醫學科學數據共享與使用的倫理要求和管理規范(二)隱私變遷與挑戰

關 健

(中國醫學科學院北京協和醫院&國家人口健康科學數據中心(臨床醫學)和腫瘤專題數據服務，北京 100732,gjpumch@126.com)

互聯網和大數據時代，數據共享成必然趨勢，共享是大數據建設和精準服務的前提和基礎。但是，隨著數據產生、傳播和分析等技術的發展，無論是涉及金融(如銀行、保險)、生活日常服務(如交通、出行、通信、電子購物及其運輸等)，還是醫療服務等都涉及隱私權的保護，隱私的內容、范圍、泄露的速度和影響等均與傳統服務和傳播有所不同。有專家認為面對大數據，傳統的隱私法律面臨崩盤。數據共享和大數據帶來服務的精準增加隱私泄露的風險[1],服務越精準，信息泄露隱患越大。醫學科學數據涉及的健康隱私具有獨有的內容和特點。生命科學技術的發展和互聯網、大數據分析技術的廣泛應用，使健康隱私信息，也可以稱為受保護的健康信息(Protected Health Information，PHI)的內容和形式不斷發生變遷，醫學科學數據的共享過程中隱私保護面臨更多的挑戰和問題。

1 隱私保護是醫學倫理要求更是法律要求

醫學科學數據的共享必須遵循生命倫理學的基本原則。特別是涉及人體的研究產生的數據的共享和使用。隱私保護是生命倫理學基本原則——有益原則應用在涉及人體的醫學研究受試者和數據共享的個人參與者保護的重要要求。

科學研究產生了巨大的社會效益，但同時引起一些令人不安的倫理問題。《貝爾蒙特報告》確定了開展涉及人類受試者的生物醫學和行為研究所應遵循的三個基本倫理原則——尊重人、有益和公平原則，為指導解決涉及人類主體的研究所產生的倫理問題提供了一個分析框架[2]。隱私保護是有益原則應用于涉及人類主體研究的倫理要求。有益原則是指受試者應該受到倫理對待；不僅要尊重他們的決定，還要保護他們免受傷害，且努力保障他們的福祉。《貝爾蒙特報告》中把有益原則解釋為一種義務，并相應的制定了兩個一般性規則，即：不損害和最大化潛在利益并盡量減少可能的危害。要求在特定研究或項目，研究人員、數據提供者及其相關機構有義務事先考慮研究或共享過程中利益最大化和風險降低，包括隱私保護及隱私泄露的風險。

1948年聯合國大會通過的《世界人權宣言》將隱私權確定為一項基本人權[3]。只是不同國家、不同時期的隱私保護內容有所變化。隱私權是我國公民的基本權利，公民的隱私權受法律保護。我國《憲法》第38-40條分別從公民的人格尊嚴、公民的住宅以及通信自由和通信秘密方面作了規定，為我國日后完善隱私權制度提供了憲法依據。民法總則第五章民事權利中有隱私權的直接條款。其中，第110條明確提出自然人享有隱私權。第111條則進一步規定“自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。”在《侵權責任法》第2條中也用列舉的方式明確隱私權作為民事權益被侵害時，應當依照該法承擔侵權責任。程序法，如《民事訴訟法》也有保護隱私的相關規定。數據共享中的隱私保護的對象是數據的貢獻者——產生數據的個人參與者，保護隱私是數據共享的必要先決條件。

2 個人健康隱私概念和數據共享的潛在隱患

醫學科學數據共享與使用對醫學科學研究和疾病診治等具有重要意義和潛在的巨大社會效益，同時，共享的無論是解決醫學科學問題的研究，還是用于研究的醫學業務數據，侵犯或泄露個人健康隱私的行為都可能會產生嚴重的后果。美國《健康保險可攜帶性和責任法案》(the Health Insurance Portability and Accountability Act，HIPAA)隱私規則保護健康信息的去識別方法指南，把受保護健康信息(Protected Health Information，PHI)確定為該法案的適用實體或其商業伙伴以任何形式或媒介傳輸或維護的可單獨識別的健康信息[4]。該定義下豁免了少數類別的個人可識別健康信息，例如在該實體作為雇主持有的就業記錄中發現的個人可識別健康信息。

