2020年1月6日にEDPSが公表した「Preliminary Opinion on data protection and scientific research（データ保護と科学研究に関する予備的意見）」について、その概要を以下で書きました。
ここでは、その本文の中身を見ていきたいと思います。
分量が多いので、前半と後半に分けて書いていくことにします。
1 はじめに
一般化可能な知識の向上はEUの優先事項である。データ保護規則は、一般的に適用される一連の規範であるため、特定の領域や分野のガバナンス構造から切り離すことはできない。一般データ保護規則（GDPR）は科学研究に特別な制度を割り当てているが、データ保護規則の研究への適用に関するガイドラインや包括的な研究はほとんど行われていない。1995年のデータ保護指令（指令95/46/EC）では、加盟国が研究目的のデータ処理体制をさらに規定する法律を採択することを認めており、GDPRもEUまたは加盟国の法律による例外規定の導入を認めているが、その結果、保護措置がパッチワークのようになった。GDPRの影響に対する認識は様々で、研究の障害になると主張する人、影響はほとんどないと主張する人、データ主体の権利を空洞化させる抜け道になると主張する人などがいる。 EUの機関および団体におけるデータ保護を規定する規則2018/1725は、この分野におけるGDPRの規定をほぼ再現しており、本予備的意見における分析および勧告は、一般的に両規則に基づくデータ処理に関連すると見なすことができる。
特に医学研究の分野では、個人データは「前例のない規模」で処理されています。公共の利益のための真の研究と、主に私的または商業的な目的のための研究との区別はますます曖昧になってきている。医学的危険因子を予測し、家系や家柄を明らかにする、消費者直販の遺伝子検査サービスが盛んに行われているが、これ自体は研究ではなく、同意に基づいてデータを収集し、その後、研究または法執行など他の目的に使用できるようにするための戦略である。同時に、他人の権利を保護するという口実で、推測される個人データを知的財産と混同し、企業の秘密保持の盾とすることで、データ保護が説明責任から逃れようとしているのではないかという疑いもある。また、「データ保護」と「ヒトを対象とした研究」の両方の原則である同意に関しても（理解できる）混乱が見られる。管理者（個人データ処理責任者）、研究責任者（臨床試験における「スポンサー」）、及び実際の研究実施者の義務には複雑な相互関係があり、状況に応じて別々の管理者、共同管理者、処理者となり得る。
EDPSは、個人データの尊重は責任ある研究と完全に両立するものであると考える。データ保護は、個人データが科学を支えるために必要な個人のセーフティネットとして機能することを意図しています。個人データは、病気のより良い理解、新しい治療法の開発、そして一般的に生活の質の向上を可能にする。しかし、研究の概念は非常に幅広いものである。この予備的意見は、EDPB とその前身である第29条作業部会の活動を基礎とし、より多くの情報に基づいて、研究コミュニティとデータ保護コミュニティの間での議論を促進するためのものである。
本書の構成は以下の通りである。まず、今日のデジタル時代における科学研究の状況と発生する問題を概説する（第2章）。第２に、GDPRにおける科学研究とは何かを絞り込むことを目的とする（第3章）。第３に、特に臨床試験に関して、データ保護が位置づけられるEUの研究に対するより広いガバナンスの枠組みを概説する（第4章および第5章）。第４に、GDPRに規定されている科学研究目的のデータ処理に関する特別な制度の主要原則の予備的分析を行う（第6章）。これには特に、同意の概念、適合性の推定、データ主体の権利の逸脱が含まれる。最後に、さらに検討すべきいくつかの分野を指摘する（第7章）。
この予備的意見はデータ保護と科学研究に限定されているが、科学研究、人文科学や芸術におけるその他の形態の研究、マーケティング研究の間には合意された正確な境界線がないことに留意する必要がある。GDPR自体は、科学研究と同様に、公益のためのアーカイブ目的、歴史的研究、統計のための特別なデータ保護制度を適用している。この分析は予備的なものであり、包括的なものではないことを強調し、内容や不足している点について建設的な批判を促したい。この文書に対するフォローアップのほとんどは、特に同意、保持、二次利用などの重要な課題や原則については、欧州データ保護委員会（EDPB）が行うことになるだろう。
