HDS megfelelőség az egészségügyi adatokhoz: útmutató egyesületeknek és civil szervezeteknek

Az alapítvány és jótékonysági szervezetek, humanitárius nemzetközi NGO-k, nonprofit orvos-szociális szerkezetek közös pont alapján gyakran alulbecsültek: amint személyes adatokhoz kapcsolódó egészségügyi adatokat kezelnek vagy tárolnak, az egészségügyi adattárolás (HDS) jogi keretrendszere alá tartoznak. E szektorban azonban strukturális késedelem halmozódik fel a megfelelőségben, belső erőforrások hiánya és elégtelen tájékoztatás miatt. Ez a cikk lépésről lépésre bemutatja, hogy mit jelent az HDS-tanúsítvány, hogyan azonosíthatja valós kötelezettségeit, és hogyan aktiválható az operatív megfelelőség – még korlátozott informatikai csapattal is.

Mi az HDS-tanúsítás és miért érintette ez az egyesületeket?

Az egészségügyi adatok jogi meghatározása

Az RGPD értelmében (4. cikk, §15), az egészségügyi adatok olyan személyes adatok, amelyek egy személy fizikai vagy mentális egészségéhez kapcsolódnak, és információt fednek fel az egészségi állapotáról. Ez a meghatározás szándékosan széles körű. Nem csak az egészségügyi rekordok klinikai értelemben esnek ide, hanem:

• A szűrőprogramok során gyűjtött kedvezményezetti adatok
• A fogyatékosság bejelentésére vonatkozó információk szociális segélyezési fájlokból
• Az élelmezési vagy mentális egészségügyi adatok egy pszichoszociális támogatási összefüggésben gyűjtött
• A tesztek vagy orvosi értékelések eredményei humanitárius programok keretében

Az addiktológiai küzdelem szervezete, egy idős függő személyeket segítő hálózat vagy egy helyszíni orvosi konzultációkat végző NGO mind ebba a kategóriába tartozó adatokat gyűjt.

Az HDS-eszköz: jogi kötelezettség, nem opció

A 2016-41. számú törvény (2016. január 26-i egészségügyi rendszer modernizációs törvénye) kötelezővé tette az HDS-tanúsítvánnyal rendelkező tárolást minden olyan szervezet számára, amely személyes adatokhoz kapcsolódó egészségügyi adatokat tárol harmadik felek számára – beleértve az egyesületeket és NGO-kat. A tanúsítási referenciáját a 2018-137. sz. rendelet (2018. február 26.) határozza meg, amely tisztázza a fedezett tevékenységeket és az alkalmazandó műszaki és szervezeti követelményeket.

Az elterjedt nézettel ellentétben, az mentesség nem vonatkozik pusztán a nonprofit státuszú szerkezetre. A számító tényezőket az adatok jellege és az a tény, hogy a tárolást harmadik féllel végzik-e (orvos, beteg, partnerszerv).

Az HDS hat tevékenysége és terjedelmük az egyesületi szervezetekre

Az HDS-tanúsítás hat különféle tevékenységre terjed ki, két blokkra szervezve:

Infrastruktúra blokk (1-3. tevékenységek)

• 1. tevékenység: A fizikai helyek (adatközpontok) rendelkezésre bocsátása és üzemeltetési állapotba tartása
• 2. tevékenység: Az anyagi infrastruktúra rendelkezésre bocsátása és üzemeltetési állapotba tartása
• 3. tevékenység: A virtuális infrastruktúra rendelkezésre bocsátása és üzemeltetési állapotba tartása

Szoftver és felügyelt szolgáltatások blokk (4-6. tevékenységek)

• 4. tevékenység: Az alkalmazás-üzemeltetési platform rendelkezésre bocsátása és üzemeltetési állapotba tartása
• 5. tevékenység: Az egészségügyi információs rendszer felügyelete és üzemeltetése
• 6. tevékenység: Az egészségügyi adatok externalizált biztonsági mentése

Egy egyesület számára a leggyakrabban érintett tevékenységek a 4-6. tevékenységek, különösen akkor, ha egy harmadik féllel működő SaaS-megoldást használ kedvezményezetti fájlainak kezeléséhez, vagy ha externalizálja adatbázisai biztonsági mentését. Ezért alapvetően fontos annak ellenőrzése, hogy minden SaaS vagy cloud presztátor az egészségügyi adatok kezelésében jól tanúsított-e az HDS-ben a megfelelő tevékenységekhez.

