用户驱动的健康数据共享革命：标准化同意管理平台在数字医疗中的应用与展望

《npj Digital Medicine》：A user-driven consent platform for health data sharing in digital health applications

　　【编辑推荐】随着可穿戴设备和健康应用产生海量个人生成健康数据(PGHD)，碎片化的同意机制给伦理数据共享带来挑战。本文提出标准化健康同意(SHC)平台，通过集中式同意管理系统规范健康数据共享流程，确保GDPR合规性并提升用户自主权。研究展示了SHC的系统架构、法律框架和实施路径，为构建可信赖的数字健康生态系统提供了创新解决方案。

　　

在数字健康技术蓬勃发展的今天，可穿戴设备和健康应用每天产生海量的个人生成健康数据（PGHD）。这些数据蕴含着推动个性化医疗和医学研究的巨大潜力，然而现实情况却令人担忧：碎片化的同意机制、不透明的数据共享政策以及复杂的法律合规要求，使得用户对自己健康数据的控制权形同虚设。当用户在使用健康应用时，往往需要面对冗长的隐私条款和模糊的数据使用说明，这种"要么全部同意，要么无法使用"的困境，不仅违背了伦理原则，也阻碍了健康数据的有效流通和利用。

欧洲监管环境正在积极应对这些挑战。2025年3月生效的《欧洲健康数据空间（EHDS）条例》为健康数据共享建立了统一框架，而《通用数据保护条例（GDPR）》则对敏感健康数据的处理提出了严格要求。然而，现有的选择退出（opt-out）机制虽然能够提高数据获取率，却可能削弱个人自主权。英国NHS的"全科医学数据用于规划与研究（GPDPR）"计划的失败案例就充分证明，缺乏透明度和用户控制的数据共享模式难以获得公众信任。

为了解决这些难题，来自德国德累斯顿工业大学Else Kr?ner Fresenius数字健康中心的研究团队在《npj Digital Medicine》上提出了一种创新解决方案——标准化健康同意（SHC）平台。这个用户驱动的同意平台旨在通过集中式同意管理系统，为健康数据共享提供标准化、透明化且用户可控的新范式。

研究人员开发了一个包含三个核心组件的系统架构：SHC Connect通过iFrame或API嵌入健康应用，直接获取用户同意；SHC App作为独立应用程序，让用户能够集中管理所有连接应用的同意设置；SHC Service则负责用户身份管理和同意记录存储。整个系统采用Keycloak进行身份认证，支持HL7 FHIR等国际互操作性标准，确保与电子健康记录的兼容性。

在实际应用中，用户首次通过健康应用内的SHC Connect模块与平台交互。系统采用可视化界面和分层信息展示方式，将健康数据分为身体健康指标、生活方式与健康信息、个人环境数据以及健康洞察四大类别。用户可以为主要用途（个人护理）和次要用途（研究开发）分别设置数据共享偏好，且可以随时修改或撤销同意。

SHC App为用户提供了持续的数据共享控制能力。通过这个中央控制面板，用户可以查看所有连接的健康应用及其当前的同意设置，支持单独或批量修改偏好。系统还包含同意历史日志功能，让用户能够追踪过去的操作，确保数据使用的可追溯性。

在法律合规性方面，SHC平台需要同时满足《数据治理条例（DGA）》和GDPR的要求。研究团队指出，对于科学研究中的广泛同意（broad consent）存在法律争议，因为数据处理的具体目的在收集同意时可能尚未明确。为此，系统设计了访问审查委员会机制，只有经过验证的数据访问请求才能获得批准，这类似于德国研究数据中心（Forschungsdatenzentren）已有的做法。

研究团队在系统设计中面临多个关键权衡。集中式架构虽然有利于身份管理和策略执行的一致性，但可能降低可扩展性；由公共或非营利机构托管可以确保业务中立性，但可能面临治理效率挑战；通过iFrame的初步集成虽然实现快速部署，但存在性能和安全性限制。

研究结论强调，SHC平台的大规模采用将代表健康数据共享向更加透明、用户中心化模式迈出的重要一步。虽然SHC本身不执行数据传输，但它提供了可信的同意基础设施，确保共享仅在用户明确规定的条件下进行。在法律责任方面，各个健康应用仍对数据的安全合法使用承担全部责任。

该研究还探讨了同意系统中的参与度挑战。与无选择退出机制的系统相比，基于同意的系统预计会有较低的样本量，这可能影响统计分析的功效。然而，通过有效的公众参与策略和统计加权方法，可以在不包含整个人群的情况下进行具有统计显著性和相关性的分析。

标准化同意管理为来自应用和可穿戴设备的健康数据共享提供了一种变革性方法。SHC等平台实现了动态、透明和用户驱动的同意流程，为伦理、安全和可互操作的数据共享创建了可扩展的基础，在个人自主权与医疗研究和公共健康需求之间取得了平衡。健康数据治理的未来不仅取决于法律框架，还取决于使同意对每个用户都具有意义和可操作性的赋能工具。