Chủ đề 4.10 — Môi trường dữ liệu an toàn và truy cập dữ liệu nghiên cứu

Trong y tế và chăm sóc, việc tái sử dụng an toàn dữ liệu bệnh nhân cho nghiên cứu và hoạch định phụ thuộc vào một nguyên tắc khó giành được — đưa nhà phân tích đến dữ liệu, không bao giờ đưa dữ liệu đến nhà phân tích — được thực thi qua các môi trường an toàn, quản trị nhiều lớp và trách nhiệm giải trình công khai, hiển thị.

Vì sao điều này quan trọng trong y tế và chăm sóc#

Các hệ thống y tế và chăm sóc nắm giữ một số dữ liệu dọc phong phú nhất từng được tập hợp về cuộc sống con người: sinh ra, chẩn đoán, đơn thuốc, phẫu thuật, tử vong, và hoàn cảnh xã hội quanh chúng. Được tái sử dụng tốt, dữ liệu đó tìm ra thuốc an toàn hơn, phát hiện dịch vụ đang thất bại, nhắm nguồn lực khan hiếm, và thúc đẩy việc khám phá các phương pháp điều trị cứu sống người. Được tái sử dụng tồi, nó vi phạm sự tin cậy của hàng triệu người chưa bao giờ chọn làm chủ thể dữ liệu, ăn mòn niềm tin mà cả hệ thống vận hành dựa vào, và — vì niềm tin một khi mất thì chậm xây lại — đặt lùi chính nghiên cứu mà nó định hỗ trợ.

Căng thẳng này mang tính cấu trúc, không phải ngẫu nhiên. Công chúng luôn ủng hộ việc dùng dữ liệu của họ cho nghiên cứu vì lợi ích công, và cũng luôn phản đối việc dữ liệu rời khỏi nơi lưu giữ an toàn, bị bán mà không có trách nhiệm giải trình, hoặc chảy vào tay thương mại theo các điều khoản họ không thấy. Một nhà lãnh đạo số đứng đúng trên đường đứt gãy đó. Bạn được yêu cầu mở khóa giá trị từ dữ liệu (một nghĩa vụ với những bệnh nhân chưa sinh ra, và với ngân sách công) trong khi giữ một nghĩa vụ bảo mật nghiêm túc không kém với những người mà dữ liệu mô tả.

Các Môi trường Dữ liệu An toàn (SDE), còn gọi là Môi trường Nghiên cứu Đáng tin, là câu trả lời vận hành mà Vương quốc Anh đã quy tụ về. Chúng đổi mặc định từ sao chép dữ liệu ra cho nhà nghiên cứu sang việc nhà nghiên cứu vào làm việc trên dữ liệu không bao giờ di chuyển. Đây không phải một sự tinh tế kỹ thuật; đó là cơ chế qua đó hệ thống giữ một lời hứa công khai. Làm đúng là một trách nhiệm kề cận an toàn lâm sàng, công bằng và niềm tin công chúng (xem Chủ đề 1.8 — Đạo đức dữ liệu, sự đồng ý và niềm tin công chúng), và ngày càng là kỳ vọng luật định, không phải vấn đề tùy ý địa phương.

Các khái niệm cốt lõi#

Một Môi trường Dữ liệu An toàn (SDE) — thuật ngữ nay được ưa dùng trong chính sách NHS — là một nền tảng lưu trữ và phân tích trong đó các nhà nghiên cứu được phê duyệt truy cập dữ liệu được phê duyệt cho các mục đích được phê duyệt, mà dữ liệu không bị trích xuất hay sao chép ra. Tên cũ hơn và phổ biến quốc tế là Môi trường Nghiên cứu Đáng tin (TRE); hai tên mô tả cùng một mô hình. Ý tưởng chi phối là đưa nhà phân tích đến dữ liệu, không đưa dữ liệu đến nhà phân tích: tính toán diễn ra bên trong các bức tường, và chỉ kết quả đã kiểm tra, tổng hợp mới rời đi.

Khung cấu trúc điều này là Năm an toàn (Five safes), do Văn phòng Thống kê Quốc gia Vương quốc Anh phát triển. Nó phân rã truy cập dữ liệu an toàn thành năm chiều: con người an toàn (nhà nghiên cứu có được đào tạo, được công nhận và chịu trách nhiệm?), dự án an toàn (việc sử dụng này có hợp pháp, đạo đức và vì lợi ích công?), bối cảnh an toàn (môi trường có ngăn rò rỉ?), dữ liệu an toàn (dữ liệu có được tối thiểu hóa và khử nhận dạng đến mức dự án cho phép?), và kết quả đầu ra an toàn (kết quả có được kiểm tra trước khi phát hành để không cá nhân nào bị nhận dạng?). Không biện pháp kiểm soát đơn lẻ nào là đủ; an toàn là tích của cả năm.

