Súlad HDS pre údaje o zdraví: sprievodca asociáciami a ONG

Charitativne asociácie, humanitárne ONG a neziskové medico-sociálne organizácie majú spoločný bod, ktorý je často podceňovaný: hneď ako spracúvajú alebo hostia osobné údaje o zdraví, podliehajú právnemu rámcu hostingu zdravotných údajov (HDS). Tento sektor však zaostáva v oblasti súladu kvôli nedostatočným interným zdroj a nedostatočnému informovaniu. Tento článok vás krok za krokom vedením, aby ste pochopili, čo zahŕňa certifikácia HDS, identifikovali vaše skutočné povinnosti a aktivovali operačný súlad — aj s obmedzeným IT tímom.

Čo je to certifikácia HDS a prečo sa asociácie týkajú?

Právna definícia zdravotných údajov

Podľa GDPR (článok 4, odsek 15) sú zdravotné údaje osobnými údajmi týkajúcimi sa fyzického alebo duševného zdravia osoby, odhaľujúce informácie o jej zdravotnom stave. Táto definícia je zámerne široka. Pokrýva nielen klinické zdravotné záznamy, ale aj:

• Údaje príjemcov zbierané počas kampánií na skríning

• Informácie o postihnutiach vyhlásené v sociálnych assistance súboroch

• Nutričné alebo duševného zdravia údaje zbierané v kontexte psychosociálnej podpory

• Výsledky testov alebo lekárskych hodnotení v rámci humanitárnych programov

Asociácia zameraná na boj proti závislostiach, sieť pomoci starším osobám či ONG spravujúca medicínske konzultácie na teréne zbierajú všetky údaje spadajúce do tejto kategórie.

Zariadenie HDS: právna povinnosť, nie možnosť

Zákon č. 2016-41 z 26. januára 2016 (zákon o modernizácii zdravotného systému) zaviedol povinnosť certifikovaného hostingu HDS pre všetky subjekty, ktoré hostia osobné údaje o zdraví pre tretie strany — vrátane asociácií a ONG. Referenčný rámec certifikácie, definovaný dekrétom č. 2018-137 z 26. februára 2018, spresňuje pokryté činnosti a požadované technické a organizačné požiadavky.

Na rozdiel od časti presvedčenia výnimka sa neuplatňuje jednoducho na fakt, že ide o neziskovú organizáciu. Podstatné je prirodzenie spracúvaných údajov a fakt, že hostovanie sa vykonáva pre tretie strany (lekára, pacienta, partnskú organizáciu).

Šesť činností HDS a ich dosah pre asociatívne organizácie

Certifikácia HDS pokrýva šesť odlišných činností, usporiadaných do dvoch blokov:

Blok infraštruktúry (činnosti 1 až 3)

• Činnosť 1: Poskytovanie a údržba fyzických stránok v operačnom stave (datacentrá)

• Činnosť 2: Poskytovanie a údržba materiálnej infraštruktúry v operačnom stave

• Činnosť 3: Poskytovanie a údržba virtuálnej infraštruktúry v operačnom stave

Blok softvéru a spravovaných služieb (činnosti 4 až 6)

• Činnosť 4: Poskytovanie a údržba platformy na hostovanie aplikácií v operačnom stave

• Činnosť 5: Správa a prevádzka zdravotného informačného systému

• Činnosť 6: Externalizovaná záloha zdravotných údajov

Pre asociáciu sú najčastejšie záležitosťou činnosti 4 až 6, najmä keď používa tretiu SaaS aplikáciu na správu jej súborov príjemcov alebo keď externalizuje zálohu svojich databáz. Je preto nevyhnutné overiť, že každý prevádzkovateľ SaaS alebo cloud manipulujúci s vašimi zdravotnými údajmi je skutočne certifikovaný HDS pre zodpovedajúce činnosti.

V tomto kontexte pomáha použitie riešenia elektronického podpisu v zdravotníctve certifikovaného HDS zabezpečiť citlivé dokumentárne toky — informované súhlasy, formuláre na prijatie, dedigitalizované ordinácie — bez vystavenia asociácie riziku nešúladu.

Ako konkrétne aktivovať súlad HDS vo vašej asociácii?

Krok 1: Zmapovať vaše spracovanie zdravotných údajov

Pred akýmkoľvek technickým postupom je potrebné vykonať presný inventár všetkých spracovávaní zahŕňajúcich zdravotné údaje. Táto činnosť sa priamo vzťahuje na povinnosť vedenia registra spracovávania stanoveného v článku 30 GDPR.

