主题 1.8 — 数据伦理、同意与公众信任

在医疗与照护领域,法律告诉你对数据能做什么,但公众信任取决于你应不应该做——一旦人们相信自己的信息正在背着他们被使用,他们就会隐瞒信息、选择退出,或干脆回避照护,因此伦理与诚实的沟通不是软性的附加项,而是数据能否被使用的先决条件。

为什么这在医疗与照护领域很重要#

主题 1.7——信息治理、数据保护与网络安全涵盖了法律与技术管控:合法依据、英国通用数据保护条例(英国 GDPR)、数据安全与保护工具包、加密与访问控制。本主题讲的是,当你在法律上已经合规之后,仍然剩下的一切。你可以满足每一条法规,却依然失去公众的信任,因为信任不是由律师授予的——它是由患者与市民授予的,他们个别地、也集体地决定,自己是否相信你正在以他们认为公平的方式处理他们的信息。

这种区别在医疗与照护领域,比在几乎任何其他地方都更重要。人们向临床医生披露一些事情——精神健康危机、药物使用、性健康、虐待、与移民身份挂钩的权利——是基于一种默会的理解:这些信息的存在是为了帮助他们,而不是在他们不知情的情况下被交易、发布或挪作他用。当这种理解破裂时,伤害是可以衡量的:患者向临床医生撒谎、拒绝分享病史,或干脆远离服务。这些都是临床安全与公平方面的失败,而且它们最沉重地落在那些本来就最不信任机构的人身上。

这个系统也确实需要在单次问诊之外使用数据——用于规划服务、开展人群健康管理、侦测安全信号,并支持那些能产出明日疗法的研究。因此你身处一种持久的张力之中:扣留数据,你会让照护与研究缺乏养分;粗心地使用它,你会丧失那些数据所属的公众的同意。本主题讲的是如何诚实地把持这种张力。卫生系统的近期历史中,至少包含一个代价高昂的重大教训,说明当一个机构只回答法律问题、而从不回答伦理问题时会发生什么。

核心概念#

这里的支配性学科是数据伦理——对数据、尤其是个人数据的收集、使用与共享中对与错的系统性研究。它的核心动作,是把机构惯常混为一谈的两个问题区分开来:我们能不能合法地这样做,以及我们应不应该这样做,考虑到人们合理的期望以及可能随之而来的伤害。一个合法依据回答第一个问题。只有刻意的伦理推理、透明度与参与,才能回答第二个问题。

同意比日常用法所暗示的更加分层。知情同意——一个人在充分理解某事所涉内容的情况下表示同意——是直接照护与大多数研究的金标准。但在人群规模上,个人的明确同意往往不切实际,甚至本身会使数据产生偏差,因此系统依赖其他模型:直接照护采用默示同意(你接受为你治疗的临床医生会阅读你的记录),而某些二次使用则采用退出模型,即数据会被使用,除非某人主动反对。在英格兰,主要的工具是 NHS 国家数据退出选项,它让一个人能够阻止自己的保密患者信息被用于超出自身照护之外的规划与研究。知道哪种模型适用,并诚实地承认退出选项并不等同于主动同意,是一项核心能力。

与数据保护法并列的,还有一项更古老、独立的义务:普通法上的保密义务,据此,以保密方式共享的信息,未经同意、法律要求或压倒性的公共利益,不得披露。由此产生了合理期望或"不应感到意外"的原则:你不应以一种如果当事人发现后会真正感到意外的方式使用他人的数据。这是一项实用的伦理测试,常常比法律更早发挥作用。

两个专属于医疗领域的机构承担着这项伦理工作。Caldicott 原则——在每个机构内部由一位 Caldicott Guardian 维护——有一条著名的主张:共享信息的义务可以与保护信息的义务同等重要,这纠正了把扣留信息自动当作安全的那种本能反应。在国家层面,国家医疗与社会保健数据守护者(NDG)是就患者数据应如何被使用与保护提供意见的独立法定声音。围绕着这些,存在着社会许可的概念:公众对一个机构如何使用数据所给予的、持续的、非正式的认可,这种认可是靠透明与参与赢得的,而不是由法规授予的,一旦信任被打破,它会迅速被收回。

