Các Quy định và Quản trị Dữ liệu Y tế Quốc tế

Quy định và quản trị dữ liệu y tế quốc tế liên quan đến tổng thể các luật quốc gia và khu vực bảo vệ thông tin y tế, cùng với các sắp xếp thể chế giúp việc sử dụng thông tin đó một cách có trách nhiệm xuyên biên giới trở nên khả thi. Khi dữ liệu y tế ngày càng được chia sẻ cho mục đích chăm sóc, nghiên cứu và phân tích trên nhiều khu vực pháp lý, các tổ chức phải điều hòa các chế độ pháp lý khác nhau, đặc biệt là Quy định chung về bảo vệ dữ liệu của EU (GDPR) và khung pháp lý theo ngành của Hoa Kỳ, đồng thời thiết lập các cấu trúc quản trị để quản lý quyền, rủi ro và trách nhiệm giải trình.

Definition

Quy định và quản trị dữ liệu y tế quốc tế là tập hợp các luật, nguyên tắc và sắp xếp thể chế điều chỉnh việc thu thập, sử dụng, chia sẻ và chuyển giao xuyên biên giới thông tin y tế giữa các khu vực pháp lý khác nhau, cùng với các cấu trúc trách nhiệm giải trình đảm bảo việc xử lý đó là hợp pháp, minh bạch và đáng tin cậy.

Scope

Mục này khảo sát các mô hình quy định chính và sự khác biệt của chúng (cách tiếp cận toàn diện so với theo ngành), cách xử lý đặc biệt mà dữ liệu y tế thường nhận được với tư cách là một danh mục nhạy cảm, cơ sở pháp lý và các hạn chế đối với việc chuyển giao xuyên biên giới, cũng như các cơ chế quản trị (cơ quan giám sát, trách nhiệm giải trình, tính minh bạch) vận hành các quy tắc này, bao gồm cả cho các ứng dụng mới hơn như trí tuệ nhân tạo. Đây là tài liệu tham khảo và giáo dục về bối cảnh và các khái niệm, không phải là lời khuyên pháp lý hoặc xác định sự tuân thủ cho bất kỳ khu vực pháp lý hoặc hoạt động chuyển giao cụ thể nào.

Core questions

• Các cách tiếp cận toàn diện và theo ngành đối với bảo vệ dữ liệu khác nhau như thế nào?
• Tại sao dữ liệu y tế thường được coi là một danh mục đặc biệt, được bảo vệ nhiều hơn?
• Cơ sở pháp lý và các biện pháp bảo vệ nào điều chỉnh việc chuyển giao dữ liệu y tế xuyên biên giới?
• Những cấu trúc quản trị nào hỗ trợ việc sử dụng dữ liệu y tế một cách có trách nhiệm?
• Các khung quản trị đang thích ứng như thế nào với các ứng dụng chuyên sâu về dữ liệu như trí tuệ nhân tạo?

Key concepts

• Quy định toàn diện so với quy định theo ngành
• Dữ liệu danh mục đặc biệt (nhạy cảm)
• Cơ sở hợp pháp để xử lý và sự đồng ý
• Quyền của chủ thể dữ liệu
• Cơ chế chuyển giao xuyên biên giới và tính đầy đủ
• Tối thiểu hóa dữ liệu và giới hạn mục đích
• Trách nhiệm giải trình và bảo vệ dữ liệu theo thiết kế
• Quản trị và giám sát dữ liệu

Mechanisms

Các khu vực pháp lý điều chỉnh dữ liệu y tế thông qua các chiến lược tương phản. Các chế độ toàn diện như Quy định chung về bảo vệ dữ liệu của EU áp dụng các nguyên tắc bảo vệ dữ liệu chung, bao gồm tính hợp pháp, giới hạn mục đích, tối thiểu hóa dữ liệu và trách nhiệm giải trình, cho tất cả dữ liệu cá nhân và cấp cho các cá nhân các quyền có thể thực thi, đồng thời coi dữ liệu y tế là một danh mục đặc biệt phải tuân theo các điều kiện nghiêm ngặt hơn (Cornock, 2018). Các chế độ theo ngành như của Hoa Kỳ điều chỉnh các lĩnh vực cụ thể, với HIPAA bao gồm một số đối tượng liên quan đến y tế và các quy tắc khác bao gồm các lĩnh vực khác (Nass et al., 2009). Khi dữ liệu vượt qua biên giới, các cơ chế chuyển giao (như quyết định đầy đủ hoặc biện pháp bảo vệ theo hợp đồng) xác định liệu và cách thức dữ liệu có thể di chuyển. Ngoài luật định, các cấu trúc quản trị, cơ quan giám sát, nghĩa vụ minh bạch và yêu cầu trách nhiệm giải trình chuyển các nguyên tắc thành thực tiễn; những điều này ngày càng được mở rộng sang các ứng dụng chuyên sâu về dữ liệu như trí tuệ nhân tạo, nơi các mô hình quản trị được đề xuất nhấn mạnh tính công bằng, minh bạch và giám sát (Reddy et al., 2020).

