Súlad HDS pre údaje o zdraví: sprievodca asociáciami a ONG

Charitativne asociácie, humanitárne ONG a neziskové medico-sociálne organizácie majú spoločný bod, ktorý je často podceňovaný: hneď ako spracúvajú alebo hostia osobné údaje o zdraví, podliehajú právnemu rámcu hostingu zdravotných údajov (HDS). Tento sektor však zaostáva v oblasti súladu kvôli nedostatočným interným zdroj a nedostatočnému informovaniu. Tento článok vás krok za krokom vedením, aby ste pochopili, čo zahŕňa certifikácia HDS, identifikovali vaše skutočné povinnosti a aktivovali operačný súlad — aj s obmedzeným IT tímom.

Čo je to certifikácia HDS a prečo sa asociácie týkajú?

Právna definícia zdravotných údajov

Podľa GDPR (článok 4, odsek 15) sú zdravotné údaje osobnými údajmi týkajúcimi sa fyzického alebo duševného zdravia osoby, odhaľujúce informácie o jej zdravotnom stave. Táto definícia je zámerne široka. Pokrýva nielen klinické zdravotné záznamy, ale aj:

• Údaje príjemcov zbierané počas kampánií na skríning
• Informácie o postihnutiach vyhlásené v sociálnych assistance súboroch
• Nutričné alebo duševného zdravia údaje zbierané v kontexte psychosociálnej podpory
• Výsledky testov alebo lekárskych hodnotení v rámci humanitárnych programov

Asociácia zameraná na boj proti závislostiach, sieť pomoci starším osobám či ONG spravujúca medicínske konzultácie na teréne zbierajú všetky údaje spadajúce do tejto kategórie.

Zariadenie HDS: právna povinnosť, nie možnosť

Zákon č. 2016-41 z 26. januára 2016 (zákon o modernizácii zdravotného systému) zaviedol povinnosť certifikovaného hostingu HDS pre všetky subjekty, ktoré hostia osobné údaje o zdraví pre tretie strany — vrátane asociácií a ONG. Referenčný rámec certifikácie, definovaný dekrétom č. 2018-137 z 26. februára 2018, spresňuje pokryté činnosti a požadované technické a organizačné požiadavky.

Na rozdiel od časti presvedčenia výnimka sa neuplatňuje jednoducho na fakt, že ide o neziskovú organizáciu. Podstatné je prirodzenie spracúvaných údajov a fakt, že hostovanie sa vykonáva pre tretie strany (lekára, pacienta, partnskú organizáciu).

Šesť činností HDS a ich dosah pre asociatívne organizácie

Certifikácia HDS pokrýva šesť odlišných činností, usporiadaných do dvoch blokov:

Blok infraštruktúry (činnosti 1 až 3)

• Činnosť 1: Poskytovanie a údržba fyzických stránok v operačnom stave (datacentrá)
• Činnosť 2: Poskytovanie a údržba materiálnej infraštruktúry v operačnom stave
• Činnosť 3: Poskytovanie a údržba virtuálnej infraštruktúry v operačnom stave

Blok softvéru a spravovaných služieb (činnosti 4 až 6)

• Činnosť 4: Poskytovanie a údržba platformy na hostovanie aplikácií v operačnom stave
• Činnosť 5: Správa a prevádzka zdravotného informačného systému
• Činnosť 6: Externalizovaná záloha zdravotných údajov

Pre asociáciu sú najčastejšie záležitosťou činnosti 4 až 6, najmä keď používa tretiu SaaS aplikáciu na správu jej súborov príjemcov alebo keď externalizuje zálohu svojich databáz. Je preto nevyhnutné overiť, že každý prevádzkovateľ SaaS alebo cloud manipulujúci s vašimi zdravotnými údajmi je skutočne certifikovaný HDS pre zodpovedajúce činnosti.

V tomto kontexte pomáha použitie riešenia elektronického podpisu v zdravotníctve certifikovaného HDS zabezpečiť citlivé dokumentárne toky — informované súhlasy, formuláre na prijatie, dedigitalizované ordinácie — bez vystavenia asociácie riziku nešúladu.

Ako konkrétne aktivovať súlad HDS vo vašej asociácii?

Krok 1: Zmapovať vaše spracovanie zdravotných údajov

Pred akýmkoľvek technickým postupom je potrebné vykonať presný inventár všetkých spracovávaní zahŕňajúcich zdravotné údaje. Táto činnosť sa priamo vzťahuje na povinnosť vedenia registra spracovávania stanoveného v článku 30 GDPR.

Pre každé spracovanie zdokumentujte:

• Povahu zbieraných údajov (špeciálna kategória podľa GDPR)
• Ciele spracovávania
• Príjemcov a subdodávateľov
• Prostriedky hostingu (interný server, cloud, SaaS)
• Zavedené bezpečnostné opatrenia

Toto mapovanie umožňuje rýchlo identifikovať oblasti so zvýšeným rizikom a subdodávateľov, ktorých treba auditovať.