2 研究の現状
2.1 デジタル化
デジタル化によって、研究は大きく変貌を遂げた。データ処理と保存のコストは下がり続け、処理能力は向上し、センサーと接続されたデバイスが急増した。研究者、特に医学研究では、大規模な共同ネットワークで作業することが多く、国境を越えて大量のデータを高速で交換する必要がある。研究者による被験者への直接的な接触が限られるオンライン環境では、大規模なゲノムデータベースが複数の研究者によって長期にわたって利用できるよう開発されている。
少数の非常に強力なグローバルテクノロジー企業が持つ並外れた影響力は、前例のない規模で学術研究への助成や支援につながっている。彼らは、典型的には秘密保持契約を結ぶことを条件に、過去には学問の世界にとどまっていたかもしれない才能を、その業界で働けるように引きつけることができる。これらの民間企業は、インターネットに接続している間の人々の行動を組織的かつ多角的に監視することで収集した個人情報の巨大なデータベースを管理している。かつては学者や政府によって作成されたデータも、現在では世界中のほとんどのデータがこれらの企業によって保有されている可能性がある。例えば、ソーシャルメディアデータを分析してうつ病のマーカーに関する仮説を検証した2017年の研究は、倫理委員会の承認と資金源の申告による同意に基づくものであった。
2.2 アカデミアと商業部門
研究は、もはや学術界だけのものではない。研究機関とより広範な研究エコシステムとの間のデータ交換を含むインターフェースは、非常に複雑である。科学出版社、デザイナーや開発者、起業家、商業・政府・非営利団体の資金源はすべて利害関係がある。また、ビッグデータ分析会社やクラウドサービスプロバイダー、できるだけ多くのデータを蓄積して収益化することをビジネスモデルとするプラットフォームやアプリも役割を担っている。さらに、遺伝子検査会社、検査で得られた遺伝子の生データを解釈するサービスを提供するアプリやウェブサイト、そしてデータへのアクセスに対して巨額の報酬を支払う製薬会社や医療技術企業も存在する。これは、ある医学誌によれば、データ共有の「西部劇のような環境」であり、医療現場のような厳格な規制がない、と言われている。
学術界と商業界の関係は、いくつかの点から見ることができる。第一に資金調達。大企業、特にテクノロジー企業は、膨大な量の学術研究を助成し、スポンサーとなっている。資金調達は、しばしば秘密保持契約の締結を条件としており、研究の完全性、公平性、信頼性に疑問を投げかけている。透明性と基準がなければ、このような研究は企業の秘密のロビー活動とみなされる可能性がある。
第二に、これらの企業が、しばしば大学から直接人材を集めるために熾烈な競争をしていることがある。アマゾンは5年間で150人の経済学博士を採用し、ユーザーの増加、収益性、プラットフォーム設計に取り組ませたと報告されている。これらの従業員は、社外秘のデータを無制限に蓄積し、その洞察は商業的な秘密で覆われている。
第三に、従来の研究機関や公的機関はテクノロジー企業と協力したり、提携契約を結ぶことが多いことがある。英国の国民保健サービスは、GoogleとそのAI企業DeepMindに、HIV感染状況、精神衛生歴、中絶など160万人の患者の機微情報の山に、患者にきちんと説明することなくアクセスさせたことが明らかになった。患者のデータは決して「グーグルの製品やサービスにリンクされたり、何らかの商業的な目的で使用されたりすることはない」と公的に安心感を与えているにもかかわらず、そうした企業には健康関連の機微データを責任を持って扱うインセンティブが欠けていることが懸念されている。
第四に、ケンブリッジ・アナリティカに対する英国情報コミッショナー事務所の調査で明らかになったように、学術研究と学者が設立した営利企業は、例えば大学の設備を共有するなどして、表裏一体の関係になることがある。ケンブリッジ・アナリティカのターゲティング技術は、ケンブリッジ大学のサイコメトリクス・センターの研究者の研究に端を発している。「フェイスブックと研究者コミュニティの個々のメンバーとの間に密接な協力関係があった」という証拠があり、サイコメトリーセンターはオンラインクイズの開発や性格プロファイルの開発を通じてフェイスブックのデータを心理テストに使用していた。
