Предизвикателствата при защитата на данните при споделянето на данни от ирландските здравни служби

Растящата сложност на защитата на данните за пациентите в ирландското здравеопазване

Ирландските доставчици на здравни услуги все повече споделят данни за пациентите с цел подобряване на медицинските услуги, рационализиране на координацията на грижите и предварителни изследвания. От болничните мрежи и общите практики до цифровите здравни платформи и изследователските институции потокът от чувствителна здравна информация се разширява бързо.

Въпреки че потенциалните ползи от споделянето на данни са огромни, по-добри клинични резултати, намалено дублиране на тестове, по-бърза диагностика и по-ефективно управление на здравето на населението, рисковете от неразрешен достъп, неразрешен достъп и неспазване на изискванията не могат да бъдат пренебрегнати. По-долу, ние разглеждаме основните предизвикателства и изследваме практически, напред-гледащи решения.

Правна рамка и правила за поверителност на данните

Ирландският режим за защита на данните е закотвен от Общия регламент за защита на данните (GDPR), който влезе в сила през май 2018 г., и националното законодателство за прилагане Закон за защита на данните 2018. Тези закони налагат строги правила за това как личните данни . . Особено специални категории данни като здравна информация . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

Едно от най-взискателните изисквания за споделяне на данни в здравеопазването е получаването на валидно съгласие или създаването на друга законна основа съгласно член 6 и член 9 от GDPR. Макар често да се цитира изрично съгласие, много инициативи за обмен на данни в здравеопазването разчитат на други бази като жизненоважни интереси, значителен обществен интерес или предоставяне на здравно обслужване. Интерпретативните комплекси са значителни. Например споделянето на данни за пациентите за пряка грижа може да бъде обосновано при различни условия от споделянето на данни за вторични изследвания.

Ролята на Комисията за защита на данните (DPC)

Ирландия е независим надзорен орган, отговарящ за GDPR и Закона за защита на данните. DPC демонстрира активна поза за изпълнение, издаваща значителни глоби и коригиращи нареждания през последните години. Здравните организации трябва да бъдат подготвени за одити, разследвания и възможността за санкции, които могат да достигнат до 20 млн. евро или 4% от годишния световен оборот, в зависимост от това кое от двете е по-високо.

Основни предизвикателства, свързани с съответствието в практиката

Управление на условията:[ Получаване, записване и управление на съгласието в динамична здравна среда с множество доставчици и развиващи се пътища на лечение.
Изисквания за съхранение на данни:[ Диференциация между клиничните записи, данните от изследванията и административните данни, всяка от които има различни правни изисквания за запазване.
Трансгранични потоци от данни:[ Споделяне на данни със здравни партньори в други страни от ЕС/ЕИП или, по-сложно, с организации в юрисдикции с неадекватни режими за защита на данните.
Легистичен интерес срещу очакванията на пациентите:[ Балансиране на необходимостта на организацията да обработва данни за оперативни или изследователски цели срещу разумните очаквания на пациентите по отношение на неприкосновеността на личния живот.

Здравните организации трябва да гарантират, че всяко споразумение за обмен на данни е документирано, обсебено от риска и съответства на изискванията. Неуспехът не само кани регулаторните санкции, но и излага пациентите на потенциална вреда.

Технически предизвикателства в сигурността на данните

Извънредна инфраструктура и наследствени системи

Много доставчици на ирландските здравни услуги, особено в публичния сектор, работят на пачове на наследени ИТ системи. Тези системи често нямат модерни възможности за криптиране, имат непостоянен управление на пластири, и не могат да подкрепят стабилни контроли за достъп.

Когато данните се споделят в тези системи . . особено чрез API, файлове трансфери, или споделени бази данни . . риска от неоторизирани неоторизирани неоторизирани или корупция се увеличава. Един-единствен слаб линк във веригата може да компрометира целия поток от чувствителни данни.

Недостатъчна сигурност при криптиране и прехвърляне на данни

Въпреки че криптирането е широко препоръчително, прилагането може да бъде непоследователно. Данните в покой (задържани в бази данни, архиви) и данните в транзит (преминаване между системи или през мрежи) изискват силни стандарти за криптиране като AES-256 за съхранение и TLS 1.3 за комуникации. Въпреки това, много здравни организации все още разчитат на по-стари протоколи, некриптирани вътрешни мрежи, или слабо конфигурирани виртуални частни мрежи (VPNs). Рискът е особено остър, когато данните се споделят с външни партньори чрез електронна поща, клауд съхранение, или трети страни платформи, които не могат да се придържат към същите стандарти за сигурност.