Hai kỷ luật bảo vệ chính dữ liệu. Tối thiểu hóa dữ liệu nghĩa là chỉ cung cấp các trường và hồ sơ mà một dự án thực sự cần, không bao giờ toàn bộ hồ sơ "phòng khi". Khử nhận dạng là thuật ngữ bao trùm để giảm khả năng nhận dạng của dữ liệu. Bên trong đó, bút danh hóa thay thế các mã định danh trực tiếp (tên, Số NHS) bằng một mã thông báo liên kết khóa, để việc nhận dạng lại chỉ khả thi khi giữ khóa riêng — dữ liệu vẫn là dữ liệu cá nhân theo luật. Ẩn danh hóa nhắm làm cho dữ liệu không còn là cá nhân chút nào, khó hơn nhiều so với nghe có vẻ, vì nhận dạng lại — khớp dữ liệu được cho là ẩn danh với các tập dữ liệu khác để tiết lộ ai đó là ai — trở nên dễ hơn khi có nhiều dữ liệu hơn trên thế giới. Ẩn danh thực sự dữ liệu lâm sàng phong phú thường bất khả thi; đó chính là lý do mô hình SDE tồn tại.

Trước khi kết quả rời môi trường, chúng qua kiểm tra kết quả đầu ra, cổng con người và thủ tục áp dụng kiểm soát tiết lộ thống kê — các kỹ thuật ngăn các ô đếm nhỏ, các điểm ngoại lai duy nhất hay các tấn công chênh lệch làm lộ cá nhân. Cổng thường được gọi là airlock: kết quả vào một khu vực chờ, một người kiểm tra được đào tạo rà soát, và chỉ các kết quả được thông qua mới chuyển đến nhà nghiên cứu. Các kỹ thuật riêng tư mới nổi như quyền riêng tư vi phân, thêm nhiễu thống kê được hiệu chỉnh để giới hạn đóng góp của bất kỳ hồ sơ đơn lẻ nào vào một kết quả, bổ sung chứ không thay thế biện pháp kiểm soát con người này.

Hai khái niệm nữa định hình tương lai. Học liên bang và phân tích liên bang cho phép một truy vấn hay mô hình chạy qua nhiều SDE, mỗi cái giữ dữ liệu riêng của mình, để hiểu biết được kết hợp mà không dữ liệu thô nào bị gộp — bước tiếp theo tự nhiên cho một mạng lưới quốc gia phân tán. Và giấy phép xã hội — sự cho phép không chính thức, liên tục của công chúng mà một chương trình dữ liệu vận hành dưới đó — là tài sản vô hình mà toàn bộ bộ máy trên tồn tại để bảo vệ. Câu chuyện cảnh báo là care.data, chương trình 2013–2016 của NHS England nhằm trích xuất dữ liệu bác sĩ gia đình, bị từ bỏ sau khi không giải thích được với công chúng và mất niềm tin của họ.

Thực hành tốt nhất#

1. Biến môi trường, không phải việc xuất dữ liệu, thành mặc định. Quyết định thiết kế quan trọng nhất là dữ liệu không rời đi. Cung cấp cho nhà nghiên cứu năng lực tính toán, công cụ và tập dữ liệu được tuyển chọn bên trong SDE, và loại bỏ các lộ trình mà dữ liệu từng rỉ ra — tải xuống hàng loạt, bản trích xuất gửi qua email, bảng tính sao chép. Mỗi thỏa thuận chia sẻ dữ liệu cũ kết thúc bằng một bản sao rời tòa nhà là một trách nhiệm pháp lý bạn nên chủ động cho nghỉ hưu để nhường chỗ cho truy cập tại chỗ.

2. Vận hành hóa cả Năm an toàn, không chỉ công nghệ. Cám dỗ là mua một nền tảng an toàn và tuyên bố vấn đề đã xong, nhưng một bối cảnh được gia cố mà thẩm định dự án yếu hay không có kiểm tra kết quả đầu ra là một vụ vi phạm đang chờ xảy ra. Xây các quy trình rõ ràng, có bằng chứng cho từng điều an toàn: công nhận và đào tạo nhà nghiên cứu, một góc nhìn độc lập về việc dự án có hợp pháp và vì lợi ích công không, cung cấp dữ liệu đã tối thiểu hóa và khử nhận dạng, và kiểm tra kết quả đầu ra có kỷ luật. Xem năm điều như một hệ thống nơi mắt xích yếu nhất đặt ra mức an toàn thực của bạn.