对于二次使用——分析、规划与研究,而非直接照护——在有用性与隐私之间架起技术桥梁的是去标识化:通过假名化(用人造标识替换标识符,借助单独保存的密钥可逆)或匿名化(移除标识符使某人无法再被识别)来降低数据的可识别性。两者都有局限:丰富的健康数据往往可以通过与其他数据集的关联而被重新识别——即"马赛克效应"——因此"已匿名化"是一个有待检验的主张,而不是可以想当然的事实。最后,当数据驱动自动化或基于模型的决策时,你就继承了算法偏见——系统性地让某些群体处于不利地位的不公平——以及算法问责,即为这些结果分配责任的问题。AI 的深入治理属于主题 8.4——人工智能与新兴技术治理;在这里,它之所以重要,只是因为它是数据的又一种必须赢得公众信任的使用方式。

最佳实践#

1. 把"我们应该吗?"当作一个独立的、有记录的决策来提出——而不是"我们能吗?"的一个脚注。 对于任何非显而易见的数据使用,把伦理问题与法律问题分开处理,并记录答案。说出谁受益、谁可能受到伤害、人们合理会期望什么,以及你是否愿意在一份报纸头版上解释这项用途。一项合法但未通过合理期望测试的用途,是需要重新设计或公开解释的用途,而不是悄悄推进的用途。

2. 让同意模型与用途相匹配,并诚实说明你使用的是哪一种。 直接照护运行在默示同意之上;大多数研究需要明确的知情同意或一条经批准的法定路径;某些规划用途依赖退出选项。不要把退出选项打扮成好像是主动同意,也不要在真正的依据是一项法定权力时借用"同意"的措辞。这里的清晰,既保护了患者的自主权,也保护了你自己在安排受到审视时的可信度。

3. 可靠地尊重国家数据退出选项,并把它当作底线,而不是天花板。 在它所涵盖的每一个二次使用流程中应用 NHS 国家数据退出选项,并能够证明你做到了这一点。但要认识到,在法律上遵守退出选项只是最低限度;一项在技术上尊重退出选项、却让公众猝不及防的用途,依然会让你付出信任的代价。在用途新颖或敏感的地方,考虑超越基线,提供更清晰的通知或更主动的选择。

4. 在每一次新的数据流动之前应用合理期望测试。 坦率地问:如果数据所属的人确切知道我们在做什么,他们会感到意外吗?他们会觉得被误导了吗?意外是一个早期预警信号,它远早于一次法律上的违规就会出现。当诚实的答案是"是的,他们会感到意外"时,你有三个选择——改变这项用途、获取有意义的同意,或者把它解释得如此透彻、如此及早,以至于它不再是一个意外。

5. 记住,共享的义务可以与保护的义务同样重要。 Caldicott 原则的部分存在意义,就是为了对抗防御性的过度谨慎,这种谨慎会在一位临床医生看不到某种过敏史、一项保障关切在多个机构之间掉落,或一次出院因缺乏背景信息而失败时,悄悄地伤害患者。符合伦理的数据处理,不等同于囤积数据。要像权衡共享的伤害一样刻意地权衡不共享的伤害,并把这与主题 1.7——信息治理、数据保护与网络安全中安全共享的设计,以及主题 1.6——临床安全与风险管理中的安全后果联系起来。

6. 把去标识化当作降低风险的手段,而不是一块神奇的橡皮擦。 对二次使用数据进行假名化或匿名化处理,但要现实地评估重新识别的风险,尤其是对于罕见病症、小规模人群,或马赛克效应会发挥作用的高度关联数据集。既要控制环境,也要控制数据:优先使用经过认证的安全数据环境,让分析人员在一个从未离开受治理环境的数据上工作,而不是把"已匿名化"的数据提取件运出机构之外。记录剩余风险以及谁接受了这项风险。

7. 对法律本身无法解决的用途开展伦理审查。 建立一条路径——一个数据伦理委员会、一个既有的研究伦理流程,或一个常设职能——在新颖、敏感或涉及商业纠葛的用途推进之前对其进行审视。给予它独立与外行成员,这样它就不仅仅是机构在自我安慰,并要求它不仅考虑隐私,也考虑公平性以及对不同群体的差异化影响。

