Skladnost HDS za podatke o zdravju: vodnik za društva in NVO

Dobrodelna društva, humanitarne NVO, neprofitne medico-socialne strukture imajo skupno točko, ki je pogosto podcenjena: takoj ko obdelujejo ali gostijo osebne podatke o zdravju, spadajo v pravni okvir gostovanja podatkov o zdravju (HDS). Vendar ta sektor nakupljuje strukturno zaostanke v skladnosti, ker nima dedicirane notranje IT dejavnosti in premajhne ozaveščenosti. Ta članek vas vodil korak za korakom, da razumete, kaj pomeni HDS certifikacija, identificirate svoje dejanskih obveznosti in aktivirate operativno skladnost — tudi s Limited IT ekipo.

Kaj je HDS certifikacija in zakaj so družba temu primerna?

Pravna opredelitev podatkov o zdravju

V smislu GDPR (članka 4, §15) so podatki o zdravju osebni podatki, ki se nanašajo na fizično ali duševno zdravje osebe in razkrivajo informacije o njenem zdravstvenem stanju. Ta opredelitev je namerno široka. Pokriva ne le medicinske datoteke v klinskem smislu, ampak tudi:

• Podatke upravičencev zbrane med kampanjami presejave
• Informacije o invalidnosti navedene v socialno-varnostnih dosjejih
• Podatke o prehrani ali duševnem zdravju zbrane v kontekstu psihosocialne pomoči
• Rezultate testov ali zdravstvenih ocen v okviru humanitarnih programov

Društvo za boj proti odvisnostim, mreža za pomoč starejšim osebam, odvisnim, ali NVO, ki upravljajo poljna zdravstvena posvetovanja, vse zbira podatke, ki se uvrščajo v to kategorijo.

Naprava HDS: pravna obveza, ne možnost

Zakon št. 2016-41 z dne 26. januarja 2016 (zakon o modernizaciji zdravstvenega sistema) je uvedel obveznost certificirane gostitve HDS za vsak subjekt, ki gosti osebne podatke o zdravju tretjih oseb — vključno z društvi in NVO. Certifikacijski standard, opredeljen z Uredbo št. 2018-137 z dne 26. februarja 2018, pojasnjuje zajete dejavnosti in tehnične ter organizacijske zahteve, ki jih je treba izpolniti.

V nasprotju s pogostim prepričanjem se neobveznost ne velja samo zato, ker je organizacija neprofitna struktura. Odločilno je naravo podatkov, ki se obdelujejo, in dejstvo, da je gostovanje izvršeno za račun tretje osebe (zdravnika, pacienta, partnerske strukture).

Šest HDS dejavnosti in njihov doseg za društva

HDS certifikacija pokriva šest ločenih dejavnosti, organiziranih v dva bloka:

Blok infrastrukture (dejavnosti 1 do 3)

• Dejavnost 1: Zagotavljanje in vzdrževanje v operativnem stanju fizičnih lokacij (podatkovnih centrov)
• Dejavnost 2: Zagotavljanje in vzdrževanje v operativnem stanju strojne opreme
• Dejavnost 3: Zagotavljanje in vzdrževanje v operativnem stanju virtualne infrastrukture

Blok programske opreme in upravljanih storitev (dejavnosti 4 do 6)

• Dejavnost 4: Zagotavljanje in vzdrževanje v operativnem stanju platforme za gostovanje aplikacij
• Dejavnost 5: Upravljanje in obratovanje informacijskega sistema zdravja
• Dejavnost 6: Zunanja varnostna kopija podatkov o zdravju

Za društvo so najpogosteje dotične dejavnosti 4 do 6, zlasti kadar uporabljajo tretjo SaaS rešitev za upravljanje svojih dosjejev upravičencev ali kadar eksternalizirajo varnostno kopijo svojih baz podatkov. Zato je bistveno preveriti, da je vsak SaaS ali cloud ponudnik obdelovanja vaših podatkov o zdravju resnično certificiran HDS za ustrezne dejavnosti.

V tem kontekstu uporaba rešitve za elektronski podpis v zdravstvenem sektorju certificiran HDS omogoča zagotavljanje varnosti občutljivih dokumentarnih tokov — ozaveščena privolitev, obrazci za sprejem, elektronske recepte — brez izpostavljanja društva tveganju neusklađenosti.

Kako praktično aktivirati HDS skladnost v svojem društvu?

Faza 1: Kartiranja obdelave podatkov o zdravju

Pred katerimkoli tehniškim pristopom je treba izvesti natančen inventar vseh obdelav, ki vključujejo podatke o zdravju. Ta vaja se neposredno nanašana obveznost vodenja registra obdelav, predvidene v članku 30 GDPR.