3. Tối thiểu hóa và khử nhận dạng đến mức nhận dạng thấp nhất mà dự án chịu được. Đừng trao toàn bộ hồ sơ khi một đoàn hệ và một tá trường là đủ trả lời câu hỏi. Bút danh hóa mặc định các mã định danh trực tiếp, bỏ hoặc làm thô các định danh gián tiếp như mã bưu chính đầy đủ và ngày sinh chính xác, và dành quyền truy cập dữ liệu dễ nhận dạng hơn cho những dự án hiếm thực sự cần, dưới phê duyệt chặt hơn. Hãy nhớ rằng dữ liệu đã bút danh hóa vẫn là dữ liệu cá nhân theo luật (xem Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng), nên các biện pháp kiểm soát của SDE, không phải tuyên bố ẩn danh, mới là thứ giữ bạn hợp pháp.

4. Đặt một airlock thật và những người kiểm tra kết quả được đào tạo giữa kết quả và phát hành. Khoảnh khắc rủi ro cao nhất là khi có thứ rời môi trường. Định tuyến mọi kết quả đầu ra qua một khu vực chờ nơi một người kiểm tra được đào tạo áp dụng kiểm soát tiết lộ thống kê — chặn các ô nhỏ, làm tròn, và canh chừng sự chênh lệch qua các yêu cầu liên tiếp của một nhà nghiên cứu — trước khi bất cứ thứ gì ra ngoài. Cấp nguồn lực đúng mức: kiểm tra kết quả đầu ra là công việc có kỹ năng, và một hàng đồn xúi người ta "cứ gửi email đi" phá vỡ toàn bộ mô hình.

5. Làm cho phê duyệt quản trị thông tin chặt chẽ, độc lập và đủ nhanh để dùng. Truy cập nên dựa trên một phán đoán độc lập rằng dự án hợp pháp và vì lợi ích công, thường qua một ủy ban truy cập dữ liệu và, nơi thông tin bệnh nhân bí mật được dùng mà không có sự đồng ý, Nhóm Tư vấn Bảo mật (CAG) tư vấn về hỗ trợ theo mục 251 theo các quy định liên quan. Chặt chẽ và nhanh không đối lập: một ủy ban minh bạch, đủ nhân sự với tiêu chí rõ phê duyệt dự án tốt nhanh hơn và từ chối dự án xấu một cách bảo vệ được hơn một ủy ban mờ đục, chậm. Một quy trình chậm đến mức nhà nghiên cứu đi vòng là thất bại quản trị, không phải thành công quản trị.

6. Giành và giữ giấy phép xã hội bằng sự minh bạch triệt để. Bài học của care.data là hợp pháp không giống được tin. Công bố một sổ đăng ký sử dụng dữ liệu cho thấy ai đã truy cập dữ liệu nào, cho mục đích gì và với kết quả gì; vận hành sự tham gia thực sự của công chúng và bệnh nhân trong cách SDE được quản trị; và đưa ra một cơ chế từ chối dữ liệu quốc gia rõ ràng, được tôn trọng. Minh bạch không phải điều nghĩ sau của truyền thông gắn vào lúc ra mắt — đó là điều kiện vận hành cho phép cả doanh nghiệp tiếp tục (xem Chủ đề 1.8 — Đạo đức dữ liệu, sự đồng ý và niềm tin công chúng).

7. Thiết kế cho liên bang khắp mạng SDE, không phải một khu vườn có tường. Mô hình của Anh là một SDE quốc gia cùng các SDE cấp dưới quốc gia được công nhận, và nghiên cứu ngày càng cần kết hợp dữ liệu mà về chính đáng không thể gộp. Áp dụng chuẩn chung, mô hình dữ liệu được tuyển chọn và công cụ có khả năng tương tác để một dự án, theo thời gian, có thể chạy truy vấn liên bang hoặc huấn luyện mô hình xuyên môi trường trong khi dữ liệu thô vẫn nằm ở từng nơi (xem Chủ đề 4.3 — Khả năng tương tác và chuẩn dữ liệu). Xây một môi trường đặt riêng, cô lập không thể tương tác là ngõ cụt chiến lược, dù nó trông tốt ở địa phương đến đâu.

8. Quản trị truy cập thương mại một cách rõ ràng, với giá trị chảy ngược lại. Truy cập của ngành vào dữ liệu NHS là chính đáng và thường thiết yếu cho phát triển phương pháp điều trị và công nghệ, nhưng đó là nơi sự nghi ngờ của công chúng tập trung. Đặt quy tắc rõ ràng: cùng các biện pháp kiểm soát SDE áp dụng cho người dùng thương mại như cho học giả, các thỏa thuận minh bạch và được công bố, và công chúng nhận được giá trị công bằng đổi lại — dù là giá cả, tiếp cận đổi mới kết quả, hay tái đầu tư vào hạ tầng dữ liệu. Đừng bao giờ để "đối tác thương mại" thành uyển ngữ cho việc dữ liệu rời nơi lưu giữ an toàn theo điều khoản lặng lẽ (xem Chủ đề 6.3 — Mua sắm và thương mại).

