Conformité HDS cho dữ liệu sức khỏe: hướng dẫn cho các tổ chức và ONG

Các tổ chức từ thiện, các ONG nhân đạo, các cơ sở y tế - xã hội phi lợi nhuận có chung một điểm thường bị đánh giá thấp: ngay khi chúng xử lý hoặc lưu trữ dữ liệu sức khỏe có tính cách nhân cách, chúng nằm trong khung pháp lý lưu trữ dữ liệu sức khỏe (HDS). Tuy nhiên, lĩnh vực này tích tụ sự chậm trễ về cấu trúc trong tuân thủ, do thiếu nguồn lực IT nội bộ chuyên dụng và nhận thức chưa đủ. Bài viết này hướng dẫn bạn từng bước để hiểu được những gì sự chứng thực HDS kéo theo, xác định các nghĩa vụ thực tế của bạn và kích hoạt sự tuân thủ có thể hoạt động được — ngay cả với một đội IT hạn chế.

Chứng thực HDS là gì và tại sao các tổ chức chúng ta lại bị ảnh hưởng?

Định nghĩa pháp lý về dữ liệu sức khỏe

Theo RGPD (điều 4, §15), dữ liệu sức khỏe là các dữ liệu cá nhân liên quan đến sức khỏe thể chất hoặc tâm thần của một người, tiết lộ thông tin về tình trạng sức khỏe của họ. Định nghĩa này được có ý đặt rộng. Nó không chỉ bao gồm các hồ sơ y tế theo nghĩa lâm sàng, mà còn:

• Dữ liệu người được hưởng lợi được thu thập trong các chiến dịch sàng lọc
• Thông tin về khuyết tật được khai báo trong các hồ sơ trợ giúp xã hội
• Dữ liệu dinh dưỡng hoặc sức khỏe tâm thần thu thập trong bối cảnh hỗ trợ tâm lý xã hội
• Kết quả thử nghiệm hoặc đánh giá y tế trong khuôn khổ các chương trình nhân đạo

Một tổ chức chống lại bệnh nghiện, một mạng lưới hỗ trợ người cao tuổi phụ thuộc hoặc một ONG quản lý các cuộc tư vấn y tế tại địa phương đều thu thập dữ liệu nằm trong danh mục này.

Thiết bị HDS: nghĩa vụ pháp lý, không phải tùy chọn

Luật số 2016-41 của ngày 26 tháng 1 năm 2016 (luật hiện đại hóa hệ thống y tế) đã thiết lập nghĩa vụ lưu trữ được chứng thực HDS cho bất kỳ thực thể nào lưu trữ dữ liệu sức khỏe cá nhân cho tài khoản của bên thứ ba — bao gồm các tổ chức và ONG. Tiêu chuẩn chứng thực, được xác định bởi sắc lệnh số 2018-137 ngày 26 tháng 2 năm 2018, làm rõ các hoạt động được bao gồm và các yêu cầu kỹ thuật và tổ chức phải thỏa mãn.

Trái ngược với một ý tưởng sai lầm, miễn trừ không áp dụng chỉ vì là cơ sở phi lợi nhuận. Những gì quan trọng là bản chất của dữ liệu được xử lý và thực tế là lưu trữ được thực hiện cho tài khoản của bên thứ ba (bác sỹ, bệnh nhân, cơ sở đối tác).

Sáu hoạt động HDS và phạm vi của chúng đối với các cơ sở liên kết

Chứng thực HDS bao gồm sáu hoạt động riêng biệt, được tổ chức thành hai khối:

Khối cơ sở hạ tầng (hoạt động 1 đến 3)

• Hoạt động 1: Cung cấp và duy trì ở tình trạng hoạt động các địa điểm vật lý (datacenters)
• Hoạt động 2: Cung cấp và duy trì ở tình trạng hoạt động cơ sở hạ tầng phần cứng
• Hoạt động 3: Cung cấp và duy trì ở tình trạng hoạt động cơ sở hạ tầng ảo