Ebben az összefüggésben az egészségügyi szektorban tanúsított elektronikus aláírási megoldás lehetővé teszi a bizalmas dokumentumfolyamatok biztosítását – tudatos hozzájárulási nyilatkozatok, felvételi űrlapok, dematerializált receptek – az egyesület nem-megfelelőségi kockázatának kitettése nélkül.

Hogyan aktiváljuk operatívan az HDS-megfelelőséget az egyesületében?

1. lépés: Az egészségügyi adatok kezelésének térképezése

Bármilyen műszaki eljárás előtt az összes feldolgozás pontos leltára szükséges, amely egészségügyi adatokat tartalmaz. Ez a gyakorlat közvetlenül az RGPD 30. cikkében előírt feldolgozási nyilvántartás vezetésének kötelezettségébe tartozik.

Minden feldolgozáshoz dokumentálja:

• Az összegyűjtött adatok jellege (különleges kategória az RGPD értelmében)
• A feldolgozás célja
• A címzett és albetegek
• A tárolás módja (belső szerver, cloud, SaaS)
• Az alkalmazott biztonsági intézkedések

Ez a térképezés lehetővé teszi a kockázati zónák és az auditálható preasztátorok gyors azonosítását.

2. lépés: Auditálja presztátorát és igényelje a tanúsítást

Az HDS-tanúsítást a COFRAC (Franciaországi akreditációs bizottság) által akkreditált szervezetek adják ki. Az ANS (Egészségügyi Digitális Ügynökség) honlapján ellenőrizheti egy tárhelyszolgáltató tanúsítási státuszát, amely az HDS-tanúsított tárolók nyilvános listáját vezeti.

Szisztematikusan igényelje presztátoraitól:

• A hatályban lévő HDS-tanúsítvány egy másolatát
• Az érintett tevékenységek pontos körét
• Az egészségügyi adatok védelméhez kapcsolódó konkrét szerződési feltételeket

Ne maradjon meg pusztán szándéknyilatkozatban: a tanúsítványnak ellenőrizhetőnek és aktuálisnak kell lennie.

3. lépés: Frissítse szerződéseit és DPA-ját

Az RGPD 28. cikke kötelezően írja elő egy Data Processing Agreement (DPA) megkötését minden olyan albeteg-feldolgozóval, aki az ön nevében személyes adatokat feldolgoz. Az HDS-összefüggésben ezt a DPA-t specifikus claususokkal kell kiegészíteni, amelyek:

• Az erősített bizalmas kötelezettségeket
• Az incidens-bejelentés 72 órás kötelezettségeit
• Az adatok visszaadásának és törlésének feltételeit
• Az adatok helyét (szükségszerűen az EEE-terület vagy megfelelő döntési ország)

Egyes egyesületek még papír formában gyűjtik kedvezményezetteik hozzájárulását. E folyamatok dematerializálása egy megfelelő elektronikus aláírási megoldáson keresztül lehetővé teszi az időbélyegzést és az azonossághitelesítést, jogi szempontból megindokolható bizonyítékot nyújtva.

4. lépés: Képezze csapatait és jelöljön meg egy megfelelőségi referenst

Az HDS-megfelelőség nem egyszer előforduló projekt: ez egy folyamatos folyamat. Jelöljön meg egy belső referenst (aki lehet az ön DPO-ja, ha van, az RGPD 37. cikke szerinti kötelezettség szerint nagy mértékű egészségügyi adatokat feldolgozó szervezetek számára) és rendszeres tájékoztatási munkahelyeket az érzékeny adatokkal kapcsolatban álló csapatok számára.

A CNIL 2024-ben közzétett tanulmánya szerint az értesített egészségügyi adatvédelmi szabálysértések több mint 60%-a emberi hibát (helytelen címzetthez küldés, titkosítás hiánya) tartalmazott. A képzés tehát az ugyanolyan fontos kockázatcsökkentésre szóló módszer, mint a műszaki intézkedések.

