Відповідність HDS для даних про здоров'я: посібник для асоціацій та НДО

Благодійні асоціації, гуманітарні НДО, медико-соціальні структури без комерційної мети мають один спільний пункт, часто недооцінений: як тільки вони обробляють або розміщують персональні дані про здоров'я, вони підпадають під правову базу hébergement de données de santé (HDS) (розміщення даних про здоров'я). Однак цей сектор накопичує структурну відставання в питаннях дотримання нормативних вимог через брак внутрішніх ресурсів та недостатню обізнаність. Ця стаття кроквисто розповідає про те, що передбачає сертифікація HDS, допомагає визначити ваші реальні зобов'язання та активувати практичне забезпечення відповідності — навіть із обмеженою IT-командою.

Що таке сертифікація HDS і чому асоціації мають стосунок до цього?

Законодавче визначення даних про здоров'я

За смислом GDPR (стаття 4, §15), дані про здоров'я — це персональні дані, що стосуються фізичного або психічного здоров'я особи, які розкривають інформацію про її стан здоров'я. Це визначення навмисно широке. Воно охоплює не лише клінічні медичні файли, але й:

• Дані про бенефіціарів, зібрані під час кампаній скринінгу
• Інформація про задекларовані непрацездатності у файлах соціальної допомоги
• Дані про харчування або психічне здоров'я, зібрані в контексті психосоціальної підтримки
• Результати тестів або медичних оцінок у рамках гуманітарних програм

Асоціація боротьби з залежностями, мережа допомоги людям похилого віку залежним від допомоги або НДО, яка проводить медичні консультації на місцях, все це збирає дані, що входять у цю категорію.

Механізм HDS: обов'язок, а не опція

Закон № 2016-41 від 26 січня 2016 року (закон про модернізацію системи охорони здоров'я) встановив обов'язок сертифікованого розміщення HDS для будь-якої сутності, яка розміщує персональні дані про здоров'я від третіх осіб — включаючи асоціації та НДО. Референціальна база сертифікації, визначена декретом № 2018-137 від 26 лютого 2018 року, уточнює охоплені дії та технічні та організаційні вимоги, які необхідно задовольнити.

На відміну від поширеної думки, звільнення не застосовується лише тому, що структура некомерційна. Важливо природа даних, які обробляються, та факт, що розміщення проводиться від третьої особи (лікар, пацієнт, партнерська структура).

Шість видів діяльності HDS та їх обсяг для асоціативних структур

Сертифікація HDS охоплює шість різних видів діяльності, організованих у два блоки:

Блок інфраструктури (діяльність 1-3)

• Діяльність 1: Надання у користування та підтримання у робочому стані фізичних місць розташування (центри обробки даних)
• Діяльність 2: Надання у користування та підтримання у робочому стані матеріальної інфраструктури
• Діяльність 3: Надання у користування та підтримання у робочому стані віртуальної інфраструктури

Блок програмного забезпечення та керованих послуг (діяльність 4-6)

• Діяльність 4: Надання у користування та підтримання у робочому стані платформи розміщення медичних додатків
• Діяльність 5: Адміністрування та експлуатація медичної інформаційної системи
• Діяльність 6: Зовнішня архівація даних про здоров'я

Для асоціації найбільш часто залучені діяльності 4-6, особливо коли вона використовує стороннє рішення SaaS для управління своїми файлами бенефіціарів або коли вона екстернізує резервне копіювання своїх баз даних. Тому важливо перевірити, що будь-який постачальник SaaS або хмари, який маніпулює вашими даними про здоров'я, справді сертифікований HDS для відповідних видів діяльності.

У цьому контексті використання рішення електронного підпису у сфері здоров'я, сертифікованого HDS, дозволяє безпечити чутливі документообіги — інформовані згоди, форми прийому, дематеріалізовані рецепти — без ризику невідповідності асоціації.

Як практично активувати відповідність HDS у вашій асоціації?

Етап 1: Картографія ваших обробок даних про здоров'я

Перш ніж переходити до будь-яких технічних заходів, необхідно провести точну інвентаризацію всіх обробок, що включають дані про здоров'я. Ця вправа безпосередньо входить в обов'язок вести реєстр обробок, передбачений статтею 30 GDPR.

