قانون حماية البيانات المصري وسجلات مرضاك: ما الذي يجب على العيادات فعله

يعامل قانون حماية البيانات الشخصية المصري (القانون 151 لسنة 2020) البيانات الصحية على أنها بيانات شخصية حساسة. بالنسبة للعيادة يعني هذا أن كل سجل مريض، وكل صورة قبل وبعد، وكل محادثة واتساب خاضعة للتنظيم، وأن العيادة، لا مورّد البرنامج، هي الطرف المسؤول. هذا دليل عملي لا استشارة قانونية؛ اللائحة التنفيذية وإرشادات مركز حماية البيانات تحكم التفاصيل.

ما الذي يتوقعه القانون من العيادة

• أساس قانوني وموافقة. معالجة البيانات الصحية تتطلب موافقة صريحة للأغراض التي تعلنها. رسائل التسويق تحتاج موافقتها الخاصة، منفصلة عن العلاج.
• تحديد الغرض. البيانات المجمَّعة للعلاج لا يمكن إعادة استخدامها لحملة لم يوافق عليها المريض.
• الأمان. تدابير تقنية وتنظيمية مناسبة: تحكم في الوصول، تشفير، سجلات.
• حقوق المرضى. الاطلاع على بياناتهم وتصحيحها وسحب الموافقة.
• التعامل مع الاختراقات. إخطار الجهة المختصة، وعند الاقتضاء المتضررين، خلال المدة المقررة.
• قواعد النقل عبر الحدود. مكان تخزين البيانات ومعالجتها مهم.

المواضع الأربعة التي تسرّب فيها العيادات البيانات

1. أرقام الهواتف في القوائم. كل موظف استقبال يملك قائمة المرضى يستطيع الخروج بها. أخفِ الأرقام حسب الدور وسجّل عمليات التصدير.
2. الصور على الهواتف الشخصية. صور قبل وبعد الملتقطة بهاتف الفنيّ والمرسلة على واتساب خارج أي سيطرة. التقطها داخل النظام، وشفّرها أثناء التخزين، وقيّد من يراها.
3. حسابات الدخول المشتركة. حساب "استقبال" واحد يستخدمه خمسة أشخاص يجعل سجل التدقيق بلا معنى. كل شخص يحتاج حسابه، مع مصادقة ثنائية لكل من يستطيع تصدير البيانات.
4. الموظفون السابقون. عطّل الحسابات يوم المغادرة، وألغِ جلسات تطبيق الهاتف.

موافقة تصمد

نموذج موافقة لكل علاج، يُوقَّع على تابلت في الاستقبال ويُحفظ مع الزيارة، يؤدي ثلاث مهام: يوثّق الموافقة الطبية، ويسجّل موافقة معالجة البيانات، ويلتقط تفضيل التسويق (واتساب، رسائل نصية، بريد) كخانات منفصلة. احتفظ بإصدارات النموذج لتُثبت أي نص وقّعه المريض.

مدة الاحتفاظ

احتفظ بالسجلات الإكلينيكية ما تتطلبه قواعد الممارسة الطبية، ثم احذف أو أخفِ الهوية. بيانات التسويق مختلفة: متى سحب المريض موافقته، توقف عن المراسلة فوراً. يجب أن يتيح نظامك تغيير علامات موافقة المريض في مكان واحد وأن تحترمها كل الأتمتة.

أسئلة تطرحها على مورّد البرنامج

• أين تُخزَّن بياناتنا، وفي أي دولة؟
• هل لكل عيادة قاعدة بيانات معزولة، أم نتشارك الجداول مع عيادات أخرى؟
• هل الصور مشفّرة أثناء التخزين؟ من يحمل المفتاح؟
• هل يمكن إخفاء أرقام الهواتف حسب الدور؟ هل هناك سجل تصدير؟
• هل توجد مصادقة ثنائية؟ حسابات لكل مستخدم؟
• هل يمكننا تصدير كل بياناتنا إن غادرنا، وهل ستحذفونها بعدها؟
• ما إجراؤكم عند الاختراق، وبأي سرعة ستخبروننا؟

المورّد الذي لا يستطيع الإجابة عن هذه كتابةً خطر تحمله أنت، لأن العيادة بموجب القانون مسؤولة عن معالجيها.

خطة بداية في 30 يوماً

1. الأسبوع الأول: حسابات منفصلة للجميع، مصادقة ثنائية للمسؤولين، تعطيل الحسابات القديمة.
2. الأسبوع الثاني: إخفاء أرقام الهواتف عن الأدوار التي لا تحتاجها؛ تفعيل سجل التصدير.
3. الأسبوع الثالث: نقل التقاط الصور إلى النظام؛ حذف النسخ من الهواتف الشخصية.
4. الأسبوع الرابع: تحديث نموذج الموافقة بموافقة البيانات والتسويق؛ بدء توقيعه على تابلت.

لا يحتاج أي من هذا إلى محامٍ للبدء. لكنه يحتاج برنامجاً بُني وفيه هذه الضوابط.