Az egyesületi szektor sajátos kihívásai: korlátozott erőforrások és költségvetési korlátozások

A tanulságos adat és a korlátozott költségvetés paradoxona

Az egyesületek és NGO-k különleges helyzetben vannak: gyakran az egészségügyi vagy orvos-szociális szektorban kezelnek a legérzékenyebb adatokat (sebezettség alatt álló személyek egészségi állapota, menekültek, magányos gyermekek) az egészségügyi vagy magánvállalkozási szektorhoz képest sokkal korlátosabb emberi és pénzügyi erőforrásokkal.

Ez a valóság egy pragmatikus és prioritásozott megfelelőségi stratégia bevezetéseit kényszeríti. Az ANS ajánlásai szerint általában egy háromfázisú megközelítés javasolt a kis és közepes méretű szerkezeteknél:

1. Sürgősségi fázis (0-3 hónap): a kritikus kockázatok azonosítása és semlegesítése (nem tanúsított tárolók, titkosítás hiánya)
2. Konszolidációs fázis (3-12 hónap): szerződések frissítése, megfelelő eszközök telepítése, képzés
3. Érési fázis (12-24 hónap): belső auditok, folytonossági tervek, feldolgozások éves áttekintése

Az elektronikus aláírás szerepe az egyesületi HDS-megfelelőségben

Az érzékeny dokumentumok dematerializálása gyakran felhasználatlan módszer az egyesületi szektorban. Azonban a papír formanyomtatványok helyettesítése minősített vagy fejlett elektronikus aláírási folyamatokkal számos előnyt nyújt:

• Nyomonkövethetőség: minden aláírás időbélyegzett és ellenőrzött személyazonossághoz kapcsolódik, amely megkönnyíti a feldolgozás törvényes voltának igazolását
• A hiba kockázatának csökkentése: az érzékeny dokumentumok kevesebb manuális kezelése
• Biztonságos archiválás: az elektronikusan aláírt dokumentumok egy tanúsított digitális széfben tárolhatók

Az ön szerkezetéhez megfelelő megoldások kiválasztási kritériumainak további fejlesztésére tekintse meg elektronikus aláírási megoldások összehasonlítását, amely az HDS-megfelelőség és az eIDAS-megfelelőség szempontjából részletez piaci ajánlatokat.

Az RH vagy kedvezményezetti fájlkezelési eszközt már használó egyesületek gyakran előnyösen felülvizsgálják, hogy az ő jelenlegi megoldásuk tartalmazza-e az elektronikus aláírási megfelelőséget. Az elektronikus aláírási útmutató a vállalatban részletes integráció-kriteríumokat tárgyal.

Végül, ha már alkalmazott elektronikus aláírási megoldást, de HDS-tanúsított presztátóhoz szeretne migrálni, az migrációs ajánlatunk lehetővé teszi adatok és munkafolyamatok átadását szolgáltatáskiesés nélkül.

Az egyesületek és NGO-k egészségügyi adattárolására alkalmazandó jogi keretrendszer

Az HDS-keretrendszer alapító szövegei

Az egészségügyi adatok tárolásáról szóló francia jogszabályozás számos szöveg rétegeződésén alapul, amelyeknek ismerete nélkülözhetetlen az orvosi vagy orvos-szociális adatokat kezelő minden egyesület számára.

2016-41. számú törvény (2016. január 26-i egészségügyi rendszer modernizációs törvénye): az Egészségügyi Kódexbe (L. 1111-8. cikk) rögzítette a tanúsított HDS-es tárhelyszolgáltatóhoz való fordulás kötelezettségét mindazon természetes és jogi személyek számára, akik személyes egészségügyi adatokat tárolnak az érintett személyek vagy az azt feldolgozó szervezetek számára.

2018-137. számú rendelet (2018. február 26.): pontosítja a tanúsításra vonatkozó tevékenységeket, a tanúsítvány kibocsátásának és visszavonásának módját, valamint a tanúsító szervezetekre alkalmazandó követelményeket (COFRAC-akkreditáció kötelező).