8. 让透明成为主动、具体、通俗易懂的。 用通俗的语言公布你持有什么数据、你用它做什么、你与谁共享它(包括商业伙伴),以及人们有什么选择。一份为监管机构写的密集隐私通知不是透明;一份清晰的公开数据用途登记册才是。在新的或商业性的安排开始之前就披露它们,因为一项通过记者泄密才浮出水面的用途,无论其本身是否站得住脚,都会被解读为掩盖。

9. 让患者与社区真正、及早地参与到关于他们数据的决策中。 公众与患者参与不是在上线时才附加上去的沟通活动;它塑造了你所构建的东西,以及它是否能赢得社会许可。把患者、照护者与社区代表——尤其是那些有着充分历史理由不信任机构的群体——带入设计与治理之中,并展示他们的意见如何改变了决策。这与主题 3.0——用户研究与服务设计以及主题 8.2——沟通与参与直接相关。

10. 在数据驱动决策时,承担起公平性与问责的责任。 当数据被用于风险评分、优先级排序工具或模型时,追问是用谁的数据训练它们的、哪些群体可能被低估,以及当输出结果错误或带有歧视性时谁来负责。对于有重大后果的决策,保留一个人在决策回路之中,并随时间监测不同人口群体之间的结果。把详细的模型治理交给主题 8.4——人工智能与新兴技术治理,但不要把"是算法决定的"当作逃避责任的借口。

与团队讨论的问题#

1. 对于我们最敏感或最新颖的数据用途,法律所允许的与我们的患者实际期望的之间,诚实地讲存在怎样的差距——我们要如何弥合它? 这是本主题的核心问题,因此要让它具体而不是抽象:挑选你机构中一项真实的用途——一项研究合作、一项供应商安排、一个人群健康仪表盘、一个模型。梳理法律允许什么,然后分别追问一位普通的、适度怀疑的患者会假设正在发生什么,并说出两者之间的差距。这个差距正是信任被赢得或失去的地方,如果你只问法律问题,它是不可见的。一场好的讨论会揭示出至少一项团队正依靠"这是合法的"来回避更艰难对话的用途,并产生一个决定——要么改变这项用途,要么寻求有意义的同意,要么把它解释得更加公开。留意那句典型的辩护"但我们是被允许的"——它通常意味着伦理问题从未被提出过。

2. 我们在哪些地方因为不共享数据而伤害了患者?我们对这种伤害的坦诚程度,是否与我们对泄露风险的坦诚程度一样? 数据伦理经常被误认为是数据最小化,而防御性的过度谨慎会披着安全的外衣,同时造成真实的伤害。讨论你所在环境中的具体案例:一次遗漏的过敏史、一项在多个机构之间掉落的保障关切、一次因社区团队缺乏背景信息而出错的出院安排、一位被挡在数据之外、本可能发现一个安全信号的研究人员。Caldicott 原则中"共享的义务可以与保护的义务同样重要"这一条之所以存在,正是因为机构发现扣留信息在心理上感觉更安全,即使这对患者而言实际上并不更安全。一个成熟的团队能说出两个方向上的失败案例,并对每一种都有上报渠道,而不是把"不"当作无风险的默认选项。也要考虑,你的激励机制是否比奖励恰当共享数据的人,更多地奖励拒绝共享数据的人。

3. 如果明天一家全国性报纸报道了我们的某项数据共享安排——准确但不带同情地——我们能挺过去吗?这个答案告诉我们现在该修补什么? care.data 项目的垮台不是因为违法;它垮台是因为公众感觉自己正被某种事情所摆布,却没有得到真正的解释,也没有真正的选择。用这个测试来审视你自己的安排,尤其是任何涉及商业伙伴、模型训练,或患者未被清楚告知的二次使用。这个故事在哪里变得令人不安——是合作伙伴、缺乏退出选项、公开通知的含糊其辞,还是没有任何社区参与?那种不安,恰恰精确地标示出你的社会许可薄弱之处。一个好的答案不是"我们会应付媒体";而是一份你将让其更透明、更经过同意,或干脆停止的事项清单,它与主题 8.2——沟通与参与中的参与学科相关联。

