Biobank-problemet skyldes ‘noen få dårlige epler’, ifølge sjefen

Biobankens leder, professor Sir Rory Collins, har uttalt at en hendelse som førte til at medisinske data for 500 000 deltakere ble lagt ut for salg på en nettside i Kina, skyldtes «noen få dårlige epler». Dataene, som inneholdt anonymisert informasjon, har vært en del av et prosjekt for å forbedre forskning på sykdommer som demens og kreft. Nå stilles imidlertid Biobanken overfor betydelig kritikk.

Ansvarsfraskrivelse fra ledelsen

Collins utdyper at hendelsen ikke er et resultat av systematiske svakheter, men av enkeltindividers handlinger. Denne ansvarsfraskrivelsen skifter fokus fra nødvendigheten av systemkontroll til individets ansvar. Ledelsen mener det ikke er svakheter i selve datasystemet, og peker på at de ansatte er dyktige og opplærte. Dette skillet setter spørsmål ved hvor omfattende ansvaret egentlig er i en så kompleks organisasjon som Biobanken.

Tidligere har Biobanken vært ansett som en trygg plattform for datainnsamling men denne hendelsen utfordrer denne oppfatningen. Samtidig virker det problematisk at ledelsen leter etter syndebukker i stedet for å revurdere hele datastrukturen.

Alvorlige datasikkerhetsbrudd

Flere brudd på datasikkerheten har blitt rapportert de siste årene. Dette omfatter ikke bare den nåværende hendelsen, men også tidligere situasjoner der sensitive data har kommet på avveie. Frykten blant forskere og samarbeidspartnere er reell. Ingen ønsker å bli knyttet til en plattform som har hatt så mange datahendelser. Det er utført lite synlig arbeid for å forbedre langsiktig dataintegritet, noe som sender negative signaler til alle involverte parter.

Det må skapes større tillit til systemet, og å tilskrive ansvaret til enkeltpersoner skaper bare mer usikkerhet. Mangelen på klare tiltak for å sikre datasikkerhet er åpenbar. Hva skjer om neste gang er det ikke kun noen «dårlige epler» som står på spill, men systemet i sin helhet?

Tillitskrise for samarbeidspartnere

Samarbeidspartnere og oppdragsgivere har all grunn til å frykte for sine egne data. Tilliten til Biobanken kan ha fått et betydelig langtidsmessig svekkelse. Ledelsen har forsøkt å opprettholde sitt omdømme ved å skylde på ansatte, men dette kan vise seg å være en kortsiktig løsning. Dersom man ønsker å gjenopprette tilliten, må det tas grep over hele infrastrukturen.

Markeder for datadeling kan også bli påvirket negativt. Færre aktører kan være villige til å dele eller bruke data hvis de føler at sikkerheten kan bli kompromittert. Langsiktig kan dette føre til enten mer restriksjoner eller tap av muligheter for verdifull forskning.

Kritiske mangler i datastyring

Det er tydelig at systemiske utfordringer i datastyring ikke lar seg løse med å tillegge enkeltindivider skylden. Biobanken har ikke klart å etablere en robust nok infrastruktur for datasikkerhet. Dette henger også sammen med nedprioritering av regulatoriske krav og god datastyringspraksis. En av de største risikoene for en organisasjon som håndterer sensitive data, er at den tar for lett på ansvaret for dataintegritet.

Reguleringer må styrkes, og det må utvikles bedre opplæringsprogrammer innen datastyring for ansatte. Det er behov for klare retningslinjer og etterlevelse, noe dagens situasjon viser altfor godt. Dette er en kritisk nødvendighet for fremtidig arbeid, både for Biobanken og lignende institusjoner.

Konklusjon

Den nåværende situasjonen i Biobanken puster liv i debatten rundt personvern og datasikkerhet. Ved å tilskrive skylden på få enkeltpersoner, legitimerer ledelsen sin egen svikt. Organisasjoner som håndterer såpass sensitiv informasjon må ha en helhetlig tilnærming til datasikkerhet. Fraskrivelse av ansvar kan aldri erstatte behovet for solid infrastruktur.

Hvis stoler skal gjenopprettes, er det ikke nok å gjøre midlertidige justeringer. Biobanken må redefinere hvordan de håndterer sine data, fra opplæring av ansatte til oppgradering av sikkerhetsprosedyrer. Inntil dette skjer, vil tillit mellom dem selv og samarbeidspartnerne være på et kritisk lavt nivå.