Для кожної обробки задокументуйте:

• Природу зібраних даних (спеціальна категорія за GDPR)
• Цілі обробки
• Отримувачів та субпідрядників
• Засоби розміщення (внутрішній сервер, хмара, SaaS)
• Заходи безпеки, які вже застосовуються

Ця картографія дозволяє швидко визначити зони ризику та постачальників, яких потрібно перевірити.

Етап 2: Перевірка ваших постачальників та вимога сертифікації

Сертифікація HDS видається акредитованими організаціями COFRAC (Французький комітет акредитації). Ви можете перевірити статус сертифікації хостера на сайті ANS (Агенція цифрових технологій у охороні здоров'я), яка ведеться публічний список сертифікованих HDS-хостерів.

Систематично вимагайте від ваших постачальників:

• Копію чинного сертифіката HDS
• Точний перелік охоплених видів діяльності
• Специфічні договірні умови щодо захисту даних про здоров'я

Не задовольняйтеся заявою про намір: сертифікація має бути перевірюваною та актуальною.

Етап 3: Оновлення ваших договорів та DPA

Стаття 28 GDPR встановлює укладання Data Processing Agreement (DPA) з будь-яким субпідрядником, який обробляє персональні дані від вашого імені. У контексті HDS цей DPA має бути доповнений специфічними пунктами, що охоплюють:

• Зміцнені зобов'язання щодо конфіденційності
• Обов'язки сповіщення про інцидент протягом 72 годин
• Умови повернення та видалення даних
• Місцезнаходження даних (обов'язково на території ЕЕА або в країні, яка мала позитивне рішення про адекватність)

Деякі асоціації досі використовують паперові форми для збору згоди своїх бенефіціарів. Дематеріалізація цих процесів через конформне рішення електронного підпису дозволяє проставляти часові мітки та автентифікувати згоди, створюючи юридично обґрунтований доказ.

Етап 4: Навчання ваших команд та призначення відповідального за відповідність

Відповідність HDS — це не разова проектна дія: це безперервний процес. Призначте внутрішнього відповідального (який може бути вашим DPO, якщо у вас він є, відповідно до обов'язку, передбаченого статтею 37 GDPR для організацій, які обробляють дані про здоров'я в великому масштабі) та плануйте регулярні сеанси інформування для команд, які контактують з чутливими даними.

Згідно з дослідженням, опублікованим CNIL у 2024 році, понад 60 % повідомлених про порушення даних про здоров'я передбачали людську помилку (надсилання невірному адресату, відсутність шифрування). Тому навчання є важелем зменшення ризику не менш важливим, ніж технічні заходи.

Специфічні проблеми у асоціативному секторі: обмежені ресурси та бюджетні обмеження

Парадокс чутливих даних та обмеженого бюджету

Асоціації та НДО знаходяться в особливій позиції: вони часто керують одними з найбільш чутливих даних (стан здоров'я уразливих людей, біженців, неповнолітніх без опіки) з людськими та фінансовими ресурсами, значно меншими за ресурси лікувально-профілактичних закладів або приватних компаній охорони здоров'я.

Ця реальність вимагає прийняття прагматичної та пріоритизованої стратегії відповідності. Згідно з рекомендаціями ANS, трифазний підхід зазвичай рекомендується для малих та середніх структур:

1. Екстрена фаза (0-3 місяці): визначення та нейтралізація критичних ризиків (несертифіковані хостери, відсутність шифрування)
2. Фаза консолідації (3-12 місяців): оновлення договорів, розгортання відповідних інструментів, навчання
3. Фаза зрілості (12-24 місяці): внутрішні аудити, план безперервності, щорічний перегляд обробок

Роль електронного підпису у забезпеченні відповідності HDS у асоціаціях

Дематеріалізація чутливих документів є важелем, часто недовикористаний асоціативним сектором. Однак заміна паперових форм на процеси кваліфікованого або розширеного електронного підпису надає кілька переваг:

• Простежуваність: кожен підпис має часову мітку та пов'язаний з підтвердженою особистістю, що полегшує демонстрацію законності обробки
• Зменшення ризику помилки: менше ручної маніпуляції чутливими документами
• Безпечна архівація: документи, підписані електронно, можуть зберігатися у сертифікованому цифровому сейфі

Для більше інформації про критерії вибору рішення, адаптованого до вашої структури, звернеться до нашого порівняння рішень електронного підпису, яке деталізує відмінності між пропозиціями ринку з точки зору відповідності HDS та eIDAS.

