主题 1.10 — 数字服务中的保障工作(Safeguarding)

在医疗与照护领域,一项数字服务如果暴露了一位女性的住址、让一个控制欲强的伴侣读到她的信息,或让一个施虐者访问到一个孩子的记录,所造成的伤害与一次临床差错同样真实——因此保障工作必须被设计进去,而不是事后附加。

为什么这在医疗与照护领域很重要#

保障工作(safeguarding)是保护儿童与处于风险中的成年人免受虐待、伤害与忽视的一套法定职责。在英格兰,这些职责源自《2004 年儿童法》、《2014 年照护法》,以及诸如《共同努力保障儿童安全》这样的多机构指导。它们不是数字项目的可选附加项;它们是法律义务,只要你的服务触及一个脆弱的人,这些义务就会跟随而至。

数字服务同时朝两个方向改变着保障工作的局面。它们创造了新的机会——一位年轻人可能通过一个消息渠道披露自我伤害的情况,而这是他们永远不会当面提起的;一份共享记录可能揭示出一种错过预约的模式,从而标记出忽视的迹象。它们也创造了新的风险。一条预约提醒短信、一条重复处方通知,或一次代理访问授权,都可能把一个人的位置、诊断或行踪泄露给恰恰是他们正在躲避的那个人。

最容易暴露于这些风险之中的人,往往也是最难触及的人。家庭暴力的受害者、寄养儿童、缺乏行为能力的成年人,以及正在经历胁迫的人,往往对自己的设备、账户与邮件的掌控力更弱。当你设计一款患者应用或一份共享照护记录时,你实际上正悄悄地在决定谁能看到什么——而对于一个与施虐者同住的人来说,这个决定可能关乎人身安全。这就是为什么保障工作与临床安全(见主题 1.6——临床安全与风险管理)和信息治理(见主题 1.7——信息治理、数据保护与网络安全)并列,是一项服务能否安全运行的核心条件。

核心概念#

保障工作是保护人们的健康、福祉与人权、使其免受虐待、伤害与忽视的总称。它分为两个相关但各自独立的制度:适用于所有 18 岁以下人群的儿童保护,以及适用于有照护与支持需求、无法自我保护的成年人的成人保障工作——后者的法律基础是《2014 年照护法》。两者都通过多机构协作运作:卫生、社会照护、警方、教育与志愿部门共享信息并共同行动,因为没有任何一个单一机构能看到全貌。

《2005 年心智能力法》规范了为缺乏能力做出某项具体决定的成年人所做的决策。这对数字访问而言极为重要:能力是针对具体决定的,且可能波动,因此"授予一位照护者对应用的完全访问权限"很少是一次性的、永久的选择。代理与委托访问——父母代表年幼子女、照护者代表年长成年人、持久授权书下的受托人——必须被证明合理、相称,并被定期审查,尤其是当一个孩子接近获得自己保密权利的年龄时。

有几种伤害形式会被数字设计放大。家庭暴力与亲密关系中的控制行为——强制性控制——会把普通功能变成武器:一个共享登录账号变成一种监视手段,一条暴露位置的通知变成一个追踪信标。跟踪骚扰会利用任何能披露日常规律或行踪的数据点。"设计中的保障工作"这门学科,就是要预见到这些伤害,并构建出为处于风险中的人隐藏、编辑、压制或延迟信息的能力。

还有两个概念能补全这幅图景。身份认证与身份核验决定着访问一项服务的人是否真的是他们所声称的那个人——这是抵御冒充的第一道防线,也是一个强健的数字身份得以保护或危及一个人的机制。凡是一项服务承载着同伴支持、论坛或消息功能之处,内容审核以及《2023 年网络安全法》下的义务,规范着你如何保护人们免受有害内容与彼此的伤害。

