NHS、個人を特定できる患者データへのPalantirアクセスを認め謝罪

クレジット: Crown Copyright/Open Government Licence v3.0 中央保健サービス機関は、機密性の高い情報にアクセスできるのはNHS職員のみであると示唆していた透明性文書で以前になされた主張の不正確さを認めました。 NHSイングランドは、Federated Data Platform（FDP）を通じて、Palantir社やその他のサプライヤーの従業員が個人を特定できる患者関連情報にアクセスできることを認めた後、謝罪しました。 市民の機密性の高い個人データを処理に従事する多くの公共サービスにとって法定要件である透明性文書、すなわちデータ保護影響評価（DPIA）において、NHSはFDPを通じて識別可能な個人情報にアクセスできるのはNHS職員のみであると主張していました。 しかし、最近の報道では、プラットフォームの中核サプライヤーであるPalantir社の代表者もこの機密データにアクセスできると主張しています。 これらの報道を受けて、独立したアドバイザーであり監視役であるDr. Nicola Byrne（National Data Guardianの職にある）は、外部請負業者やサプライヤーのスタッフが患者情報を見ることができるかどうかについて、NHSに明確化を求めました。 新たに公表された回答の中で、NHSイングランドは、不正確なDPIAを除き、「サプライヤーからの権限を与えられたユーザーがデータにアクセスできるようになることを、私たちは常に公的かつウェブサイト上で明確にしてきました」と強調しました。 しかし、保健サービスからの声明は、「DPIA内では、NHSイングランド職員のみが直接識別可能な患者データにアクセスできると記載していましたが、実際にはNHSイングランドのために働く一部のサプライヤーは管理されたアクセス権を持っています」と認めました。 「DPIAにサプライヤーのデータアクセスに関する記述に誤りがあったことを認識しており、その誤りを訂正します。これにより生じた混乱についてお詫び申し上げます」とNHSは述べています。 関連記事 Palantirの2億5000万ポンドの政府契約は、「英国への信頼の表れ」と大臣が発言 政府はCIA支援のビッグデータ企業Palantirとの「国境フロー」契約に最大2000万ポンドを支出 Palantirプラットフォームは「NHSで現在使用されているものよりも安全になる」と大臣が発言 アクセスはFDPのNational Data Integration Tenant（NDIT）システムを通じて提供され、それをサポートするために3人のPalantirエンジニアが「現在NDITへの管理者レベルのアクセス権を持っている」一方で、「さまざまなサプライヤーからのさらに33人のエンジニアは、コードの記述や新製品開発の保証を含む、NHSイングランドから割り当てられた特定のデータセットやタスクに取り組むための、より限定的なプロジェクト固有のアクセス権を持っています」。 「すべての場合において、彼らはデータを自身の目的で使用する許可を持っていません。彼らの役割は、プラットフォームの安全な運用と保守をサポートすることに厳密に限定されています」と保健サービスは付け加えました。 「アクセスは運用上の必要性に基づいて付与され、期間が限定されているため、その数は時間とともに変動する可能性があります。NDIT内では、NHSイングランドの指示の下で操作するエンジニアは、識別可能および非識別可能な患者データにアクセスできますが、これは特定の技術サポートを提供するためだけであり、患者データは通常アクセスされません」。 NHSの明確化に応じ、データ保護官であるDr. Byrneは、彼女と彼女のチームが「独立したアドバイザーとしての役割でプログラムに関与し続け、その文書化や透明性資料に関するアドバイスを提供します。[そして]必要に応じて異議を唱え、公共および専門家の信頼を構築・維持する慣行を提唱し続けます」と述べました。 彼女は「プログラムの野心を強く支持し続けます」と付け加えましたが、FDP、そしてその主要な技術サプライヤーの存在に関する懸念の広がりと激しさを認めました。 「この問題に対する関心の強さと国民感情の強さは、多くの人々が自身のデータの使用とその機密性についてどれほど深く気にしているかだけでなく、NHSにおけるPalantirの役割について一部の間で継続的な懸念があることを反映しているようです」とByrne氏は述べています。 「このトピックは、ある程度常に政治的でした。そのため、人々はさまざまな見解を持っています。そして、公的、専門的、メディアによる精査は時間とともに増加するばかりです。これは、NHS FDPプログラムにとって、正確さと透明性が引き続き最優先事項でなければならないことを意味します。この事件は、誰が人々のデータにアクセスでき、なぜアクセスできるのかということに関して、「サプライズなし」の原則[NHSのデータ使用における]が守られない場合、信頼がどれほど速く失われるかを示しました」。 科学・イノベーション・技術委員会の議員は最近、「Palantirは英国公共部門においてそれほど重要な役割を担うべきではない」と述べた報告書を発表し、ベンダーを「MicrosoftやAmazon Web Servicesを含む、少数の主要テクノロジープロバイダーへの公共部門の依存度の高まりの中で最も懸念される例」と名指ししました。 委員会は、政府が2027年3月にNHSがFDPエンゲージメントから脱退できるようにするブレーク条項を行使し、その後「社内代替を開発するか、代替の英国プロバイダーを求めるべきだ」という明確なガイダンスを発行しました。