Асоціації, які вже використовують інструмент управління кадрами або управління файлами бенефіціарів, часто мають зацікавленість перевірити, чи їх поточне рішення вбудовано інтегрує електронний підпис, конформний нормам. Наш посібник електронного підпису на підприємстві детально розглядає ці критерії інтеграції.

Наостанок, якщо ви вже розгорнули рішення електронного підпису, але бажаєте мігрувати до постачальника, сертифікованого HDS, наша пропозиція міграції дозволяє вам передати ваші дані та рабочі процеси без переривання обслуговування.

Законодавча база, застосовна до розміщення даних про здоров'я для асоціацій та НДО

Основні законодавчі акти правової бази HDS

Французька нормативна база щодо розміщення даних про здоров'я ґрунтується на накопленні текстів, оволодіння якими є необхідним для будь-якої асоціації, яка маніпулює медичними або медико-соціальними даними.

Закон № 2016-41 від 26 січня 2016 року (закон про модернізацію системи охорони здоров'я): він вніс у Кодекс охорони здоров'я (стаття L. 1111-8) обов'язок вдаватися до сертифікованого хостера HDS для будь-якої фізичної або юридичної особи, яка розміщує персональні дані про здоров'я від осіб, до яких вони стосуються, або сутностей, які їх обробляють.

Декрет № 2018-137 від 26 лютого 2018 року: він уточнює видів діяльності, підпорядковані сертифікації, модальності видачі та скасування сертифіката, а також вимоги, застосовні до сертифікуючих організацій (обов'язкова акредитація COFRAC).

Наказ від 8 серпня 2017 року: він встановлює базис безпеки, застосовний до медичних інформаційних систем, який служить технічною основою оцінки HDS.

Взаємодія з GDPR

Регламент (ЄС) 2016/679 (GDPR) складає загальну базу захисту персональних даних. Його положення застосовуються кумулятивно до вимог HDS:

• Стаття 9: дані про здоров'я є спеціальні категорії даних, обробка яких заборонена в принципі, крім винятків, перерахованих (явна згода, необхідність для медичної допомоги, суспільний інтерес тощо)
• Стаття 28: будь-яке звернення до субпідрядника, який розміщує дані про здоров'я, має бути предметом письмового детального договору (DPA)
• Стаття 32: асоціація зобов'язана впровадити відповідні технічні та організаційні заходи (шифрування, псевдонімізація, контроль доступу)
• Стаття 33: будь-яке порушення даних про здоров'я має бути повідомлено CNIL протягом 72 годин
• Стаття 35: аналіз впливу на захист даних (DPIA) є обов'язковим, як тільки обробка може створити високий ризик для прав осіб

Юридичні ризики у разі невідповідності

Недотримання правової бази HDS виставляє асоціацію на кілька рівнів санкцій:

• Адміністративні санкції CNIL: до 20 мільйонів євро або 4 % світового річного обороту (стаття 83, §5 GDPR) за найсерйозніші порушення. Для асоціацій CNIL оцінює суму з урахуванням наявних ресурсів, але символічні, але публічні санкції уже були видані проти малих структур.
• Кримінальна відповідальність: стаття 226-13 Кримінального кодексу передбачає до одного року ув'язнення та штраф 15 000 євро за порушення медичної таємниці.
• Цивільна відповідальність: постраждалі бенефіціари можуть притягнути асоціацію до відповідальності за статтями 1240 та наступними Цивільного кодексу у разі доведеного збитку.
• Скасування акредитації: асоціації, акредитовані державними органами (ARS, департаментальна рада), можуть мати скасовану свою акредитацію у разі серйозного порушення захисту даних про здоров'я.

Також слід зазначити, що директива NIS2 (директива ЄС 2022/2555, впроваджена у Францію законом № 2024-449 від 21 травня 2024 року) розширює зобов'язання з кібербезпеки на більш широкий спектр сутностей, потенційно включаючи деякі великі асоціації, що керують критичною охороною здоров'я інфраструктурою.

