Το UK Biobank, μία από τις μεγαλύτερες και πιο ολοκληρωμένες βάσεις δεδομένων υγείας στον κόσμο, έθεσε ξανά στο προσκήνιο το δύσκολο όριο ανάμεσα στην ανοιχτή επιστημονική έρευνα και την προστασία των ανθρώπων που συμμετέχουν σε αυτήν. Ένα περιστατικό ασφαλείας οδήγησε στην εμφάνιση ευαίσθητων πληροφοριών προς πώληση, ενώ ο οργανισμός εφαρμόζει νέα μέτρα για να αποκαταστήσει την ασφαλή πρόσβαση των ερευνητών.
Τι συνέβη στο UK Biobank
Σύμφωνα με το ρεπορτάζ του Nature, στα μέσα Απριλίου ένας ανώνυμος ερευνητής ενημέρωσε το UK Biobank ότι είχε εντοπίσει στο Xianyu —την πλατφόρμα ηλεκτρονικού εμπορίου της Alibaba— πληροφορίες που φέρονταν να αφορούν εκατοντάδες χιλιάδες συμμετέχοντες της μελέτης. Η αποκάλυψη δεν σημαίνει ότι δημοσιοποιήθηκε ολόκληρη η βάση δεδομένων ούτε ότι κάθε στοιχείο ήταν αυθεντικό· δείχνει όμως ότι ακόμη και μια υποδομή που έχει σχεδιαστεί για ελεγχόμενη ερευνητική πρόσβαση μπορεί να γίνει στόχος ή να παρουσιάσει σοβαρό κενό ασφαλείας.
Το UK Biobank διατηρεί γενετικά, ιατρικά και άλλα δεδομένα περίπου μισού εκατομμυρίου ανθρώπων. Η αξία τους για την έρευνα είναι μεγάλη: βοηθούν τους επιστήμονες να μελετούν τη σχέση ανάμεσα σε γονίδια, τρόπο ζωής και ασθένειες σε κλίμακα που δεν θα ήταν δυνατή με μικρές, μεμονωμένες μελέτες.
Γιατί η ψευδωνυμοποίηση δεν αρκεί
Τα ερευνητικά datasets συνήθως δεν περιέχουν το ονοματεπώνυμο κάθε συμμετέχοντα. Τα άμεσα αναγνωριστικά αντικαθίστανται από κωδικούς και η πρόσβαση δίνεται υπό όρους. Αυτό μειώνει τον κίνδυνο, δεν τον εξαφανίζει.
Ο συνδυασμός γενετικών δεδομένων με πληροφορίες για ηλικία, τόπο κατοικίας, ιατρικό ιστορικό ή οικογενειακές σχέσεις μπορεί να κάνει ένα άτομο αναγνωρίσιμο. Το γονιδίωμα είναι επίσης ιδιαίτερα ευαίσθητο, επειδή δεν αφορά μόνο το ίδιο το άτομο αλλά περιέχει πληροφορίες που συνδέονται και με συγγενείς του. Γι’ αυτό η ασφάλεια δεν μπορεί να περιορίζεται σε έναν κωδικό πρόσβασης ή σε μια απλή αφαίρεση ονομάτων.
Χρειάζονται αυστηρά δικαιώματα πρόσβασης, καταγραφή κάθε λήψης δεδομένων, συνεχής έλεγχος των λογαριασμών και σαφής διαδικασία αντίδρασης όταν εμφανίζεται ύποπτη δραστηριότητα. Το ίδιο σημαντική είναι η ασφάλεια των υπολογιστών και των διακομιστών των συνεργαζόμενων ερευνητικών ομάδων, καθώς η αλυσίδα προστασίας δεν τελειώνει στην κεντρική πλατφόρμα.
Το δύσκολο ισοζύγιο της επιστήμης
Η έρευνα χρειάζεται πρόσβαση σε μεγάλα datasets για να εντοπίζει στατιστικά μοτίβα και να ελέγχει αν ένα εύρημα ισχύει σε διαφορετικούς πληθυσμούς. Αν η πρόσβαση γίνει υπερβολικά περιοριστική, η επιστημονική πρόοδος επιβραδύνεται. Αν γίνει υπερβολικά χαλαρή, οι συμμετέχοντες μπορεί να εκτεθούν και η εμπιστοσύνη στο σύστημα να χαθεί.
Η αποκατάσταση μετά από μια διαρροή δεν είναι μόνο τεχνική υπόθεση. Απαιτεί ενημέρωση των συμμετεχόντων, ανεξάρτητη διερεύνηση, επανεξέταση των κανόνων για τους χρήστες και αποδείξεις ότι τα νέα μέτρα λειτουργούν στην πράξη. Όταν ένας οργανισμός ζητά από εκατοντάδες χιλιάδες ανθρώπους να προσφέρουν τα δεδομένα τους για το κοινό καλό, η λογοδοσία είναι μέρος της επιστημονικής συμφωνίας.
Τι σημαίνει για την Ελλάδα
Το περιστατικό αφορά το Ηνωμένο Βασίλειο, αλλά το μάθημα είναι γενικό. Πανεπιστήμια, νοσοκομεία και ερευνητικά κέντρα στην Ελλάδα συμμετέχουν σε διεθνείς μελέτες και διαχειρίζονται γενετικά ή άλλα βιοϊατρικά δεδομένα. Η συμμόρφωση με τον GDPR είναι απαραίτητη, όμως από μόνη της δεν αποτελεί εγγύηση ότι οι καθημερινές διαδικασίες πρόσβασης, αντιγράφων ασφαλείας και διαμοιρασμού είναι ασφαλείς.
Η πιο ανθεκτική αρχιτεκτονική συνδυάζει την ελαχιστοποίηση των δεδομένων με ελεγχόμενα ερευνητικά περιβάλλοντα, τακτικούς ελέγχους και άμεση αναστολή πρόσβασης όταν υπάρχουν ενδείξεις κατάχρησης. Παράλληλα, οι συμμετέχοντες πρέπει να γνωρίζουν ποιος χρησιμοποιεί τα δεδομένα τους, για ποιο σκοπό και τι γίνεται όταν κάτι πάει στραβά.
Το UK Biobank δεν θέτει υπό αμφισβήτηση την αξία της μεγάλης κλίμακας βιοϊατρικής έρευνας. Υπενθυμίζει, όμως, ότι η εμπιστοσύνη δεν αποθηκεύεται σε έναν server και δεν αποκαθίσταται με μια ανακοίνωση. Χτίζεται ξανά με διαφάνεια, τεχνική αυστηρότητα και μετρήσιμη προστασία των ανθρώπων πίσω από τα δεδομένα.
Πηγή: Nature — A data leak shut a top research biobank: lessons from the recovery