2017. augusztus 8-i rendelet: az egészségügyi információs rendszerekre alkalmazandó biztonsági referenciát határozza meg, amely az HDS-értékelés technikai alapjaként szolgál.

Az RGPD-vel való összhang

Az Európai Unió (EU) 2016/679. sz. Szabályzata (RGPD) az adatvédelem általános keretét képezi. Rendelkezéseit kumulatívan alkalmazzák az HDS-követelményekre:

• 9. cikk: az egészségügyi adatok olyan különleges kategóriájú adatok, amelyeknek feldolgozása alapvetően tiltott, kivételeket (kifejezett hozzájárulás, egészségügyi szükségesség, közérdek stb.) felsorolnak
• 28. cikk: az ön nevében egészségügyi adatokat tárolni feldolgozó albeteg alkalmazása írott szerződésen alapulhat (DPA)
• 32. cikk: az egyesület megfelelő műszaki és szervezeti intézkedéseket kell alkalmaznia (titkosítás, pszeudonymizálás, hozzáférés-vezérlés)
• 33. cikk: bármilyen egészségügyi adatsértést a CNIL-nak 72 órán belül értesíteni kell
• 35. cikk: az Adatvédelmi Hatáselemzés (AIPD) kötelező, ha a feldolgozás a jogok magas szintű kockázatát okozza

Jogi kockázatok a nem-megfelelőség esetén

Az HDS-keretrendszer betartásának elmulasztása az egyesületet több szintű szankciónak teszi ki:

• CNIL adminisztratív szankciói: akár 20 millió euró vagy a globális éves turnover 4%-a (az RGPD 83. cikk §5) a súlyosabb megsértésekért. Az egyesületek számára a CNIL az elérhető erőforrások figyelembevételében értékeli az összeget, azonban szimbolikus de nyilvános szankciót már kisebb szerkezetekre vonatkozóan meghoztak.
• Büntetőjogi felelősség: a Büntetőkód 226-13. cikke akár egy év börtönbüntetést és 15 000 eurós büntetést előír az orvosi titok megsértéséért.
• Polgári jogi felelősség: az összeomló bénzények az egyesület felelősségét a Polgári Törvénykönyv 1240. és azzal kapcsolatos cikkeire alapozva járulhat, ha kimutatható kár áll fenn.
• Engedély felfüggesztése: az államigazgatásági szervezetek által akkreditált egyesületek (ARS, tanácsi szervezet) az egészségügyi adatok védelme súlyos megsértésének esetén jogosultak felvenni az akkreditációs engedélyüket.

Azt is meg kell jegyezni, hogy a NIS2-irányelv (2022/2555. EU-irányelv, amelyet a 2024-449 sz. franciatörvény (2024. május 21.) ültetett át Franciaországban) a kiberbiztonsági kötelezettségeket kiterjeszti olyan szervezetekre, amelyek esetlegesen nagyobb egészségügyi infrastruktúrákat kezelnek.

Használati esetek: az HDS-megfelelőség gyakorlatban az egyesületek és NGO-k számára

1. eset: Egy 500 kedvezményezetti fájlt kezelő otthoni segítségnyújtási egyesület

Egy idős függő személyekhez intézkedő egyesület több departement összefüggésében körülbelül 500 aktív fájlt kezel, amely patológiákat, jelenleg alkalmazott recepteket és függőségevaluációkat (GIR-rács) tartalmaz. Az adatokat egy olyan felhő-alapú szoftverben tárják, amelyet nem HDS-tanúsított presztátor működtet.

Egy belső auditot követően, amelyet egy kedvezményezett által indított hozzáférési kérés váltott ki, az egyesület ezt a nem-megfelelőséget azonosítja. HDS-tanúsított tárhelyre migrál az 4-5. tevékenységeknél, az ő szoftverpresztátorával RGPD-kompatibilis DPA-t kötnek és elektronikus aláírási megoldást telepítenek a hozzájárulás és a személyesített támogatási tervek dematerializálásához.