最佳实践#

1. 把保障工作当作一项设计要求,而不是一份政策文件。 从第一个冲刺阶段起,就把保障工作场景与临床及无障碍需求一并写入你的探索阶段与用户研究(见主题 1.9——数字包容与无障碍)。对每一个展示或发送信息的功能都要追问:"如果错误的人看到这个会怎样?"一次设计中的保障工作审查,应当是你交付生命周期中一个具名的关卡,由一位临床医生或保障工作负责人签核,而不是上线时勾选的一个方框。

2. 把敏感数据设计为默认可隐藏、可压制、可编辑的能力。 每一条通知、提醒、信件与共享记录视图,都应当有一种有据可查的方式,能为处于风险中的人被压制、变为通用形式,或被重新定向。一位正在逃离施虐者的女性,可能需要关闭预约提醒、把她的地址标记为敏感信息,并对代理查看者隐藏特定的记录条目。要一次性、集中地构建这些控制措施,这样一线工作人员就能在几分钟内应用它们,而不必提交一份要等上数周的变更请求。

3. 把代理与委托访问设计得精细化、有时限、可审查。 代理访问是一种真正的好处——照护者与父母确实需要它——但"要么全有、要么全无,永远有效"是危险的。支持部分访问(例如预约但不含临床记录)、自动审查节点(尤其是在一个孩子满 11 岁、以及他们获得保密权利的年龄——通常是 16 岁——再次触发),以及一键撤销。让每一次授权都建立在符合《心智能力法》的能力或最佳利益判断之上,并记录是谁授权的、依据什么理由。

4. 相称地核验身份,并防范冒充。 薄弱的核验会让一个施虐者以受害者的身份注册或与之关联;过重的核验则会把最需要照护的人排除在外。让保证力度与风险相匹配:预约一次常规就诊所需的核验,应低于授予对一位青少年精神健康记录的代理访问权限所需的核验。使用公认的身份保证方法(NHS login、GOV.UK One Login 模式),并留意胁迫的蛛丝马迹——同一个电话号码或设备关联着许多账户,或一位"照护者"抗拒任何与患者的直接联系。

5. 把清晰的上报与转介机制构建进服务本身,而不是绕在它周围。 当一名员工——或一个自动化信号——通过数字渠道发现一项保障工作方面的关切时,通往转介的路径必须明显、快速,并被记录。与地方政府的多机构保障工作中心(MASH)及具名的保障工作负责人对接,并确保凌晨两点通过一项消息服务发出的关切,能够抵达一个能够采取行动的人。绝不能让一项数字服务变成一个只接收披露、却无法转达出去的地方。

6. 积极、合法地对承载空间进行审核。 如果你的服务承载同伴支持、论坛或用户间消息功能,你既负有一份照护义务,也根据《2023 年网络安全法》负有关于非法与有害内容的法律义务。把自动化过滤与受过培训的人工审核员结合起来,配备清晰的举报工具,以及针对虐待、自我伤害或自杀意图披露的上报路径。公布规则,在规定时限内回应举报,并在转介时妥善保存证据。

7. 训练员工识别并回应通过数字渠道出现的风险。 通过聊天、视频或一条门户消息识别虐待,是与在诊所里识别虐待截然不同的技能。为一线与联络中心员工提供基于场景的培训,涉及数字披露、胁迫迹象,以及应用记录编辑与通知压制的具体操作。保障工作负责人应当充分理解系统的控制措施,以便在压力之下能够指导其使用。

8. 记住数字排斥会集中在处于风险中的人身上。 最有可能被排斥的群体——正在经历虐待的人、有认知障碍的人、离开照护体系的年轻人、贫困人群——与服务最需要保护的人高度重叠。一条"默认数字化"的渠道可能切断他们与帮助的联系,或迫使他们使用一台由施虐者控制的设备。始终保留一条安全的非数字路径,并把排斥本身当作一项保障工作风险来对待(见主题 1.9——数字包容与无障碍与主题 3.3——面向患者与市民的数字服务)。