Krok 2: Auditujte vašich dodávateľov a vyžadujte certifikáciu

Certifikácia HDS je vydaná akreditovanými organizáciami COFRAC (Francúzsky výbor pre akreditáciu). Stav certifikácie hostiteľa môžete skontrolovať na webe ANS (Agentúra digitalizácie v zdravotníctve), ktorá spravuje verejný zoznam certifikovaných HDS hostiteľov.

Systematicky vyžadujte od vašich dodávateľov:

• Kópiu platného certifikátu HDS
• Presný rozsah pokrytých činností
• Konkrétne zmluvné podmienky na ochranu zdravotných údajov

Nespokojujte sa s vyhlásením úmyslov: certifikácia musí byť overiteľná a aktuálna.

Krok 3: Aktualizujte vaše zmluvy a DPA

Článok 28 GDPR požaduje uzavretie Dohody o spracovaní údajov (DPA) s každým subdodávateľom spracúvajúcim osobné údaje vašim menom. V kontexte HDS musí byť táto DPA doplnená o špecifické klauzuly pokrývajúce:

• Posilnené záväzky dôvernosti
• Povinnosti oznámiť incident do 72 hodín
• Podmienky vrátenia a vymazania údajov
• Umiestnenie údajov (nevyhnutne na území EEA alebo v krajine s rozhodnutím o adekvátnosti)

Niektoré asociácie stále používajú papierové formuláre na získanie súhlasu svojich príjemcov. Dedigitalizácia týchto procesov prostredníctvom riešenia elektronického podpisu v súlade umožňuje označiť časový kód a autentifikáciou súhlasov a vytvoriť právne relevantný dôkaz.

Krok 4: Zaškoľte svoje tímy a vymenujte koordinátora súladu

Súlad HDS nie je jednorazový projekt: je to nepretržitý proces. Vymenujte interného koordinátora (ktorým môže byť váš DPO, ak máte, v súlade s povinnosťou stanovenou v článku 37 GDPR pre organizácie spracúvajúce zdravotné údaje vo veľkom rozsahu) a naplánujte pravidelné školenia pre tímy v kontakte s citlivými údajmi.

Podľa štúdie publikovanej CNIL v roku 2024 bolo viac ako 60 % nahlásených porušení zdravotných údajov spôsobených ľudskou chybou (odoslanie na nesprávneho príjemcu, absencia šifrovania). Školenie je preto tak dôležitou pákou na zníženie rizika ako technické opatrenia.

Špecifické problémy v asociačnom sektore: obmedzené zdroje a rozpočtové obmedzenia

Paradox citlivých údajov a obmedzeného rozpočtu

Asociácie a ONG sa nachádzajú v osobitnej pozícii: často spravujú niektoré z najtolehatejších údajov (zdravotný stav zraniteľných osôb, utečencov, osamotených minoroch) s ľudskými a finančnými prostriedkami oveľa nižšími ako zdravotnícky sektor alebo súkromné zdravotnícke spoločnosti.

Táto realita si vyžaduje prijatie pragmatickej a uprednostňovanej stratégie súladu. Podľa odporúčaní ANS sa väčšinou odporúča trojfázový prístup k malým a stredným štruktúram:

1. Núdzová fáza (0-3 mesiace): identifikácia a neutralizácia kritických rizík (nechcertifikovaní hostiteľa, absencia šifrovania)
2. Fáza konsolidácie (3-12 mesiacov): aktualizácia zmlúv, nasadenie nástrojov v súlade, školenie
3. Fáza zrelosti (12-24 mesiacov): interné audity, plán kontinuity, ročné preskúmanie spracovávania

Úloha elektronického podpisu v asociačnom súlade HDS

Dedigitalizácia citlivých dokumentov je páka často podceňovaná v asociačnom sektore. Napriek tomu má nahradenie papierových formulárov procesmi kvalifikovaného alebo pokročilého elektronického podpisu množstvo výhod:

• Sledovateľnosť: každý podpis je označený časom a spojený s overovanou identitou, čo uľahčuje preukázanie zákonnosti spracovávania
• Zníženie rizika chyby: menej manuálneho manipulovania s citlivými dokumentmi
• Bezpečná archivizácia: elektronicky podpísané dokumenty sa môžu ukladať do certifikovaného digitálneho úschov

Ďalšie informácie o kritériách výberu riešenia vhodného pre vašu organizáciu nájdete v našom porovnaní riešení elektronického podpisu, ktoré podrobne popisuje rozdiely medzi ponukami na trhu z hľadiska súladu HDS a eIDAS.

