主题 4.10 — 安全数据环境与研究数据访问

在卫生与照护领域，患者数据用于研究和规划的安全再利用，依赖于一条来之不易的核心原则——让分析人员靠近数据，而不是让数据流向分析人员——并通过安全环境、分层治理和可见的公共问责来落实。

为什么这在卫生与照护中至关重要#

卫生与照护系统掌握着人类历史上最丰富的纵向生命数据之一：出生、诊断、处方、手术、死亡，以及围绕这些事件的社会环境。善用这些数据，能发现更安全的药物、识别失灵的服务、精准配置稀缺资源，并推动挽救生命的治疗方法的发现。滥用这些数据，则会辜负数百万从未选择成为数据主体的人的信任,侵蚀整个系统赖以运转的信任基础——而由于信任一旦失去便难以重建，这也会拖累数据再利用本应促进的那些研究本身。

这种张力是结构性的，而非偶然的。公众一贯支持将其数据用于符合公共利益的研究，但同样一贯地反对数据离开安全托管、在无问责的情况下被出售，或以他们无法看清的条款流向商业机构。数字领导者恰恰站在这条断层线上。你被要求从数据中释放价值（这是对尚未出生的患者以及对公共财政的责任），同时又对数据所描述的人群负有同样严肃的保密义务。

安全数据环境（Secure Data Environments，SDE），也称为可信研究环境（Trusted Research Environments），是英国已经趋同采纳的操作性答案。它们将默认做法从"把数据复制给研究人员"转变为"让研究人员进入环境，处理从不移动的数据"。这不是技术上的细枝末节；而是系统兑现公共承诺的机制。做好这件事是一项与临床安全、公平性和公众信任密切相关的责任（参见主题 1.8——数据伦理、知情同意与公众信任），并且它正日益成为法定要求，而非地方自由裁量的事项。

核心概念#

安全数据环境（SDE）——这是 NHS 政策目前更青睐的术语——是一个数据存储与分析平台，经批准的研究人员在其中访问经批准的数据，用于经批准的用途，而数据本身不会被提取或复制出去。较早且在国际上通用的名称是可信研究环境（TRE）；二者描述的是同一种模式。其指导思想是让分析人员靠近数据，而不是让数据流向分析人员：计算在环境内部进行，只有经过核查的、汇总后的结果才能离开。

支撑这一模式的框架是五个安全（Five safes），由英国国家统计局（Office for National Statistics）开发。它将安全的数据访问分解为五个维度：安全的人（safe people）（研究人员是否经过培训、认证并可问责？）、安全的项目（safe projects）（这一用途是否合法、符合伦理并符合公共利益？）、安全的环境（safe settings）（该环境是否能防止数据泄露？）、安全的数据（safe data）（数据是否已在项目允许的范围内最小化和去标识化？）以及安全的输出（safe outputs）（结果在发布前是否经过核查，以确保无法识别任何个人？）。单一的控制措施是不够的；安全是这五者共同作用的结果。

有两项规范保护数据本身。数据最小化（Data minimization）是指只提供项目真正需要的字段和记录，而不是"以防万一"提供整条记录。去标识化（De-identification）是降低数据可识别性的统称。其中，假名化（Pseudonymization）用与密钥关联的令牌替换直接标识符（姓名、NHS 编号），因此只有持有独立密钥才能重新识别——数据在法律上仍属于个人数据。匿名化（Anonymization）旨在使数据彻底不再属于个人数据，这比听起来要困难得多，因为重新识别（Re-identification）——将本应匿名的数据与其他数据集进行比对以揭示某人身份——随着世界上存在的数据越来越多而变得越来越容易。对丰富的临床数据进行真正的匿名化往往是不可能的；这正是 SDE 模式存在的原因。

结果离开环境之前，会经过输出核查（output checking）——这是应用统计披露控制（statistical disclosure control）的人工和程序性关卡，用以阻止小单元格计数、独特离群值或差分攻击暴露个人身份。这道关卡通常被称为气闸（airlock）：结果先进入一个保留区，由经过培训的核查人员审阅，只有通过核查的输出才能交给研究人员。新兴的隐私技术，例如差分隐私（differential privacy）——它添加经过校准的统计噪声，以限制任何单条记录对结果的贡献——是对这一人工控制的补充，而非替代。