Za vsako obdelavo dokumentirajte:

• Naravo zbranih podatkov (posebna kategorija v smislu GDPR)
• Namene obdelave
• Prejemnike in podizvajalce
• Sredstva gostovanja (notranji strežnik, oblak, SaaS)
• Obstoječe varnostne ukrepe

Ta kartografija omogoča hitro identifikacijo območij tveganja in ponudnikov, ki se jih je treba pregledati.

Faza 2: Pregled ponudnikov in zahteva za certifikacijo

HDS certifikacija je odsojena organizacije, akredituirane s COFRAC (Francuski odbor za akreditacijo). Status certifikacije gostitelja lahko preverite na spletnem mestu ANS (Agencije za digitalno zdravje), ki vodi javni seznam certificiranih HDS gostiteljev.

Sistematično zahtevate od svojih ponudnikov:

• Kopija aktualne HDS certifikacije
• Natančen obseg pokritih dejavnosti
• Posebne pogodniške pogoje za zaščito podatkov o zdravju

Ne zadovoljite se le izjavo namer: certifikacija mora biti preverljiva in aktualna.

Faza 3: Posodobitev pogodb in DPA

Članka 28 GDPR nalaga sklenitev Pogodbe o obdelavi podatkov (DPA) s katerimkoli podizvajalcem, ki obdeluje osebne podatke v vašem imenu. V kontekstu HDS mora biti ta DPA dopolnjena s posebnimi klavzulami, ki pokrivajo:

• Obveznosti okrepljene zaupnosti
• Obveznosti obvestitve o incidentu v 72 urah
• Pogoje za vrnitev in izbris podatkov
• Lokacijo podatkov (nujno na ozemlju EGP ali v državi, ki ima odločbo o ustreznosti)

Nekatera društva še vedno uporabljajo papirnate obrazce za zbiranje privolitve svojih upravičencev. Digitalizacija teh procesov prek skladne rešitve za elektronski podpis omogoča časovni žig in avtentifikacijo privolitvah ter zagotavlja pravno nasprotno dokazilo.

Faza 4: Usposabljanje vaših ekip in imenovanje referenta skladnosti

HDS skladnost ni enkratni projekt: je stalni proces. Imenujte notranjega referenta (ki je lahko vaš DPO, če ga imate, v skladu z obveznostjo iz članka 37 GDPR za organizacije, ki obdelujejo podatke o zdravju v večjem obsegu) in načrtujte redne seje ozaveščanja za ekipe v stiku s občutljivimi podatkami.

Po študiji, objavljeni s strani CNIL leta 2024, je bilo v več kot 60 % prijavljenih kršitev podatkov o zdravju vključeno človeško napako (pošiljanje napačnemu prejemniku, odsotnost šifriranja). Usposabljanje je zato tako pomembno kot tehnični ukrepi za zmanjšanje tveganja.

Posebna vprašanja za društveni sektor: omejeni viri in proračunske omejitve

Paradoks občutljivih podatkov in omejenega proračuna

Društva in NVO se nahajajo v posebnem položaju: pogosto upravljajo podatke med najbolj občutljivimi (zdravstveno stanje ranljivih oseb, beguncev, samostojnih mladoletnikov) z človeškimi in finančnimi sredstvi, daleko nižja od bolnišničnega ali zasebnega zdravstvenega sektorja.

Ta realnost zahteva sprejetje pragmatične in prioritetne strategije skladnosti. Po priporočilih ANS je za male in srednje velike strukture običajno priporočena pristop v treh fazah:

1. Faza nuže (0-3 mesecev): identifikacija in nevtralizacija kritičnih tveganj (necertificirani gostitelji, odsotnost šifriranja)
2. Faza konsolidacije (3-12 mesecev): posodobitev pogodb, uvajanje skladnih orodij, usposabljanje
3. Faza zrelosti (12-24 mesecev): notranji reviziji, načrt nadaljevanja, letni pregled obdelav

Vloga elektronskega podpisa v HDS skladnosti asociativnega sektorja

Digitalizacija občutljivih dokumentov je vzvod, ki ga sektor za gesellschaft pogosto podcenil. Vendar pa zamenjava papirnate obrazcev s procesi kvalificiranega ali naprednega elektronskega podpisa predstavlja več prednosti:

• Sledljivost: vsak podpis je opremljen s časovnim žigom in povezan s preverjeno identiteto, kar olajša dokazovanje zakonitosti obdelave
• Zmanjšanje tveganja napake: manj ročnega ravnanja s občutljivimi dokumenti
• Varno arhiviranje: elektronsko podpisani dokumenti je mogoče hraniti v certificiranem digitalnem sefu

Če želite vedeti več o merilih za izbiro rešitve, primerne za vašo strukturo, si oglejte naš primerjavo rešitev za elektronski podpis, ki podrobno pojasnjuje razlike med tržnimi ponudami v pogledu HDS skladnosti in eIDAS.