Pre každé spracovanie zdokumentujte:

• Povahu zbieraných údajov (špeciálna kategória podľa GDPR)

• Ciele spracovávania

• Príjemcov a subdodávateľov

• Prostriedky hostingu (interný server, cloud, SaaS)

• Zavedené bezpečnostné opatrenia

Toto mapovanie umožňuje rýchlo identifikovať oblasti so zvýšeným rizikom a subdodávateľov, ktorých treba auditovať.

Krok 2: Auditujte vašich dodávateľov a vyžadujte certifikáciu

Certifikácia HDS je vydaná akreditovanými organizáciami COFRAC (Francúzsky výbor pre akreditáciu). Stav certifikácie hostiteľa môžete skontrolovať na webe ANS (Agentúra digitalizácie v zdravotníctve), ktorá spravuje verejný zoznam certifikovaných HDS hostiteľov.

Systematicky vyžadujte od vašich dodávateľov:

• Kópiu platného certifikátu HDS

• Presný rozsah pokrytých činností

• Konkrétne zmluvné podmienky na ochranu zdravotných údajov

Nespokojujte sa s vyhlásením úmyslov: certifikácia musí byť overiteľná a aktuálna.

Krok 3: Aktualizujte vaše zmluvy a DPA

Článok 28 GDPR požaduje uzavretie Dohody o spracovaní údajov (DPA) s každým subdodávateľom spracúvajúcim osobné údaje vašim menom. V kontexte HDS musí byť táto DPA doplnená o špecifické klauzuly pokrývajúce:

• Posilnené záväzky dôvernosti

• Povinnosti oznámiť incident do 72 hodín

• Podmienky vrátenia a vymazania údajov

• Umiestnenie údajov (nevyhnutne na území EEA alebo v krajine s rozhodnutím o adekvátnosti)

Niektoré asociácie stále používajú papierové formuláre na získanie súhlasu svojich príjemcov. Dedigitalizácia týchto procesov prostredníctvom riešenia elektronického podpisu v súlade umožňuje označiť časový kód a autentifikáciou súhlasov a vytvoriť právne relevantný dôkaz.

Krok 4: Zaškoľte svoje tímy a vymenujte koordinátora súladu

Súlad HDS nie je jednorazový projekt: je to nepretržitý proces. Vymenujte interného koordinátora (ktorým môže byť váš DPO, ak máte, v súlade s povinnosťou stanovenou v článku 37 GDPR pre organizácie spracúvajúce zdravotné údaje vo veľkom rozsahu) a naplánujte pravidelné školenia pre tímy v kontakte s citlivými údajmi.

Podľa štúdie publikovanej CNIL v roku 2024 bolo viac ako 60 % nahlásených porušení zdravotných údajov spôsobených ľudskou chybou (odoslanie na nesprávneho príjemcu, absencia šifrovania). Školenie je preto tak dôležitou pákou na zníženie rizika ako technické opatrenia.

Špecifické problémy v asociačnom sektore: obmedzené zdroje a rozpočtové obmedzenia

Paradox citlivých údajov a obmedzeného rozpočtu

Asociácie a ONG sa nachádzajú v osobitnej pozícii: často spravujú niektoré z najtolehatejších údajov (zdravotný stav zraniteľných osôb, utečencov, osamotených minoroch) s ľudskými a finančnými prostriedkami oveľa nižšími ako zdravotnícky sektor alebo súkromné zdravotnícke spoločnosti.

Táto realita si vyžaduje prijatie pragmatickej a uprednostňovanej stratégie súladu. Podľa odporúčaní ANS sa väčšinou odporúča trojfázový prístup k malým a stredným štruktúram:

• Núdzová fáza (0-3 mesiace): identifikácia a neutralizácia kritických rizík (nechcertifikovaní hostiteľa, absencia šifrovania)

• Fáza konsolidácie (3-12 mesiacov): aktualizácia zmlúv, nasadenie nástrojov v súlade, školenie

• Fáza zrelosti (12-24 mesiacov): interné audity, plán kontinuity, ročné preskúmanie spracovávania

Úloha elektronického podpisu v asociačnom súlade HDS

Dedigitalizácia citlivých dokumentov je páka často podceňovaná v asociačnom sektore. Napriek tomu má nahradenie papierových formulárov procesmi kvalifikovaného alebo pokročilého elektronického podpisu množstvo výhod:

• Sledovateľnosť: každý podpis je označený časom a spojený s overovanou identitou, čo uľahčuje preukázanie zákonnosti spracovávania

• Zníženie rizika chyby: menej manuálneho manipulovania s citlivými dokumentmi

• Bezpečná archivizácia: elektronicky podpísané dokumenty sa môžu ukladať do certifikovaného digitálneho úschov

Ďalšie informácie o kritériách výberu riešenia vhodného pre vašu organizáciu nájdete v našom porovnaní riešení elektronického podpisu, ktoré podrobne popisuje rozdiely medzi ponukami na trhu z hľadiska súladu HDS a eIDAS.