还有两个概念塑造着未来。联邦学习（Federated learning）和联邦分析让查询或模型可以跨多个各自持有数据的 SDE 运行，从而在不汇集任何原始数据的情况下整合洞见——这是分布式国家网络的自然下一步。而社会许可（social license）——数据项目运作所依赖的、非正式的、持续的公众许可——则是上述所有机制所要守护的无形资产。警示性的案例是 care.data，这是 NHS England 在 2013 至 2016 年间提取全科医生数据的项目，因未能向公众解释清楚并失去公众信任而被放弃。

最佳实践#

1. 让环境成为默认方式，而不是导出。 最重要的单一设计决策是数据不离开。在 SDE 内部为研究人员提供计算资源、工具和精心整理的数据集，并取消以往数据外流的途径——批量下载、邮件发送的提取文件、复制的电子表格。每一份以数据复制出楼结束的遗留数据共享协议，都是一项负债，你应当积极将其淘汰，转向原地访问。

2. 落实全部"五个安全"，而不只是技术。 购买一个安全平台就宣布问题已解决，这种做法很有诱惑力，但若环境经过加固却项目审查薄弱或没有输出核查，那就是一场等待发生的泄露。为每一个"安全"建立明确的、有证据支持的流程：研究人员的认证与培训、对项目是否合法且符合公共利益的独立判断、最小化且去标识化的数据供给，以及严格的输出核查。把这五者当作一个系统来对待——最薄弱的环节决定了你真实的安全水平。

3. 将数据最小化和去标识化到项目所能容忍的最低可识别程度。 当一个队列和十几个字段就能回答问题时，不要交出整条记录。默认对直接标识符进行假名化，剥离或粗化准标识符（如完整邮编和精确出生日期），并将更可识别的数据访问权限留给那些确实需要它、且需经更严格审批的少数项目。要记住假名化数据在法律上仍是个人数据（参见主题 1.7——信息治理、数据保护与网络安全），因此让你合法合规的是 SDE 的控制措施，而不是"匿名"这一说法。

4. 在结果与发布之间设置真正的气闸和经过培训的输出核查人员。 风险最高的时刻是当某些东西离开环境之时。让每一项输出都经过一个保留区，由经过培训的核查人员应用统计披露控制——抑制小单元格、四舍五入，并留意研究人员连续请求之间的差分攻击——然后才能到达外部。为此配备充足资源：输出核查是需要技能的工作，一旦出现积压而诱使人们"干脆发邮件算了"，就会让整个模式失效。

5. 让信息治理审批做到严格、独立且足够快，以便真正被使用。 数据访问应取决于对项目合法性和公共利益的独立判断，通常通过数据访问委员会来实现；若在未经同意的情况下使用保密患者信息，则需经保密咨询组（Confidentiality Advisory Group，CAG）就相关法规下的第 251 条支持提供建议。严格与速度并非对立：一个标准清晰、人员充足、透明运作的委员会，既能更快批准好项目，也能比一个不透明、缓慢的委员会更有说服力地拒绝坏项目。如果一个流程慢到研究人员选择绕开它，那就是治理的失败，而不是治理的成功。

6. 通过彻底的透明来赢得并维系社会许可。 care.data 的教训是：合法不等于被信任。发布数据使用登记册，说明谁访问了什么数据、用于何种目的、结果如何；在 SDE 的治理中开展真正的公众与患者参与；并提供清晰且受尊重的全国数据退出选项。透明不是发布时才临时添加的公关补丁——它是让整个事业得以持续运转的运作条件（参见主题 1.8——数据伦理、知情同意与公众信任）。

7. 为跨 SDE 网络的联邦化而设计，而不是一座孤立的花园。 英格兰的模式是一个国家级 SDE 加上若干经认证的次国家级 SDE，而研究日益需要整合那些确实无法汇集的数据。采用通用标准、精心整理的数据模型和可互操作的工具，使项目最终能够跨环境运行联邦查询或训练模型，同时原始数据仍留在各自的环境中（参见主题 4.3——互操作性与数据标准）。构建一个无法互操作的、定制化的孤立环境，无论在本地看起来多好，都是一条战略死路。

8. 明确治理商业访问，并让价值回流公众。 产业界访问 NHS 数据是正当的，且往往对开发治疗方法和技术至关重要，但这正是公众疑虑最集中的地方。制定明确规则：对商业用户适用与学术用户相同的 SDE 控制措施，协议透明且公开发布，公众获得公平的回报——无论是价格上的优惠、获得由此产生的创新成果的机会，还是对数据基础设施的再投资。绝不能让"商业合作"成为数据以低调条款离开安全托管的委婉说法（参见主题 6.3——采购与商业事务）。