醫學科學數據共享和使用更要重視健康隱私信息的保護。數據共享(Data Sharing)是指公開或在特定訪問條件下向其他研究人員提供個人水平數據，包括原始數據和/或衍生數據；并包括數據用戶之間的數據傳輸或數據交換。數字化儲存、電子傳輸是數據共享的基礎，也使個人參與者的隱私泄露風險大大增加。而個人健康隱私信息對公民具有更大的潛在危害性。2018年5月1日實施的國家標準“信息安全技術個人信息安全規范”(以下簡稱“個人信息安全規范”)把健康生理信息與身份證件號碼等一并歸為個人敏感信息，即“一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息[5]。如健康體檢信息的泄露(如乙型肝炎病毒攜帶者)會導致當事人的工作就業歧視和健康保險歧視。因此，一些保險公司要求共享健康體檢數據是絕對不能允許的，且這與保險公司的初衷相悖。疾病及其診療信息，特別是涉及一些敏感信息或疾病數據的泄露，可能不僅導致個人的聲譽或者生活和工作受到嚴重影響，還可能影響其家庭。如心理障礙、精神疾病或一些遺傳性疾病信息的泄露，也會對其家庭帶來不利影響；性傳播疾病(如梅毒、獲得性免疫缺陷綜合征)感染者和患者信息的泄露將給其家庭帶來極大的生活、工作壓力和不利影響。因此，對個人參與者保護的要求應該是醫學科學數據共享和使用的必然倫理要求。

3 個人健康隱私內容和傳播方式變遷及其影響

數據共享中不可避免的一個挑戰是健康隱私內容變遷。生命科學技術的進展，為疾病診治提供了新的機遇和發展。分子遺傳學檢測技術的臨床應用，使更多的疾病被證實有遺傳性因素參與或決定。更多疾病成為廣義上的遺傳性疾病，如心腦血管等慢性疾病、惡性腫瘤，甚至肥胖、阿爾茲海默癥等均具有一定的遺傳基礎。隨著新一代測序技術在醫學研究的廣泛應用、臨床基因組學的進展，個人和其家庭的遺傳信息已經成為研究、醫療和數據共享的潛在個人健康隱私信息[6]。“個人信息安全規范”中個人敏感信息列舉的個人生物識別信息，可以理解為個人遺傳信息。事實上，大數據分析技術使基因組測序信息完全構成個人隱私和個人健康隱私信息。通過基因組測序結果逆推人的外貌特征已成為可能。有研究報道，在線個人圖像服務與大型基因數據庫(如23andme)共存，將基因組數據與身體特征(如眼睛和膚色)聯系起來獲得特殊的相關性;通過基因組數據建立模型可以預測三維面部結構、聲音、生物年齡、身高、體重、體重指數、眼睛顏色和膚色等。甚至可以高精度預測遺傳上簡單的性狀，如眼睛顏色、膚色和性別；結合現代的面部和語音識別系統達到了重新識別人類的性能。盡管仍處于初期，但對面部的基因組預測可能有助于識別個人(圖1)[7]。遺傳信息作為隱私的逆向識別不可避免地將帶來對個人、家庭、工作和生活的基因歧視。與此同時，基因檢測和基因測序及其數據共享的商業化增加個人健康信息和遺傳信息泄露的風險[8]。因此，筆者認為“個人信息安全規范”中對“個人信息經匿名化處理后所得的信息不屬于個人信息”的觀點不完全適用個人健康信息。

此外，醫學數據和人工智能的結合的成果具有巨大的經濟效益。人體各部位不同層次的圖像檢測信息(器官、組織和細胞)也成為人工智能的研發基礎。與其他部位的圖像信息不同，人的面部信息不僅直接構成個人健康隱私信息，也是傳統隱私的重要組成部分。未經當事人允許，對一般人群(包括對本單位工作人員)和疾病人群的面部圖像的收集，無論直接商用，還是用于人工智能分析、研究或產品研發(如疾病診治軟件等)都涉嫌侵犯隱私權。應用人臉識別技術的面部圖像識別和收集的應用應該加強規范和管理。

圖1 對面部的基因組預測圖和真實圖比較：真實(左)預測(右)

互聯網和大數據時代隱私的潛在傳播方式和范圍也有所變化。傳統的紙質版健康隱私信息的傳播，對個人的影響有限。如果不是惡意傳播，發現隱私泄露后采取措施，可以盡快限制隱私泄露的范圍。而互聯網時代，電子數字化健康信息往往通過互聯網、自媒體等傳播媒介，個人健康信息的傳播快速而廣泛，使隱私泄露范圍不可預知和難以控制。網絡時代的數據傳輸和共享，如果不加以管理控制，重要的數據和信息一旦傳輸或發布，不受地域的影響，全球幾乎可以同時獲知。因此，醫學科學數據，包括醫學大數據的共享和使用，使隱私保護難度加大，責任更為艱巨。

