HDS atbilstība veselības datiem: asociāciju un NVO vadības rokasgrāmata

Labdarības asociācijas, humanitārās NVO, bezpeļņas medicīniskas un sociālas iestādes kopā dalās vienā bieži nepietiekami novērtētā punktā: tiklīdz tās apstrādā vai glabā personīgos veselības datus, tās ietilpst veselības datu glabāšanas (HDS) tiesisko regulējumu tvērumā. Tomēr šis sektors uzkrājis strukturālu nokavēšanos atbilstības jomā, nepietiekamu iekšējo IT resursu un nepietiekami izglītota personāla dēļ. Šis raksts jūs soļ pa solim vadīs, lai saprastu, ko nozīmē HDS sertifikācija, identificētu jūsu faktiskās saistības un aktivizētu operacionālu atbilstības plānu — pat ar ierobežotiem IT resursiem.

Kas ir HDS sertifikācija un kāpēc asociācijas ir tajā iesaistītas?

Veselības datu tiesiskā definīcija

GDPR (4. panta 15. punkta) izpratnē veselības dati ir personīgie dati par fizisku personu fizisko vai garīgo veselību, kas atklāj informāciju par viņas veselības stāvokli. Šī definīcija ir apzināti plašā. Tā aptver ne tikai medicīniskos ierakstus klīniskā nozīmē, bet arī:

• Guvēju datus, kas savākti skrīninga kampānjas laikā
• Informāciju par deklarētu invaliditāti sociālās palīdzības dokumentos
• Uzturs- vai garīgās veselības datus, kas savākti psihosociālā atbalsta kontekstā
• Medicīnisko pārbaužu vai novērtējumu rezultātus humanitāru programmu ietvaros

Atkarības ārstēšanas organizācija, palīdzības tīkls gados veciem atkarīgiem cilvēkiem vai NVO, kas uzsāk medicīniskas konsultācijas uz vietas, visi apstrādā datus, kas ietilpst šajā kategorijā.

HDS mehānisms: obligāta prasība, ne opcija

Likums Nr. 2016-41 (2016. gada 26. janvāris) (veselības sistēmas modernizācijas likums) noteica obligātu sertificētu HDS glabāšanu jebkurai entītijei, kas glabā personīgos veselības datus trešo personu vārdā — ieskaitant asociācijas un NVO. Sertifikācijas etalons, kas definēts ar Lēmumu Nr. 2018-137 (2018. gada 26. februāris), precizē apraides darbības un tehniskās un organizatoriskās prasības.

Atšķirībā no izplatīta stereotipa, atbrīvojums neattiecas vienkārši uz faktu, ka tā ir bezpeļņas iestāde. Svarīgs ir apstrādāto datu raksturs un tas, ka glabāšana tiek veikta trešo personu vārdā (ārsts, pacients, partnerorganizācija).

Seši HDS darbības un to nozīme asociatīvajām struktūrām

HDS sertifikācija aptver sešas atšķirīgas darbības, organizētas divos blokos:

Infrastruktūras bloks (darbības 1-3)

• Darbība 1: Fizisku vietu (datu centru) pieejamības nodrošināšana un operacionālas gatavības uzturēšana
• Darbība 2: Materiālā aparatūras infrastruktūras pieejamības nodrošināšana un operacionālas gatavības uzturēšana
• Darbība 3: Virtuālās infrastruktūras pieejamības nodrošināšana un operacionālas gatavības uzturēšana

Programmatūras un pārvaldīto pakalpojumu bloks (darbības 4-6)

• Darbība 4: Darbības pieejamības nodrošināšana un operacionālas gatavības uzturēšana
• Darbība 5: Veselības informācijas sistēmas administrācija un ekspluatācija
• Darbība 6: Veselības datu ārēja rezervēšana

Asociācijai visbiežāk attiecas darbības 4-6, it īpaši, ja tā izmanto SaaS risinājumu guvēju failu pārvaldībai vai datu bāzu ārējiem rezerves kopiešanai. Tāpēc ir būtiski pārbaudīt, ka jebkurš SaaS vai mākoņa pakalpojuma sniedzējs, kas apstrādā jūsu veselības datus, ir sertificēts HDS attiecīgajām darbībām.

Šajā kontekstā elektroniskās parakstīšanas risinājuma izmantošana veselības nozarē, kas sertificēts HDS, ļauj nodrošināt sensitīvu dokumentu plūsmas — informēti apstiprinājumi, atzīšanās formas, elektroniskas receptes — bez asociācijas atbilstības neatbilstības riska izpaušanas.

Kā praktiski aktivizēt HDS atbilstību jūsu asociācijā?

1. solis: Kartografējiet jūsu veselības datu apstrādes darbības

Pirms jebkādu tehnisko pasākumu, jāveic precīzs inventārs visiem apstrādes mehānismiem, kas saistīti ar veselības datiem. Šis uzdevums tieši ietilpst GDPR 30. panta noteiktajā apstrādes reģistra vešanas pienākumā.

Katrai apstrādes darbībai dokumentējiet:

• Savākto datu raksturu (GDPR izpratnē speciāla kategorija)
• Apstrādes mērķi
• Saņēmējus un līgumslēdzoš puses
• Glabāšanas paņēmienus (iekšējais serveris, mākoņa risinājums, SaaS)
• Nodrošinājuma pasākumus, kas jau ir pieņemti

Šī kartografija ļauj ātri identificēt riskantās zonas un pārbaudāmos pakalpojuma sniedzējus.

2. solis: Audītējiet jūsu pakalpojuma sniedzējus un prasiet sertifikāciju

HDS sertifikāciju piešķir organizācijas, kuras akreditējusi COFRAC (Francijas akreditācijas komiteja). Jūs varat pārbaudīt sertifikācijas statusu uz ANS (Veselības Digitalizācijas aģentūras) vietnes, kas uztur HDS sertificēto glabātāju publisku sarakstu.

Sistēmiski prasiet no jūsu pakalpojuma sniedzējiem:

• Derīga HDS sertifikata kopiju
• Precīzas darbības jomas, kuras sertifikāts aptver
• Konkrētus līguma noteikumus, kas attiecas uz veselības datu aizsardzību

Neuzņemieties vienkāršu apņemšanās deklarāciju: sertifikācijai jābūt pārbaudāmai un aktuālai.

3. solis: Atjauninājiet jūsu līgumus un DPA

GDPR 28. pants prasās noslēgt Datu apstrādes līgumu (DPA) ar jebkuru apakšlīgumnieku, kas apstrādā jūsu personīgos datus. HDS kontekstā šis DPA jāpapildina ar specifiskiem noteikumiem, kuriem jāaptver:

• Pastiprinātas konfidencialitātes saistības
• Incidentu paziņošanas pienākumi 72 stundu laikā
• Nosacījumi datu atgriešanai un dzēšanai
• Datu atrašanās vieta (obligāti EEZ teritorijā vai valstī ar atbilstības lēmumu)

Dažas asociācijas joprojām papīra formātā savāc savu guvēju piekrišanu. Šo procesu demodrošošana ar atbilstīgu elektroniskās parakstīšanas risinājumu ļauj reģistrēt un verificēt piekrišanas laikapstākļus, nodrošinot juridiski apstrīdama pierādījuma eksistenci.

4. solis: Apmāciet savas komandas un norīkojiet atbilstības pārstāvi

HDS atbilstība nav vienreizējs projekts: tā ir nepārtraukts process. Norīkojiet iekšējo pārstāvi (kas var būt jūsu DPO, ja tāds ir, saskaņā ar GDPR 37. pantā paredzēto pienākumu tiem, kas apstrādā veselības datus lielā mērogā) un plānojiet regulāras mācību sesijas komandām, kas darbojas ar sensitīviem datiem.

Saskaņā ar CNIL 2024. gada pētījumu, vairāk nekā 60% no paziņotajām veselības datu pārkāpumiem ietilpa cilvēciskas kļūdas (nosūtīšana nepareizam saņēmējam, šifrēšanas neesamība). Tāpēc mācības ir tikpat nozīmīgs riska samazināšanas instruments kā tehniskākie pasākumi.