第五に、加盟国間で規制制度が異なるにもかかわらず、欧州を含む他の地域でますます利益を生んでいる遺伝子検査サービスの市場がある（少なくとも二つのケースで事実上禁止されている）。これらのサービスの提供者は、「データの所有権」と「広範な同意」（後述の第5章参照）を前提に運営され、研究者にデータへのアクセスを売り込み、事実上研究者と研究対象者との間の不可欠な仲介者となっているようである。例えば、米国に本拠を置くある新興企業は、顧客が自分の遺伝データを医学研究者や製薬会社と共有することに同意すれば、全ゲノム配列決定を「無料」で提供し、顧客が詳細な質問に答えたり、第三者がそれらのデータにアクセスすることを希望したりすれば、より詳細な分析を「報酬」として提供している。1990年に開始された国際的な個人ゲノムプロジェクトは、「オープンアクセス同意」に依拠していると主張している。参加者は、科学研究目的のために、完全にオープンアクセスなデータベースで自分の遺伝・ゲノムデータをオンラインで共有し、事実上、公開されたデータベースの他のあらゆる用途に利用できることに同意しているのである。個人から機微性の高い個人情報を提供してもらうためのこれらの手法は、情報がどのように使用されるか、また、参加者に同意を求める際の状況について、倫理的な懸念を抱かせるおそれがある。
2.3 行動学的実験
大手ハイテク企業は通常、専門の「研究部門」を持っている。メンタルヘルス専門家や心理学者が採用され、自社のデバイスやソフトウェアへの依存を誘発する「説得力のあるデザイン」を展開している。2018年には、50人の心理学者が「心理学者がソーシャルメディアやビデオゲームで子どもを引っ掛けるために『隠された操作技術』を使っている非倫理的な行為」に対する抗議文を出している。
Facebook Researchのホームページでは、同社の「ヒューマン・コンピュータ・インタラクション（HCI）とユーザー・エクスペリエンス（UX）の研究者は、毎月Facebookを利用する世界中の20億人以上の人々の体験を深く理解し、改善することを目指している」と公言している。同社は、利用習慣の監視のために、デバイス上のすべてのアプリケーションのバックグラウンドで同社の「リサーチプログラム」を実行することを許可すると、子どもたちに電子特典を提供しており、安全な通信チャネルがあると誤認させるためにVPNアプリケーションを提供していたこともある。
2014年（前述）、Facebookはソーシャルメディアネットワークを介した「感情の伝染」に関する実験を行った。同社の中核的なデータサイエンスチームは、『Facebook上で他人が表現した感情は私たち自身の感情に影響を与え、ソーシャルネットワークを介した大規模な伝染の実験的証拠を構成する』とした研究結果を発表した。この研究は「内部開発研究」であり、フェイスブックのデータ利用ポリシーに沿ったもの、すなわち「すべてのユーザーがフェイスブックでアカウントを作成する前に同意しており、この研究に対するインフォームドコンセントを構成している」としている。。似たような例はたくさんある。
- オンラインデートアプリのOkCupidは、2014年に『相性の悪いペア(実際のマッチング率30%)を、(ユーザーに)例外的に相性が良いと伝えた(マッチング率90%を表示)』と発表した。2016年には、OkCupid社の調査により、ユーザー名、年齢、性別、居住地、どのような関係（または性別）に興味があるか、性格的特徴、サイトで使用されている数千のプロファイリング質問への回答など、約7万人のユーザーのデータセットが公開された。
- アマゾンは、虚偽の広告を使ってベビーレジストリーを収益化していると報道され、批判を受けて「常に実験を行っている」と認めた。
- あるAI教育企業が、9000人の学生に影響を与える市販の学習ソフトウェアプログラムの1つに、本人の同意を得ることなく「社会心理学的介入」を行った。
- ある大学では、「コンピュータ製品を設計することで、人々の信じていることや行動を変えることができる」という明確な目的をもって、テクノロジーを用いた説得の技術を教える研究室を設立した。
AI Now Instituteによれば、このような人間の行動実験が「横行」しているという。この予備的意見における我々の分析は、これらの行為がGDPRの下では科学的研究として認められないと考える理由を説明しようとするものである。
2.4 研究の障害となる企業の機密性
