xem câu hỏi đạo đức là đã đóng, bỏ qua rủi ro nhận dạng lại và hiệu ứng khảm.
• Sự tham gia như đồ trang trí. Tham vấn công chúng sau khi các quyết định đã được đưa ra, hoặc chỉ với những người vốn đã tin tưởng, khiến bài tập hợp thức hóa thay vì cung cấp thông tin — và bỏ lỡ các cộng đồng có niềm tin mong manh nhất.
• Sự quá thận trọng mang tính phòng thủ. Từ chối chia sẻ chính đáng và gọi đó là an toàn, trong khi bệnh nhân bị hại bởi các bác sĩ không thể thấy điều họ cần.

Mô hình trưởng thành#

Danh sách kiểm tra#

• Mọi cách sử dụng dữ liệu không hiển nhiên đều có một quyết định "chúng ta có nên?" được ghi lại, tách biệt với cơ sở pháp lý của nó.
• Mô hình đồng ý (ngầm định, rõ ràng, hay từ chối) được gọi tên trung thực cho từng cách sử dụng.
• Cơ chế từ chối dữ liệu quốc gia được áp dụng cho mọi cách sử dụng thứ cấp mà nó bao phủ, và điều này có thể chứng minh được.
• Mỗi luồng dữ liệu mới vượt qua phép thử kỳ vọng hợp lý / "không bất ngờ".
• Rủi ro nhận dạng lại được đánh giá cho dữ liệu đã khử nhận dạng, dùng Môi trường Dữ liệu An toàn khi khả thi.
• Có một lộ trình rà soát đạo đức dữ liệu với thành viên độc lập và đại diện dân thường cho các cách sử dụng mới lạ hoặc nhạy cảm.
• Một sổ đăng ký công khai dễ hiểu về các cách sử dụng dữ liệu, đối tác và lựa chọn được công bố và cập nhật.
• Các sắp xếp dữ liệu mới hoặc thương mại được chủ động công bố trước khi chúng bắt đầu.
• Bệnh nhân và cộng đồng — bao gồm các nhóm ít tin tưởng — được tham gia vào thiết kế và quản trị, với ảnh hưởng của họ được ghi lại.
• Thiên lệch và tác động khác biệt được đánh giá khi dữ liệu thúc đẩy các quyết định, với trách nhiệm giải trình được sở hữu rõ ràng.
• Nghĩa vụ chia sẻ được cân nhắc có chủ đích như nghĩa vụ bảo vệ, để sự quá thận trọng không bị nhầm là an toàn.

Nguồn chính#

• Người bảo vệ Dữ liệu Quốc gia về Y tế và Chăm sóc Xã hội — các cuộc rà soát, Các Nguyên tắc Caldicott và hướng dẫn về sử dụng dữ liệu đáng tin cậy.
• NHS England — cơ chế từ chối dữ liệu quốc gia: chính sách, hướng dẫn vận hành và thông tin công khai.
• Understanding Patient Data — giải thích dễ hiểu về cách thức và lý do dữ liệu NHS được sử dụng.
• Văn phòng Ủy viên Thông tin (ICO) — hướng dẫn về ẩn danh hóa, giả danh hóa và chia sẻ dữ liệu.
• Người bảo vệ Dữ liệu Quốc gia & Bộ Y tế — Review of Data Security, Consent and Opt-Outs (2016), tiếp sau trải nghiệm care.data.
• Viện Ada Lovelace — nghiên cứu về đạo đức dữ liệu, thái độ của công chúng và thực hành dữ liệu đáng tin cậy trong y tế.
• NHS Digital / NHS England — các hướng dẫn chính sách Môi trường Dữ liệu An toàn cho dữ liệu y tế và chăm sóc xã hội.

Tài liệu tham khảo#

1. Big data ethics — Wikipedia — https://en.wikipedia.org/wiki/Big_data_ethics
2. Informed consent — Wikipedia — https://en.wikipedia.org/wiki/Informed_consent
3. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
4. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
8. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
9. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
10. Algorithmic bias — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_bias
11. Algorithmic accountability — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_accountability
12. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
13. Review of Data Security, Consent and Opt-Outs — National Data Guardian — https://www.gov.uk/government/publications/review-of-data-security-consent-and-opt-outs
14. The Caldicott Principles — National Data Guardian — https://www.gov.uk/government/publications/the-caldicott-principles
15. How we use and protect data / Understanding Patient Data — Understanding Patient Data — https://understandingpatientdata.org.uk/
16. Anonymisation and pseudonymisation guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/
17. Secure Data Environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines