一个旗舰研究数据库面临新的信任考验
英国科技部长 Ian Murray 在向下议院作出的一份声明中表示，50 万名英国志愿者的机密健康记录曾通过阿里巴巴上的三条独立商品信息被挂牌出售。这些数据与 UK Biobank 相关联，后者是全球最重要的生物医学研究资源之一，也是英国科研的基石。
在英国政府与阿里巴巴及中国政府合作后，这些商品信息已被移除，而 Murray 告诉议会，据信没有发生实际销售。但这一事件进一步加剧了外界对 UK Biobank 所持数据安全性的担忧，因为其中包含了英国境内最敏感的一些研究信息。
该项目保存着 50 万名志愿者的健康数据，包括基因组序列、脑部扫描、血样和诊断记录。全球各地的大学和私营公司科学家都可通过申请程序获得访问权限。正是这种科学价值，使得这次暴露尤为关键：数据集越丰富、使用越广泛，人们就越需要确信它得到了妥善保护。
暴露了什么，官员又说了什么
Murray 说，UK Biobank 慈善机构于 4 月 20 日周一向政府通报，其数据在阿里巴巴中国电商平台上被多个卖家挂牌出售。按照他的说法，这三份数据中至少有一份似乎包含了全部 50 万名志愿者的参与数据。
这位部长将这些信息描述为“去标识化”，也就是显而易见的个人身份信息已被移除。但去标识化并不意味着没有风险。UK Biobank 的价值在于其关联健康信息的深度和丰富度。即使去除了直接身份标识，这类数据如果在未经授权的渠道之外被处理，仍可能带来重大的伦理和安全问题。
UK Biobank 已将此事自行上报给信息专员办公室。这一上报表明，官方已经认识到此事已超出常规平台内容管理或未经授权转售的范畴。它现在成了一个监管问题，涉及治理、监督以及公众对大规模健康数据系统的信任。
为什么这起事件的影响超出一个数据库
这起事件发生在英国数据政策一个特别敏感的时刻。上个月，《卫报》报道称，敏感的 UK Biobank 数据曾数十次在网上暴露，这引发了人们对该资源周边安全措施是否过于宽松的质疑。因此，最新的挂牌并不是孤立事件，而是构成了一个正在形成的担忧模式：英国最受赞誉的科学资产之一究竟是如何被保护的。
这一点很重要，因为 UK Biobank 不是一个小众数据库。它经常被称为英国科学的一颗明珠，而且理由充分。研究人员利用它来大规模研究疾病风险、遗传学、衰老和人口健康。如果参与者或公众开始相信数据安全没有被严格管理，损害就不会局限于某一个机构。它可能会影响人们对生物医学数据共享和数字健康研究的整体信心。
担任下议院科学、创新和技术委员会主席的 Chi Onwurah 将这起泄露称为“极其严重”，并表示这又一次打击了公众信任。她的表述点出了更大的利害关系。研究基础设施不仅依赖技术能力，也依赖社会合法性。参与者需要相信他们的数据会被负责任地使用，并得到妥善保护。
政治、数据治理与国际摩擦
这些挂牌出现在中国电商平台上，使本已棘手的事件带上了国际层面。Murray 感谢中国政府迅速介入，帮助移除这些挂牌。相较之下，Onwurah 借此强调了一个令人不适的现实：英国需要依赖外国当局来帮助压制英国健康数据外泄的曝光。
此案的政治意味还因 UK Biobank 所包含的数据而更加尖锐。这些不是普通的客户记录，而是来自长期研究项目志愿者的高度敏感健康信息。志愿者加入项目时所期待的是数据访问应受到治理，而不是被交易。
这则新闻也与近期流入该项目的数据变化有关。2 月，卫生大臣 Wes Streeting 发出法律指令，首次允许共享所有志愿者的编码 GP 数据给 UK Biobank。这一扩展提高了数据库的研究价值，但也抬高了任何治理失误的代价。数据集越丰富，就越需要确保控制、监测和响应系统足够可靠。
“去标识化”并不能完全消除担忧
官员们强调，被挂牌的数据是去标识化的，但公众信心很少只取决于术语本身。在现代数据系统中，去标识化是一项重要防护，但并不是绝对保证。丰富的数据集可能仍带有间接风险，尤其是在涉及关联健康信息、而且未经授权暴露的是整个参与者群体的情况下。
这也是为什么即便没有成交，最新事件仍可能持续发酵。问题不只是交易是否完成，而是未经授权的挂牌本身就曾存在，而且至少有一条看起来涉及与全部 50 万名参与者相关的数据。对于一个建立在自愿参与基础上的项目来说，这一门槛本身就足够令人警惕。
英国科研基础设施的信誉挑战
UK Biobank 仍然是人群健康研究中最强大的资源之一。此事不会改变这一点。它改变的是该机构和政府必须承担的证明责任：要证明数据库的治理与其科学重要性相匹配。
眼下最直接的问题可能是平台执行和监管跟进。更长期的问题则是信任。如果公众不断看到这样一个重要数据库反复出现外泄担忧，单纯的保证将不再有说服力。真正重要的将是可见的证据，证明安全实践、访问控制、审计和问责机制已经加强。
英国多年来一直把数据丰富的生物医学研究定位为国家战略优势。要维持这种优势，就必须证明科学雄心和数据托管同样被当作严肃责任对待。
本文基于 The Guardian 的报道。阅读原文。
Originally published on theguardian.com