民主主義社会では、社会科学分野の独立した研究者が、ヨーロッパや世界で情報がどのように処理され、流れるかを決定する上で、これらの企業が果たす役割を調査し、説明できることが重要となる。研究には、デジタル化という重要な現象自体の調査も含まれる。独立した研究者が大規模なテクノロジー企業の役割を調査する能力は、独立した規制当局の監視と並んで、より広範な必要な説明責任の枠組みの一部である。しかし、大手テクノロジー企業の特徴として広く報じられている企業の秘密主義は、政府機関による独立した監査を拒否するのと同様に、このような研究者による精査の障害となっている。ケンブリッジ・アナリティカのスキャンダル（通常の倫理的枠組みから外れた活動に端を発する）以降、研究者は情報の流れを問うことがより困難になっているようである。例えば、フェイスブックは2018年、アプリケーションプログラミングインターフェースデータ（「API」、つまり、リモートアプリケーションからのフェイスブックデータへの要求をどのように処理するかについてのデータ）と機微なターゲティングデータへのアクセスを制限した。これにより、研究者は陰謀論、ヘイトスピーチ、偽情報の拡散を理解するために、ネットワーク分析を行ったり、アカウント間のつながりを見つけたりすることができなくなった。
透明性と説明責任の向上に対する抵抗は、データ保護という疑わしい理由によって正当化されている。Code of Conduct on Disinformation（偽情報に関する行動規範）の中で基本的な権利に言及することは、精査を避けるようとする同様の試みの隠れ蓑になりえることが懸念される。独立した研究者は、選挙への影響や偽情報の拡散を監視し、強力なプレーヤーに責任を負わせるために、主要なプラットフォームに対し、広告アーカイブAPIへの分析可能な形式でのアクセスを許可するよう求めた。2019年12月、学術関係者にデジタルプラットフォームのデータへのアクセスを提供することを目的としたイニシアチブであるEuropean Advisory Committee of Social Science Oneは、Facebookが適切なアクセスを一切提供しておらず、その結果、研究者は「暗闇に取り残され」、「プラットフォームの役割と責任」をめぐる議論に「十分な情報に基づいた貢献をすることができない」という結果を報告した。
第三者とのデータ共有を含むすべてのデータ処理には、慎重に評価・管理される必要がある一定のリスクを伴う。中にはリスクが高すぎて、処理を一切行うべきではない場合もある。対照的に、主要なプラットフォームを含むウェブベースのサービスのプライバシーポリシーは、曖昧であることがよく知られている。企業は、収集した個人データをどのくらい、どのような目的で使用し、誰と共有するかについて、最大限の自由度を自らに与えているように見える。しかし、民間企業が自らの保有するデータを公開している例はほとんどない。したがって、真の研究者に研究利用を与えようとしないのは、データ保護への懸念というよりも、企業が管理するデータの量や性質について開示したり透明性を確保したりするインセンティブがないためだと思われる。
3 科学的研究の概念
3.1 研究
研究や科学研究の定義について、世界的に合意されたものはない。信頼できる研究の定義は、データの収集と分析を含む体系的な活動を強調する傾向があり、それによって理解や知識のストックを増やし、それらを応用することができる。欧州委員会は、EUの研究・イノベーション政策の目的を、「学術・科学以外の分野で経験を積んだ人々にイノベーションプロセスを開放すること」、「デジタル技術や共同技術を用いて、知識が得られると同時に普及させること」、「研究コミュニティにおける国際協力を促進すること」と定義している。
3.2 科学研究
科学研究とは、現象を観察し、その現象に対する仮説を立てて検証し、その仮説の妥当性について結論を出すという「科学的手法」を用いたものである。個々の分野において、研究者は、個人および特定の症状に対するその人の影響度をより深く理解することにより、個人の治療を個別化するといった一般的な目的を果たすことを公言することがある。研究の実施は、結論とその理由の両方を透明にし、批判に開放した上で、仮説の検証を可能にするものでなければならない。公開性と透明性は、科学と疑似科学を区別するのに役立つ。
EUの2019年著作権指令（Directive (EU) 2019/790）は、科学研究は「自然科学と人間科学の両方」を対象とし、「非営利・公益団体」と「商業的な影響下で活動する組織」を区別している。
このような団体は多様であるため、研究組織について共通の認識を持つことが重要である。例えば、大学やその他の高等教育機関およびその図書館に加えて、研究を行う研究所や病院などの組織も対象とすべきである。加盟国の研究組織は、法的形態や構造が異なるものの、一般的には、非営利ベースで活動しているか、国が認めた公益的な使命に基づいて活動しているという点で共通している。このような公益的使命は、例えば、公的資金、国内法や公的契約の規定によって反映される。逆に、営利事業が決定的な影響力を持ち、株主や会員などの構造的な事情から営利事業が支配力を行使し、その結果、研究成果への優先的なアクセスが可能となるような組織は、本指令の目的から研究組織とはみなされない。
3.3 研究と学術表現の区別
欧州人権裁判所は、「学術関係者が、自分が働いている機関や制度について自由に意見を表明する自由、および知識や真実を制限なく配布する自由」について言及している。同裁判所は、学術的な表現の自由の保護に関する欧州評議会議会の勧告1762（2006年）を引用した。この勧告によると、
研究および研修における学問の自由は、表現および行動の自由、情報発信の自由、研究を行う自由、知識と真実を無制限に提供する自由を保証すべきである。
GDPRでは、「ジャーナリズムの目的および学術的、芸術的、文学的表現の目的」のためのデータ処理について、定められた体制を定めている（第85条）。ここでは、GDPRの規定の除外範囲は、科学研究のための特別な制度よりも広くなっている。私たちは「学術表現」を目的とした個人データの処理は、以下を意味すると主張する：(1)学術関係者の情報発信の自由に直結する処理、(2)出版物や研究成果の普及など、知識や真実を制限なく発信する自由、(3)データや方法論についての仲間との共有・意見交換。
生物医学研究、人文・社会科学の学術研究、および第85条の規定の区別については、これまでにも議論があった。この区別を実際に適用するのは容易ではない。大学や学術機関が行う科学研究は、ある程度限定された範囲で両制度の適用範囲に入るという重複が生じる可能性もある。しかし、学術表現に対するより広範な適用除外は、第89条が科学研究に対して要求するセーフガードを回避することを正当化する手段として解釈することはできない。GDPR下の他のすべての適用除外と同様に、これらの科学的研究活動に合わせてさらに適用除外を行うことは、厳密に必要な場合にのみ行うべきである。
GDPRにおいて、研究データや研究結果の公表・共有は「学問の自由」というより「表現の自由・情報伝達の自由」の観点から評価されているようですね。
3.4 著作権で保護されたテキストおよびデータ
前述のとおり、新しいEU著作権指令では、アクセスが合法的であり、研究が公益目的で実施されている場合に限り、大学やその他の研究機関に所属する研究者がテキストやデータを大規模に分析することを認める著作権規則の例外が規定されている。このような分析は、テキストマイニングやデータマイニングと呼ばれ、パターンや傾向、相関関係などの情報を得るためにデジタル形式のテキストやデータを分析することを目的とした自動分析技術である。したがって、大規模なデータセットや人工知能システムのトレーニングに関連している。
この適用除外は、原則として官民連携の研究機関を含むものの、個人の研究者や民間企業が管理する組織は除外される。したがって、デジタル経済で蓄積された膨大なデータセットを利用した真の研究は、公共の利益を目的とし、説明責任を果たすための制度的構造の中で実施されなければならないという原則を確認するものである。
3.5 科学研究のための特別なデータ保護体制の範囲
科学研究のためのGDPRの特別な制度は、特定の管理者の義務からの特定の免除と、適切な保護措置を要求する特定の条項（第89条）で構成されている。これは、データ保護規則を、研究活動が提供する特定の状況と公共の利益に適応させるという明確な意図を反映している。プライバシーの権利と個人データ保護の権利とともに問題となっている基本的権利（人格の完全性に対する権利および芸術と科学の自由を含む）は、対立するものと見なすべきではない。むしろ、個人の権利とその他の利益の「公正なバランス」を求めることを目的とすべきである。
GDPRでは、研究の役割は「多くの人々の生活の質を向上させ、社会サービスの効率を改善する」ための知識を提供することと理解されている。GDPRでは、技術開発、基礎研究、応用研究、民間資金による研究、「公衆衛生の分野で公共の利益のために行われる研究」など、幅広い研究の概念を想定している。また、データ処理については、TFEU第179条(1)に基づくEUの目的である「欧州研究領域の実現」を考慮することを推奨している。したがって、学術研究者だけでなく、非営利団体、政府機関、利益を追求する営利企業も科学研究を行うことができる。