与团队讨论的问题#

1. 当我们说我们的数据"已去标识化"时，我们实际上接受了怎样的重新识别风险——是谁签字确认了这一判断？ 这一点很重要，因为"匿名化"一词被随意使用，涵盖了从真正非个人数据到经过轻度假名化、坚定的分析人员通过关联其他数据源就能重新识别的记录等各种情况。就具体细节展开讨论：还留存哪些准标识符（邮编的精细程度、日期、罕见诊断），攻击者现实中能关联哪些外部数据集，以及你们的控制措施究竟是 SDE 本身，还是一个乐观的标签。要考虑到丰富的纵向临床数据往往无法真正实现匿名化，这意味着让你合法且安全的是环境的控制措施，而不是数据转换本身。要弄清楚谁拥有这项风险评估：是一位适用有据可查方法论的具名责任人，还是一个从旧数据共享协议中继承下来、从未被审视过的假设。一个好的、诚实的答案会用平实的语言陈述剩余的重新识别风险，将其与具体控制措施挂钩，并指明对该判断负责的人，而不是躲在"匿名"这个词背后。

2. 我们要如何向一位持怀疑态度的患者、在报纸头版上解释某一次具体的数据访问——这个解释站得住脚吗？ care.data 的崩溃主要不是技术上的失败；而是解释和赢得信任上的失败。选取一次真实或现实的访问——比如一家制药公司在你们的 SDE 中开展一项研究——并进行角色扮演式的公众对话：什么数据、为什么、谁受益、公司得到什么、公众得到什么回报，以及如何选择退出。讨论你们目前透明度薄弱的地方：是否有公开的数据使用登记册，商业访问是否可见，患者是否知道退出选项的存在及其被遵守的情况。要考虑"因合法而站得住脚"与"因被信任而站得住脚"之间的区别，并诚实承认后者更难、也更脆弱。一个有力的答案会给出一份清晰、无行话的说明，患者会觉得合理，并指出在能够坦然给出这个说明之前，你们需要弥合哪些具体的透明度缺口。

3. 我们的治理是否足够快、足够独立，让优秀的研究人员愿意使用它，而不是绕开它？ 严格与可及性之间存在真实的张力：治理太松，就会辜负公众信任；治理太慢，研究人员要么放弃（公共价值损失），要么找到非正式的变通办法（控制完全丧失）。讨论从申请到获得数据访问的实际时间线，瓶颈在哪里（信息治理、CAG、数据工程、输出核查），以及你们的数据访问委员会是否有明确公开的标准，还是逐案决定、申请人无法预测结果。诚实地审视独立性：是否有具备否决权的人真的会说"不"，还是商业或机构压力让审批变成了走过场？要考虑这样一种失败模式：缓慢的流程把工作推向了不受治理的角落，这比一个快速透明的流程更糟糕。一个好的答案会给出真实的周期时长，区分严格与单纯的拖延，并承诺采取具体改进措施，在不削弱核心独立判断的前提下加快访问速度。

4. 当商业合作伙伴在我们的 SDE 中开展工作时，有哪些公平的价值回流给公众——我们能证明这一点吗？ 产业界的访问是正当的，往往也是将数据转化为治疗方法的唯一途径，但这恰恰是公众疑虑最集中之处，因为人们担心一项公共资产正以低调的条款交到私人手中。讨论"公平价值"对你们组织具体意味着什么：对最终产品的优惠价格、保证你们的人群能获得由此产生的创新成果、对数据基础设施的再投资，还是单纯的现金——以及由谁来决定。审视同样的 SDE 控制措施是否真的适用于商业用户，就像适用于学术用户一样，还是一家资源雄厚的公司悄悄走了一条更顺畅的路。问一问协议及其价值分享条款是公开发布的，还是在闭门会议中逐案协商、无人能够核查。一个诚实的答案会指出你们上一次商业安排带来了什么价值，这份价值流向了何处，并承认"商业合作"在哪些方面有沦为无问责特权访问的委婉说法的风险。