Заплахи и нападатели в киберсигурност

В сектора на здравеопазването е основна цел за киберпрестъпници. Ransomware атаки, фишинг кампании, и напреднали устойчиви заплахи са станали все по-често. В Ирландия, на 2021 HSE изкупителна заповед атака показа катастрофално въздействие, че пробив може да има год. пациентите записи са били кодирани, услуги са били нарушени, и чувствителни данни са били публично изтече.

Разположение на мрежата за ограничаване на страничното движение в случай на проникване.
Определяне и реагиране на крайни точки (EDR)[ решения във всички устройства.
Регулярно изпитване на проникване[] и оценки на уязвимостта.
Обучение на персонала за идентифициране на опит за фиширане и социални инженерни опити.
Планове за реагиране при инциденти, които се изпитват и актуализират редовно.

Финансовите и човешките ресурси, необходими за поддържане на такива защитни мерки, са значителни, но цената на нарушението е много по-висока год. не само в откупни плащания или глоби, но и в увреждане на пациентите, правни задължения и загуба на доверие.

Обучение на персонала и човешка грешка

Човешката грешка остава една от най-честите причини годежни имейли, изгубени устройства, слаби пароли или случайно споделяне на пълномощия за достъп. Здравните служители често са претоварени и могат да приоритизират грижата за пациентите над строга хигиена на данните. Продължителното обучение е от съществено значение за вграждането на култура на информираност за сигурността. Това включва не само технически персонал като ИТ администратори и клинични информатици, но също и медицински сестри, лекари, административен персонал, и дори и изпълнители, които имат достъп до здравни данни.

Балансиране на споделянето на данни с поверителност на пациента

Стойността на споделените данни в здравеопазването

Когато пациентът премине от GP към специалист в болница, който има достъп до пълната си медицинска история, намалява риска от дублирани тестове, медицински грешки и забавени диагнози. На ниво население обобщените данни за здравето позволяват мониторинг на общественото здраве, епидемиологични изследвания и идентифициране на модели на ефективността на лечението.

Доверие на пациента и прозрачност

Пациентите могат да се колебаят да споделят лична здравна информация, ако се страхуват, че може да бъде невалидна, продадена или недостатъчно защитена. Проучванията показват, че доверието е ключов фактор за готовност да участват в инициативи за споделяне на данни. Доставчиците на здравни грижи трябва да установят ясни, достъпни политики, които обясняват точно как ще бъдат използвани данните, които ще имат достъп и какви предпазни мерки са налице. Прозрачна комуникация . . . чрез формуляри за съгласие, съобщения за поверителност и обществена ангажираност . . . . е не само правно изискване, но практическа необходимост за изграждане и поддържане на доверие.

Анонимизация и псевдоконимизация като решения

Две ключови техники могат да помогнат за съгласуване на напрежението между полезността на данните и неприкосновеността на личния живот: анонимизация и псевдонимизация. Анонимизация необратимо премахва всички идентификационни данни, така че лицата да не могат да бъдат идентифицирани отново. Псевдонимизация[ заменя идентификаторите с псевдоними, позволявайки данните да бъдат съотнесени или свързани, когато е необходимо, като същевременно все още се защитава самоличността на субекта на данните от неупълномощени страни.

Въпреки това, и двете техники имат ограничения. Напредъкът в методите за преидентифициране, съчетан с богатството на здравните данни (включително генетична информация, редки заболявания и социални детерминанти), означава, че наистина анонимизираните данни са все по-трудни за постигане.

Свеждане до минимум на данните и ограничаване на целите

В контекста на здравеопазването това означава, че когато се споделят данни, трябва да се предава само минимална необходима информация. Например проучване на сърдечно-съдовите заболявания обикновено не изисква пълния адрес на пациента или генетични данни, несвързани с това състояние. Внедряване на строг контрол на достъпа до данни, разрешения за достъп до ролевите функции и автоматизирано филтриране на данни може да помогне за прилагането на тези принципи.