科学研究は社会全体にとって有益であり、科学的知識は奨励・支援されるべき公共財であるというのが一般的な前提である。これは、信頼に根ざした「社会契約」の一形態と言える。信頼が非常に重要な役割を果たしているこの状況において、研究とみなされる活動を行うことは、無責任なリスクを取るための全権委任ではない。データ保護の観点からは、必要性と比例性の原則が不可欠である。管理者が科学研究の目的でデータを処理すると主張するだけでは十分ではない。第29条作業部会は、同意に関するガイドラインの中で、科学研究を「関連する分野における方法論的および倫理的基準に従って設定された研究プロジェクト」と理解した。このアプローチでは、確立された倫理的枠組みの中で行われる科学研究のみが、特別なデータ保護制度に該当する活動として適格となる。
したがって、この予備的意見の目的では、科学研究のための特別なデータ保護体制は、以下の3つの基準がそれぞれ満たされた場合に適用されると理解される。
- 個人データが処理されていること
- インフォームド・コンセント、説明責任、監視の概念を含む、方法論と倫理の関連分野の基準が適用されること
- 主に1つまたは複数の私的な利益のためではなく、社会の集合的な知識と福祉を向上させる目的で研究が実施されていること
EUの著作権指令と異なり、GDPRでは民間の営利企業による研究も「科学研究」に該当しうるとされていますね。
4 EUにおける研究のガバナンスと
4.1 EUの研究政策の原則とデータ共有の円滑化
基本的権利憲章の第13条では、『芸術及び科学研究は、制約を受けないものとする。学問の自由は尊重されなければならない』としている。TFEU第179条(1)は次のように述べている。
EUは、条約の他の章によって必要とされるすべての研究活動を促進しつつ、研究者、科学的知識および技術が自由に流通する欧州研究領域を達成することにより、EUの科学技術基盤を強化し、産業を含む競争力の向上を奨励することを目的とする。
そのため、EUは研究データの共有と再利用を奨励している。公的資金は、研究成果が一般に普及し共有されることを条件に、研究プロジェクトに向けられている。
Open AIRE
2009年、欧州における研究のためのオープンアクセスインフラ（OpenAIRE：The Open Access Infrastructure for Research in Europe）プロジェクトが開始された。これは、欧州委員会の「研究情報のオープンアクセスのためのパイロット」のための参加型インフラを構築し、研究データリポジトリ間で研究情報を交換するためのオープンなインターフェースを開発することを目的としていた。
欧州オープンサイエンスクラウド（European Open Science Cloud）
2020年までに、European Cloudイニシアティブの一環として、European Open Science Cloudを計画している。これは、EUプロジェクトから得られる大量の科学データを保存・処理できる高性能なコンピューティングシステムを開発することで実現する。このクラウドは、国境や科学分野を越えて研究データを保存、管理、分析、再利用するための、無料でオープンな仮想環境として機能する。現在はテスト段階にあり、このような大規模なインフラの可能性と課題を探るために、いくつかの分野別プロジェクトが実施されている。
公共部門の情報
Public Sector Information Directive（公共部門情報指令）は、公共部門の組織に対し、すべての公共情報の再利用を認めるよう求めている。2019年7月に採択された同指令の最新の改訂版では、加盟国に対し、「公的資金で提供された研究データをオープンにする」ための措置で「研究データの利用可能性を支援する」ことを求めている。この開放性には限界があり、科学情報へのアクセスと保存に関する欧州委員会勧告の改訂版では、研究データは「可能な限りオープンに、必要な限りクローズドに」すべきという原則に言及している。
この科学情報には、査読付きの出版物だけでなく、結論の根拠となるデータも含まれており、他の研究者が実施した方法を再現したり、それに基づいて研究を進めることができるようになっている。また、複数の研究のデータを組み合わせることができ、既存の研究を再現するのではなく、その上に構築することができるため、最初の収集時とはまったく異なる理由でデータが使用される可能性がある。