Clinical relevance

Sự khác biệt giữa các chế độ quốc gia ảnh hưởng đến việc liệu và cách thức các hệ thống y tế và nhà nghiên cứu có thể chia sẻ dữ liệu quốc tế để phối hợp chăm sóc, nghiên cứu đa trung tâm và phân tích, và các sắp xếp quản trị định hình sự tin cậy mà việc chia sẻ đó phụ thuộc vào. Mục này mô tả bối cảnh quy định và các khái niệm quản trị để tham khảo và giáo dục; đây không phải là lời khuyên pháp lý và không xác định sự tuân thủ cho bất kỳ tổ chức, hoạt động chuyển giao hoặc khu vực pháp lý cụ thể nào.

Evidence & guidelines

Thẩm quyền chính nằm ở chính các công cụ quy định, đáng chú ý là Quy định (EU) 2016/679 (GDPR) và, ở Hoa Kỳ, HIPAA và các quy tắc theo ngành liên quan. Các bình luận giải thích ý nghĩa của chúng đối với nghiên cứu và thực hành (Cornock, 2018; Nass et al., 2009), và các mô hình quản trị mới nổi giải quyết các ứng dụng mới hơn như trí tuệ nhân tạo (Reddy et al., 2020). Vì các chế độ khác nhau tùy theo khu vực pháp lý và được sửa đổi định kỳ, các nguồn pháp lý chính thức hiện hành và tư vấn pháp lý có trình độ là cần thiết cho bất kỳ xác định cụ thể nào.

History

Luật bảo vệ dữ liệu hiện đại phát triển từ các nguyên tắc được nêu ra vào những năm 1970 và 1980, bao gồm các hướng dẫn về quyền riêng tư của OECD, đã ảnh hưởng đến các đạo luật sau này. Châu Âu đã hệ thống hóa một cách tiếp cận toàn diện trong Chỉ thị Bảo vệ Dữ liệu năm 1995, được thay thế vào năm 2018 bởi Quy định chung về bảo vệ dữ liệu, đã tăng cường quyền cá nhân và phạm vi tiếp cận ngoài lãnh thổ (Cornock, 2018). Thay vào đó, Hoa Kỳ đã phát triển một khung pháp lý theo ngành, với HIPAA giải quyết thông tin y tế một cách cụ thể (Nass et al., 2009). Khi dòng dữ liệu toàn cầu hóa và phân tích tiến bộ, các cuộc tranh luận về quản trị đã mở rộng để bao gồm việc chuyển giao xuyên biên giới và việc sử dụng trí tuệ nhân tạo một cách có trách nhiệm (Reddy et al., 2020).

Debates

Quy định toàn diện so với quy định theo ngành đối với dữ liệu y tế

Các chế độ toàn diện áp dụng các nguyên tắc thống nhất cho tất cả dữ liệu cá nhân và coi dữ liệu y tế là một danh mục đặc biệt được bảo vệ, trong khi các chế độ theo ngành điều chỉnh các lĩnh vực xác định; các nhà quan sát không đồng ý về cách tiếp cận nào cân bằng tốt hơn giữa việc bảo vệ mạnh mẽ, sự rõ ràng và khả năng sử dụng dữ liệu cho mục đích chăm sóc và nghiên cứu.

Seminal works

• cornock-2018
• nass-2009

Frequently asked questions

GDPR xử lý dữ liệu y tế như thế nào?

GDPR phân loại dữ liệu liên quan đến sức khỏe là một danh mục đặc biệt phải tuân theo các điều kiện bổ sung để xử lý hợp pháp, ngoài các nguyên tắc chung của nó như tính hợp pháp, giới hạn mục đích, tối thiểu hóa dữ liệu và trách nhiệm giải trình, và nó cấp cho các cá nhân các quyền có thể thực thi đối với dữ liệu của họ.

Tại sao việc chia sẻ dữ liệu y tế xuyên biên giới lại phức tạp?

Các khu vực pháp lý bảo vệ dữ liệu y tế khác nhau và áp đặt các điều kiện riêng của họ đối với việc chuyển giao dữ liệu cá nhân ra nước ngoài. Do đó, việc chia sẻ xuyên biên giới phụ thuộc vào các cơ chế như quyết định đầy đủ hoặc biện pháp bảo vệ theo hợp đồng, và các tổ chức phải điều hòa nhiều chế độ pháp lý, điều này được xác định bởi luật hiện hành chứ không phải bởi các tóm tắt chung.