NHS xin lỗi vì để Palantir truy cập dữ liệu bệnh nhân định danh

NHS England đã đưa ra lời xin lỗi sau khi thừa nhận rằng nhân viên từ Palantir và các nhà cung cấp khác có thể truy cập thông tin định danh liên quan đến từng bệnh nhân thông qua nền tảng Federated Data Platform.

Trong bản Đánh giá Tác động Bảo vệ Dữ liệu (DPIA) được công bố trước đó – một tài liệu minh bạch vốn là yêu cầu bắt buộc theo luật định đối với nhiều dịch vụ công tham gia xử lý dữ liệu cá nhân nhạy cảm của công dân – NHS từng khẳng định rằng chỉ nhân viên dịch vụ y tế mới có thể truy cập thông tin định danh cá nhân thông qua FDP.

Tuy nhiên, các báo cáo gần đây cho rằng đại diện từ nhà cung cấp cốt lõi của nền tảng là Palantir cũng có thể truy cập dữ liệu nhạy cảm này. Sau khi những thông tin này xuất hiện, cố vấn và giám sát viên độc lập, Tiến sĩ Nicola Byrne – người giữ chức vụ National Data Guardian – đã gửi thư cho NHS yêu cầu làm rõ việc liệu các nhà thầu bên ngoài và nhân viên nhà cung cấp có thể xem thông tin bệnh nhân hay không.

Trong phản hồi mới được công bố, NHS England nhấn mạnh rằng – ngoài sai sót trong bản DPIA – “chúng tôi luôn công khai rõ ràng trên trang web của mình rằng những người dùng được ủy quyền từ phía nhà cung cấp sẽ được cấp quyền truy cập dữ liệu”.

Tuy nhiên, tuyên bố từ dịch vụ y tế này sau đó đã thừa nhận “trong bản DPIA, chúng tôi chỉ đề cập đến việc nhân viên NHS England có quyền truy cập vào dữ liệu bệnh nhân có thể định danh trực tiếp [nhưng]… thực tế là một số nhà cung cấp làm việc cho NHS England có quyền truy cập được kiểm soát”.

“Chúng tôi thừa nhận rằng bản DPIA có chứa sai sót trong cách mô tả quyền truy cập dữ liệu của nhà cung cấp, vì vậy chúng tôi đang sửa chữa sai sót đó và xin lỗi vì bất kỳ sự nhầm lẫn nào đã gây ra,” NHS cho biết.

Nội dung liên quan

Quyền truy cập được cung cấp thông qua hệ thống National Data Integration Tenant của FDP. Để hỗ trợ hệ thống này, ba kỹ sư của Palantir “hiện có quyền truy cập cấp quản trị viên vào NDIT”, trong khi “33 kỹ sư khác từ nhiều nhà cung cấp khác nhau có quyền truy cập hạn chế hơn theo từng dự án để làm việc trên các tập dữ liệu và nhiệm vụ cụ thể do NHS England giao, bao gồm viết mã và đảm bảo việc phát triển các sản phẩm mới”.

“Trong mọi trường hợp, họ không được phép sử dụng dữ liệu cho mục đích riêng – vai trò của họ chỉ giới hạn nghiêm ngặt trong việc hỗ trợ vận hành và bảo trì nền tảng một cách an toàn,” dịch vụ y tế này nói thêm. “Quyền truy cập được cấp dựa trên nhu cầu vận hành và có giới hạn thời gian, do đó số lượng người truy cập có thể thay đổi theo thời gian. Trong NDIT, các kỹ sư, dưới sự chỉ đạo của NHS England, có thể truy cập dữ liệu bệnh nhân có định danh và đã được ẩn danh, tuy nhiên điều này chỉ nhằm cung cấp hỗ trợ kỹ thuật cụ thể – dữ liệu bệnh nhân không được truy cập thường xuyên.”

Phản hồi về sự làm rõ của NHS, giám sát viên dữ liệu, Tiến sĩ Byrne, cho biết bà và nhóm của mình sẽ “tiếp tục tham gia vào chương trình với vai trò cố vấn độc lập, đưa ra lời khuyên về tài liệu, các tài liệu minh bạch… [và] sẽ tiếp tục đưa ra các phản biện khi cần thiết, đồng thời ủng hộ các thực tiễn giúp xây dựng và duy trì niềm tin của công chúng và giới chuyên môn”.

Bà nói thêm rằng “chúng tôi tiếp tục ủng hộ mạnh mẽ tham vọng của chương trình” – nhưng thừa nhận mức độ phổ biến và sự gay gắt của những lo ngại liên quan đến FDP, cũng như sự hiện diện của nhà cung cấp công nghệ chính của nền tảng này.

“Sự quan tâm sâu sắc và cảm xúc mạnh mẽ của công chúng về vấn đề này dường như không chỉ phản ánh việc nhiều người quan tâm sâu sắc đến cách sử dụng dữ liệu và tính bảo mật của nó, mà còn phản ánh mối lo ngại liên tục của một số người về vai trò của Palantir trong NHS,” bà Byrne nói. “Chủ đề này luôn mang tính chính trị ở một mức độ nào đó. Do đó, mọi người có nhiều quan điểm khác nhau. Và sự giám sát của công chúng, giới chuyên môn và truyền thông chỉ tăng lên theo thời gian. Điều này có nghĩa là tính chính xác và minh bạch phải luôn là ưu tiên hàng đầu cho chương trình FDP của NHS. Sự việc này đã cho thấy niềm tin sẽ xói mòn nhanh chóng như thế nào nếu nguyên tắc ‘không gây bất ngờ’ [về việc sử dụng dữ liệu của NHS] không được duy trì khi nói đến việc ai có thể truy cập dữ liệu của mọi người và tại sao.”

Các nghị sĩ trong Ủy ban Khoa học, Đổi mới và Công nghệ gần đây đã ban hành một báo cáo nêu rõ rằng “Palantir không nên đóng vai trò quan trọng như vậy trong khu vực công của Vương quốc Anh”, đồng thời gọi nhà cung cấp này là “ví dụ đáng lo ngại nhất về sự phụ thuộc ngày càng tăng của khu vực công vào một số ít các nhà cung cấp công nghệ lớn, [bao gồm cả] Microsoft và Amazon Web Services”.

Ủy ban đã đưa ra hướng dẫn rõ ràng rằng chính phủ nên thực hiện điều khoản chấm dứt hợp đồng, cho phép NHS rút khỏi thỏa thuận FDP vào tháng 3 năm 2027 – và sau đó nên “tự phát triển giải pháp thay thế nội bộ hoặc tìm kiếm một nhà cung cấp thay thế tại Vương quốc Anh”.