Khối phần mềm và dịch vụ được quản lý (hoạt động 4 đến 6)

• Hoạt động 4: Cung cấp và duy trì ở tình trạng hoạt động nền tảng lưu trữ ứng dụng
• Hoạt động 5: Quản trị và khai thác hệ thống thông tin sức khỏe
• Hoạt động 6: Sao lưu ngoài của dữ liệu sức khỏe

Đối với một tổ chức, các hoạt động được đề cập đến nhiều nhất là hoạt động 4 đến 6, đặc biệt là khi nó sử dụng giải pháp SaaS bên thứ ba để quản lý các hồ sơ người được hưởng lợi của mình hoặc khi nó ngoài thầu sao lưu các cơ sở dữ liệu của mình. Do đó, điều cần thiết là xác minh rằng mọi nhà cung cấp SaaS hoặc cloud xử lý dữ liệu sức khỏe của bạn được chứng thực HDS đúng cách cho các hoạt động tương ứng.

Trong bối cảnh này, việc sử dụng giải pháp ký điện tử trong lĩnh vực sức khỏe được chứng thực HDS cho phép bảo mật các luồng tài liệu nhạy cảm — sự đồng ý sáng suốt, mẫu đơn nhập viện, đơn thuốc số hóa — mà không tiếp xúc với tổ chức liên kết với rủi ro không tuân thủ.

Làm thế nào để kích hoạt thực tế sự tuân thủ HDS trong tổ chức của bạn?

Bước 1: Lập bản đồ các xử lý dữ liệu sức khỏe của bạn

Trước bất kỳ biện pháp kỹ thuật nào, cần phải tiến hành kiểm kê chính xác của tất cả các xử lý liên quan đến dữ liệu sức khỏe. Bài tập này được quy định trực tiếp trong nghĩa vụ lưu giữ sổ đăng ký các xử lý được quy định bởi điều 30 của RGPD.

Đối với mỗi xử lý, hãy lập tài liệu:

• Bản chất của dữ liệu được thu thập (danh mục đặc biệt theo nghĩa RGPD)
• Mục đích của xử lý
• Người nhận và các nhà xử lý dữ liệu phụ
• Các phương tiện lưu trữ (máy chủ nội bộ, cloud, SaaS)
• Các biện pháp bảo mật đang có

Bản đồ này cho phép bạn nhanh chóng xác định các khu vực rủi ro và các nhà cung cấp dịch vụ cần kiểm toán.

Bước 2: Kiểm toán các nhà cung cấp dịch vụ của bạn và yêu cầu chứng thực

Chứng thực HDS được cấp bởi các cơ quan được công nhân bởi COFRAC (Ủy ban Pháp về công nhân). Bạn có thể xác minh tình trạng chứng thực của nhà lưu trữ trên trang web của ANS (Cơ quan Kỹ thuật số Sức khỏe), nơi lưu giữ danh sách công khai của các nhà lưu trữ được chứng thực HDS.

Yêu cầu một cách có hệ thống từ các nhà cung cấp dịch vụ của bạn:

• Bản sao chứng chỉ HDS hiện hành
• Phạm vi chính xác của các hoạt động được bao gồm
• Các điều khoản hợp đồng cụ thể về bảo vệ dữ liệu sức khỏe

Đừng chỉ hài lòng với một tuyên bố ý định: chứng thực phải có thể xác minh được và cập nhật.

Bước 3: Cập nhật các hợp đồng và DPA của bạn

Điều 28 của RGPD quy định việc kết luận Thỏa thuận Xử lý Dữ liệu (DPA) với bất kỳ nhà xử lý dữ liệu phụ nào xử lý dữ liệu cá nhân cho tài khoản của bạn. Trong bối cảnh HDS, DPA này phải được bổ sung bằng các khoản mục cụ thể bao gồm:

• Các cam kết về bảo mật được tăng cường
• Các nghĩa vụ thông báo sự cố trong vòng 72 giờ
• Các điều kiện hoàn trả và xóa dữ liệu
• Vị trí dữ liệu (phải nằm trên lãnh thổ EEE hoặc trong một quốc gia được hưởng quyết định tính đầy đủ)

Một số tổ chức vẫn sử dụng mẫu đơn giấy để thu thập sự đồng ý của người được hưởng lợi của họ. Số hóa các quy trình này thông qua giải pháp ký điện tử phù hợp cho phép đánh dấu thời gian và xác thực các sự đồng ý, tạo ra bằng chứng có giá trị pháp lý.