9. 记录、审计并审查访问,以发现滥用。 维护防篡改的访问日志,对异常访问开展主动审计(一位代理查看的内容远超预期,或员工在没有照护关系的情况下查阅记录),并让患者对谁看过他们的数据拥有透明度。可审计性既能震慑内部滥用,又能在一项关切被调查时提供证据。把这些模式反馈进设计中,让反复出现的风险被从设计上消除。

与团队讨论的问题#

1. 对于我们服务所展示或发送的每一条信息,如果错误的人看到它,谁会受到伤害?一位一线工作人员能在几分钟内阻止这种情况吗? 这个问题迫使你越过那个"顺利路径"用户,去关注与施虐者同住的人、父母仍持有代理访问权限的青少年,以及行踪必须保密的成年人。张力在于多数人的便利与少数脆弱人群的安全之间:默认开启的提醒与丰富的共享记录帮助了大多数人,却危及了少数人。梳理具体的流程——一条预约短信、一条重复处方通知、对临床记录的代理查看——并追问在每种情况下是谁持有设备与账户。一个好的答案会指出具体的控制措施(压制、编辑、敏感地址标记),确认一位非技术人员能够快速应用它们,并诚实承认在今天,哪些地方唯一的选择是一个缓慢的人工变通方案,让人们在此期间暴露于风险之中。

2. 随着能力、年龄与关系随时间变化,我们如何处理代理与委托访问? 代理访问在授予的那一刻很少是错的,却常常在之后变成错的——孩子长大了,照护关系破裂了,能力发生了波动。讨论应当揭示你如何侦测并应对这些变化,而不是任由过时的访问权限保留在原地。想一想那个十一岁的孩子,父母仍然能看到一切;那位受托人利益已与本人产生分歧的成年人;那位在一次危机后能力恢复的人。把讨论建立在《心智能力法》"能力是针对具体决定的、且被假定存在"这一原则之上。一个有力的答案会描述自动审查触发点、精细化的访问级别、便捷的撤销,以及一份清晰的记录,说明每一次授权是谁批准的、依据什么理由——并诚实说明这其中有多少目前仍是人工的或缺失的。

3. 当有人通过一个数字渠道披露伤害或虐待时,接下来究竟会发生什么?我们如何知道这奏效了? 数字渠道能促成在诊所里永远不会浮现的披露,这是一个真正的机会,但前提是这个披露能抵达一个能够采取行动的人。讨论应当追溯从凌晨两点的一条聊天消息、一份门户笔记,或一个自动化风险标记,到被记录并转介给一个多机构保障工作中心或具名负责人的完整路径。要讨论那些棘手的边界:非工作时间的覆盖、服务自身职责与法定服务之间的边界,以及当一个受版主管理的论坛出现一条自杀倾向的帖子时会发生什么。审视你自己的事故与转介数据——披露是否被接收却未被转达?一个好的答案会展示一条经过测试、被记录、有人工支撑的上报路径,说出谁拥有它,并能指出转介确实完成了的证据,而不是想当然地假设。

4. 如果我们自己的服务正被用来虐待、跟踪或胁迫某人,我们会如何知道——谁在留意这一点? 危险的案例很少会自我宣告;施虐者看起来像一个合法的代理人、一位关心他人的亲属,或账户持有人本人。这个问题促使团队从设计控制措施转向主动侦测滥用:被关联到十几个账户的共享设备,阅读内容远超孩子照护所需的代理人,那位阻止任何与患者直接联系的"照护者"。讨论你能从访问日志与注册数据中提取哪些信号,谁负责审查它们,以及一种怀疑如何变成一项保障工作行动,而不是一条无人阅读的笔记。权衡主动监测的隐私成本与保持视而不见所造成的伤害。一个诚实的答案会说出你会关注的异常情况,说出谁拥有这项审计,并承认在今天,滥用行为在有人受到伤害之前会一直不被察觉。