Asociácie, ktoré už používajú nástroj na správu ľudských zdrojov alebo správu súborov príjemcov, majú často záujem skontrolovať, či ich aktuálne riešenie nativne integruje elektronický podpis v súlade. Náš sprievodca elektronickým podpisom v podniku podrobne pokrýva tieto kritériá integrácie.

Nakoniec, ak ste už nasadili riešenie na podpisovanie, ale chcete migrujúť k poskytovatiteľovi certifikovanému HDS, naša ponuka migrácie vám umožňuje preniesť vaše údaje a pracovné postupy bez prerušenia služby.

Právny rámec použiteľný na hostovanie zdravotných údajov pre asociácie a ONG

Zakladajúce texty rámca HDS

Francúzska regulácia hostingu zdravotných údajov sa opiera o sadu textov, ktorých zvládnutie je nevyhnutné pre všetky asociácie manipulujúce s lekárskymi alebo medico-sociálnymi údajmi.

Zákon č. 2016-41 z 26. januára 2016 (zákon o modernizácii zdravotného systému): zaradil do Zákonníka o zdraví (článok L. 1111-8) povinnosť uchvatiť sa ku certifikovanému hostiteľovi HDS pre každú fyzickú alebo právnickú osobu, ktorá hostuje osobné údaje o zdraví pre dotknuté osoby alebo subjekty, ktoré ich spracúvajú.

Dekrét č. 2018-137 z 26. februára 2018: presne špecifikuje činnosti podliehajúce certifikácii, modalitu vydávania a stiahovania certifikácie, ako aj požiadavky platné pre certifikačné organizácie (povinná akreditácia COFRAC).

Vyhláška z 8. augusta 2017: stanovuje referenčný bezpečnostný rámec platný pre zdravotné informačné systémy, ktorý slúži ako technický základ pre hodnotenie HDS.

Vzťah k GDPR

Nariadenie (EU) 2016/679 (GDPR) predstavuje všeobecný rámec ochrany osobných údajov. Jeho ustanovenia sa kumulatívne vzťahujú na požiadavky HDS:

• Článok 9: zdravotné údaje sú špeciálne kategórie údajov, ktorých spracovanie je v zásade zakázané, s výnimkou výnimiek uvedených v zozname (výslovný súhlas, potreba zdravotnej starostlivosti, verejný záujem atď.)
• Článok 28: každé použitie subdodávateľa hostujúceho zdravotné údaje musí byť predmetom podrobnej písomnej zmluvy (DPA)
• Článok 32: asociácia je povinná zaviesť vhodné technické a organizačné opatrenia (šifrovanie, pseudonymizácia, kontrola prístupu)
• Článok 33: všetky porušenia ochrany zdravotných údajov musia byť oznámené CNIL do 72 hodín
• Článok 35: Analýza vplyvov na ochranu údajov (AIPD) je povinná, keď je spracovanie pravdepodobne pre osoby predstavovať vysoké riziko

Právne riziká v prípade neshody

Nedodržanie rámca HDS vystavuje asociáciu viacerým úrovňiam sankcií:

• Správne sankcie CNIL: až 20 miliónov eur alebo 4 % ročného celoživostného turnusu (článok 83, odsek 5 GDPR) pri najvážnejších porušeniach. Pre asociácie CNIL zvažuje výšku s ohľadom na dostupné zdroje, ale symbolické, ale verejne oznámené sankcie boli už udelené malým organizáciám.
• Trestná zodpovednosť: článok 226-13 Trestného zákona stanovuje až jeden rok väzenia a 15 000 eur pokút za porušenie lekárskeho tajomstva.
• Občianskoprávna zodpovednosť: zranení príjemcovia môžu apelovať na zodpovednosť asociácie na základe články 1240 a nasledujúcich Občianskeho zákona, ak je preukázateľná újma.
• Pozastavenie licencie: asociácie s licenciou od verejných orgánov (ARS, departementálna rada) si môžu odňať licenciu v prípade vážneho porušenia ochrany zdravotných údajov.

Je tiež potrebné poznamenať, že direktíva NIS2 (direktíva EÚ 2022/2555, transponovaná vo Francúzsku zákonom č. 2024-449 z 21. mája 2024) rozširuje povinnosti kyberbezpečnosti na rozšírené spektrum subjektov, ktoré môžu potenciálne zahŕňať aj niektoré veľké asociácie spravujúce kritickej zdravotnícke infraštruktúry.

Scenáre použitia: súlad HDS v praxi pre asociácie a ONG

Scenár 1: Asociácia pomoci na domácej úrovni riadená 500 súborov príjemcov

Asociácia zaoberajúca sa starostlivosťou o starších ľudí závislých na zdravotnej starostlivosti na viacerých departementoch spravuje približne 500 aktívnych súborov vrátane informácií o patológiách, bežných ordináciách a hodnoteniach závislosti (mriežka GIR). Tieto údaje sú uložené v softvéri na správu asociácií hostovanom nehostiteľom cloud certifikovaných HDS.