4. 当我们把数据称为"已匿名化"时,我们有多大信心它不能被重新关联到某个人?谁真正测试过这个主张? 去标识化被当作一条终点线来对待的频率,远超它应得的程度,"已匿名化"常常是被断言,而不是被评估的。挑选一个真实的二次使用数据集,精确地追问对它做了什么——是带有单独保存密钥的假名化,还是真正的匿名化——然后追问,如果有人把它与其他数据关联起来,尤其是对于罕见病症、小规模人群或高度详细的记录,它面对马赛克效应会表现如何。还要追问,这些数据实际存放在哪里:它是在一个从未让数据离开的、经过认证的安全数据环境中被分析,还是作为一份提取件被运出去,并假设这个标签本身就让它安全?一场诚实的讨论会明确说出剩余的重新识别风险,记录谁接受了这项风险,并区分什么是经过测试的、什么只是被寄予希望的。如果房间里没有人能说出上一次是谁对这个主张进行了压力测试,那么这种缺失本身就是一个发现。

5. 当数据驱动一个风险评分、一个优先级排序工具或一个模型时,是用谁的数据训练的,它可能让谁处于不利地位,当它出错时谁来负责? 公平性在原则上容易被认同,在实践中却容易被忽视,因为偏见隐藏在看起来完整、却恰恰低估了那些本已处境最差的群体的数据之中。举一个具体的例子——一个入院风险模型、一个分诊工具、一个案例负荷优先级评分——追问哪些人群在训练数据中偏少,一个被错误标记或被错误忽略的人会受到怎样的影响,以及是否有人随时间持续监测不同族裔与贫困程度下的结果,而不仅仅是在上线时监测一次。追问问责问题:当输出结果受到质疑时,是否有一位具名的人对这个决定负责,还是"算法决定的"悄悄吸收了这份责任?深入的模型治理属于主题 8.4——人工智能与新兴技术治理,但伦理层面的所有权在这里。一个成熟的答案会把一项具体的公平性监测承诺与一条清晰的问责线配对,而不是仅仅安抚说数学是中立的。

6. 我们如何让数据所属的人——尤其是最有理由不信任我们的社区——参与进来?我们能说出一个真正因他们的参与而改变的决策吗? 参与是最容易被简化为装饰的部分:在设计已经定型之后才举行的咨询,或者只从已经信任机构的人中挑选出来的小组。更困难、也更有价值的问题是,患者、照护者与社区代表——尤其是那些历史上被卫生系统辜负过的群体——是否足够早地进入房间,以至于能够改变将要建成的东西,以及你能否说出一个由此产生的具体改变。讨论你没有听到谁的声音、为什么,以及你的参与工作是触及了那些很少被听见的人,还是仅仅再次确认了那些舒适的人。这与主题 3.0——用户研究与服务设计以及主题 8.2——沟通与参与相关联。一个诚实的答案会把真正改变了一项决策的共同设计,与仅仅宣布了一项决策的沟通活动区分开来,并坦率承认你目前做的是哪一种。

实践中:一个医疗与照护案例#

Riverbourne 整合照护系统希望利用关联的患者数据,来减少患有多种长期病症的人群的急诊入院。分析团队有一个有力的论证:把医院、全科医生、社区与社会照护数据汇集起来,构建一个风险模型,为最有可能恶化的人提供主动支持。从法律上讲,这条路径是可行的。然而项目总监记得 care.data 的教训,坚持在模型的一行代码被构建之前,先回答伦理与信任方面的问题。

团队刻意地把两个问题分开处理。*我们能吗?*由数据保护官与 Caldicott Guardian 来处理:一个合法依据、一份数据保护影响评估,以及确认国家数据退出选项适用于这一二次使用。*我们应该吗?*则交给一个新成立的数据伦理小组,该小组有独立与外行成员,包括两位来自历史上对卫生系统信任度较低的社区的患者代表。这个小组提出了比律师更尖锐的问题:一个风险评分可能让谁处于不利地位,一个被错误标记的人会遭遇什么,如果患者得知自己的社会照护数据正在为一个医院模型提供输入,他们会感到意外吗?