5. 我们环境中的数据——以及它所支撑的研究——代表的是整个人群，还是仅仅是最容易采集到的那部分？ 公平性是一项责任，而不是事后的附加考虑：如果数据对某些群体（使用服务较少、记录不够完整或退出率较高的人群）的代表性不足，那么基于这些数据构建的研究对这些群体的效果就会较差，从而在证据的外衣下悄悄扩大健康不平等。讨论哪些人群在你们的数据中代表性薄弱或缺失，编码和记录实践如何扭曲所采集的内容，以及特定社群中较高的退出率是否正在以无人追踪的方式侵蚀数据的代表性。要考虑到提升包容性可能与数据最小化、以及与那些出于历史原因而对此持谨慎态度的群体的信任之间存在张力。想一想谁在审查项目产出的差异化影响，以及你们的访问决策中"公共利益"是否曾明确问过对谁而言的利益。一个有力的答案会指出具体的代表性缺口，指明当前或计划中研究的公平性风险，并承诺监测利益分配和包容性，而不是假设一个庞大的数据集就是公平的。

6. 我们能确定 SDE 是数据离开的唯一途径吗——还是遗留的导出仍在悄悄地与之并存？ 一个安全环境只有成为唯一的门户，才能兑现它的承诺；每一份仍然存在的双边协议、邮件发送的提取文件或复制的电子表格，都是绕开你们已建立的所有控制措施的途径，而这类安排素以比签署它们的人的记忆更长寿而"著称"。讨论是否有人持有现有数据共享协议的实时清单，数据副本目前存放在你们围墙之外的哪些地方，以及谁负责有意识地淘汰它们这项工作。审视那些令人不安的激励因素：导出快捷而熟悉，研究人员和内部团队都可能更愿意走老路，同时嘴上说着遵循新流程。要考虑到，在一个未被淘汰的导出体系之上建起一座光鲜的 SDE，只是一种虚假的安全感，而不是问题的解决。一个诚实的答案会说明目前还存在多少遗留导出，指明关闭它们的计划和负责人，并坦诚哪些导出最难关闭、原因何在。

实践中：一个卫生与照护案例#

芬沃特整合照护系统（Fenwater Integrated Care System）涵盖三家急症信托机构、社区与心理健康服务，以及约九十家全科诊所。其分析人员长期以来依赖定制的数据提取——在双边协议下将假名化文件复制到研究合作伙伴的服务器上——而信息治理团队多年来一直暗自担心这些副本如今究竟散落在何处。当 NHS England 的 SDE 政策将原地访问确立为预期做法时，芬沃特的董事会决定建立芬沃特安全数据环境（Fenwater Secure Data Environment），作为一个经认证的次国家级 SDE，而不是继续签署导出协议。

该项目并非从技术开始，而是从"五个安全"开始。芬沃特确定了研究人员认证和强制培训（安全的人）；设立了一个由外行成员和独立主席组成的数据访问委员会，对每个项目的合法性和公共利益进行评估，并将涉及保密数据的案例转交第 251 条建议（安全的项目和安全的环境）；建立了一个精心整理、最小化的数据模型，其中直接标识符被假名化，邮编只粗化保留前半部分（安全的数据）；并招聘和培训了两名输出核查人员来运行气闸（安全的输出）。至关重要的是，它从第一天起就发布了公开的数据使用登记册，并召集了一个常设患者小组来审视治理情况。

第一次真正的考验来自一家诊断公司的请求，该公司希望利用五年的病理和影像数据研究某种癌症的早期标志物。在旧模式下，这本会是又一次导出。而现在，该公司的分析人员经过认证，其项目经过公共利益评估并附条件获批，他们完全在 SDE 内部开展工作——没有原始数据离开。他们的统计输出经过气闸，一名核查人员抑制了若干个本会使罕见亚型患者被单独识别出来的小单元格计数。这项商业协议被公开发布在登记册上，其中包括承诺将任何由此产生的检测以优惠条款提供给该 ICS。

十八个月后，芬沃特淘汰了最后一份遗留导出协议。随后的一项请求需要将芬沃特持有的数据与邻近一个 ICS 的记录相结合；两个经认证的 SDE 没有复制任何一方的数据集，而是试点了一次联邦查询，使分析在两个环境中同时运行，只汇总结果被整合在一起。当一位当地记者询问是谁一直在使用患者数据时，该 ICS 指向了它的公开登记册。这项工作比发一封邮件附上电子表格要慢得多——但它把一种令人不安、看不见的导出习惯，变成了一项站得住脚、透明的公共资产。