Īpašie izaicinājumi asociatīvajam sektoram: ierobežoti resursi un budžeta ierobežojumi

Sensitīvu datu un ierobežota budžeta paradokss

Asociācijas un NVO atrodas īpašā pozīcijā: tās bieži apstrādā vienu no visjutīgākajiem datiem (veselības stāvoklis neaizsargātām personām, bēgļi, izolēti bērni) ar cilvēkresursiem un finansiāliem līdzekļiem, kas ievērojami atpaliek no slimnīcas sektora vai privātā veselības aprūpes uzņēmumu iespējām.

Šī realitāte paredz pragmatisku un prioritāru atbilstības stratēģiju pieņemšanu. Saskaņā ar ANS ieteikumiem, mazām un vidējām struktūrām parasti ieteic trīs fāžu pieeju:

1. Avārijas fāze (0-3 mēneši): kritisko risku identificēšana un neitralizēšana (nesertificēti glabātāji, šifrēšanas neesamība)
2. Konsolidācijas fāze (3-12 mēneši): līgumu atjaunināšana, atbilstīgu rīku ieviešana, apmācība
3. Brieduma fāze (12-24 mēneši): iekšējie auditi, nepārtrauktības plāns, gada apstrādes pārskatīšana

Elektroniskās parakstīšanas loma HDS atbilstības asociatīvajā sektorā

Sensitīvu dokumentu demodrošošana ir bieži nepietiekami izmantots instruments asociatīvajā sektorā. Tomēr papīra formu aizstāšana ar kvalificētu vai papildinātu elektroniskās parakstīšanas procesiem sniedz vairākus priekšrocības:

• Izsekojamība: katra paraksts ir reģistrēts ar laika marķieri un saistīts ar pārbaudītu identitāti, kas atvieglo apstrādes likumības pierādīšanu
• Kļūdu samazināšana: mazāk sensitīvu dokumentu manuālas manipulācijas
• Droša arhivēšana: elektronisko parakstu dokumentus var glabāt sertificētā digitālajā seifā

Lai turpinātu vēl padziļinātāk par risinājuma atlases kritērijiem, kas atbilst jūsu struktūrai, skatiet mūsu elektroniskās parakstīšanas risinājumu salīdzinājumu, kas detalizē tirgus piedāvājumu atšķirības HDS atbilstības un eIDAS ziņā.

Asociācijas, kuras jau izmanto cilvēkresursu vadības vai guvēju failu pārvaldības rīkus, bieži var izmantot, vai to pašreizējā risinājuma pamatfunkcionalitāti ietilpst elektroniskā parakstīšana. Mūsu elektroniskās parakstīšanas uzņēmumā vadības rokasgrāmata detalizēti apraksta šos integrācijas kritērijus.

Visbeidzot, ja jūs jau esat ieviesis parakstīšanas risinājumu, bet vēlāties migrēt uz sertificētu HDS pakalpojuma sniedzēju, mūsu migrācijas piedāvājums ļauj pārsūtīt jūsu datus un darbplūsmas bez apstājas.

Veselības datu glabāšanai piemērojams tiesiskais regulējums asociācijās un NVO

HDS regulējuma pamatdokumenti

Francijas veselības datu glabāšanas regulējums balstās uz tekstu kopuma slāņiem, kura apgūšana ir nepiebūtama jebkurai asociācijai, kas apstrādā medicīniskos vai medicīnisko-sociālos datus.

Likums Nr. 2016-41 (2016. gada 26. janvāris) (veselības sistēmas modernizācijas likums): tas ir noteicis Veselības kodeksā (8. panta 1111-8) obligātu HDS sertificēta glabātāja izmantošanu jebkurai fiziskai vai juridiskai personai, kas glabā personīgos veselības datus iedzīvotāju vai tās nozīmē nodoto glabātāju vārdā.

Lēmums Nr. 2018-137 (2018. gada 26. februāris): tas precizē sertifikācijas pakļautas darbības, sertifikāta izsniegšanas un anulēšanas procedūras, kā arī organismu (COFRAC akreditācija obligāta) prasības sertifikātoriem.

