1何が懸かっているか
健康データはどこでも機微なものです。紛争の影響を受け、政治的に脆弱な状況では、それは危険になり得ます。誰がどこで、誰からどんなケアを受けたかを知ることは、患者・保健ワーカー・家族を現実の危害にさらしかねません。私たちは最悪の事態が現実的だと想定して設計します。実際にそうなることがあるからです。
2原則
- データ最小化 — ケアに必要なものだけを集め、識別できるデータはネットワークから完全に外しておく
- 患者の尊厳 — 患者は記録ではなく人である。データは彼らをさらすためではなく、ケアに役立てるために存在する
- ローカル所有 — コミュニティと地域パートナーが、自らのデータの所有権と権限を保持する
- インフォームド・コンセント — 何が、なぜ集められるのかを、人々が行動に移せる言葉で理解する
- セキュリティ・バイ・デザイン — 保護は任意の設定ではなく、アーキテクチャの性質である
- 最小権限アクセス — 各役割は、その責任が必要とするものだけを見る
3身元モデル
これらの原則の最も明確な表れが身元モデルです。患者はデフォルトで識別ID（実名なし）で管理され、実世界の身元はプログラムが意図的に有効化した場合にのみ共有されます。
| レイヤー | 身元の種類 |
|---|---|
| 端末 | 識別ID＋任意の実名 |
| クラウド | 識別ID＋任意の実名（RLS） |
| 医師 | デフォルトは識別ID。プログラム有効時は実名 |
| 監督者 / NGO | 集計データのみ |
デフォルトでクラウドが保存するのは、実名を含まない識別子・年齢帯・行政区画コードのみです。ケアを調整するには十分で、個人を特定するには不十分な情報です。プログラムが実名・生年月日・住所・電話番号を有効化した場合、それらは保護されたストアに同期され、行レベルセキュリティによってそのプログラムのメンバーにのみ開示されます。
実世界の身元はデフォルトでは存在せず、プログラムをまたいで共有されることはありません。人が正しく振る舞うことに依存するプライバシーは脆く、アーキテクチャ（行レベルセキュリティとプログラム分離）によって強制されるプライバシーは過ちを乗り越えます。
監査ログとより広いセキュリティアーキテクチャはプラットフォームのテーゼで詳述しています。
4保存時と通信時の暗号化
匿名性とプログラム分離は、攻撃者が何を知れるかを制限します。暗号化は、端末を入手されたり通信を傍受されたりした場合に、何を読めるかを制限します。
すべての現場端末は、AES-256で保護された暗号化ローカルデータベースに患者記録を保存します。遠隔地でオフラインの電話でも、通勤中に症例をレビューする医師の端末でも、端末上のデータはその端末の鍵なしでは読めません。
端末とWelnoteのサーバー間のすべての通信はTLSで保護されます。現場で撮影した写真や音声などの添付ファイルは別途暗号化され、GPSメタデータはアップロード前に除去されます。
暗号化は匿名性やアクセス制御に取って代わるものではありません。端末の紛失・押収・通信の傍受といった事態に対する第二の防御層です。
5将来のガバナンスの論点
Welnote がより多くの法域で活動するにつれ、そのデータガバナンスは認知された枠組みへと成熟していきます。これらは認証として主張するものではなく、地域の法律顧問とともに採り入れる進むべき方向です。
- 健康情報の取り扱いに関する HIPAA に着想を得た管理策
- 同意・最小化・データ主体の権利に関する GDPR に着想を得た原則
- 確立された「害を与えない」基準に沿った人道データガバナンス
- 自動化された支援が許される場所と許されない場所を定める AI ガバナンス