4.2 倫理基準
歴史
研究に関する倫理基準は、主にヒトを対象とした医学実験を対象として発展してきた。現在では、ヒトを対象としたあらゆる研究に適用されている。現代における倫理規定の最初の例は、ナチスの強制収容所で行われていた医学実験に対抗して策定されたニュルンベルク綱領であろう。その後、1964年に世界医師会が発表した「ヒトを対象とする医学研究のための倫理原則に関するヘルシンキ宣言」（2013年に最終改正）では、「個人を特定できるヒト由来の試料およびデータの研究」が対象に含まれ、「研究対象者のプライバシーと個人情報の機密性を守るためにあらゆる予防措置を講じなければならない」と規定された。さらに、「バイオバンクや類似のレポジトリに含まれる物質やデータに関する研究など、特定可能なヒトの物質やデータを使用する医学研究については、医師はその収集、保存、および／または再利用についてインフォームド・コンセントを求めなければならない」と規定している。例外的に、このような研究のために同意を得ることが不可能または非現実的な場合もある。そのような状況では、研究倫理委員会の検討と承認を得た後にのみ、研究を行うことができる」としている。
米国では、ヘルシンキ宣言に従い、1981年以降、ヒトを対象とした生物医学・行動学的研究を管理する倫理基準として「コモン・ルール」を適用している。コモン・ルールは、連邦政府から資金提供を受けたヒトの研究を監督するもので、1991年に改訂された米国保健社会福祉省のTitle 45 CFR 46 (Public Welfare)に盛り込まれている。これには、研究者によるインフォームド・コンセントの取得と文書化、機関内審査委員会（Institutional Review Board）、および特定の脆弱な研究対象者（妊婦、胎児、囚人、子供）に対する追加の保護措置に関する要件が含まれている。多くの学術雑誌は、私費で行われる場合も含め、すべての研究に対してコモンルールの遵守を求めており、また、ヒトを対象とした研究に関するいくつかの州法も存在する。
欧州評議会は1997年に「人権と生物医学に関する条約」（「オビエド条約」）を採択し、人間が社会や科学の唯一の利益よりも優先されることを強調した。この条約では、ヒトを対象とした研究は、同等の効果を持つ代替手段がないこと、科学的メリットを独立した機関が審査した上で研究プロジェクトを承認すること、研究を受ける人が保護措置とその権利について確実に知らされていることなどの条件を満たした場合にのみ実施できるとされている。
同意と監視
通常、これらの倫理基準には2つの基本要素がある：
- インフォームド・コンセント、および
- 独立した倫理的監督
これらは、研究者が単独で実験の可否を判断することを防ぐための重要な防護策である。
1つ目の要素は、研究者が研究プロジェクトに参加するすべての人間の参加者からインフォームド・コンセントを得ることである。これはヘルシンキ宣言にも含まれており、研究参加者を尊重することを目的としている。研究者は、研究の目的、リスク、手順、および研究参加によって生じる害がある場合の対策について情報を開示することが期待されている。
2つ目の要素は、人間の参加者が関わる研究は、独立倫理委員会（independent ethics committees）または機関内審査委員会（Institutional Review Board）によって審査され、その研究が倫理的、合法的であり、適切な保護措置が講じられているかどうかを検討することを求めている。大学やその他の機関は、それに応じて研究委員会や実施規範を設けている。歴史的に見ても、各国の研究倫理委員会は、個々の研究プロジェクトの申請を徹底的に審査する中で、研究対象者の権利やより広い社会への影響を検討してきた。また、欧州研究倫理委員会ネットワークなどを通じた連携やグッドプラクティスの交換により、各国のアプローチを収束させることにも貢献している。
これらの基準は、膨大な量のデータが利用できるようになった今、さらに不可欠なものとなっている。デジタル技術によって可能になったことは、必ずしも持続可能で正当化できるものではないという認識が高まっている。例えば、顔を分析することで性的指向や犯罪傾向が分かると主張する研究に対する論争や、中国の研究者が2018年11月に生まれた双子の女児の胎児にCRISPR-Cas9によるDNA改変技術を適用したと主張したことに対する論争を考えてみるべきである。