5. 当安全与隐私朝相反方向拉扯时,我们如何决定——谁在场? 保障工作不是数据保护方面一场干净利落的胜利:对代理人隐藏一份记录、与警方分享一项关切,或推翻一个人明确表达的意愿,都可能与保密性和这个人自身的自主权发生张力。这个问题迫使团队明确说出这些取舍,而不是让最大声的那门学科默认做出决定。想一想一位能力波动的成年人,他要求你授予访问权限,而这可能不符合他的最佳利益;或者一次保护了儿童的多机构共享,却违背了成年人对隐私的期望。把讨论建立在《心智能力法》、Caldicott 原则,以及为防止严重伤害而共享的合法依据之上。一个好的答案会描述谁来裁决这些决定(保障工作、临床安全与信息治理负责人共同参与)、推理过程如何被记录,以及你如何既避免反射性的过度共享,也避免瘫痪性的共享不足。

6. 随着服务、其供应商与周围威胁的变化,我们如何保持保障工作持续有效? 保障工作的控制措施会衰退:一次新版本发布悄悄地重新启用了一条默认通知,一个第三方消息供应商改变了它的审核方式,一次平台更新破坏了一条压制规则,一种新的胁迫手法出现,而没有人为此设计过防范。这个问题让团队把保障工作当作运行中服务的一项活的属性来对待,而不是上线时通过的一次性关卡。讨论变更控制、供应商保证与事后学习如何反馈进这些控制措施,以及在每次重大变更后是谁重新测试处于风险中的配置。审视你的回归测试是否涵盖了保障工作场景。一个诚实的答案会指出一位具名负责人、一个审查节奏、控制措施在变更后被重新检查的证据,以及一种把新威胁与未遂事件重新纳入设计的机制,而不是通过伤害才重新发现它们。

实践中:一个医疗与照护案例#

一个整合照护系统(ICS)在其急症、社区、精神健康与社会照护合作伙伴之间推出了一份共享照护记录以及一款配套的患者应用。早期采用情况良好,代理访问被启用,以便父母管理孩子的照护,照护者支持年长的亲属。

三个月后,一位社区助产士提出了一项关切。一位孕妇悄悄询问,她的伴侣——他持有他们幼儿记录的代理访问权限——是否能看到她的预约与地址。答案是能:这段代理关系是在注册时建立的,授予了广泛的可见性,而她的产前预约提醒默认通过短信发送到一部他有时会查看的手机上。这位女性正受到控制,并正在计划离开;这项服务在当前的配置下,正在帮助她的施虐者追踪她。

保障工作负责人召集了数字、临床安全与信息治理负责人。在短期内,他们应用了一个敏感地址标记,压制了她的短信提醒,改为拨打一个安全号码,并撤销了那位伴侣查看她记录的能力,同时保留了他对孩子记录的合法访问权限。他们发现这项工作耗费了跨三个系统的一整天人工努力——对于规模化而言,速度远远太慢,不够安全。

持久的解决方案是一项设计变更。该 ICS 构建了一个单一的"高风险"配置,一线工作人员可以在几分钟内应用它:它会压制或通用化通知,对具名代理人隐藏敏感记录,并把未来的通信引导至一个安全渠道。他们为所有儿童代理授权增加了 11 岁与 16 岁的审查触发点,收紧了新代理关联的身份检查,并培训联络中心员工识别胁迫信号。这项变更被记录为一项临床安全与保障工作方面的改进,在 ICS 保证委员会上接受审查,并与使用同一平台的邻近系统共享。

行业视角#

初创企业#

一家正在构建例如青少年精神健康应用的小型数字医疗公司,所承担的保障工作风险远远超出其团队规模——它的用户是正在披露自我伤害与虐待的未成年人。在资源有限的情况下,诱惑是把审核与上报机制推迟到"以后",但一次未被处理的自杀意图披露,就是一场生死攸关的、关乎伦理的失败。从第一天起就优先构建一套精简但真实的保障工作体系:一位受过培训的待命响应人员或一个签约的危机上报合作伙伴、清晰的内容规则,以及与风险相称的身份检查。把保障工作的验收标准纳入你的"完成"定义,并准备好在 DTAC 下与《2023 年网络安全法》下为买家提供证据。