Câu hỏi để thảo luận với nhóm của bạn#

1. Khi chúng ta nói dữ liệu của mình "đã khử nhận dạng", chúng ta thực sự đang chấp nhận rủi ro nhận dạng lại nào — và ai đã ký duyệt phán đoán đó? Điều này quan trọng vì "ẩn danh" được dùng lỏng lẻo để chỉ mọi thứ từ dữ liệu thực sự phi cá nhân đến các hồ sơ bút danh hóa nhẹ mà một nhà phân tích quyết tâm có thể nhận dạng lại bằng cách liên kết với nguồn khác. Hãy tranh luận chi tiết: định danh gián tiếp nào còn lại (độ chi tiết mã bưu chính, ngày tháng, chẩn đoán hiếm), kẻ tấn công thực tế có thể liên kết với tập dữ liệu ngoài nào, và liệu biện pháp kiểm soát của bạn là chính SDE hay một cái nhãn lạc quan. Hãy cân nhắc rằng dữ liệu lâm sàng dọc phong phú thường không thể thực sự ẩn danh, nghĩa là các biện pháp kiểm soát của môi trường — không phải việc biến đổi dữ liệu — mới khiến bạn hợp pháp và an toàn. Làm lộ ai sở hữu đánh giá rủi ro này: một người chịu trách nhiệm có tên áp dụng một phương pháp được ghi chép, hay một giả định không được xem xét thừa hưởng từ một thỏa thuận chia sẻ dữ liệu cũ. Một câu trả lời tốt, trung thực nêu rủi ro nhận dạng lại còn lại bằng lời đơn giản, gắn nó với các biện pháp kiểm soát cụ thể, và gọi tên người chịu trách nhiệm về phán đoán thay vì nấp sau từ "ẩn danh".

2. Chúng ta sẽ giải thích một lần truy cập dữ liệu cụ thể cho một bệnh nhân hoài nghi trên trang nhất một tờ báo thế nào — và lời giải thích có đứng vững không? Sự sụp đổ của care.data trước hết không phải thất bại kỹ thuật; đó là thất bại trong việc giải thích và chiếm được niềm tin. Lấy một lần truy cập thực hoặc có thể xảy ra — một công ty dược chạy một nghiên cứu trong SDE của bạn — và nhập vai cuộc trò chuyện công khai: dữ liệu gì, vì sao, ai hưởng lợi, công ty nhận được gì, công chúng nhận lại gì, và một người có thể từ chối thế nào. Tranh luận nơi sự minh bạch hiện tại của bạn còn mỏng: có sổ đăng ký sử dụng dữ liệu công khai không, truy cập thương mại có hiển thị không, bệnh nhân có biết cơ chế từ chối tồn tại và đã được tôn trọng không? Hãy cân nhắc sự khác biệt giữa bảo vệ được vì hợp pháp và bảo vệ được vì được tin, và trung thực rằng cái thứ hai khó và mong manh hơn. Một câu trả lời mạnh đưa ra một bản tường thuật rõ ràng, không biệt ngữ mà một bệnh nhân sẽ thấy hợp lý, và xác định các khoảng trống minh bạch cụ thể bạn cần đóng trước khi có thể đưa ra nó mà không ngượng.

3. Quản trị của chúng ta có đủ nhanh và độc lập để các nhà nghiên cứu giỏi dùng nó thay vì đi vòng không? Có một căng thẳng thực giữa chặt chẽ và truy cập: quản trị quá lỏng thì phản bội niềm tin công chúng; quản trị quá chậm thì nhà nghiên cứu hoặc bỏ cuộc (mất giá trị công) hoặc tìm cách lách không chính thức (mất hoàn toàn kiểm soát). Hãy thảo luận thời gian thực của bạn từ nộp đơn đến truy cập dữ liệu, nút thắt ở đâu (quản trị thông tin, CAG, kỹ thuật dữ liệu, kiểm tra kết quả đầu ra), và liệu ủy ban truy cập dữ liệu của bạn có tiêu chí công bố rõ ràng hay quyết định từng trường hợp theo cách người nộp đơn không thể dự đoán. Thăm dò sự độc lập một cách trung thực: người có thẩm quyền nói không có thực sự nói không không, hay áp lực thương mại hoặc thể chế biến phê duyệt thành thủ tục? Hãy cân nhắc kiểu thất bại nơi một quy trình chậm đẩy công việc vào những góc không được quản trị, tệ hơn một quy trình nhanh minh bạch. Một câu trả lời tốt nêu thời gian chu kỳ thực, phân biệt chặt chẽ với trì hoãn đơn thuần, và cam kết những cải thiện cụ thể đẩy nhanh truy cập mà không làm yếu phán đoán độc lập ở trung tâm.