3.1 數據共享中隱私保護的挑戰

第一，數據共享與隱私保護的矛盾。共享價值的實現與隱私保護之間的矛盾關系如同防火和防盜之間的關系。正如互聯網和大數據分析在提供便利和精準服務的同時，還引起隱私泄露的巨大風險。天網成為刑事破案神器，有效地震懾犯罪，但是個人生活隱私也暴露在無處不在的監視器下。隨著產生大數據的技術和科技發展而不斷擴展和變遷，無論是金融(如銀行、保險)工作，還是生活日常服務(如交通、出行、通信、電子購物、物流等)，隱私的內容、范圍、泄露的速度和影響等均與傳統服務和傳播有所不同，有專家認為面對大數據，傳統的隱私法律面臨崩盤。可以說，數據共享和大數據帶來服務的精準與信息和隱私泄露的隱患是成正比的，服務越精準，信息泄露隱患越大。類似地，個人水平數據的共享，其最終目的是促進數據的二次分析和再利用，共享數據的完整度與數據的潛在價值呈正向關系。共享的數據越完整，包含的信息越多，數據再使用的科學價值越大，但其個人健康隱私信息泄露的風險也越大；反之，健康隱私信息的過度保護，則醫學科學數據共享沒有意義。

第二，數據共享隱私保護的利益相關者眾多。醫學科學數據共享隱私保護面臨的另一挑戰是隱私保護責任歸屬問題。目前互聯網和大數據時代，個人隱私信息泄露情況較嚴重，如子女教育信息、購物和商業信息等，生活中經常面對教育廣告和銀行貸款的騷擾、網絡詐騙等。而且被侵權和損害后的法律救濟——路徑不清、維權困難。一方面因法律法規滯后于科學技術發展有待完善；另一方面是利益相關者眾多隱私泄露責任認定較困難。醫學數據共享面臨相似的問題。醫學科學數據共享實踐中，明確規定數據共享中利益相關者隱私保護的責任歸屬和要求更為迫切。但是醫學科學數據共享涉及利益相關者眾多。如圖2所示，除了個人參與者(患者或受試者)和數據持有者，還包括數據使用者和提供數據共享服務的第三方服務平臺等。需要面對如何明確各方隱私保護的責任和義務問題，以及規范相關標準和要求，并促使各方切實履行相關責任和義務。

圖2 醫學數據共享的利益相關人示意圖

第三，醫學科學數據共享中隱私保護策略。促進可持續發展的醫學科學數據共享，需要處理好隱私保護和數據共享的平衡。鑒于加強數據共享中的隱私保護，同時使數據可用于進一步研究，各國已進行了探索和實踐，獲得兩個主要共識。

第四，去識別數據或匿名數據。保護個人參與者的數據隱私的是數據共享的必要先決條件。其中最基本的要求就是共享數據的去隱私化處理。如《美國聯邦法規匯編》第45卷第46部分，也被稱為“共同規則”，要求為進一步研究發布數據之前對數據進行去標識[9]。HIPAA隱私規則還概述了兩種常用的方法：“專家判定”(Expert Determination)和“安全港”(Safe Harbor)[10-11]。“專家判定”方法要求統計專家應用統計和科學原則，判定數據不可單獨識別，或使重新識別的風險非常小。“安全港”方法要求刪除適用于美國人群18個可用于識別個人或其親屬、雇主或家庭成員的直接識別碼。歐盟(European Union)立法和歐洲藥品管理局(European Medicines Agency，EMA)政策中也有相關考慮。歐盟數據隱私立法規定，“保護(數據)的原則不應適用于以使數據主體不再可識別的方式匿名提供的數據。”[12]EMA政策0070實施指南將匿名定義為“將數據呈現為不識別個人和不太可能進行識別的形式的過程”；將匿名或去識別數據定義為“不能識別個人的形式的數據，以及不太可能通過與其他數據組合識別個人的數據”[13]。“個人信息安全規范”將匿名化定義為“通過對個人信息的技術處理，使得個人信息主體無法被識別，且處理后的信息不能被復原的過程”。《科學數據管理辦法》第25條規定“涉及國家秘密、國家安全、社會公共利益、商業秘密和個人隱私的科學數據，不得對外開放共享；確需對外開放的，要對利用目的、用戶資質、保密條件等進行審查，并嚴格控制知悉范圍。”從2005年承擔國家醫學科學數據共享服務平臺(2019年9月被認定為國家人口健康科學數據中心)臨床醫學和腫瘤專題科學數據的共享服務至今，我們在探索和實踐中始終把去識別和去隱私化數據共享始終作為最基本的原則之一。所有共享的數據，包括網絡平臺共享的樣例數據均刪除涉及個人健康隱私的一般和專業標識符，如姓名、住址、電話、住院號等。

