حفاظت از داده‌های سلامت و انطباق با RGPD برای متخصصان

داده‌های سلامت جایگاه خاصی در منظر نظارتی اروپا دارند. این داده‌ها توسط RGPD به عنوان داده‌های حساس دسته‌ای خاص (ماده ۹) تعریف شده و تحت رژیم حفاظتی تقویت‌شده‌ای قرار می‌گیرند که برای تمام متخصصینی که این داده‌ها را پردازش می‌کنند اعمال می‌شود: مؤسسات مراقبتی، تعاونی‌ها، ناشران نرم‌افزار سلامت، آزمایشگاه‌ها، خدمات کمک در منزل، فعالان تله‌پزشکی و سلامت الکترونیک. در سال ۲۰۲۶، منظر نظارتی حتی پیچیده‌تر شده است — با اجرای تدریجی فضای داده‌های سلامت اروپایی (EEDS)، توصیه‌های به‌روز شده CNIL و تنبیهات رکوردشکن در اتحادیه اروپا، انطباق دیگر یک گزینه نیست. این مقاله نقطه به نقطه تعهدات قابل اعمال و بهترین شیوه‌ها را برای ایمن‌کردن پردازش‌های شما توضیح می‌دهد.

داده‌های سلامت از منظر RGPD چیست؟

RGPD (مقررات شماره ۲۰۱۶/۶۷۹، ماده ۴ بند ۱۵) داده‌های سلامت را به عنوان «داده‌های شخصی مربوط به سلامت جسمانی یا روانی یک فرد، از جمله ارائه خدمات مراقبت‌های بهداشتی، که اطلاعاتی را در مورد وضعیت سلامت این فرد آشکار می‌کند» تعریف می‌کند.

دامنه‌ای وسیع‌تر از آنچه به نظر می‌رسد

این تعریف بسیار بیشتر از پرونده‌های پزشکی کلاسیک را شامل می‌شود. موارد ذیل مربوطه هستند:

• سوابق پزشکی، تشخیص‌ها، وصفه‌ها و نتایج آزمایش‌ها؛
• داده‌های جمع‌آوری‌شده توسط دستگاه‌های متصل (ساعت‌های هوشمند، سنسورهای گلوکز، برنامه‌های پیگیری قاعدگی)؛
• داده‌های اداری که امکان استنتاج وضعیت سلامت را فراهم می‌کنند (نرخ بازپرداخت، فرکانس مشاوره‌ها)؛
• شماره‌های بیمه اجتماعی (NIR) هنگامی‌که با اطلاعات پزشکی مرتبط هستند.

در فرانسه، CNIL به وضوح مشخص کرده است، به ویژه در تصمیم ارجاعی خود مربوط به انبارهای داده‌های سلامت (EDS)، که این مفهوم باید به معنای وسیع تفسیر شود. بنابراین، یک عکس ساده که ناتوانایی مرئی را نشان دهد یا یک داده زیستی (اثر انگشت شبکیه) در این حوزه قرار می‌گیرد.

چرا حفاظت تقویت‌شده؟

حساسیت خاص داده‌های سلامت از پتانسیل تبعیض آن ناشی می‌شود. آشکار کردن وضعیت سلامت یک فرد می‌تواند به دسترسی او به اشتغال، بیمه، اعتبار تأثیر بگذارد یا حریم خصوصی او را در معرض خطر قرار دهد. CNIL تخمین می‌زند که تخلفات درگیر داده‌های سلامت در سال ۲۰۲۴ بیش از ۳۶ درصد اطلاعات‌رسانی‌های دریافتی را نشان می‌داد — یعنی اولین دسته داده‌های نقض‌شده.

پایگاه‌های حقوقی خاص برای پردازش داده‌های سلامت

ماده ۹ بند ۱ RGPD اصل تحریم پردازش داده‌های حساس را تعیین می‌کند، همراه با استثناهای به‌طور محدود برشمرده‌شده. برای متخصصین سلامت، پایگاه‌های حقوقی قابل استفاده عمدتاً عبارتند از:

رضایت صریح (ماده ۹ بند ۲ الف)

رضایت باید آزادانه، خاص، آگاهانه و یکسان باشد، ابراز شده توسط یک عمل مثبت واضح. در بخش سلامت، این پایگاه اغلب برای مراقبت‌های معمول نامناسب است (عدم تعادل قدرت پزشک/بیمار)، اما برای درمان‌های انجام شده برای تحقیق، بازاریابی یا استفاده از برنامه‌های سلامت عمومی ضروری باقی می‌ماند.

بهترین شیوه ۲۰۲۶: استفاده از امضای الکترونیکی در سلامت برای جمع‌آوری رضایت بیماران به گونه‌ای قابل‌ردیابی و دارای مهر زمانی، که اثبات را در صورت کنترل تسهیل می‌کند.

مراقبت‌ها و پزشکی پیشگیرانه (ماده ۹ بند ۲ ح)

این پایگاه حقوقی اصلی برای متخصصین سلامتی است که داده‌ها را در چارچوب رابطه مراقبتی پردازش می‌کنند. با شرط اینکه پردازش توسط — یا تحت مسئولیت — متخصصی که مشمول راز پزشکی است، انجام شود.

منفعت عمومی و تحقیق (ماده ۹ بند ۲ ی و ج)

پردازش‌های برای سلامت عمومی (نظارت بیماری‌های همه‌گیر، نظارت فارماکولوژی) یا تحقیق علمی می‌توانند بر این استثناها تکیه کنند. در فرانسه، قانون اطلاعات و آزادی‌ها (مادّه‌های ۶۵ تا ۶۸) و فرمان تنظیم کننده سیستم ملی داده‌های سلامت (SNDS) شرایط دسترسی را تعریف می‌کنند.

تعهدات عملی ذی‌نفعان پردازش

چه صحبت از مطب پزشکی باشد یا ناشر راه‌حل سلامت دیجیتال، تعهدات حول پنج ستون ساخت‌یافته‌اند.

۱. ثبت پردازش‌ها (ماده ۳۰)

هر ذی‌نفع پردازش یا پیمانکار باید ثبتی نگاه داشته باشد که هر پردازش را مستند کند: هدف، پایگاه حقوقی، دسته‌های داده، مدت‌های حفاظت، گیرندگان، اقدامات امنیتی. CNIL ایجاب می‌کند که این ثبت به‌روز باشد و بدون تأخیر هنگام کنترل قابل ارائه باشد.

۲. تجزیه‌وتحلیل تأثیر در حفاظت داده‌ها (AIPD / ماده ۳۵)

پردازش‌های داده‌های سلامت در مقیاس بزرگ یا برای اهداف پروفایل‌سازی الزاماً به AIPD (DPIA در انگلیسی) نیاز دارند. CNIL فهرستی از پردازش‌های الزاماً مشمول AIPD منتشر کرده است، از جمله انبارهای داده‌های سلامت، برنامه‌های موبایل برای پیگیری وضعیت سلامت و دستگاه‌های پزشکی متصل.

در ارزش حقوقی اسناد الکترونیکی در این زمینه، ارائه‌دهندگان باید اطمینان حاصل کنند که مکانیسم‌های جمع‌آوری آنها الزامات اثبات را برآورده می‌کنند.

۳. تعیین نماینده حفاظت داده‌ها (DPO)

تعیین DPO الزامی است برای:

• متخصصین سلامت متجمع در گروه‌بندی (بیمارستان‌ها، خانه‌های سالمندان، مؤسسات مراقبتی با بیش از ۵۰ نفر)؛
• تعاونی‌ها و بیمه‌گران سلامت؛
• ناشران نرم‌افزار سلامتی که داده‌ها را در مقیاس بزرگ پردازش می‌کنند.

از سال ۲۰۲۴ به بعد، CNIL کنترل‌های خود بر روی اثربخشی نقش DPO را تقویت کرده است، به ویژه استقلال واقعی و منابع آن را بررسی می‌کند.

۴. امنیت سیستم‌های اطلاعاتی (ماده ۳۲)

اقدامات فنی و سازمانی باید با ریسک متناسب باشد. CNIL به ویژه توصیه می‌کند:

• رمزگذاری انتهایی به انتهایی داده‌های ذخیره‌شده و در حال انتقال؛
• شناسایی کاذب هنگامی‌که هدف اجازه دهد؛
• اعمال کنترل‌های دسترسی سخت (تأیید هویت چند‌عاملی)؛
• پشتیبان‌گیری‌های منظم آزمایش‌شده و از شبکه اصلی جدا‌شده؛
• طرح تداوم کسب و کار (PCA) خاص برای داده‌های سلامت.

از زمان اجرای دستورالعمل NIS 2 (اصلاح‌شده در قانون فرانسه توسط قانون ۲۶ مارس ۲۰۲۵)، نهادهای ضروری بخش سلامت — از جمله بیمارستان‌ها، سازندگان دستگاه‌های پزشکی و برخی آزمایشگاه‌ها — تحت الزامات سایبری امنیتی حتی سخت‌تری قرار دارند، با اطلاع‌رسانی الزامی وقایع اصلی به ANSSI در ۲۴ ساعت.

۵. اطلاع‌رسانی نقض‌های داده‌ها (مادّه‌های ۳۳ و ۳۴)

هر نقض داده‌های سلامت باید در ۷۲ ساعت پس از کشف آن به CNIL اطلاع داده شود. اگر نقض ممکن است ریسک بالایی برای حقوق و آزادی‌های افراد ایجاد کند، بیماران مربوطه نیز باید بدون تأخیر بدون‌دلیل آگاه شوند.

در سال ۲۰۲۴، CNIL جریمه‌هایی برای تأخیر در اطلاع‌رسانی وضع کرد، یادآور اینکه واکنش‌پذیری خود یک تعهد انطباق است.

میزبانی داده‌های سلامت: تعهدی خصوصاً فرانسوی

در فرانسه، قانون ۲۶ ژانویه ۲۰۱۶ (ماده L. 1111-8 از کد سلامت عمومی) ایجاب می‌کند که داده‌های سلامت شخصی با میزبان دارای گواهی HDS (میزبان داده‌های سلامت) میزبانی شوند. این گواهی، صادرشده توسط ارگان‌های تأیید‌شده COFRAC بر اساس استاندارد ISO 27001 و دستورالعمل HDS انجمن ANS، شش فعالیت متمایز را پوشش می‌دهد.

گواهی HDS برای چه کسانی لازم است؟

تمام فعالانی که سیستم‌های اطلاعاتی حاوی داده‌های سلامت را برای حساب اشخاص ثالث میزبانی می‌کنند، اداره می‌کنند یا بهره‌برداری می‌کنند مربوطه هستند: فراهم‌کنندگان ابری، ناشران DMP (پرونده پزشکی مشترک)، پلتفرم‌های تله‌پزشکی، و — از ۲۰۲۳ — ناشران برنامه‌های سلامت عمومی تا زمانی‌که داده‌های شناسایی کننده را نگاه می‌دارند.

استفاده از میزبان HDS دارای گواهی ذی‌نفع پردازش را از تعهدات خود معاف نمی‌کند: باید الزاماً قرارداد پیمانکاری منطبق با ماده ۲۸ RGPD را رسمی کند، که دستورات داده‌شده به پیمانکار، تضمین‌های امنیتی و حالات دقیق‌تری تفصیل می‌دهد.

فضای داده‌های سلامت اروپایی (EEDS): تأثیرات در سال ۲۰۲۶ چیست؟

مقررات EEDS (تصویب‌شده در پایان ۲۰۲۵ و اولین مقررات آن تدریجی تا ۲۰۲۷ اجرا می‌شوند) چارچوبی برای دسترسی متقابل به داده‌های سلامت برای تحقیق، نوآوری و سلامت عمومی ایجاد می‌کند. برای متخصصین فرانسوی، دو تأثیر فوری:

1. تعهد به احترام حق انتقال تقویت‌شده (قالب ساخت‌یافته، قابل‌خوانی توسط ماشین) برای پرونده‌های بیمار؛
2. تحریم پردازش داده‌های سلامت اولیه برای اهداف هدف‌گذاری تبلیغاتی، حتی با رضایت — محدودیتی سخت‌تر از RGPD تنهایی.

این تحولات لزوم به‌روزرسانی سیاست‌های حریم خصوصی و قرارداد‌های پیمانکاری را قبل از پایان سال ۲۰۲۶ ضروری می‌کند. برای متخصصینی که از ابزار امضای الکترونیکی منطبق بر eIDAS استفاده می‌کنند، قابلیت ردیابی رضایت‌ها و اجازه‌ها یک مزیت فوق‌العاده برای نشان دادن انطباق هنگام کنترل است.

حقوق بیماران و اعمال حقوق RGPD

بیماران تمام حقوق RGPD را دارند (دسترسی، تصحیح، حذف، محدودیت، انتقال، مخالفت)، با چند تطبیق بخشی.

حق دسترسی به داده‌های سلامت

بیمار می‌تواند درخواست دسترسی به تمام پرونده پزشکی خود را داشته باشد (ماده L. 1111-7 CSP). متخصص ۸ روز (۴۸ ساعت برای داده‌های اخیر، بستری‌های اخیر) و ۲ ماه برای داده‌های قدیمی‌تر را دارد. CNIL و مدافع حقوق هر دو مؤسساتی را تنبیه کرده‌اند که این درخواست‌ها را رد یا معطل می‌کردند.

حق حذف و محدودیت‌های آن

«حق فراموشی» توسط مدت‌های حفظ قانونی محدود می‌شود: ۲۰ سال برای پرونده‌های پزشکی بزرگسالان، ۲۸ سال اگر اقدام قبل از رسیدن به سن بالغین انجام شده باشد. این مدت‌های قانونی بر هر درخواست حذف زودهنگام برتری دارند — ذی‌نفع پردازش باید این را برای بیمار به وضوح توضیح دهد.

مدیریت درخواست‌ها از طریق راه الکترونیکی

برای مؤسساتی که فرآیند‌های خود را دیجیتال کرده‌اند، درخواست‌های اعمال حقوق می‌توانند از طریق فرم‌های ایمن انتقال و پردازش شوند. مهر زمانی الکترونیکی واجد‌شرایط درخواست‌ها و پاسخ‌ها یک شیوه خوب است که اثبات رعایت مهلت‌های نظارتی هنگام کنترل CNIL را فراهم می‌کند.

چارچوب حقوقی قابل اعمال برای حفاظت از داده‌های سلامت

انطباق متخصصین سلامت و شرکای فناوری آنان بر دقیق‌نویسی متون اروپایی و ملی است که باید تسلط داشت.

RGPD — مقررات (اتحادیه اروپا) شماره ۲۰۱۶/۶۷۹ از ۲۷ آوریل ۲۰۱۶: سنگ زیربنای دستگاه، داده‌های سلامت را داده‌های حساس (ماده ۴ بند ۱۵) تعریف می‌کند، پردازش آن را به‌جز استثناهای به‌طور محدود برشمرده‌شده تحریم می‌کند (ماده ۹ بند ۲)، AIPD (ماده ۳۵)، تعیین DPO (ماده ۳۷)، اطلاع‌رسانی نقض‌ها (مادّه‌های ۳۳-۳۴) و اقدامات امنیتی متناسب (ماده ۳۲) الزام می‌کند. تنبیهات پیش‌بینی‌شده به ۲۰ میلیون یورو یا ۴ درصد گردش‌مال سالانه جهانی — بالاتر بودن مبلغ انتخاب می‌شود.

قانون اطلاعات و آزادی‌ها (قانون شماره ۷۸-۱۷ از ۶ ژانویه ۱۹۷۸ تحت اصلاح): اصلاح RGPD در حقوق فرانسه، CNIL را برای اتخاذ دستورالعمل‌های بخشی خاص سلامت و تعریف حالت‌های دسترسی به SNDS هدایت می‌کند.

کد سلامت عمومی — مادّه‌های L. 1111-7 و L. 1111-8: حق دسترسی بیمار به پرونده پزشکی و تعهد میزبانی با میزبان HDS دارای گواهی را تثبیت می‌کنند.

دستورالعمل HDS (میزبان داده‌های سلامت): منتشرشده توسط انجمن سلامت دیجیتال (ANS)، شش فعالیت گواهی را تعریف می‌کند که زیرساخت فیزیکی، پلتفرم و نرم‌افزار کاربردی را پوشش می‌دهند.

دستورالعمل NIS 2 — دستورالعمل (اتحادیه اروپا) ۲۰۲۲/۲۵۵۵، اصلاح‌شده در فرانسه توسط قانون ۲۶ مارس ۲۰۲۵: نهادهای ضروری بخش سلامت (بیمارستان‌های بیش از ۳۰۰۰۰ بیمار/سال، سازندگان دستگاه‌های پزشکی کلاس IIb و III، آزمایشگاه‌های ارجاع) را تحت الزامات سایبری امنیتی تقویت‌شده قرار می‌دهد، به ویژه اطلاع‌رسانی به ANSSI در ۲۴ ساعت در صورت وقوع وقایع قابل‌اهمیت، و اعمال طرح‌های پاسخ به وقایع آزمایش‌شده سالانه.

مقررات eIDAS شماره ۹۱۰/۲۰۱۴ و eIDAS 2.0 (مقررات (اتحادیه اروپا) ۲۰۲۴/۱۱۸۳): ارزش حقوقی امضاهای الکترونیکی استفاده‌شده برای رضایت، اقدامات پزشکی دیجیتال‌شده و قرارداد‌های پیمانکاران را نظارت می‌کند. امضای الکترونیکی پیشرفته یا واجد‌شرایط برای هر اقدامی که ارزش اثبات می‌تواند مورد ترافع قرار گیرد توصیه می‌شود.

مقررات EEDS (مقررات اروپایی برای فضای داده‌های سلامت، ۲۰۲۵): حقوق بیماران بر داده‌های اولیه‌ی خود را تقویت می‌کند و استفاده از داده‌های ثانویه برای تحقیق را نظارت می‌کند، با ایجاد نهاد‌های دسترسی به داده‌های سلامت در هر کشور عضو.

ریسک‌های حقوقی ملموس: فراتر از جریمه‌های اداری CNIL، ذی‌نفعان پردازش در معرض اقدام‌های مسئولیت شهری (ماده ۸۲ RGPD)، تعقیب‌های جنایی (ماده ۲۲۶-۱۷ کد جنایی، حداکثر ۵ سال زندان و ۳۰۰۰۰۰ یورو جریمه برای شخص حقوقی)، و خسارت‌های سرمایه شهری که تأثیر اقتصادی اغلب مبلغ جریمه را فراتر می‌رود قرار دارند.

سناریوهای استفاده: انطباق RGPD و داده‌های سلامت در عمل

سناریو ۱ — گروهی از کلینیک‌های خصوصی با تقریباً ۱۲۰۰ تخت

گروهی از کلینیک‌های خصوصی اندازه متوسط (تقریباً ۱۲۰۰ تخت در سه محل) رضایت بیماران را بر روی فرم‌های کاغذی، ذخیره‌شده در کمد‌های فیزیکی کم‌امن پردازش می‌کرد. در حین یک کنترل داخلی آماده‌سازی برای کنترل CNIL، چندین کمبود شناسایی شد: ناتوانی در یافتن سریع رضایت تاریخی بیش از د