4. Khi một đối tác thương mại làm việc trong SDE của chúng ta, giá trị công bằng nào chảy ngược về công chúng — và chúng ta có thể chứng minh không? Truy cập của ngành là chính đáng và thường là con đường duy nhất biến dữ liệu thành phương pháp điều trị, nhưng đó chính xác là nơi sự nghi ngờ công chúng tập trung, vì nỗi sợ là một tài sản công đang được trao cho tay tư theo điều khoản lặng lẽ. Hãy tranh luận "giá trị công bằng" cụ thể nghĩa là gì với tổ chức của bạn: một mức giá ưu đãi cho sản phẩm kết quả, tiếp cận đảm bảo đổi mới cho dân số của bạn, tái đầu tư vào hạ tầng dữ liệu, hay đơn giản là tiền mặt — và ai quyết định cái nào. Thăm dò liệu cùng các biện pháp kiểm soát SDE có thực sự áp dụng cho người dùng thương mại như cho học giả, hay một công ty giàu nguồn lực lặng lẽ có đường đi mượt hơn. Hỏi liệu thỏa thuận và điều khoản chia sẻ giá trị có được công bố, hay được thương lượng từng trường hợp sau cánh cửa đóng nơi không ai kiểm tra được. Một câu trả lời trung thực gọi tên giá trị mà thỏa thuận thương mại gần nhất của bạn mang lại, nêu giá trị đó đi đâu, và thừa nhận nơi "đối tác thương mại" có nguy cơ thành uyển ngữ cho truy cập đặc quyền không có trách nhiệm giải trình.

5. Dữ liệu trong môi trường của chúng ta — và nghiên cứu nó cho phép — có đại diện cho toàn bộ dân số, hay chỉ những phần dễ ghi nhận nhất? Công bằng là nghĩa vụ, không phải điều nghĩ sau: nếu dữ liệu đại diện thiếu cho một số nhóm (người dùng dịch vụ ít hơn, được ghi ít đầy đủ hơn, hoặc từ chối với tỷ lệ cao hơn), thì nghiên cứu xây trên nó sẽ hoạt động kém hơn đúng cho những nhóm đó, lặng lẽ nới rộng bất bình đẳng sức khỏe dưới lớp vỏ bằng chứng. Hãy thảo luận quần thể nào mỏng hoặc thiếu trong dữ liệu của bạn, thực hành mã hóa và ghi nhận làm lệch thứ được ghi lại ra sao, và liệu tỷ lệ từ chối cao ở một số cộng đồng có đang xói mòn tính đại diện theo cách không ai theo dõi. Hãy cân nhắc căng thẳng rằng cải thiện hòa nhập có thể kéo ngược với tối thiểu hóa dữ liệu và với niềm tin của các nhóm có lý do lịch sử chính đáng để dè chừng. Nghĩ ai rà soát kết quả đầu ra dự án về tác động khác biệt, và liệu "lợi ích công" trong các quyết định truy cập của bạn có bao giờ hỏi rõ ràng lợi ích cho ai. Một câu trả lời mạnh xác định các khoảng trống đại diện cụ thể, gọi tên rủi ro công bằng trong nghiên cứu hiện tại hoặc dự kiến, và cam kết giám sát lợi ích và hòa nhập thay vì cho rằng một tập dữ liệu lớn là công bằng.

6. Chúng ta có chắc SDE là lộ trình duy nhất dữ liệu rời đi — hay các lần xuất cũ vẫn lặng lẽ tồn tại bên cạnh nó? Một môi trường an toàn chỉ giữ lời hứa nếu nó trở thành cánh cửa duy nhất; mọi thỏa thuận song phương còn sót, bản trích xuất gửi email hay bảng tính sao chép là một lộ trình vòng qua mọi biện pháp kiểm soát bạn đã xây, và những sắp xếp này khét tiếng sống lâu hơn trí nhớ về ai đã ký chúng. Hãy thảo luận liệu ai đó có nắm một bản kiểm kê sống các thỏa thuận chia sẻ dữ liệu hiện có, nơi các bản sao dữ liệu hiện nằm ngoài bức tường của bạn, và ai sở hữu công việc có chủ đích cho chúng nghỉ hưu. Thăm dò các động cơ khó chịu: xuất dữ liệu nhanh và quen thuộc, và cả nhà nghiên cứu lẫn nhóm nội bộ có thể thích con đường cũ trong khi nói ngoài miệng ủng hộ con đường mới. Hãy cân nhắc rằng một SDE sáng loáng ra mắt trên một khối xuất dữ liệu chưa nghỉ hưu là cảm giác an toàn giả, không phải vấn đề được giải. Một câu trả lời trung thực nêu còn bao nhiêu lần xuất cũ, gọi tên kế hoạch và người sở hữu để đóng chúng, và thẳng thắn về cái nào đang khó tắt nhất và vì sao.