Megfigyelt eredmények: 70%-os csökkentés a hozzájárulás feldolgozásához szükséges időben (átlagosan 12 nap papír formáról 4 napra), a papír dokumentumok vesztésével vagy helytelen küldésével kapcsolatos kockázatok teljes eltüntetése, valamint a megerősített cyber-biztosítási lefedettség a dokumentált megfelelőséggel.

2. eset: Egy nemzetközi NGO több orvosi misszió koordinálása

Egy súlyos orvosi nyújtást szakosodott NGO az ő misszióiban egészségügyi adatokat gyűjt több országban, a Franciaországban egy központosított szerverre továbbított adatokat beleértve. Az informatikai csapat két önkéntes személyből áll.

Az HDS-tanúsított belső infrastruktúra fenntartásának lehetetlensége miatt az NGO egy 100%-os SaaS-architektúrára opt, amely az 1-6. tevékenységeket lefedte HDS-tanúsított tárhellyel. Elektronikus aláírási folyamatokat vezetnek be az orvosi protokollokhoz és hozzájárulási formákhoz, amelyek az alacsony kapcsolódási helyekre (offline üzemmódban aláírt szinkronizálva) alkalmazkodnak.

Megfigyelt eredmények: HDS és RGPD-megfelelőség 6 hónap alatt elérve, további informatikai toborzás nélkül, körülbelül 40%-os költségmegtakarítás a belső infrastruktúrához képest, valamint intézményi pályázatokra (AFD, Európai Unió) való reagálási képesség az adatok megfelelőségének tanúsítványát megkövetelve.

3. eset: Több közösségi egészségügyi központot kezelő egyesületi hálózat

Egy több közösségi egészségügyi központot (körülbelül 8 000 aktív beteg) fédéri egyesületi csoportosulás egy megosztott betegdosszie-szoftvert használ a különféle helyek között. A helyek közötti koordináció az egészségügyi adatok nem biztonságos e-mail-en történő cseréjét jelenti, közvetlenül az HDS-referenciaért való szabálysértés.

Az egyesület az informatikai rendszer átszervezésébe lép egy HDS-tanúsított presztátor támogatásával, megvalósítja a biztonságos egészségügyi üzenetet (MSSanté), és dematerializálja az összes felvételi és hozzájárulási formáját az RGPD-kompatibilis elektronikus aláírási platformon keresztül. Az AIPD magas kockázatú feldolgozásokra kerül elvégzésre.

Megfigyelt eredmények: nulla adatvédelmi sértés a CNIL-nak bejelentett, a megfelelőséget követő 18 hónapon keresztül (szemben az előzetes időszakban két kisebb incidensül), az átlagos felvételi idő 35%-os csökkentése, a betegdosszie-kiegészítésének aránya 22%-os javulása a papír formanyomtatvány szövetségét miatt az miatt.

Következtetés

Az egészségügyi adatok HDS-megfelelőségének aktiválása az egyesületi és NGO-szektorban nem opció, amely nagy szervezetekre van fenntartva: ez egy jogi kötelezettség, amely minden szervezetre vonatkozik, mérettől vagy jogi státusztól függetlenül, amint az egészségügyi adatokat személyességen keresztül tárol vagy feldolgozza. A keretrendszer ismeretlensége nem mentesít a felelősség alól.

A jó hír: a strukturált négy lépéses megközelítés – térképezés, presztátor auditálás, szerződéses frissítés, képzés – lehetővé teszi a szilárd megfelelőség szintjét még korlátozott erőforrásokkal is. Az érzékeny dokumentumok és hozzájárulások dematerializálása egy tanúsított elektronikus aláírási megoldáson keresztül különösen hatékony módszer a kockázatok csökkentésére az operatív hatékonyság javítása közben.

A Certyneo egy RGPD-kompatibilis elektronikus aláírási platformot kínál, amely az egyesületi szektor korlátaihoz alkalmazkodott és HDS-tanúsított infrastruktúrán működik. Lépjen kapcsolatba csapatunkkal egy ingyenes dokumentum-helyzetaudithoz és fedezze fel, hogyan biztosíthatja egészségügyi adatfolyamait ma.