小型企业#

一家成熟的小型服务提供者——一家全科诊所、一家社区药房、一家养老院或一家居家照护机构——承担着与大型信托机构同样的保障工作职责,却没有专门的数字或 IT 团队来落实它们。它通常运行着自己无法重新配置的、由供应商提供的系统,因此现实的任务是了解这些系统已经提供了哪些保障工作控制措施,以及如何快速使用它们:压制一条预约提醒、标记一个敏感地址、对代理人隐藏一份记录。指定一位具名的保障工作负责人,并确保至少有一个人知道如何在不等待供应商的情况下应用通知压制与代理撤销。由于现金与时间紧张,要依靠共享资源——CQC 的期望、地方政府的 MASH 联系人,以及 NHS England 的代理访问指导——而不是自行构建,并敦促供应商让高风险控制措施变得快速、明显。保持一条安全的非数字路径开放,因为你的患者无法依靠一个你并不拥有的内部帮助台。

大型企业#

一家 NHS 信托机构或 ICS 运行着许多系统、许多代理关系与数百万条记录,因此挑战在于规模化下的一致性与速度。风险在于碎片化——每个系统都有自己缓慢、不一致的隐藏数据的方式——这会留下施虐者可以利用的缺口,以及无法足够快地采取行动的工作人员。投资于集中化、可复用的保障工作控制措施(敏感标记、通知压制、代理治理),使其适用于整个资产范围,并由具名的保障工作负责人、MASH 集成与主动访问审计来支撑。治理与保证委员会(见主题 6.4——治理与保证)应当把设计中的保障工作当作一个常设关卡,而不是一次性的事情。

政府机构#

一个国家机构——NHS England、DHSC,或一个权力下放的政府——制定了其他所有人赖以构建的标准、平台与身份基础设施,因此它的设计决策会波及整个系统。关于 NHS login、GOV.UK One Login、代理访问规则与记录共享默认设置的选择,决定了下游究竟有哪些保障工作控制措施是可能的。问责对象是议会与公众,失败模式是一个悄悄地在规模上让处于风险中的市民暴露的全国性默认设置。政府应当在服务标准中强制要求设计中的保障工作,为共享组件(安全地址处理、敏感记录压制)提供资金,并通过《2023 年网络安全法》与 Ofcom 进行立法与监管,明确将脆弱用户纳入范围。

常见失败模式#

• 事后附加的保障工作。 把保障工作当作一份政策 PDF,而不是一项设计要求,导致风险出现时控制措施缺失,工作人员即兴拼凑缓慢的人工修复方案。
• 默认开启,无法关闭。 默认发送提醒、信件与通知,却没有一条让工作人员能快速为处于风险中的人压制或通用化它们的路径。
• 要么全有要么全无的代理访问。 授予广泛、永久的代理访问权限,没有精细化区分,没有在关键年龄进行审查,也没有便捷的撤销机制——留下过时的访问权限可供利用。
• 薄弱或盲目的身份检查。 核验太弱以至于无法阻止冒充,或太重以至于排斥了处于风险中的用户,且没有留意共享设备之类的胁迫信号。
• 披露被接收却未被转达。 提供消息功能或有审核的论坛,却没有一条经过测试、被记录、有人工支撑的保障工作服务上报路径,尤其是在非工作时间。
• 排斥了你必须保护的人。 "默认数字化"却没有安全的非数字路径,切断了或危及了受虐待者、认知混乱者与贫困者的联系。
• 没有审计,没有学习。 未能记录与审计访问,导致内部滥用未被发现,反复出现的风险从未被从设计上消除。