Edīcts no 2017. gada 8. augusta: tas nosaka veselības informācijas sistēmām piemērojamo drošības etalonu, kas kalpo par HDS novērtējuma tehnisko bāzi.

Saskaņošana ar GDPR

Regula (ES) 2016/679 (GDPR) veido vispārīgu personīgo datu aizsardzības regulējuma sistēmu. Tās noteikumi kumulatīvi attiecas uz HDS prasībām:

• 9. pants: veselības dati ir speciāla kategorija dati, kuru apstrāde principā ir aizliegta, izņemot uzskaitītus izņēmumus (skaidra piekrišana, nepieciešamība veselības aprūpei, sabiedriskā interese utt.)
• 28. pants: jebkurš līgumslēdzošā puse, kas glabā veselības datus, ir jāformalizē rakstiskā līgumā (DPA)
• 32. pants: asociācijai jāpieņem atbilstīgi tehniskai un organizatoriskai pasākumi (šifrēšana, pseido, piekļuves kontrole)
• 33. pants: jebkurš veselības datu pārkāpums jāpazino CNIL 72 stundu laikā
• 35. pants: Datu aizsardzības ietekmes analīze (AIPD) ir obligāta, ja apstrāde var radīt augstu risku indivīdu tiesībām

Tiesiskais risks neatbilstības gadījumā

HDS regulējuma neievērošana izliek asociāciju daudzu sodu līmeņu priekšā:

• CNIL administratīvie sodi: līdz 20 miljoniem eiro vai 4% no gada pasaules apgrozījuma (GDPR 83. panta 5. punkts) par visnopietnākajiem pārkāpumiem. Asociācijām CNIL novērtē summu, ņemot vērā pieejamos resursus, taču simboliskas, bet publiskas soda sankcijas jau tika piemērotas mazām struktūrām.
• Kriminālistiskā atbildība: Sodu kodeksa 226-13. pants paredz līdz viena gada cietumsodu un 15 000 eiro naudas sodu par medicīniskā noslēpuma pārkāpumu.
• Civiltiesiskā atbildība: skartie guvēji var iesākt prasības pret asociāciju uz Civilkodeksa 1240. un sekojošo pantu pamata, ja ir konstatējams zaudējums.
• Akreditācijas suspensija: asociācijas, kurām sniedzusi akreditāciju valsts iestādes (ARS, departamentu padome), var atņemt akreditāciju par smagiem veselības datu aizsardzības pārkāpumiem.

Jāņem vērā arī tas, ka NIS2 direktīva (direktīva (ES) 2022/2555, transponēta Francijā ar likumu Nr. 2024-449 (2024. gada 21. maijs)) paplašina kiberdrošības prasības uz plašāku entītiju klāstu, kas potenciāli ietver noteiktas lielās asociācijas, kas pārvalda veselības kritiskas infrastruktūras.

Lietojuma scenāriji: HDS atbilstība praktiski asociācijām un NVO

Scenārijs 1: Palīdzības mājās asociācija, kas pārvalda 500 guvēju failus

Asociācija, kas sniedzas uz pensijas vecuma atkarīgiem cilvēkiem vairākos departamentos, pārvalda apmēram 500 aktīvus failus, kas satur informāciju par pataloģijām, tekošajiem recepiem un atkarības novērtējumiem (GIR režģis). Šie dati tiek glabāti asociācijas pārvaldības programmatūrā, ko glabā nesertificēts HDS mākoņa pakalpojuma sniedzējs.

Pēc iekšējā audita, ko izsarīkojusi guvēja piekļuves pieprasījums, asociācija identificē šo neatbilstību. Tā sāk migrāciju uz HDS sertificētu glabātāju darbībām 4-5, noslēdz GDPR saderīgu DPA ar savu pakalpojuma sniedzēju un ievieto elektroniskās parakstīšanas risinājumu guvēja piekrišanas un personīgā aprūpes plāna aizpildīšanas demodrošošanai.

Novērotie rezultāti: piekrišanas apstrādes laika samazināšana par 70% (no vidēji 12 dienām papīra formātā uz mazāk nekā 4 dienām), pilnīga neatbilstības riska likvidēšana dokumentu zaudēšanā vai nepareiza nosūtīšanā, un pastiprinātas kiberdrošības apdrošināšanas iegūšana, pateicoties dokumentētai atbilstībai.