Asociácie, ktoré už používajú nástroj na správu ľudských zdrojov alebo správu súborov príjemcov, majú často záujem skontrolovať, či ich aktuálne riešenie nativne integruje elektronický podpis v súlade. Náš sprievodca elektronickým podpisom v podniku podrobne pokrýva tieto kritériá integrácie.

Nakoniec, ak ste už nasadili riešenie na podpisovanie, ale chcete migrujúť k poskytovatiteľovi certifikovanému HDS, naša ponuka migrácie vám umožňuje preniesť vaše údaje a pracovné postupy bez prerušenia služby.

Právny rámec použiteľný na hostovanie zdravotných údajov pre asociácie a ONG

Zakladajúce texty rámca HDS

Francúzska regulácia hostingu zdravotných údajov sa opiera o sadu textov, ktorých zvládnutie je nevyhnutné pre všetky asociácie manipulujúce s lekárskymi alebo medico-sociálnymi údajmi.

Zákon č. 2016-41 z 26. januára 2016 (zákon o modernizácii zdravotného systému): zaradil do Zákonníka o zdraví (článok L. 1111-8) povinnosť uchvatiť sa ku certifikovanému hostiteľovi HDS pre každú fyzickú alebo právnickú osobu, ktorá hostuje osobné údaje o zdraví pre dotknuté osoby alebo subjekty, ktoré ich spracúvajú.

Dekrét č. 2018-137 z 26. februára 2018: presne špecifikuje činnosti podliehajúce certifikácii, modalitu vydávania a stiahovania certifikácie, ako aj požiadavky platné pre certifikačné organizácie (povinná akreditácia COFRAC).

Vyhláška z 8. augusta 2017: stanovuje referenčný bezpečnostný rámec platný pre zdravotné informačné systémy, ktorý slúži ako technický základ pre hodnotenie HDS.

Vzťah k GDPR

Nariadenie (EU) 2016/679 (GDPR) predstavuje všeobecný rámec ochrany osobných údajov. Jeho ustanovenia sa kumulatívne vzťahujú na požiadavky HDS:

• Článok 9: zdravotné údaje sú špeciálne kategórie údajov, ktorých spracovanie je v zásade zakázané, s výnimkou výnimiek uvedených v zozname (výslovný súhlas, potreba zdravotnej starostlivosti, verejný záujem atď.)

• Článok 28: každé použitie subdodávateľa hostujúceho zdravotné údaje musí byť predmetom podrobnej písomnej zmluvy (DPA)

• Článok 32: asociácia je povinná zaviesť vhodné technické a organizačné opatrenia (šifrovanie, pseudonymizácia, kontrola prístupu)

• Článok 33: všetky porušenia ochrany zdravotných údajov musia byť oznámené CNIL do 72 hodín

• Článok 35: Analýza vplyvov na ochranu údajov (AIPD) je povinná, keď je spracovanie pravdepodobne pre osoby predstavovať vysoké riziko

Právne riziká v prípade neshody

Nedodržanie rámca HDS vystavuje asociáciu viacerým úrovňiam sankcií:

• Správne sankcie CNIL: až 20 miliónov eur alebo 4 % ročného celoživostného turnusu (článok 83, odsek 5 GDPR) pri najvážnejších porušeniach. Pre asociácie CNIL zvažuje výšku s ohľadom na dostupné zdroje, ale symbolické, ale verejne oznámené sankcie boli už udelené malým organizáciám.

• Trestná zodpovednosť: článok 226-13 Trestného zákona stanovuje až jeden rok väzenia a 15 000 eur pokút za porušenie lekárskeho tajomstva.

• Občianskoprávna zodpovednosť: zranení príjemcovia môžu apelovať na zodpovednosť asociácie na základe články 1240 a nasledujúcich Občianskeho zákona, ak je preukázateľná újma.

