英国ICO对NHS将“匿名化”医院就诊数据共享给DeepMind用于AI研究但未充分评估重新识别风险案（2017年7月）

【案件背景】
Royal Free London NHS Foundation Trust（以下简称“皇家自由医院”）是英国国家医疗服务体系（NHS）下的一家大型教学医院。2015年10月，皇家自由医院与Google旗下的AI公司DeepMind签署了一项数据共享协议，将约160万名患者的医院就诊数据提供给DeepMind，用于开发一款名为Streams的急性肾损伤（AKI）AI预警系统。皇家自由医院声称已对数据进行了“假名化处理”（pseudonymisation，类似于中国的去标识化），数据中不包含姓名、NHS号、地址等直接标识符。但2016年，《新科学家》杂志调查发现，DeepMind实际获得的数据范围远超AI预警系统开发所需，且包含了大量未充分去标识化的患者记录。2017年7月，ICO在一年多的调查后发布调查报告，认定皇家自由医院违反英国《数据保护法》。

【违法事实】
经调查查明：
（1）皇家自由医院在与DeepMind的协议中声称数据已经过假名化（pseudonymisation）处理，但实际提供的数据在某些字段上包含了可直接或间接识别患者的信息：包括入院日期和时间（精确到分钟）、出院日期、所在病房号、科室名称、实验室检测项目的名称和结果、放射科报告的全文（其中可能包含患者的年龄、性别和临床描述）、以及所有诊断记录（ICD-10编码）。这些信息组合后足以在特定场景下重新识别具体患者。
（2）数据的共享范围远远超出了开发急性肾损伤预警系统所需的必要信息。DeepMind获得了过去5年所有住院患者（包括非肾病患者）的完整医院就诊记录——而肾损伤预警系统仅需要包含肾功能检测结果的特定患者群体的数据。ICO认定该行为严重违反了“数据最小化”原则。
（3）皇家自由医院未以充分的透明度向患者告知其数据将被提供给DeepMind用于AI系统开发。大多数患者完全不知道自己的医院记录被交给了Google旗下的AI公司。医院在就诊区和网站上张贴的一般性隐私声明虽然提到“可能与第三方共享匿名化数据用于研究目的”，但未具体说明接收方是DeepMind以及处理目的。
（4）DeepMind作为数据处理者（或实际的共同控制者），在获取数据后建立了可直接访问原始患者记录的数据库，其员工（包括非临床技术人员）可以查看包含准标识符的完整患者记录——这不符合假名化或去标识化数据处理的应有保护措施。
（5）皇家自由医院在数据共享之前未进行数据保护影响评估（DPIA），无法向ICO证明其已充分评估并减轻了数据处理活动对患者隐私的风险。

【处罚决定】
2017年7月3日，ICO发布调查报告：
（一）认定皇家自由医院违反英国《1998年数据保护法》的数据保护原则，特别是第一原则（公平合法处理）、第二原则（特定明确目的）、第三原则（充分相关不过度）和第七原则（适当技术和组织安全措施）。
（二）因事件发生在GDPR生效（2018年5月）之前，且皇家自由医院在调查期间积极配合整改，ICO决定不处以罚款，但要求签订正式的合规整改协议（Undertaking）。
（三）要求皇家自由医院完成以下整改：建立完整的审计日志系统；对DeepMind的访问实施严格的角色权限控制；开展完整的数据保护影响评估；向患者提供充分的透明度信息；任命合格的DPO。
（四）该决定成为英国卫生数据共享合规的标杆性参考。后续DeepMind Health于2018年被整合回Google Health，该项目的处理模式受到持续监督。

【典型意义】
本案是全球医疗AI领域关于数据共享合规的最著名案例之一，其影响远超英国：
第一，本案确立了“假名化”（去标识化）不等于“豁免合规”的原则。即使在报告中采用假名化标签，宽泛的数据共享和缺乏透明度仍是违规行为。假名化是一种风险降低措施，而不是法律义务的豁免理由。
第二，数据共享的“必要性”和“比例性”受到严格审查。为开发一个肾损伤预警系统而获取5年所有住院患者的全部记录，被ICO认定为明显过度。企业在数据共享时必须精确界定所需数据的时间和范围。
第三，AI公司与医疗机构之间的数据共享中，处理者角色的界定模糊是一个普遍问题。DeepMind声称自己是皇家自由医院的数据处理者，但其对数据的使用方式更接近共同控制者——当AI公司对数据有实质性的使用权时，应认定为共同控制者。
第四，本案催生了英国医疗数据共享的新制度框架：NHS后续建立了全国性的数据共享治理架构，所有NHS机构与外部技术公司的数据合作须经过更严格的多层级审批。