Društva, ki že uporabljajo HR orodje ali orodje za upravljanje dosjejev upravičencev, imajo pogosto interes, da preverijo, ali njihova trenutna rešitev vključuje elektronski podpis, skladen z zahtevami. Naš vodnik za elektronski podpis v podjetjih podrobno obravnava ta merila za integracijo.

Končno, če ste že uvrstili rešitev za podpis, vendar želite migrirati na ponudnika, certificiranega HDS, vam naša ponudba za migracijsko omogoča prenos vaših podatkov in poteka dela brez prekinitve storitve.

Pravni okvir, ki se uporablja za gostovanje podatkov o zdravju za društva in NVO

Temeljni pravni besedili HDS okvira

Francoska uredba o gostovanju podatkov o zdravju je zasnovana na nizu besedil, katerih obvladanje je bistven za vsako organizacijo, ki obdeluje zdravstvene ali medico-socialne podatke.

Zakon št. 2016-41 z dne 26. januarja 2016 (zakon o modernizaciji zdravstvenega sistema): vpisal je v Zakon o zdravju (članek L. 1111-8) obveznost uporabe certificiranega HDS gostitelja za vsako fizično ali pravno osebo, ki gosti osebne podatke o zdravju za račun vpletenih oseb ali subjektov, ki jih obdelujejo.

Uredba št. 2018-137 z dne 26. februarja 2018: pojasnjuje dejavnosti, ki so predmet certifikacije, postopke izdaje in preklica certifikacije ter zahteve za organizacije, ki izdajajo certifikate (obvezna COFRAC akreditacija).

Naročilo z dne 8. avgusta 2017: določa varnostni standard, ki se uporablja za zdravstvene informacijske sisteme in služi kot tehnična osnova za HDS evalvacijo.

Povezava z GDPR

Uredba (EU) 2016/679 (GDPR) predstavlja splošni okvir za zaščito osebnih podatkov. Njene določbe veljajo skupno za zahteve HDS:

• Članak 9: podatki o zdravju so posebne vrste podatkov, katerih obdelava je v načelu prepovedana, razen navedenih izjem (izrecna privolitev, potreba za zdravstveno oskrbo, javni interes itd.)
• Članak 28: vsaka uporaba podizvajalca, ki gosti podatke o zdravju, mora biti predmet pisne pogodbe (DPA)
• Članak 32: družba mora izvesti primerne tehnične in organizacijske ukrepe (šifriranje, psevdonimizacija, nadzor dostopa)
• Članak 33: vsaka kršitev podatkov o zdravju mora biti objavljena CNIL-u v roku 72 ur
• Članak 35: Analiza vpliva na zaščito podatkov (AIPD) je obvezna, takoj ko je obdelava lahko povzroči visoko tveganje za pravice oseb

Pravna tveganja ob neupoštevanju skladnosti

Neupoštevanje HDS okvira izpostavlja družbo več nivojem sankcij:

• Upravne sankcije CNIL: do 20 milijonov evrov ali 4 % svetovnega letnega prometa (članak 83, §5 GDPR) za najbolj resne kršitve. Za društva CNIL oceni znesek ob upoštevanju razpoložljivih sredstev, vendar so že bila izrečena simbolna a javna kaznovanja majhnih struktur.
• Kaznenska odgovornost: članek 226-13 Kazenskega zakonika predvideva do eno leto zapora in 15.000 evrov globe za kršitev zdravniške tajnosti.
• Civilna odgovornost: žalostljivi upravičenci lahko zahtevajo odgovornost društva na podlagi členkov 1240 in naprej Civilnega zakonika v primeru dokazane škode.
• Suspenzija odobrenja: društva, odobrena s strani javnih oblasti (ARS, departmajski svet), imajo lahko odvzeto odobrenje v primeru resne kršitve zaščite podatkov o zdravju.

Prav tako je treba opozoriti, da direktiva NIS2 (direktiva EU 2022/2555, prenešena v Francijo z zakonom št. 2024-449 z dne 21. maja 2024) razširja obveznosti kibernetske varnosti na širši spekter subjektov, ki potencialno vključuje nekatera velika društva, ki upravljajo kritične zdravstvene infrastrukture.