行业视角#

初创企业#

一家健康科技初创企业很少会自建 SDE；它是别人环境的使用者，其工作方式必须以环境而非导出为前提。设计你们的分析和模型训练流水线，使其在你们无法下载的数据的 TRE 内运行，因为这正日益成为大规模获取 NHS 数据的唯一合法途径——而医院或 ICS 会在放行之前评估你们的治理成熟度。为认证、原地工作的较慢节奏，以及将阻止你们带走预期结果的输出核查，做出切合实际的预算。你们的竞争优势不再是对原始数据的特权访问（那个时代正在结束），而是在约束条件下产生可信、可发表的洞见的能力，以及对你们如何使用所获访问权限保持透明的能力。

小型企业#

一家成熟的小型服务提供者或供应商——一家全科诊所、一家社区药房、一家养老院、一家单点诊所，或一家已过初创阶段的小型分析供应商——更多时候是一个负有责任的数据控制者，而非潜在的研究人员，它永远不会运行自己的 SDE。它的实际任务是抵制过去那种把假名化提取文件复制到合作伙伴笔记本电脑或电子表格上的旧习惯，转而坚持要求对其患者数据的任何二次使用都必须在一个它能够指明并问责的经认证环境中进行。由于没有专职的信息治理人员，要依靠共享和区域性的 SDE、数据保护官或 ICB，以及标准化的数据共享条款，而不是自行协商你们无法妥善审查的定制安排。要明白全国数据退出选项和保密义务对你们全面适用，无论规模大小，因此最安全的做法是将对你们数据的请求引导至受治理的 SDE，并拒绝非正式导出，即便是一位受信任的当地研究人员友好地提出请求。

大型机构#

一家大型 NHS 信托机构、ICS 或制药公司会在大规模、多个并行项目中运行 SDE，因此其挑战是在不丧失控制的前提下提升吞吐量。现实的目标是拥有一个流程工业化的经认证环境——常设的数据访问委员会、精心整理和最小化的数据模型、配备充足资源的输出核查，以及公开发布的使用登记册——而不是每个项目一个定制平台。将 SDE 嵌入采购和合作条款，使商业访问默认通过它进行，价值分享是合同约定的，而不是临时协商的（参见主题 6.4——治理与保障）。在这种规模下，最大的风险是缓慢的治理流水线把研究人员推向变通办法，以及在光鲜的新环境旁悄悄存续的遗留导出协议；要有意识地淘汰它们。

政府#

一个国家级机构——NHS England、权力下放的卫生行政部门、英国统计局——制定了所有其他机构都要遵循的规则，其影响力来自标准、认证和公众信任。它制定 SDE 政策，认证次国家级环境，运营一个国家级 SDE，并——遵循戈达克审查（Goldacre Review）"更好、更广泛、更安全"的建议——推动形成数量更少、治理良好、可互操作的环境，而不是数百个失控的数据流（参见主题 9.2——全球与国际数字健康）。它最艰巨也最重要的职责是在国家层面维护社会许可：遵守全国数据退出选项，坚持商业访问的透明度，并确保公众看到一项公共资产的使用带来了公平的回报。政府还承担着公平性责任——确保使用这些数据的研究惠及整个人群，而不仅仅是数据中代表性最强的群体。

常见失败模式#

• 从未真正停止的导出。 一个光鲜的新 SDE 上线了，而旧的数据共享协议仍在悄悄地从后门继续复制数据。要有意识地清点并淘汰遗留导出；这个环境只有成为唯一的途径才有意义。
• 把"匿名化"当作安慰性说法。 把丰富的临床数据称为匿名数据并不能使其真正如此；重新识别风险往往是真实存在且不断上升的。要评估并记录实际的剩余风险，依靠环境的控制措施，而不是这个标签。
• 有技术而无治理。 一个项目审查薄弱或没有输出核查的安全平台，就是一场等待发生的泄露。全部"五个安全"都必须落地运作，而不只是环境本身。
• 会漏水的气闸。 资源不足的输出核查会造成积压，而积压会带来绕开气闸的压力。要将其配置为受重视、有技能要求的工作，并确保可实现的周转时间。
• 慢到被绕开的治理。 一个不透明、耗时数月的审批流程会把优秀的研究人员推向非正式变通办法——两头都占了坏处。要让审批既独立又足够快。
• 悄悄进行的商业交易。 以未公开条款安排的产业界访问，无论多么合法，都是失去公众信任最快的方式。要对商业用户适用相同的控制措施，并公开这些安排。
• 把透明度当作上线当天的表演。 一次性的公众宣传活动不等于社会许可；持续维护的数据使用登记册和真正的公众参与才是。care.data 时刻提醒我们，信任是一种运作条件，而不是一次上线活动。