第五，數據標準的FAIR原則。為了促進共享數據可用于進一步研究的目的，國際實踐提出了共享數據標準的FAIR原則,已在世界范圍內采用[14-15]。具體包括：①可查找性(Findable):數據應該是唯一且持久可識別的，其他研究人員應該能夠找到數據；②可訪問性(Accessible)：對人類和計算機來說，可以使用數據的條件應該是清楚的；③互操作性(Interoperable)：互操作性是指來自非協作資源的數據或工具以最小的努力集成或協同工作的能力。數據應該是機器可讀的，并使用領域中常用的術語、詞匯或本體；④可重復使用(Reusable):數據應符合上述要求，并充分利用元數據和出處信息進行描述，以便數據源能夠與其他數據源鏈接或集成，并能夠進行適當地引用。

第六，分級共享的綜合隱私保護策略。FAIR原則與隱私保護通常情況下并不是矛盾的。但是，有些隱私信息本身可能是研究或再利用的內容。因此數據共享實踐中，僅僅原則共識是不夠的。醫學科學數據共享需要根據涉及的隱私內容和潛在風險進行分級共享。理想的分級共享策略是根據隱私內容和潛在風險確立數據風險等級評估標準，進而設立相應的數據共享模式和管理方式。我們同意美國HIPPA隱私規則中的觀點，經過統計分析的沒有個人水平數據的分析報告不屬于受保護的健康信息。在分級共享中，提供統計結果可以理解和作為最嚴格的數據共享方式，即共享元數據，適用于隱私信息是研究內容或一些涉及個人健康敏感信息的數據。個人水平數據不允許訪問，但是可以應申請由數據持有者或提供者根據申請，直接提供統計分析的匯總結果，如地區一級的人口普查數據。此外，醫療保健機構或組織對于患者的隱私保護通常采用的多層去標識策略，對醫學科學數據的共享與使用的分級管理有一定啟示。如可以采用至少兩層去標識策略：①公共用途：一些去隱私化的數據為公共用途可以直接完全共享，如去除個人隱私和單位信息的藥物不良反應數據；②限制訪問：提供元數據、共享數據的整體信息描述和少量去隱私化的樣例數據，應申請可以提供適當數量的個人水平數據。采取限制訪問的方式，既可以共享正在研究的數據信息，又可以避免一般個人健康隱私信息的泄露，適用多數去隱私化的醫學科學數據，包括一些在研數據，也是我們應用最多的數據共享方式。分級共享具體可以參考共享臨床試驗的患者水平數據保護隱私的一些做法。如通過隱藏某些數據屬性而不是直接訪問數據的應用程序進行數據挖掘，確保在公共數據庫中無法識別特定個人的多樣性/封閉性模型，以及數據簡化技術來轉換數據以保護受試者的隱私等。

理論上，沒有100%的數據隱私保護管理或技術方案，重要的是數據持有者、數據提供平臺等所有利益相關者都應該重視個人健康隱私的保護并履行責任和義務。作為國家人口健康科學數據中心(臨床醫學)和腫瘤專題數據服務，我們采取多種策略或方法結合使用，盡量降低相關風險。如采取管理、技術安全措施，根據數據類型、來源和數據量等擬定數據風險分級標準；并依托兩個服務平臺的數據管理系統，與徐州醫科大學醫學信息工程學院合作研發了去隱私化數據管理平臺和后臺數據挖掘平臺。此外，與數據持有者和或數據使用者簽署通用數據共享章程或者數據共享協議(Data Sharing Agreement，DSA)，把保護個人健康隱私的要求列為重要的協議約定和條款。要求隱私保護的首要責任人——收集數據的研究人員、機構或其他有意愿進行數據共享的數據持有者，必須評估確認個人健康隱私信息的潛在總體風險很低，進而通過機構或我們設立的數據使用審核委員會審核確認或把關。

總之，醫學科學數據所包含的個人健康隱私內容和傳播方式、影響范圍等都具有一定的變遷，加上數據共享過程中涉及利益相關者眾多，使健康隱私的保護面臨挑戰。目前數據共享國際原則共識是去識別數據和FAIR原則。負責任地數據共享應該處理好數據價值與隱私保護的矛盾，風險評估和分級共享等綜合保護策略，我們將在后續的倫理要求和管理規范(倫理審核指南)的體系中逐漸深入的探討。