Бъдещи насоки и решения

Emerging Technologies: Blockchain, AI и Privacy-Enhance Technologies

Напредъкът в технологиите предлага обещаващи решения на предизвикателствата на защитата на данните. Блокчайн технология, например, може да осигури неизменна одитна следа на достъпа и споделянето на данни, гарантираща отчетност и не-реклама. Изкуство за разузнаване] може да автоматизира откриването на аномалии в моделите на достъп, засичане на потенциални нарушения или неразрешена употреба в реално време. [Технология за подобряване на поверителността (PETs) като диференциална поверителност, сигурна мултипартийна компютърна система и хомоморфично криптиране дават възможност за анализ на данните без излагане на необработени лични данни.

Тези решения са все още в ранните етапи на приемането им в ирландското здравеопазване, но пилотните проекти и международните примери показват потенциала им. Например инициативата "Европейски здравен център за данни" (ЕХД) " ръководи разработването на стандартизирана, сигурна инфраструктура за трансгранично споделяне на здравни данни и Ирландия ще трябва да се приведе в съответствие с тези нововъзникващи рамки.

Обучение на персонала и промени в културата

Технологията сама по себе си не може да реши предизвикателства за защита на данните . . културните и поведенческите промени са еднакво критични. Текущите програми за обучение трябва да бъдат включени в професионалното развитие на всички здравни служители. Това обучение трябва да обхваща правни задължения, най-добри практики за сигурност и етичните измерения на споделянето на данни. Освен това здравните организации трябва да насърчават култура, в която защитата на данните не се разглежда като бюрократична тежест, а като основен елемент на качествена грижа и безопасност на пациентите.

Сътрудничество в управлението и определянето на политиката

Не е възможно да се решат тези предизвикателства поотделно. Сътрудническите усилия между Изпълнителния орган на Здравната служба (ЗЗС), Министерството на здравеопазването, Комисията за защита на данните, групите за защита на пациентите и технологичните експерти са от съществено значение. Разработването на ясни национални стандарти за споделяне на данни готве, включително технически спецификации, шаблони за съгласие, споразумения за споделяне на данни и изисквания за освидетелстване на пациентите ще намали ненаситността и ще повиши доверието.

Ирландското правителство е ангажирано с Sláintecare реформа програма, която подчертава интегрираните грижи и електронното здравеопазване, предоставя възможност за вграждане на неприкосновеността на личния живот и сигурността от самото начало. По същия начин, привеждането в съответствие с по-широки инициативи на ЕС като EHDS ще помогне да се гарантира, че ирландските практики за защита на данните са съвместими и устойчиви в бъдеще.

Практични стъпки за доставчиците на здравни грижи

Провеждане на цялостна програма за картиране на данни, за да се разбере какви данни се съхраняват, къде се влива и как се споделя.
Извършване на стабилен процес за оценка на въздействието върху защитата на данните (DPIA) за всички нови инициативи за обмен на данни.
Разгърнете силно криптиране и контрол на достъпа във всички системи и пренос на данни.
Създаване на специална функция за защита на данните (DPO) с реални правомощия и ресурси.
Разработване на ясни, благоприятна за пациентите съобщения за поверителност, които обясняват практики за обмен на данни на обикновен език.
Редовно тествайте планове за реагиране при инциденти и провеждайте упражнения за tabletop с всички заинтересовани страни.
Планиране на Комисията за защита на данните за здравния сектор да остане в съответствие.
Разгледайте приемането на на научни изследвания от академични центрове[ като UCD по отношение на цифровите здравни лаборатории за информиране на иновативни, поверителност-консервиращи подходи.

Заключение

Защитата на данните за пациентите в контекста на увеличаването на обмена на данни за здравеопазването е едно от най-неотложните предизвикателства пред системата за здравеопазване на Ирландия. Правната рамка, макар и здрава, е сложна и изисква стриктно спазване. Техническите неточности . . от наследените системи до развиващите се кибер заплахи . . Търсенето на непрекъснати инвестиции и бдителност. Балансирането на неоспоримите ползи от споделянето на данни с основното право на неприкосновеност на личния живот изисква прозрачност, неподкупност на пациентите и приемането на усъвършенствани технологии за защита на личните данни.

В крайна сметка пътят напред се крие в сътрудничеството. Чрез обединяването на доставчиците на здравни услуги, регулаторите, технолози и пациентите, Ирландия може да изгради екосистема за обмен на данни, която е и иновативна и надеждна. Успешното навигация на тези предизвикателства не само ще подобри качеството на медицинските услуги и научните изследвания, но и ще укрепи етичната основа на здравната система . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

За по-нататъшно четене на пейзажа за защита на данните на Ирландия вж. Службата на Комисията за защита на данните и Службата за защита на данните .