这些问题改变了设计。分析工作在一个经过认证的安全数据环境中进行,因此分析人员只在从未离开受治理环境的假名化记录上工作。模型的输出在联系任何人之前都会由一位临床医生审查,而不是被自动执行。团队承诺监测这个模型在不同族裔群体与贫困程度下的表现是否同样良好,因为他们发现训练数据中的低代表性原本可能会固化不公平。而且,在项目开始之前,该 ICS 就发布了一份通俗语言的说明——什么数据、什么目的、谁受益、什么保障措施,以及如何退出——而不是等到被问起才做。

几个月后,当一位地方记者确实问起这件事时,报道平淡无奇:这项安排早已公开,退出选项被尊重,患者曾参与塑造它,保障措施是真实的。退出率几乎没有变化。这个项目在第一年适度地减少了入院人数,但更持久的胜利在于,Riverbourne 现在可以从一个信任的位置、而不是怀疑的位置,提出它下一个数据倡议。这个取舍是明确的:参与与伦理审查多花了三个月的时间以及一些令人尴尬的重新设计,却换来了一张社会许可,而一次更快、更安静的启动本会拿这张许可去冒险。

行业视角#

初创企业#

一家健康科技初创企业通常有敏锐的技术直觉,却对这个领域的信任动态感受不深,它的商业模式往往依赖于患者不会预期的数据用途——分析、模型训练、合作。如果你是一家初创企业,你的生存风险不是监管机构的罚款,而是当一次解释不清的数据用途浮出水面时,一个 NHS 合作伙伴转身离开。从一开始就把"我们应该吗?"这个问题纳入产品决策,对同意、退出选项与法定依据之间的区别严格诚实,永远不要在你的数据足够丰富、可以被重新识别时把"已匿名化"当作一个已解决的事实。在规模还小的时候赢得信任,远比在一次公开的失误之后重建信任便宜得多。

小型企业#

一家成熟的小型服务提供者——一家全科诊所、一家社区药房、一家养老院、一家居家照护机构、一家单一场所的诊所,或是一家已过初创阶段的小型健康科技供应商——承担着与大型信托机构同样的保密义务与同样的"不应感到意外"义务,却有真实的在册患者、寥寥几名员工,几乎没有专门的信息治理或 IT 能力。这里的信任风险通常比一桩头条数据交易更安静:一个新的预约提醒工具、一个被供应商悄悄打开的分析功能,或是患者数据因为没有人有时间问"我们应该吗?"而被随意共享给第三方。让合理期望测试成为一种快速、常规的习惯,而不是一个正式的委员会,为每一种用途诚实地说出同意模型,并依靠你的 Caldicott 与数据保护职责,即使它们落在一个兼职人员身上。选择那些默认设置就尊重国家数据退出选项、并把数据保存在受治理环境中的供应商,因为你继承的不只是他们的软件,还有他们的伦理。而且要记住,共享的义务是双向的——因为感觉更安全而拒绝传递一项保障关切或一份用药史,对患者造成的伤害可能比共享更大。

大型企业#

一家大型信托机构或 ICS 持有庞大、高度敏感的数据,通常拥有成熟的法律治理,却缺乏伦理方面的肌肉——DPIA 做了很多,真正的伦理对话却很少。你的挑战是在不瘫痪合理共享、也不让商业与研究合作跑在公众理解之前的情况下,加入伦理层面的考量。建立一个有外行成员的真正数据伦理职能,公开发布你的数据用途与合作关系,并确保共享的义务被尊重,这样防御性的过度谨慎就不会悄悄伤害患者。董事会层面对公众信任——而不仅仅是合规——的所有权,才是真正的区别所在,这与主题 6.4——治理与保证相关联。

政府机构#

国家机构制定了其他所有人都要继承的框架——国家数据退出选项、国家数据守护者的指导、Caldicott 原则——它们在人群规模上承担着公众信任,在那里,出错的后果是历史性的,而不是局部性的。care.data 项目是一座警示性的纪念碑:一个合法、出于善意的国家计划,却因为公众感到不知情、未被咨询而垮台,并在多年内压低了信任度。要在扩大规模之前、而不是在强烈反弹之后,以透明、有意义的全国性参与与独立监督为先导。要认识到你所承担的这个取舍:过度谨慎的国家政策会让照护与研究缺乏数据,而粗心的政策会丧失整个数据系统所依赖的公众同意,这在主题 4.5——数据、分析与人群健康管理中有进一步探讨。