成熟度模型#

检查清单#

• 通过 SDE 进行的原地访问是默认方式；遗留数据导出已被清点并正在被淘汰。
• 全部"五个安全"都以有证据支持的流程落实，而不仅仅是一个安全平台。
• 数据被最小化并去标识化到每个项目所能容忍的最低可识别程度，默认进行假名化。
• 重新识别风险由具名的责任人评估并记录，而不是从"匿名化"标签中假设得出。
• 每一项输出在发布前都经过气闸，由经过培训的核查人员应用统计披露控制。
• 一个独立的数据访问委员会根据公开标准批准项目，保密数据有 CAG／第 251 条路径。
• 治理时间线被衡量、公开，并且足够快，使研究人员愿意使用该流程而不是绕开它。
• 一份公开的数据使用登记册显示谁访问了什么数据、用于何种目的、结果如何。
• 全国数据退出选项被遵守，其存在被清晰地传达给患者。
• 商业访问通过相同的 SDE 控制措施进行，并被公开发布，向公众返还公平价值。
• 该环境采用通用标准，使其能够互操作，并最终支持跨 SDE 的联邦分析。

关键资料来源#

• NHS England — 安全数据环境（SDE）政策指南 及国家级与次国家级 SDE 网络。
• Ben Goldacre 等 — 更好、更广泛、更安全：将健康数据用于研究与分析（戈达克审查，the Goldacre Review），Department of Health and Social Care，2022 年。
• 英国国家统计局（Office for National Statistics）— 用于安全数据访问的五个安全框架。
• 英国健康数据研究联盟／健康数据研究英国（UK Health Data Research Alliance / Health Data Research UK，HDR UK）— 可信研究环境的原则与标准。
• 健康研究管理局（Health Research Authority）— 保密咨询组（CAG）以及在未经同意情况下使用保密患者信息的第 251 条支持。
• 英国统计局（UK Statistics Authority）— 用于研究和统计的数据安全使用的认证。
• 信息专员办公室（Information Commissioner's Office）— 英国 GDPR 下关于匿名化、假名化和数据最小化的指南。

参考文献#

1. Five safes — Wikipedia — https://en.wikipedia.org/wiki/Five_safes
2. Data minimization — Wikipedia — https://en.wikipedia.org/wiki/Data_minimization
3. De-identification — Wikipedia — https://en.wikipedia.org/wiki/De-identification
4. Pseudonymization — Wikipedia — https://en.wikipedia.org/wiki/Pseudonymization
5. Data anonymization — Wikipedia — https://en.wikipedia.org/wiki/Data_anonymization
6. Data re-identification — Wikipedia — https://en.wikipedia.org/wiki/Data_re-identification
7. Statistical disclosure control — Wikipedia — https://en.wikipedia.org/wiki/Statistical_disclosure_control
8. Differential privacy — Wikipedia — https://en.wikipedia.org/wiki/Differential_privacy
9. Federated learning — Wikipedia — https://en.wikipedia.org/wiki/Federated_learning
10. care.data — Wikipedia — https://en.wikipedia.org/wiki/Care.data
11. Better, broader, safer: using health data for research and analysis (the Goldacre Review) — Department of Health and Social Care / Ben Goldacre — https://www.gov.uk/government/publications/better-broader-safer-using-health-data-for-research-and-analysis
12. Secure data environment for NHS health and social care data — policy guidelines — NHS England — https://www.gov.uk/government/publications/secure-data-environment-policy-guidelines
13. The Five Safes framework — Office for National Statistics — https://www.ons.gov.uk/aboutus/whatwedo/statistics/requestingstatistics/approvedresearcherscheme
14. UK Health Data Research Alliance — Trusted Research Environments — Health Data Research UK — https://www.hdruk.ac.uk/
15. Confidentiality Advisory Group and section 251 support — Health Research Authority — https://www.hra.nhs.uk/approvals-amendments/what-approvals-do-i-need/confidentiality-advisory-group/
16. Anonymisation, pseudonymisation and privacy-enhancing technologies guidance — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/anonymisation/