Scenariji uporabe: HDS skladnost v praksi za društva in NVO

Scenarij 1: Društvo za pomoč na domu, ki upravlja 500 dosjejev upravičencev

Društvo, ki deluje pri starejših osebah, odvisnih na več departmajih, upravlja približno 500 aktivnih dosjejev, ki vključujejo informacije o patologijah, aktualnih receptih in ocenah odvisnosti (lestvica GIR). Ti podatki se hranijo v programski opremi za upravljanje društva, gostovani s strani ponudnika oblaka brez certifikacije HDS.

Po notranjem reviziji, sproščeni zahtevkom za dostop upravičenca, društvo identificira to neupoštevanje. Izbere migracijsko pot do certificiranega HDS gostitelja za dejavnosti 4 in 5, sklopi DPA skladen s svojim ponudnikom programske opreme in uvede rešitev elektronskega podpisa za digitalizacijo obrazcev privolitve in osebnostnih načrtov pomoči.

Opaženi rezultati: 70 % zmanjšanje časa obdelave privolitvah (s povprečno 12 dni v papirnati obliki na manj kot 4 dni), popolna odprava tveganj povezanih s izgubo ali napačnim pošiljanjem papirnenih dokumentov in pridobitev okrepljene cyber zavarovalnega pokritja zahvaljujoč dokumentirani skladnosti.

Scenarij 2: Mednarodna NVO, ki koordinira terenske medicinske misije

NVO, specializirana za urgentne zdravstvene storitve, zbira v okviru svojih misij podatke o zdravju v populacijah upravičencev v več državah, vključno s podatki, prenesenih v centralni strežnik v Franciji. IT ekipa je sestavljena iz dveh prostovoljcev.

Soočena z nemožnostjo vzdrževanja notranje infrastrukture certificirane HDS, se NVO odloči za 100 % SaaS arhitekturo s certificiranim HDS gostiteljem, ki pokriva dejavnosti 1 do 6. Vzpostavi proces elektronskega podpisa za medicinske protokole in obrazce privolitve, prilagojene območjem z nizko povezavo (podpis v izključnem načinu sinhronizacije).

Opaženi rezultati: HDS in GDPR skladnost dosežena v manj kot 6 mesecih brez dodatnih IT zaposlitve, ocenjena prihranek 40 % v primerjavi z lastno gostovano infrastrukturo in sposobnost reagiranja na institucionalne razpise (AFD, Evropska unija), ki zahtevajo certifikacijo skladnosti podatkov.

Scenarij 3: Mrežo društva, ki upravlja skupnostske zdravstvene centre

Skupino društev, ki združuje več skupnostskih zdravstvenih centrov (približno 8.000 aktivnih pacientov), ki uporablja programsko opremo za deljenega pacienta med različnimi lokalitotami. Koordinacija med lokacijami vključuje izmenjavo podatkov o zdravju prek nezaščitene e-pošte, v direktni kršitvi HDS standarda.

Društvo začne s popolno prenovo svojega informacijskega sistema s pomočjo certificiranega HDS ponudnika, izvede varno zdravstveno poštno storitev (MSSanté) in digitalizira vse svoje obrazce za sprejem in privolitev prek skladne platforme elektronskega podpisa eIDAS. Za vsako obdelavo z visokim tveganjem je izvedena AIPD.

Opaženi rezultati: nič poročanih kršitev podatkov CNIL-u v 18 mesecih po doseganju skladnosti (proti dvema manjšima incidentoma v prejšnjem obdobju), povprečni čas sprejetja zmanjšan za 35 % in izboljšanje stopnje zapolnjenosti pacientskih dosjejev za 22 % zahvaljujoč odpravi nepopolnih papirnenih obrazcev.

Zaključek

Aktivacija HDS skladnosti za podatke o zdravju v sektorju društev in NVO ni možnost, rezervirana za velike bolnišnične strukture: je pravna obveza, ki se uporablja za vsak subjekt, ne glede na velikost ali pravni status, takoj ko gosti ali obdeluje osebne podatke o zdravju. Nepoznavanje okvira ne oprostošči odgovornosti.

Dobra vest: strukturiran pristop v štirih korakih — kartografija, pregled ponudnikov, posodobitev pogodb, usposabljanje — omogoča doseganje moči skladnosti tudi z omejenimi viri. Digitalizacija privolitvah in občutljivih dokumentov prek rešitve za elektronski podpis, certificiran HDS, je posebej učinkovit vzvod za zmanjšanje tveganja ob izboljšanju operativne učinkovitosti.

Certyneo ponuja platformo elektronskega podpisa, skladno s eIDAS, prilagojeno omejitvam sektorja društev in gostovano na infrastrukturi certificirani HDS. Stopite v stik z našo ekipo za brezplačen pregled vaše dokumentarne situacije in odkrijte, kako zavarujete svoje podatkovne tokove zdravja še danes.