• Pozastavenie licencie: asociácie s licenciou od verejných orgánov (ARS, departementálna rada) si môžu odňať licenciu v prípade vážneho porušenia ochrany zdravotných údajov.

Je tiež potrebné poznamenať, že direktíva NIS2 (direktíva EÚ 2022/2555, transponovaná vo Francúzsku zákonom č. 2024-449 z 21. mája 2024) rozširuje povinnosti kyberbezpečnosti na rozšírené spektrum subjektov, ktoré môžu potenciálne zahŕňať aj niektoré veľké asociácie spravujúce kritickej zdravotnícke infraštruktúry.

Scenáre použitia: súlad HDS v praxi pre asociácie a ONG

Scenár 1: Asociácia pomoci na domácej úrovni riadená 500 súborov príjemcov

Asociácia zaoberajúca sa starostlivosťou o starších ľudí závislých na zdravotnej starostlivosti na viacerých departementoch spravuje približne 500 aktívnych súborov vrátane informácií o patológiách, bežných ordináciách a hodnoteniach závislosti (mriežka GIR). Tieto údaje sú uložené v softvéri na správu asociácií hostovanom nehostiteľom cloud certifikovaných HDS.

Po audite vyvolanom požiadavkou na prístup príjemcu, asociácia identifikuje túto neshodu. Spustí migráciu na hostiteľa certifikovaného HDS pre činnosti 4 a 5, uzavrie DPA v súlade so svojím poskytovateľom softvéru a nasadí riešenie elektronického podpisu na dedigitalizáciu formulárov na súhlas a personalizovaných plánov pomoci.

Pozorované výsledky: zníženie doby spracovávania súhlasov o 70 % (z priemeru 12 dní v papierovej forme na menej ako 4 dni), úplné odstránenie rizík súvisiacich so stratou alebo chybným odoslaním papierových dokumentov a získanie posilneného kybernetického poistného pokrytia vďaka zdokumentovanému súladu.

Scenár 2: Medzinárodná ONG koordinujúca misie medicínskych záberov na teréne

ONG špecializovaná na naliehavú medicínsku starostlivosť zbiera v rámci svojich misií zdravotné údaje o populáciách príjemcov v niekoľkých krajinách, vrátane údajov prenášaných na centralizovaný server vo Francúzsku. IT tím pozostáva z dvoch dobrovoľníkov.

Vzhľadom na nemožnosť udržiavať internu infraštruktúru certifikovanú HDS sa ONG rozhoduje pre architektúru 100 % SaaS s hostiteľom certifikovaným HDS pokrývajúcim činnosti 1 až 6. Zavádza proces elektronického podpisu pre lekárske protokoly a formuláre na súhlas prispôsobené zónám s nízkou konektivitou (podpis v režime offline synchronizovaný).

Pozorované výsledky: súlad HDS a GDPR dosiahnutý za menej ako 6 mesiacov bez dodatočného IT personálu, odhadovaná úspora 40 % v porovnaní s internú hostovanou infraštruktúrou a schopnosť reagovať na inštitucionálne výzvy na projekty (AFD, Európska únia) vyžadujúce certifikáciu súladu údajov.

Scenár 3: Asociačná sieť spravujúca spoločenské zdravotné strediská

Zoskupenie asociácií spájajúcich viacero spoločenských zdravotných centier (približne 8 000 aktívnych pacientov) používa softvér na zdieľané medicínske záznamy medzi rôznymi lokalitami. Koordinácia medzi lokalitami zahŕňa výmenu zdravotných údajov prostredníctvom nezabezpečeného e-mailu, čo je priame porušenie referenčného rámca HDS.

Asociácia spúšťa redesign svojho informačného systému s podporou poskytovatele certifikovaného HDS, zavádza zabezpečenú zdravotnícku komunikáciu (MSSanté) a dedigitalizuje všetky svoje formuláre na prijatie a súhlas prostredníctvom platformy elektronického podpisu v súlade s eIDAS. AIPD je vykonávaná pre každé spracovanie so zvýšeným rizikom.

Pozorované výsledky: žiadne porušenie údajov oznámené CNIL v priebehu 18 mesiacov po uvedení do súladu (v porovnaní s dvoma malotnými incidentmi v predchádzajúcom období), priemerná doba prijatia skrátená o 35 % a zlepšenie miery doplnenia súborov pacientov o 22 % vďaka odstráneniu neúplných papierových formulárov.