常见失败模式#

• 只回答法律问题。 把一个合法依据当作充分的理由,以至于从来没有人追问一项用途是否公平、是否在预期之内,或是否明智。这正是出于善意、完全合规的项目失去公众信任的方式。
• 同意的表演。 把一个退出选项、一份被埋没的隐私通知,或一项法定权力,呈现得仿佛是有意义的知情同意,导致人们在发现"同意"实际意味着什么时感到被欺骗。
• 隐藏或令人意外的用途。 在没有清晰、主动通知的情况下,把为照护而收集的数据延伸用于分析、商业交易或模型训练——直到一次泄露把一项本可辩护的活动变成一桩丑闻。
• 把匿名化当作挡箭牌。 把丰富的、可关联的数据标记为"已匿名化",并把伦理问题当作已经解决,忽视重新识别风险与马赛克效应。
• 参与沦为装饰。 在决策已经做出之后才咨询公众,或只咨询那些已经信任你的人,使这项工作变成了合法化而不是知情——并错过了那些信任最脆弱的社区。
• 防御性的过度谨慎。 拒绝合理的共享,却称之为安全,而患者却因为临床医生看不到他们所需要的信息而受到伤害。

成熟度模型#

检查清单#

• 每一项非显而易见的数据用途都有一份记录在案的"我们应该吗?"决策,独立于其合法依据。
• 同意模型(默示、明确或退出)在每种用途中都被诚实地指明。
• 国家数据退出选项被应用于其所涵盖的所有二次使用,且这一点可以被证明。
• 每一条新的数据流都通过了合理期望/"不应感到意外"测试。
• 对去标识化数据评估了重新识别风险,并在可行之处使用安全数据环境。
• 存在一条有独立与外行成员的数据伦理审查路径,用于新颖或敏感的用途。
• 一份通俗语言的公开数据用途、合作伙伴与选择登记册已发布并保持更新。
• 新的或商业性的数据安排在开始之前就被主动披露。
• 患者与社区——包括低信任群体——参与设计与治理,其影响被记录。
• 在数据驱动决策之处评估偏见与差异化影响,问责被清晰拥有。
• 共享的义务被像保护的义务一样刻意地权衡,以免过度谨慎被误认为安全。

关键来源#

• 国家医疗与社会保健数据守护者 ——审查报告、Caldicott 原则,以及关于可信数据使用的指导。
• NHS England ——国家数据退出选项:政策、操作指导与公众信息。
• Understanding Patient Data ——关于 NHS 数据如何以及为何被使用的通俗解释。
• 信息专员办公室(ICO)——匿名化、假名化与数据共享指导。
• 国家数据守护者与卫生部 ——《数据安全、同意与退出选项审查》(2016 年),该报告是在 care.data 事件之后发布的。
• Ada Lovelace Institute ——关于数据伦理、公众态度与医疗领域可信数据实践的研究。
• NHS Digital / NHS England ——面向医疗与社会照护数据的安全数据环境政策指南。

参考文献#

1. Big data ethics — Wikipedia — https://en.wikipedia.org/wiki/Big_data_ethics
2. Informed consent — Wikipedia — https://en.wikipedia.org/wiki/Informed_consent
3. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
4. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
8. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
9. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
10. Algorithmic bias — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_bias
11. Algorithmic accountability — Wikipedia — https://en.wikipedia.org/wiki/Algorithmic_accountability
12. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
13. Review of Data Security, Consent and Opt-Outs — National Data Guardian — https://www.gov.uk/government/publications/review-of-data-security-consent-and-opt-outs
14. The Caldicott Principles — National Data Guardian — https://www.gov.uk/government/publications/the-caldicott-principles
15. How we use and protect data / Understanding Patient Data — Understanding Patient Data — https://understandingpatientdata.org.uk/
16. Anonymisation and pseudonymisation guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-sharing/anonymisation/
17. Secure Data Environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines