HDS sukladnost za zdravstvene podatke: vodič za udruge i NVO

Dobrotvorne udruge, humanitarne NVO i neprofitne mediko-socijalne ustanove dijele zajedničku točku koju se često podcjenjuje: čim obrađuju ili pohranjuju osobne podatke o zdravlju, podliježu zakonskom okviru pohrane podataka o zdravlju (HDS). Međutim, ovaj sektor nakuplja strukturno zaostajanje u pitanju sukladnosti zbog nedostatka namjenskih unutarnjih resursa i nedovoljne osviještenosti. Ovaj članak vas korak po korak vodit će kako razumjeti što podrazumijeva HDS certifikacija, identificirati vaše prave obveze i aktivirati operativnu sukladnost — čak i s ograničenim IT timom.

Što je HDS certifikacija i zašto se udruge trebaju zabrinuti?

Zakonska definicija podataka o zdravlju

Prema GDPR-u (članak 4, §15), podaci o zdravlju su osobni podaci koji se odnose na fizičko ili mentalno zdravlje osobe, otkrivajući informacije o njezinom zdravstvenom stanju. Ova definicija je namjerno široka. Pokriva ne samo medicinske kartone u klinskom smislu, već i:

• Podatke o bénéficijarima prikupljene tijekom kampanja preventivnog pregleda
• Informacije o invaliditetima navedenim u dosjeima socijalne pomoći
• Podatke o ishrani ili mentalnom zdravlju prikupljene u kontekstu psihosocijalne podrške
• Rezultate testova ili medicinskih evaluacija u okviru humanitarnih programa

Udruga za borbu protiv ovisnosti, mreža pomoći starijim ovisnim osobama ili NVO koja provodi medicinske konzultacije na terenu sve prikupljaju podatke koji spadaju u ovu kategoriju.

HDS uređaj: zakonska obveza, ne opcija

Zakon br. 2016-41 od 26. siječnja 2016. (zakon o modernizaciji zdravstvenog sustava) uveo je obvezu certificiranog HDS pohrane za bilo koju entitet koja pohranjuje osobne podatke o zdravlju za račun trećih strana — uključujući udruge i NVO. Referentni okvir certifikacije, definiran dekretom br. 2018-137 od 26. veljače 2018., naglašava obuhvaćene aktivnosti i tehničke i organizacijske zahtjeve koje treba zadovoljiti.

Za razliku od često rasprostirane ideје, oslobođenje se ne primjenjuje samo zato što je struktura neprofitna. Ključno je pitanje prirode podataka koji se obrađuju i činjenica da se pohrana vrši za račun trećih strana (liječnika, pacijenta, partnerske strukture).

Šest HDS aktivnosti i njihove primjene za udruge

HDS certifikacija pokriva šest različitih aktivnosti, organiziranih u dva bloka:

Blok infrastrukture (aktivnosti 1-3)

• Aktivnost 1: Stavljanje na raspolaganje i održavanje u operativnom stanju fizičkih lokacija (data centri)
• Aktivnost 2: Stavljanje na raspolaganje i održavanje u operativnom stanju materijalne infrastrukture
• Aktivnost 3: Stavljanje na raspolaganje i održavanje u operativnom stanju virtualne infrastrukture

Blok software-a i upravljanih usluga (aktivnosti 4-6)

• Aktivnost 4: Stavljanje na raspolaganje i održavanje u operativnom stanju platforme za pohranu aplikacija
• Aktivnost 5: Administracija i eksploatacija zdravstvenog informacijskog sustava
• Aktivnost 6: Vanjska zaštita podataka o zdravlju

Za udrugu, najčešće su relevantne aktivnosti 4 do 6, posebno kada koristi treću SaaS rješenja za upravljanje dosjeima bénéficijara ili kada vanjski prenosi pohranu svojih baza podataka. Stoga je bitno provjeriti da li je svaki prestavnik SaaS ili cloud-a koji obrađuje vaše zdravstvene podatke dobro certificiran HDS za odgovarajuće aktivnosti.

U tom kontekstu, korištenje rješenja elektroničkog potpisivanja u zdravstvenom sektoru certificiranog HDS omogućuje zaštitu osjetljivih toka dokumenata — informirani pristanci, formulare za upis, dematerijalizirane recepte — bez izlaganja udruge riziku od nesukladnosti.

Kako konkretno aktivirati HDS sukladnost u vašoj udrugama?

Korak 1: Mapiranje vaših obrada podataka o zdravlju

Prije bilo kojeg tehničkog koraka, potrebno je provesti preciznu inventuru svih obrada koji uključuju zdravstvene podatke. Ova vježba izravno spada u obvezu vođenja registra obrada predviđenu člankom 30 GDPR-a.

Za svaku obradu, dokumentirajte:

• Prirodu prikupljenih podataka (posebna kategorija prema GDPR-u)
• Svrhu obrade
• Primatelje i podizvoditelje
• Sredstva pohrane (interni server, cloud, SaaS)
• Mjere sigurnosti na mjestu

Ova mapa omogućava vam brzo identificirati rizične zone i prestavnike koje trebate revizirati.

Korak 2: Revizija vaših prestavnika i zahtjev za certifikaciju

HDS certifikacija se izdaje od strane akreditiranih tijela od strane COFRAC-a (Francuski odbor za akreditaciju). Možete provjeriti status certifikacije pohrane na web mjestu ANS-a (Agencija za digitalnu zdravstvenu tehnologiju), koja vodi javnu listu certificiranih HDS pohrana.

Zahtijevajte sustavno od svojih prestavnika:

• Kopiju važećeg HDS certifikata
• Točan opseg obuhvaćenih aktivnosti
• Specifične ugovorne uvjete za zaštitu zdravstvenih podataka

Ne zadovoljavajte se izjavom namjere: certifikacija mora biti provjerjiva i do voči.

Korak 3: Ažuriranje ugovora i DPA

Članak 28 GDPR-a zahtijeva zaključenje Ugovora o obradi podataka (DPA) s bilo kojim podizvoditeljem koji obrađuje osobne podatke za vaš račun. U kontekstu HDS-a, ovaj DPA mora biti nadopunjen specifičnim klauzulama koje pokrivaju:

• Pojačane obveze povjerljivosti
• Obveze notifikacije incidenta u roku od 72 sata
• Uvjete vraćanja i brisanja podataka
• Lokaciju podataka (obavezno na teritoriju EEE-a ili u zemlji koja ima odluku o prikladnosti)

Neke udruge i dalje koriste papirne formulare za prikupljanje pristanka svojih bénéficijara. Dematerijalizacija tih procesa kroz kompatibilno rješenje elektroničkog potpisivanja omogućuje vremensko i autentificirati pristanke, dajući pravno protivljive dokaze.

Korak 4: Obuka vaših timova i imenovanje referenta za sukladnost

HDS sukladnost nije jednokratan projekt: to je kontinuirani proces. Imenujte unutarnjeg referenta (koji bi mogao biti vaš DPO ako ga imate, prema obvezi predviđenoj člankom 37 GDPR-a za organizacije koje obrađuju zdravstvene podatke u većem mjerilu) i planirајте redovne sesije osviještenosti za timove u kontaktu s osjetljivim podacima.

Prema istraživanju koje je objavila CNIL 2024., više od 60% prijavljivanja kršenja zdravstvenih podataka uključivalo je ljudsku grešku (slanje na krivi адрес, nedostatak šifriranja). Obuka je dakle mehanizam za smanjenje rizika jednako važan kao tehničke mjere.

Specifična pitanja za udruge: ograničeni resursi i proračunska ograničenja

Paradoks osjetljivih podataka i ograničenog proračuna

Udruge i NVO nalaze se u posebnoj poziciji: često upravljaju nekim od najosjetljivijih podataka (zdravstveno stanje ranjivих osoba, izbjeglica, neupravljenih maloljetnika) s ljudskim i financijskim sredstvima puno manjim od onih u bolničkom sektoru ili privatnim zdravstvenim poduzećima.

Ova realnost nameće potrebu za pragmatičnom i prioritiziranom strategijom sukladnosti. Prema preporukama ANS-a, pristup u tri faze obično se preporučuje za male i srednje strukture:

1. Faza hitnosti (0-3 mjeseca): identificiranje i neutralizacija kritičnih rizika (ne-certificira pohrana, nedostatak šifriranja)
2. Faza konsolidacije (3-12 mjeseci): ažuriranje ugovora, raspoređivanje kompatibilnih alata, obuka
3. Faza zrelosti (12-24 mjeseca): unutarnje revizije, plan kontinuiteta, godišnja prerada obrada

Uloga elektroničkog potpisivanja u HDS sukladnosti udruga

Dematerijalizacija osjetljivih dokumenata je mehanizam koji sektor udruga često ne koristi dovoljno. Međutim, zamjena papirnih formulara procesima kvalificiranog ili naprednog elektroničkog potpisivanja ima nekoliko prednosti:

• Vidljivost: svaki potpis je vremenski označen i povezan s provjerenim identitetom, što olakšava dokazivanje zakonitosti obrade
• Smanjenje rizika greške: manja ručna manipulacija osjetljivim dokumentima
• Sigurna pohrana: elektronički potpisani dokumenti mogu se čuvati u certificiranom digitalnom sefu

Za više informacija o kriterijima odabira rješenja prilagođenog vašoj strukturi, pogledajte našu usporedbu rješenja elektroničkog potpisivanja koja detaljno razrađuje razlike između ponuda na tržištu u smislu HDS sukladnosti i eIDAS.

Udruge koje već koriste HR alat ili alat za upravljanje dosjeima bénéficijara često imaju interes provjeriti da li njihovo trenutno rješenje nativno integrira kompatibilno elektroničko potpisivanje. Naš vodič elektroničkog potpisivanja u pothvatima detaljno obrađuje te integracijske kriterije.

Konačno, ako ste već rasporedili rješenje potpisivanja, ali želite migrirati kod prestavnika certificiranog HDS-om, naša ponuda migracije omogućava vam prijenos podataka i workflow-a bez prekida u uslugama.

Zakonski okvir primjenjiv na pohranu podataka o zdravlju za udruge i NVO

Temeljna legalnih tekstova HDS okvira

Francuska propisa o pohrani zdravstvenih podataka temelji se na nizu tekstova čije razumijevanje je neophodno za bilo koju udrugu koja obrađuje medicinske ili mediko-socijalne podatke.

Zakon br. 2016-41 od 26. siječnja 2016. (zakon o modernizaciji zdravstvenog sustava): upisao je u Zakonik o zdravstvu (članak L. 1111-8) obvezu korištenja certificiranog HDS pohrane za bilo koju fizičku ili pravnu osobu koja pohranjuje osobne podatke o zdravlju za račun osoba koje su predmet ili entiteta koji ih obrađuju.

Dekret br. 2018-137 od 26. veljače 2018.: on određuje aktivnosti podložne certifikaciji, modalitete dodjele i povlačenja certifikacije, kao i zahtjeve primjenjive na organizacije certificiranja (obavezna COFRAC akreditacija).

Naredba od 8. kolovoza 2017.: ona određuje referentni okvir sigurnosti primjenjiv na zdravstvene informacijske sustave, koji služi kao tehnička osnova za HDS procjenu.

Artikulacija s GDPR-om

Uredba (EU) 2016/679 (GDPR) čini opći okvir zaštite osobnih podataka. Njegove odredbe primjenjuju se kumulativno na HDS zahtjeve:

• Članak 9: zdravstveni podaci su posebne kategorije podataka čija je obrada na principu zabranjena, osim navedenih iznimki (eksplicitan pristanak, potreba za zdravstvenom skrbi, javni interes, itd.)
• Članak 28: bilo koji recurs podizvoditelja pohrane podataka o zdravlju mora biti predmet detaljnog pisanog ugovora (DPA)
• Članak 32: udruga je dužna provesti odgovarajuće tehničke i organizacijske mjere (šifriranje, pseudonimizacija, kontrola pristupa)
• Članak 33: bilo koje kršenje podataka o zdravlju mora biti prijavljeno CNIL-u u roku od 72 sata
• Članak 35: Analiza utjecaja na zaštitu podataka (AIPD) obavezna je čim je obrada vjerovatno da će stvoriti velik rizik za prava osoba

Pravni rizici u slučaju nesukladnosti

Nepoštivanje HDS okvira izlaže udrugu na nekoliko razina sankcija:

• Administrativne sankcije CNIL: do 20 milijuna eura ili 4% godišnjeg svjetskog prihoda (članak 83, §5 GDPR-a) za najteže povrede. Za udruge, CNIL procjenjuje iznos vodeći računa o raspoloživim sredstvima, ali su već izrečene simbolne ali javne sankcije malim strukturama.
• Kaznena odgovornost: članak 226-13 Kaznenog zakonika predviđa do jedan godinu zatvora i 15.000 eura kazne za povredu liječničke tajne.
• Građanska odgovornost: oštećeni bénéficijari mogu pokrenuti odgovornost udruge na temelju članaka 1240 i slijedeće Građanskog zakonika u slučaju dokazane štete.
• Suspenzija odobrenja: udruge odobrene od strane javnih vlasti (ARS, departmanski vijeće) mogu se lišiti odobrenja u slučaju teške povrede zaštite podataka o zdravlju.

Trebalo bi napomenuti i da direktiva NIS2 (direktiva EU 2022/2555, transponirana u Francusku zakonom br. 2024-449 od 21. svibnja 2024.) proširuje obveze kibernetske sigurnosti na širi spektar entiteta, potencijalno uključujući određene velike udruge koje upravljaju kritičnom zdravstvenom infrastrukturom.

Scenariji korištenja: HDS sukladnost u praksi za udruge i NVO

Scenario 1: Udruga za pomoć u kućanstvu s 500 bénéficijara

Udruga koja djeluje sa starijom ovisnom populacijom u nekoliko departmana upravljala je oko 500 aktivnih dosija koji sadržavaju informacije o patologijama, aktualnim receptima i evaluacijama ovisnosti (GIR skala). Ti se podaci pohranjuju u softver za upravljanje udrugun pohranjen kod cloud prestavnika koji nije certificiran HDS-om.

Nakon unutarnje revizije pokrenute zahtjevom za pristup bénéficijara, udruga identificira ovu nesukladnost. Počinje migracija prema certificiranom HDS pohrani za aktivnosti 4 i 5, zaključuje kompatibilan DPA sa svojim softverskim prestavnikom i raspoređuje rješenje elektroničkog potpisivanja za dematerijalizaciju formulara pristanka i personaliziranih planova njege.

Opaženi rezultati: smanjenje od 70% vremena obrade pristanaka (s prosječno 12 dana u papirnom formatu na manje od 4 dana), totalna eliminacija rizika povezanih s gubitkom ili slanjem papirnih dokumenata na krivi адрес, i postizanje pojačanog cyber osiguranja pokrivanja zahvaljujući dokumentiranoj sukladnosti.

Scenario 2: Međunarodna NVO koja koordinira medicinske misije na terenu

NVO specijalizirana za medicInsku hitnu skrb prikuplja, u kontekstu svojih misija, zdravstvene podatke o bénéficijskoj populaciji u nekoliko zemalja, uključujući podatke koje se prenose centralnom serveru u Francuskoj. IT tim se sastoji od dvoje volontera.

Suočena sa nemogućnošću održavanja interno certificiranog HDS infrastrukture, NVO odabire 100% SaaS arhitekturu s certificiranim HDS pohranom koja pokriva aktivnosti 1-6. Primjenjuje proces elektroničkog potpisivanja za medicinske protokole i obrasce pristanka prilagođene područjima male povezanosti (potpis u offline modu sinkroniziran).

Opaženi rezultati: HDS i GDPR sukladnost postignuta u manje od 6 mjeseci bez dodatnog IT zapošljavanja, procijenjene uštede od 40% u usporedbi s internally hosted infrastrukturom, i mogućnost reagiranja na institucijske pozive za ponude (AFD, Europska unija) koji zahtijevaju potvrdu sukladnosti podataka.

Scenario 3: Mrežа udrug koja upravlja community zdravstvenim centrima

Grupisanje udrug koje je fedrira nekoliko zajedničkih zdravstvenih centara (otprilike 8.000 aktivnih pacijenata) koristi zajedničku softver za medicinski dossier između različitih lokacija. Koordinacija između lokacija podrazumijeva razmjenu zdravstvenih podataka putem nešifriranog e-maila, što je izravna povreja HDS referentnog okvira.

Udruga počinje refaktorisanje svoje informacijske infrastrukture s potporom certificiranog HDS prestavnika, primjenjuje sigurnu zdravstvenu poruku (MSSanté), i dematerijalizira sve svoje obrasce upisa i pristanka putem kompatibilne platforme elektroničkog potpisivanja eIDAS. AIPD se provodi za svaku obradu visokog rizika.

Opaženi rezultati: nula povrede podataka prijavljeno CNIL-u tijekom 18 mjeseci nakon sukladnosti (nasuprot dva manja incidenta u prethodnom razdoblju), prosječno vrijeme upisa smanjeno za 35%, i poboljšanje stope ispunjenosti medicinalnih dosija od 22% zahvaljujući uklanjanju nepotpunih papirnih formulara.

Zaključak

Aktiviranje HDS sukladnosti za zdravstvene podatke u sektoru udrug i NVO nije opcija rezervirana za velike bolničke strukture: to je zakonska obveza koja se nameće bilo kojoj entiteti, neovisno o njezini veličini ili pravnom statusu, čim pohranjuje ili obrađuje osobne podatke o zdravlju. Nepoznavanje okvira ne oslobađa od odgovornosti.

Dobra vijest: strukturirani pristup u četiri koraka — mapiranje, revizija prestavnika, ažuriranje ugovora, obuka — omogućuje postizanje čvrste razine sukladnosti čak i s ograničenim sredstvima. Dematerijalizacija pristanaka i osjetljivih dokumenata kroz certificiranu eIDAS rješenja elektroničkog potpisivanja predstavlja posebno učinkovit mehanizam za smanjenje rizika, istovremeno poboljšavajući operativnu učinkovitost.

Certyneo nudi platformu elektroničkog potpisivanja kompatibilnu s eIDAS, prilagođenu ograničenjima sektora udrug i hostanu na infrastrukturi certificiranoj HDS-om. Kontaktirajte naš tim za besplatnu procjenu vaše dokumentarne situacije i saznajte kako zaštititi svoje zdravstvene tokove podataka od danas.