Často kladené otázky

Je nezisková organizácia naozaj povinná dodržiavať povinnosť HDS?

Áno, právny status organizácie neurčuje, či je povinná dodržiavať povinnosť HDS. Rozhodujúca je povaha spracovávaných údajov: akonáhle asociácia uchovávame údaje o zdraví osobného charakteru v mene tretej strany — príjemcov, medicínskych partnerov, pacientov — podlieha právnemu rámcu vytvoreného zákonom z 26. januára 2016 a jeho vykonávacím dekrétom z roku 2018. Výnimka neexistuje len z dôvodu činnosti bez cieľa zisku.

Ako si overiť, že poskytovateľ cloudových služieb je skutočne certifikovaný na HDS?

Agentúra digitalizácie v zdravotníctve (ANS) zverejňuje na svojej webovej stránke esante.gouv.fr oficiálny a aktualizovaný zoznam certifikovaných poskytovateľov HDS. Certifikáciu vydávajú orgány akreditované spoločnosťou COFRAC. Je potrebné skontrolovať nielen existenciu certifikátu, ale aj jeho presný rozsah: poskytovateľ môže byť certifikovaný na určité činnosti HDS a na iné nie, čo môže zanechať oblasti nesúladu vo vašom spracovateľskom reťazci.

Aké sankcie hrozia asociácii, ktorá uchovávame údaje o zdraví bez certifikácie HDS?

Nedodržanie povinnosti HDS môže mať za následok trestné sankcie podľa Zákonníka o zdravotníctve, nezávisle od správnych sankcií, ktoré môže CNIL vydať na základe GDPR za nedostatočnú bezpečnosť údajov. Oba režimy sa kombinujú. Vystavená asociácia čelí aj zodpovednosti za škodu v prípade porušenia údajov, ktoré postihujú jej príjemcov alebo partnerov.

Musí byť software SaaS používaný na správu subjektov príjemcov certifikovaný na HDS?

Ak tento software uchovávame alebo spracováva údaje o zdraví osobného charakteru, áno. Certifikácia musí pokrývať zodpovedajúce činnosti, typicky činnosti 4 až 6 podľa referenčného modelu HDS: poskytnutie aplikačnej platformy, administrácia zdravotníckeho informačného systému a externalizovaná záloha. Asociácia zostáva zodpovedná za kontrolu tejto zhody u každého vydavateľa, pretože zodpovednosť za spracovanie sa automaticky neprenáša na poskytovateľa.

Je štandardná DPA dostačujúca na upravenie poskytovania služieb pri spracovaní údajov o zdraví?

Nie. Dohoda o spracovaní údajov v súlade s článkom 28 GDPR predstavuje nevyhnutný, ale nedostatočný základ v kontexte HDS. Zmluva musí byť doplnená o ustanovenia špecifické pre údaje o zdraví: expresný odkaz na certifikáciu HDS poskytovateľa, posilnené povinnosti sledovateľnosti, podmienky vrátenia a vymazania údajov na konci zmluvy, ako aj ustanovenia týkajúce sa riadenia incidentov špecifických pre údaje o zdraví. Tieto požiadavky sa pridávajú, nenahrádzajú DPA.

Záver

Aktivácia súladu HDS pre zdravotné údaje v sektore asociácií a ONG nie je možnosť vyhradená pre veľké nemocničné štruktúry: je to právna povinnosť, ktorá sa vzťahuje na všetky subjekty bez ohľadu na ich veľkosť alebo právny status, hneď ako hostia alebo spracúvajú osobné údaje o zdraví. Neznaloscť rámca nezbavuje zodpovednosti.

Dobrou správou je, že štruktúrovaný prístup v štyroch krokoch — mapovanie, audit subdodávateľov, aktualizácia zmluvy, školenie — umožňuje dosiahnuť pevnú úroveň súladu aj s obmedzenými zdroj. Dedigitalizácia súhlasov a citlivých dokumentov prostredníctvom riešenia elektronického podpisu certifikovaného HDS je obzvlášť efektívna páka na zníženie rizík a zároveň na zlepšenie operačnej efektívnosti.

Certyneo ponúka platformu elektronického podpisu v súlade s eIDAS, prispôsobenú obmedzeniam asociačného sektora a hostovanú na infraštruktúre certifikovanej HDS. Kontaktujte náš tím pre bezplatný audit vašej dokumentárnej situácie a zistite, ako ešte dnes zabezpečiť vaše zdravotné údajové toky.