Scenārijs 2: Starptautiska NVO, kas koordinē medicīniskas misijas uz vietas

NVO, kas specializējas neatliekas medicīniskajā aprūpē, savāc savas misijas laikā veselības datus iedzīvotāju populācijās vairākās valstīs, ieskaitant datus, kas pārsūtīti uz centralizētu serveri Francijā. IT komanda sastāv no diviem brīvprātīgajiem.

Saskaņā ar nespēju uzturēt sertificētu HDS iekšējo infrastruktūru, NVO izvēlas 100% SaaS arhitektūru ar sertificētu HDS glabātāju visām darbībām 1-6. Tā ievieto elektroniskās parakstīšanas procesu medicīniskiem protokoliem un guvēja piekrišanas formām, kas pielāgots zemas savienojamības zonām (paraksts bezsaistes režīmā ar sinhronizāciju).

Novērotie rezultāti: HDS un GDPR atbilstības sasniegšana mazāk nekā 6 mēnešos bez papildu IT darbinieku pieņemšanas, aprēķinātā ekonomija 40% salīdzinājumā ar pašmāju infrastruktūru, un spēja atbildēt institūciju projektu izsoles prasībām (AFD, Eiropas Savienība), kas prasa datu atbilstības sertifikāciju.

Scenārijs 3: Asociāciju tīkls, kas pārvalda kopienas veselības centrus

Asociāciju federācija, kas apvieno vairākus kopienas veselības centrus (apmēram 8000 aktīvu pacientu), izmanto daljniekus starp atsevišķajiem vietām. Saskaņošana starp vietām ietver veselības datu apmaiņu nesecurētas e-pasta sūtņa ceļā, kas ir tieši HDS etalona pārkāpums.

Asociācija sāk sava informācijas sistēmas rekonstrukciju ar sertificēta HDS pakalpojuma sniedzēja atbalstu, ievieto drošu medicīniskās saziņas kanālu (MSSanté) un elektronisks pieņemšanas un piekrišanas formas uz elektroniskās parakstīšanas platformas saskaņā ar eIDAS standartiem. Katra darbība ar augstu risku ir apskatīta ar AIPD.

Novērotie rezultāti: nulle datu pārkāpumi, kas paziņoti CNIL nākamo 18 mēnešu periodā (salīdzinājumā ar diviem nelieliem incidentiem iepriekšējā periodā), vidējais pieņemšanas laiks samazināts par 35%, un pacientu failu aizpildīšanas ātrums palielināts par 22%, pateicoties nepilnu papīra formu likvidēšanai.

Secinājums

HDS atbilstības aktivizēšana veselības datiem asociāciju un NVO sektorā nav opcija, kas paredzēta lielajām slimnīcas struktūrām: tā ir tiesiska saistība, kas attiecas uz jebkuru entītiju neatkarīgi no tās lieluma vai juridiskā statusa, tiklīdz tā glabā vai apstrādā personīgos veselības datus. Regulējuma neziņa neatbrīvo no atbildības.

Labā ziņa: strukturēta četru soļu pieeja — kartografija, pakalpojuma sniedzēju audīts, līguma atjaunināšana, apmācība — ļauj sasniegt stabilu atbilstības līmeni pat ar ierobežotiem resursiem. Piekrišanas un sensitīvu dokumentu demodrošošana ar elektroniskās parakstīšanas risinājumu, kas sertificēts saskaņā ar eIDAS standartiem, ir īpaši efektīvs instruments risku samazināšanai, vienlaikus uzlabojot operacionālo efektivitāti.

Certyneo piedāvā elektroniskās parakstīšanas platformu, kas atbilst eIDAS standartiem un ir paredzēta asociāciju sektora apstākļiem, kā arī glabāta HDS sertificētā infrastruktūrā. Contactez notre équipeSazinieties ar mūsu komandu⟧/L6⟧ bezmaksas dokumentu stāvokļa audītam un uzziniet, kā tūlīt nodrošināt jūsu veselības datu plūsmu drošību.