成熟度模型#

检查清单#

• 每一个揭示信息的功能都有一份"如果错误的人看到这个会怎样?"的记录审查,并有临床/保障工作方面的签核。
• 一位一线工作人员能在几分钟内、跨所有渠道压制或通用化通知,并标记一个敏感地址。
• 特定的记录条目可以对具名代理人隐藏或编辑,而不移除合法访问权限。
• 代理访问是精细化的、有时限的,并在关键年龄(通常是 11 岁与 16 岁)及能力变化时自动审查。
• 身份核验与风险相称,能防范冒充,并留意胁迫信号。
• 一条经过测试、被记录、有人工支撑的上报路径,从每一个数字渠道通往 MASH 与具名保障工作负责人,包括非工作时间。
• 承载的同伴支持与消息功能有积极的审核、举报工具,并符合《网络安全法》。
• 一线与联络中心员工受过培训,能识别并回应通过数字渠道出现的风险。
• 为每一个无法或不敢使用数字路径的人保留一条安全的非数字路径。
• 访问被记录、被主动审计以发现滥用,模式被反馈进设计。

关键来源#

• 《2014 年照护法》与法定照护与支持指导 ——英格兰成人保障工作的法律基础(卫生与社会保健部)。
• 《共同努力保障儿童安全》 ——关于儿童保护的多机构法定指导(英国政府/教育部)。
• 《2005 年心智能力法》及其行为守则 ——能力存疑时决策与代理访问的框架。
• NHS England 关于保障工作与在线咨询/患者在线访问的指导,包括全科诊所在线服务中的代理访问与胁迫风险。
• 家庭暴力与"安全诊所"/设计中的保障工作资源 ——例如 SafeLives、Refuge,以及《2021 年家庭暴力法》法定指导。
• 《2023 年网络安全法》与 Ofcom 的行为守则 ——用户间与内容托管服务的义务。
• **NHS 数字技术评估标准(DTAC)**与 NHS 服务标准 ——数字健康产品的保障工作与安全性期望。
• 数字身份:NHS login 与 GOV.UK One Login 身份保证指导。

参考文献#

1. Safeguarding — Wikipedia — https://en.wikipedia.org/wiki/Safeguarding
2. Child protection — Wikipedia — https://en.wikipedia.org/wiki/Child_protection
3. Care Act 2014 — Wikipedia — https://en.wikipedia.org/wiki/Care_Act_2014
4. Mental Capacity Act 2005 — Wikipedia — https://en.wikipedia.org/wiki/Mental_Capacity_Act_2005
5. Domestic violence — Wikipedia — https://en.wikipedia.org/wiki/Domestic_violence
6. Controlling behavior in relationships (coercive control) — Wikipedia — https://en.wikipedia.org/wiki/Controlling_behavior_in_relationships
7. Stalking — Wikipedia — https://en.wikipedia.org/wiki/Stalking
8. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
9. Identity verification service — Wikipedia — https://en.wikipedia.org/wiki/Identity_verification_service
10. Digital identity — Wikipedia — https://en.wikipedia.org/wiki/Digital_identity
11. Content moderation — Wikipedia — https://en.wikipedia.org/wiki/Content_moderation
12. Online Safety Act 2023 — Wikipedia — https://en.wikipedia.org/wiki/Online_Safety_Act_2023
13. Care Act 2014 and Care and Support Statutory Guidance — Department of Health and Social Care / GOV.UK — https://www.gov.uk/government/publications/care-act-statutory-guidance
14. Working Together to Safeguard Children — HM Government / Department for Education — https://www.gov.uk/government/publications/working-together-to-safeguard-children--2
15. Mental Capacity Act Code of Practice — Ministry of Justice / GOV.UK — https://www.gov.uk/government/publications/mental-capacity-act-code-of-practice
16. Patient online access and proxy access guidance — NHS England — https://www.england.nhs.uk/long-read/patient-online-access-to-general-practice/
17. Online Safety Act 2023: guidance and codes — Ofcom — https://www.ofcom.org.uk/online-safety
18. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
19. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/