Сценарії використання: відповідність HDS на практиці для асоціацій та НДО

Сценарій 1: Асоціація допомоги на дому, яка керує 500 файлами бенефіціарів

Асоціація, яка працює з людьми похилого віку, залежними від допомоги, в декількох департаментах, керує приблизно 500 активними файлами, включаючи інформацію про патології, поточні рецепти та оцінки залежності (шкала GIR). Ці дані зберігаються у програмному забезпеченні управління асоціацією, розміщеному у постачальника хмари, несертифікованого HDS.

Внаслідок внутрішнього аудиту, спровокованого запитом доступу бенефіціара, асоціація визначає цю невідповідність. Вона розпочинає міграцію до хостера, сертифікованого HDS, для видів діяльності 4 та 5, укладає конформний DPA зі своїм постачальником програмного забезпечення та розгортає рішення електронного підпису для дематеріалізації форм згоди та персональних планів допомоги.

Спостережувані результати: скорочення на 70 % часу обробки згод (з 12 днів у середньому у папіровому форматі до менше ніж 4 днів), повна ліквідація ризиків, пов'язаних зі втратою або надсиланням неправильному адресату паперових документів, та отримання покращеного страхування кіберризиків завдяки задокументованому забезпеченню відповідності.

Сценарій 2: Міжнародна НДО, яка координує місцеві медичні місії

НДО, спеціалізована на невідкладній медичній допомозі, збирає в контексті своїх місій дані про здоров'я про популяції бенефіціарів у кількох країнах, включаючи дані, передані на централізований сервер у Франції. IT-команда складається з двох добровольців.

Стоячи перед неможливістю підтримувати внутрішню інфраструктуру, сертифіковану HDS, НДО обирає архітектуру 100 % SaaS з хостером, сертифікованим HDS, щодо видів діяльності 1-6. Вона впроваджує процес електронного підпису для медичних протоколів та форм згоди, адаптованих до зон низької пропускної спроможності (підпис у режимі без з'єднання синхронізований).

Спостережувані результати: досягнута відповідність HDS та GDPR менше ніж за 6 місяців без додаткових IT-наймів, збережено приблизно 40 % у порівнянні з внутрішньо розміщеною інфраструктурою, та здатність реагувати на інституціональні запити на грант (AFD, Європейський союз), які вимагають сертифіката відповідності даних.

Сценарій 3: Асоціативна мережа, яка керує центрами громадської охорони здоров'я

Групування асоціацій, що об'єднує кілька центрів громадської охорони здоров'я (близько 8 000 активних пацієнтів), використовує програмне забезпечення спільного медичного файлу між різними сайтами. Координація між сайтами передбачає обміни даними про здоров'я через незахищену електронну пошту, у прямому порушенні базису HDS.

Асоціація розпочинає переробку своєї IT-системи за сприяння постачальника, сертифікованого HDS, впроваджує захищену медичну обмін повідомленнями (MSSanté) та дематеріалізує весь набір своїх форм допуску та згоди через платформу електронного підпису, конформну eIDAS. DPIA проводиться для кожної обробки з високим ризиком.

Спостережувані результати: нульові порушення даних, повідомлені CNIL протягом 18 місяців, що йдуть за забезпеченням відповідності (порівняно з двома мінорними інцидентами в попередньому періоді), середній час допуску скорочено на 35 %, та покращення коефіцієнта заповнення файлів пацієнтів на 22 % завдяки усуненню незавершених паперових форм.

Висновок

Активування відповідності HDS для даних про здоров'я у асоціативному та НДО-секторі — це не опція, зарезервована для великих лікувально-профілактичних структур: це законодавче обов'язання, яке застосовується до будь-якої сутності, незалежно від її розміру або юридичного статусу, як тільки вона розміщує або обробляє персональні дані про здоров'я. Невідання правової бази не звільняє від відповідальності.

Добра новина: структурований чотирирівневий підхід — картографія, перевірка постачальників, оновлення договірних умов, навчання — дозволяє досягти міцного рівня відповідності навіть з обмеженими ресурсами. Дематеріалізація згод та чутливих документів через сертифіковане рішення електронного підпису складає особливо ефективний важель для зменшення ризиків при одночасному поліпшенні операційної ефективності.

Certyneo пропонує платформу електронного підпису, конформну eIDAS, адаптовану до обмежень асоціативного сектору та розміщену на інфраструктурі, сертифікованій HDS. Зв'яжіться з нашою командою для безплатного аудиту вашої документальної ситуації та дізнайтеся, як безпечити ваші потоки даних про здоров'я сьогодні ж.