Trong thực tế: một ví dụ về y tế và chăm sóc#

Hệ thống Chăm sóc Tích hợp Fenwater trải qua ba bệnh viện cấp cứu, dịch vụ cộng đồng và sức khỏe tâm thần, và khoảng chín mươi phòng khám bác sĩ gia đình. Các nhà phân tích của nó từ lâu dựa vào những bản trích xuất dữ liệu đặt riêng — tệp đã bút danh hóa được sao chép lên máy chủ của một đối tác nghiên cứu theo thỏa thuận song phương — và nhóm quản trị thông tin đã lặng lẽ lo nhiều năm về nơi các bản sao đó nay nằm. Khi chính sách SDE của NHS England biến truy cập tại chỗ thành kỳ vọng, hội đồng Fenwater quyết định dựng Môi trường Dữ liệu An toàn Fenwater như một SDE cấp dưới quốc gia được công nhận thay vì tiếp tục ký thỏa thuận xuất dữ liệu.

Chương trình bắt đầu không phải từ công nghệ mà từ Năm an toàn. Fenwater xác định việc công nhận nhà nghiên cứu và đào tạo bắt buộc (con người an toàn); thành lập một ủy ban truy cập dữ liệu, với thành viên đại diện công chúng và một chủ tịch độc lập, đánh giá mọi dự án về tính hợp pháp và lợi ích công và chuyển các trường hợp dữ liệu bí mật để xin tư vấn mục 251 (dự án và bối cảnh an toàn); xây một mô hình dữ liệu được tuyển chọn, tối thiểu hóa nơi mã định danh trực tiếp được bút danh hóa và mã bưu chính được làm thô chỉ còn phần đầu (dữ liệu an toàn); và tuyển, đào tạo hai người kiểm tra kết quả đầu ra để vận hành airlock (kết quả đầu ra an toàn). Quan trọng là nó công bố một sổ đăng ký sử dụng dữ liệu công khai từ ngày đầu và triệu tập một hội đồng bệnh nhân thường trực để soi xét quản trị.

Phép thử thực đầu tiên là một yêu cầu từ một công ty chẩn đoán muốn nghiên cứu các dấu ấn sớm của một loại ung thư trên năm năm dữ liệu bệnh lý và hình ảnh. Theo mô hình cũ đây sẽ là một lần xuất nữa. Nay các nhà phân tích của công ty được công nhận, dự án của họ được đánh giá lợi ích công và phê duyệt có điều kiện, và họ làm việc hoàn toàn bên trong SDE — không dữ liệu thô nào rời đi. Kết quả thống kê của họ qua airlock, nơi một người kiểm tra chặn vài ô đếm nhỏ vốn sẽ làm lộ các bệnh nhân với một phân nhóm hiếm. Thỏa thuận thương mại được công bố trên sổ đăng ký, gồm cam kết rằng bất kỳ xét nghiệm kết quả nào cũng được cung cấp cho ICS với điều khoản ưu đãi.

Mười tám tháng sau, Fenwater cho nghỉ hưu thỏa thuận xuất dữ liệu cũ cuối cùng. Một yêu cầu tiếp theo cần dữ liệu Fenwater nắm kết hợp với hồ sơ của một ICS láng giềng; thay vì sao chép một trong hai tập, hai SDE được công nhận thí điểm một truy vấn liên bang để phân tích chạy ở cả hai môi trường và chỉ kết quả tổng hợp được kết hợp. Khi một nhà báo địa phương hỏi ai đã dùng dữ liệu của bệnh nhân, ICS chỉ vào sổ đăng ký công khai của mình. Công việc xây dựng chậm hơn gửi email một bảng tính — nhưng nó biến một thói quen xuất dữ liệu lo âu, vô hình thành một tài sản công bảo vệ được, minh bạch.

Góc nhìn theo khu vực#

Công ty khởi nghiệp#

Một công ty khởi nghiệp công nghệ y tế hiếm khi xây SDE của riêng mình; nó là người dùng của SDE người khác, và phương thức làm việc của nó phải giả định môi trường, không phải việc xuất. Thiết kế đường ống phân tích và huấn luyện mô hình để chạy bên trong một TRE trên dữ liệu bạn không thể tải xuống, vì đó ngày càng là con đường hợp pháp duy nhất đến dữ liệu NHS ở quy mô lớn — và một bệnh viện hay ICS sẽ đánh giá độ trưởng thành quản trị của bạn trước khi cho bạn vào. Lập ngân sách thực tế cho việc công nhận, cho nhịp chậm hơn của công việc tại chỗ, và cho việc kiểm tra kết quả đầu ra sẽ giữ lại những kết quả bạn tưởng mang đi được. Lợi thế cạnh tranh của bạn không phải truy cập đặc quyền vào dữ liệu thô (thời đại đó đang kết thúc) mà là khả năng tạo ra hiểu biết đáng tin, công bố được trong các ràng buộc, và minh bạch về những gì bạn đã làm với quyền truy cập được cấp.