Po audite vyvolanom požiadavkou na prístup príjemcu, asociácia identifikuje túto neshodu. Spustí migráciu na hostiteľa certifikovaného HDS pre činnosti 4 a 5, uzavrie DPA v súlade so svojím poskytovateľom softvéru a nasadí riešenie elektronického podpisu na dedigitalizáciu formulárov na súhlas a personalizovaných plánov pomoci.

Pozorované výsledky: zníženie doby spracovávania súhlasov o 70 % (z priemeru 12 dní v papierovej forme na menej ako 4 dni), úplné odstránenie rizík súvisiacich so stratou alebo chybným odoslaním papierových dokumentov a získanie posilneného kybernetického poistného pokrytia vďaka zdokumentovanému súladu.

Scenár 2: Medzinárodná ONG koordinujúca misie medicínskych záberov na teréne

ONG špecializovaná na naliehavú medicínsku starostlivosť zbiera v rámci svojich misií zdravotné údaje o populáciách príjemcov v niekoľkých krajinách, vrátane údajov prenášaných na centralizovaný server vo Francúzsku. IT tím pozostáva z dvoch dobrovoľníkov.

Vzhľadom na nemožnosť udržiavať internu infraštruktúru certifikovanú HDS sa ONG rozhoduje pre architektúru 100 % SaaS s hostiteľom certifikovaným HDS pokrývajúcim činnosti 1 až 6. Zavádza proces elektronického podpisu pre lekárske protokoly a formuláre na súhlas prispôsobené zónám s nízkou konektivitou (podpis v režime offline synchronizovaný).

Pozorované výsledky: súlad HDS a GDPR dosiahnutý za menej ako 6 mesiacov bez dodatočného IT personálu, odhadovaná úspora 40 % v porovnaní s internú hostovanou infraštruktúrou a schopnosť reagovať na inštitucionálne výzvy na projekty (AFD, Európska únia) vyžadujúce certifikáciu súladu údajov.

Scenár 3: Asociačná sieť spravujúca spoločenské zdravotné strediská

Zoskupenie asociácií spájajúcich viacero spoločenských zdravotných centier (približne 8 000 aktívnych pacientov) používa softvér na zdieľané medicínske záznamy medzi rôznymi lokalitami. Koordinácia medzi lokalitami zahŕňa výmenu zdravotných údajov prostredníctvom nezabezpečeného e-mailu, čo je priame porušenie referenčného rámca HDS.

Asociácia spúšťa redesign svojho informačného systému s podporou poskytovatele certifikovaného HDS, zavádza zabezpečenú zdravotnícku komunikáciu (MSSanté) a dedigitalizuje všetky svoje formuláre na prijatie a súhlas prostredníctvom platformy elektronického podpisu v súlade s eIDAS. AIPD je vykonávaná pre každé spracovanie so zvýšeným rizikom.

Pozorované výsledky: žiadne porušenie údajov oznámené CNIL v priebehu 18 mesiacov po uvedení do súladu (v porovnaní s dvoma malotnými incidentmi v predchádzajúcom období), priemerná doba prijatia skrátená o 35 % a zlepšenie miery doplnenia súborov pacientov o 22 % vďaka odstráneniu neúplných papierových formulárov.

Záver

Aktivácia súladu HDS pre zdravotné údaje v sektore asociácií a ONG nie je možnosť vyhradená pre veľké nemocničné štruktúry: je to právna povinnosť, ktorá sa vzťahuje na všetky subjekty bez ohľadu na ich veľkosť alebo právny status, hneď ako hostia alebo spracúvajú osobné údaje o zdraví. Neznaloscť rámca nezbavuje zodpovednosti.

Dobrou správou je, že štruktúrovaný prístup v štyroch krokoch — mapovanie, audit subdodávateľov, aktualizácia zmluvy, školenie — umožňuje dosiahnuť pevnú úroveň súladu aj s obmedzenými zdroj. Dedigitalizácia súhlasov a citlivých dokumentov prostredníctvom riešenia elektronického podpisu certifikovaného HDS je obzvlášť efektívna páka na zníženie rizík a zároveň na zlepšenie operačnej efektívnosti.

Certyneo ponúka platformu elektronického podpisu v súlade s eIDAS, prispôsobenú obmedzeniam asociačného sektora a hostovanú na infraštruktúre certifikovanej HDS. Kontaktujte náš tím pre bezplatný audit vašej dokumentárnej situácie a zistite, ako ešte dnes zabezpečiť vaše zdravotné údajové toky.