Les experts en protection de la vie privée préoccupés par les plans de collecte de données du NHS

Des délais trop courts ?

Au-delà du risque d’infractions commises par des tiers et de cybercriminels tentés par de précieuses données personnelles, chris Strand, directeur de la conformité d’IntSights, a déclaré qu’à son avis, NHS Digital n’avait pas donné suffisamment de temps aux gens pour évaluer leur position de risque personnel et se retirer si désiré.

« Le plan d’opt-out pourrait introduire des complexités pour certaines personnes qui ne participent pas activement à l’utilisation de leurs données ou qui comprennent les implications de la façon dont leurs données peuvent être utilisées pour la recherche », a-t-il dit. « En moins d’un mois, comment peuvent-ils s’assurer que chaque personne incluse a eu l’occasion d’être informée de l’utilisation des données et qu’elle a également eu l’occasion de comprendre les implications de l’utilisation de leurs données par des tiers?

« Je serais préoccupé par la légalité de prouver que les gens ont une chance équitable de se retirer de la « collecte de données ». Il pourrait y avoir des défis à relever après la mise en liberté de la base de données à ceux qui veulent l’utiliser pour la recherche.

« Après avoir traité du processus de divulgation de l’utilisation des données aux propriétaires de données, il peut y avoir des conséquences juridiques, car il pourrait être difficile de prouver que toutes les personnes incluses dans la base de données ont eu une occasion suffisante de se retirer de leur utilisation, surtout compte tenu de la nature des données sensibles impliquées dans cette base de données. »

Histoire se répétant

Vanessa Barnett, partenaire en technologie et en données de Keystone Law, faisait également partie de ceux qui ont souligné les risques. Elle a déclaré que les initiatives précédentes de partage de données en matière de santé, telles qu’un accord entre le Royal Free Hospital NHS Trust et Google DeepMind, avaient été jugées non conformes à la Loi sur la protection des données (DPA) du Royaume-Uni par les commissaires à l’information.bureau de l’iioner (OIC).

« C’est l’une de ces périodes où l’un des bits les moins célèbres du GDPR [General Data Protection Regulation] vient à l’esprit – que le traitement des données personnelles devrait être conçu pour servir l’humanité », a-t-elle déclaré. « Le droit à la protection des données personnelles n’est pas un droit absolu; elle doit être prise en compte par rapport à sa fonction dans la société et être équilibrée avec d’autres droits fondamentaux, conformément au principe de proportionnalité.

« Ce traitement des données de santé pourrait à juste titre servir l’humanité – mais tout dépend des données à qui elles sont données et de ce qu’elles en font. »

Dans l’affaire Royal Free-DeepMind, l’OIC a constaté des lacunes dans la façon dont les dossiers des patients étaient partagés, notamment que les patients ne s’attendaient pas raisonnablement à ce que leurs données soient partagées et que la Fiducie aurait dû être plus transparente quant à ses intentions.

« Pour moi, ce nouveau partage de masse proposé par le NHS pourrait bien être une répétition historique », a déclaré Barnett. « La plupart des gens ne s’attendraient pas à ce que leurs dossiers de médecin généraliste soient partagés de cette façon, n’en soient pas conscients et ne se retireraient pas parce qu’ils n’étaient pas au fait.

« Il convient de noter que les données seront pseudonymisées plutôt qu’anonymisées – il est donc possible d’inverser l’identité des patients dans certaines circonstances. Si le lac de données créé est véritablement pour la recherche, l’analyse des inégalités en matière de soins de santé et la recherche pour les maladies graves, quelle est la raison pour laquelle cela ne peut pas être fait sur une base anonymisée véritable?

Barnett a averti que, même si l’utilisation des données personnelles de cette manière n’était pas en soi illégale, le fait de ne pas mettre en œuvre les éléments nécessaires pour permettre aux sujets de données – le grand public – de comprendre ce qui se passe et d’avoir une occasion « réelle et appropriée » de retirer son consentement pourrait en fin de compte prouver une violation de certains des aspects les plus administratifs de l’AD.

Ce que dit NHS Digital

Selon sarah Wilkinson, directrice générale sortante de NHS Digital, les données des médecins généralistes sont particulièrement précieuses pour les services de santé en raison du volume de maladies traitées dans les soins primaires. Nous voulons nous assurer que ces données sont mises à la disposition des services du NHS et de la recherche clinique », a-t-elle déclaré.

Mais Wilkinson a reconnu qu’il était essentiel que cela ait été fait de telle sorte que la confidentialité et la confiance des patients sont hiérarchisées et non compromises.

« Nous avons donc conçu des systèmes et des processus techniques qui intègrent la pseudonymeisation à la source, le chiffrement en transit et in situ, et des contrôles rigoureux autour de l’accès aux données pour assurer une utilisation appropriée », a-t-elle déclaré. « Nous cherchons également à être aussi transparents que possible dans la gestion de ces données, afin que la qualité de nos services soit constamment soumise à un examen externe. »

NHS Digital dit avoir consulté des groupes de patients et de protection de la vie privée, des cliniciens et des experts en technologie, ainsi que plusieurs autres organismes, dont la British Medical Association (BMA), le Royal College of GPs (RCGP) et le National Data Guardian (NDG) sur le système GPDPR.

Arjun Dhillon, tuteur de Caldicott et directeur clinique chez NHS Digital, a déclaré : « Cet ensemble de données a été conçu avec les intérêts des patients à son cœur. 

« En réduisant le fardeau de la collecte de données dans la pratique générale, ainsi qu’avec des flux de données plus simples, une sécurité accrue et une plus grande transparence, je suis convaincu, en tant que tuteur Caldicott de NHS Digital, que le nouveau système protégera la confidentialité des informations des patients et s’assurera qu’elles sont utilisées correctement pour le bénéfice de la santé et des soins de tous. »

L’avis de transparence gpdpr de NHS Digital, y compris plus de détails sur la façon dont les données seront utilisées et par qui, ainsi que des informations sur la façon de se retirer, est disponible ici.