Doanh nghiệp nhỏ#

Một nhà cung cấp hoặc nhà cung ứng nhỏ đã thành lập — một phòng khám bác sĩ gia đình, một hiệu thuốc cộng đồng, một nhà dưỡng lão, một phòng khám đơn lẻ, hoặc một nhà cung cấp phân tích nhỏ đã qua giai đoạn khởi nghiệp — thường là bên kiểm soát dữ liệu có nghĩa vụ hơn là một nhà nghiên cứu tiềm năng, và sẽ không bao giờ vận hành SDE của riêng mình. Nhiệm vụ thực tế của nó là cưỡng lại thói quen cũ sao chép các bản trích xuất đã bút danh hóa lên laptop của đối tác hay một bảng tính, và thay vào đó khăng khăng rằng mọi việc sử dụng thứ cấp dữ liệu bệnh nhân của mình diễn ra bên trong một môi trường được công nhận mà nó có thể chỉ ra và giải trình. Không có nhân viên quản trị thông tin chuyên trách, hãy dựa vào các SDE dùng chung và khu vực, cán bộ bảo vệ dữ liệu hoặc ICB của bạn, và điều khoản chia sẻ dữ liệu mẫu thay vì thương lượng các thỏa thuận đặt riêng bạn không thể soi xét đúng mức. Hãy biết rằng cơ chế từ chối dữ liệu quốc gia và nghĩa vụ bảo mật áp dụng đầy đủ cho bạn, bất kể quy mô, nên tư thế an toàn nhất là định tuyến các yêu cầu dữ liệu của bạn về một SDE được quản trị và từ chối xuất không chính thức, ngay cả khi một nhà nghiên cứu địa phương đáng tin hỏi một cách lịch sự.

Doanh nghiệp lớn#

Một bệnh viện NHS lớn, ICS hay hãng dược vận hành SDE ở quy mô lớn và qua nhiều dự án đồng thời, nên thách thức của nó là thông lượng mà không mất kiểm soát. Mục tiêu thực tế là một môi trường được công nhận với quy trình công nghiệp hóa — ủy ban truy cập dữ liệu thường trực, mô hình dữ liệu được tuyển chọn và tối thiểu hóa, kiểm tra kết quả đầu ra được cấp nguồn lực, và sổ đăng ký sử dụng được công bố — không phải một nền tảng đặt riêng cho mỗi dự án. Nhúng SDE vào mua sắm và điều khoản đối tác để truy cập thương mại chảy qua nó theo mặc định và chia sẻ giá trị mang tính hợp đồng thay vì thương lượng ngẫu hứng (xem Chủ đề 6.4 — Quản trị và đảm bảo). Ở quy mô này rủi ro lớn nhất là một đường ống quản trị chậm đẩy nhà nghiên cứu về cách lách, và các thỏa thuận xuất dữ liệu cũ lặng lẽ tồn tại bên cạnh môi trường mới sáng loáng; hãy cho chúng nghỉ hưu có chủ đích.

Chính phủ#

Một cơ quan quốc gia — NHS England, các cơ quan y tế được phân quyền, Cơ quan Thống kê Vương quốc Anh — đặt ra các quy tắc mọi người khác làm việc trong đó, và đòn bẩy của nó là chuẩn, công nhận và niềm tin công chúng. Nó định nghĩa chính sách SDE, công nhận các môi trường cấp dưới quốc gia, vận hành một SDE quốc gia, và — theo các khuyến nghị "Better, broader, safer" của Goldacre Review — thúc đẩy hướng tới một số ít môi trường được quản trị tốt, có khả năng tương tác thay vì hàng trăm luồng dữ liệu không kiểm soát. Nghĩa vụ khó nhất và quan trọng nhất của nó là quản lý giấy phép xã hội trên toàn quốc: tôn trọng cơ chế từ chối dữ liệu quốc gia, khăng khăng minh bạch về truy cập thương mại, và bảo đảm công chúng thấy giá trị công bằng được trả lại cho việc sử dụng một tài sản công (xem Chủ đề 9.2 — Y tế số toàn cầu và quốc tế). Chính phủ cũng giữ nghĩa vụ công bằng — rằng nghiên cứu dùng dữ liệu này mang lợi ích cho toàn dân số, không chỉ các nhóm được đại diện tốt nhất trong đó.

Các kiểu thất bại thường gặp#

• Lần xuất dữ liệu chưa bao giờ thực sự dừng. Một SDE sáng loáng ra mắt trong khi các thỏa thuận chia sẻ dữ liệu cũ lặng lẽ tiếp tục sao chép dữ liệu ra cửa sau. Kiểm kê và cho nghỉ hưu các lần xuất cũ có chủ đích; môi trường chỉ giúp được nếu nó trở thành lộ trình duy nhất.
• "Ẩn danh" như từ an ủi. Gọi dữ liệu lâm sàng phong phú là ẩn danh không làm nó như vậy; rủi ro nhận dạng lại thường có thật và đang tăng. Đánh giá và ghi chép rủi ro còn lại thực tế và dựa vào các biện pháp kiểm soát của môi trường, không phải cái nhãn.
• Công nghệ không có quản trị. Một nền tảng an toàn với thẩm định dự án yếu hay không kiểm tra kết quả đầu ra là một vụ vi phạm đang chờ xảy ra. Cả Năm an toàn phải được vận hành, không chỉ bối cảnh.
• Airlock bị rò. Kiểm tra kết quả đầu ra thiếu nguồn lực tạo ra hàng đồn, và hàng đồn tạo áp lực bỏ qua airlock. Bố trí nhân sự cho nó như công việc có kỹ năng, được coi trọng với thời gian xử lý khả thi.
• Quản trị chậm đến mức bị đi vòng. Một quy trình phê duyệt mờ đục, kéo dài nhiều tháng đẩy nhà nghiên cứu giỏi vào các cách lách không chính thức — tệ nhất của cả hai thế giới. Làm cho phê duyệt vừa độc lập vừa nhanh đủ dùng.
• Thỏa thuận thương mại âm thầm. Truy cập của ngành được sắp xếp trên điều khoản không công bố là cách nhanh nhất mất niềm tin công chúng, dù hợp pháp. Áp dụng cùng các biện pháp kiểm soát cho người dùng thương mại và công bố các sắp xếp.
• Minh bạch như sân khấu ngày ra mắt. Một chiến dịch công khai một lần không phải giấy phép xã hội; một sổ đăng ký sử dụng dữ liệu được duy trì và sự tham gia thực sự của công chúng mới là. Care.data là lời nhắc thường trực rằng niềm tin là một điều kiện vận hành, không phải một sự kiện ra mắt.

Mô hình trưởng thành#

Danh sách kiểm tra#

• Truy cập tại chỗ qua SDE là mặc định; các lần xuất dữ liệu cũ được kiểm kê và đang được cho nghỉ hưu.
• Cả Năm an toàn được vận hành với quy trình có bằng chứng, không chỉ một nền tảng an toàn.
• Dữ liệu được tối thiểu hóa và khử nhận dạng đến mức nhận dạng thấp nhất mỗi dự án chịu được, với bút danh hóa là mặc định.
• Rủi ro nhận dạng lại được đánh giá và ghi chép bởi một người sở hữu chịu trách nhiệm có tên, không được giả định từ nhãn "ẩn danh".
• Mọi kết quả đầu ra qua một airlock nơi người kiểm tra được đào tạo áp dụng kiểm soát tiết lộ thống kê trước khi phát hành.
• Một ủy ban truy cập dữ liệu độc lập phê duyệt dự án theo tiêu chí được công bố, với lộ trình CAG / mục 251 cho dữ liệu bí mật.
• Thời hạn quản trị được đo, công bố, và đủ nhanh để nhà nghiên cứu dùng quy trình thay vì đi vòng.
• Một sổ đăng ký sử dụng dữ liệu công khai cho thấy ai đã truy cập dữ liệu nào, cho mục đích gì, và với kết quả gì.
• Cơ chế từ chối dữ liệu quốc gia được tôn trọng và sự tồn tại của nó được truyền đạt rõ ràng cho bệnh nhân.
• Truy cập thương mại chạy qua cùng các biện pháp kiểm soát SDE, được công bố, và mang lại giá trị công bằng cho công chúng.
• Môi trường áp dụng chuẩn chung để có thể tương tác và, theo thời gian, hỗ trợ phân tích liên bang khắp các SDE.

Nguồn chính#

• NHS England — Secure Data Environment (SDE) policy guidelines và mạng lưới SDE quốc gia và cấp dưới quốc gia.
• Ben Goldacre et al. — Better, broader, safer: using health data for research and analysis (Goldacre Review), Bộ Y tế và Chăm sóc Xã hội, 2022.
• Văn phòng Thống kê Quốc gia — khung Five Safes cho truy cập dữ liệu an toàn.
• UK Health Data Research Alliance / Health Data Research UK (HDR UK) — nguyên tắc và chuẩn cho Môi trường Nghiên cứu Đáng tin.
• Health Research Authority — Nhóm Tư vấn Bảo mật (CAG) và hỗ trợ mục 251 cho việc sử dụng thông tin bệnh nhân bí mật mà không có sự đồng ý.
• Cơ quan Thống kê Vương quốc Anh — công nhận và việc sử dụng dữ liệu an toàn cho nghiên cứu và thống kê.
• Văn phòng Ủy viên Thông tin — hướng dẫn về ẩn danh hóa, bút danh hóa và tối thiểu hóa dữ liệu theo UK GDPR.

Tài liệu tham khảo#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/