Bước 4: Đào tạo các đội của bạn và chỉ định người tham chiếu tuân thủ

Sự tuân thủ HDS không phải là một dự án một lần: nó là một quá trình liên tục. Chỉ định một người tham chiếu nội bộ (có thể là DPO của bạn nếu bạn có, phù hợp với nghĩa vụ quy định tại điều 37 của RGPD đối với các tổ chức xử lý dữ liệu sức khỏe ở quy mô lớn) và lên kế hoạch các phiên nhạy cảm thường xuyên cho các đội tiếp xúc với dữ liệu nhạy cảm.

Theo một nghiên cứu được CNIL công bố vào năm 2024, hơn 60% các vi phạm dữ liệu sức khỏe được thông báo liên quan đến lỗi của con người (gửi đến người nhận sai, thiếu mã hóa). Do đó, đào tạo là một công cụ giảm rủi ro cũng quan trọng như các biện pháp kỹ thuật.

Những vấn đề cụ thể đối với lĩnh vực liên kết: nguồn lực hạn chế và ràng buộc ngân sách

Nghịch lý của dữ liệu nhạy cảm và ngân sách hạn chế

Các tổ chức và ONG thấy mình ở một vị trí đặc biệt: chúng thường quản lý dữ liệu nhạy cảm nhất (tình trạng sức khỏe của những người dễ bị tổn thương, người tị nạn, trẻ em không có người bảo vệ) với các phương tiện nhân lực và tài chính thấp hơn nhiều so với lĩnh vực bệnh viện hoặc công ty sức khỏe tư nhân.

Thực tế này áp đặt việc áp dụng một chiến lược tuân thủ thực tế và có ưu tiên. Theo các khuyến nghị của ANS, một phương pháp ba pha thường được khuyên dùng cho các cơ sở vừa và nhỏ:

1. Giai đoạn khẩn cấp (0-3 tháng): xác định và trung hòa các rủi ro quan trọng (nhà lưu trữ không được chứng thực, thiếu mã hóa)
2. Giai đoạn củng cố (3-12 tháng): cập nhật hợp đồng, triển khai công cụ phù hợp, đào tạo
3. Giai đoạn trưởng thành (12-24 tháng): kiểm toán nội bộ, kế hoạch liên tục, xem xét hàng năm các xử lý

Vai trò của chữ ký điện tử trong sự tuân thủ HDS liên kết

Số hóa các tài liệu nhạy cảm là một công cụ thường bị khai thác không đủ bởi lĩnh vực liên kết. Tuy nhiên, thay thế các mẫu đơn giấy bằng các quy trình ký điện tử được xác nhận hoặc nâng cao có một số lợi thế:

• Khả năng truy tìm: mỗi chữ ký được đánh dấu thời gian và được liên kết với một danh tính được xác minh, giúp dễ dàng chứng minh tính hợp pháp của xử lý
• Giảm rủi ro lỗi: ít hơn xử lý tài liệu nhạy cảm theo cách thủ công
• Lưu trữ an toàn: các tài liệu ký điện tử có thể được lưu giữ trong một kho tiền tệ kỹ thuật số được chứng thực

Để tìm hiểu thêm về các tiêu chí lựa chọn một giải pháp thích hợp cho cơ sở của bạn, vui lòng tham khảo so sánh các giải pháp ký điện tử của chúng tôi, chi tiết những khác biệt giữa các đề xuất thị trường về tuân thủ HDS và eIDAS.

Các tổ chức đã sử dụng một công cụ quản lý nhân sự hoặc quản lý hồ sơ người được hưởng lợi thường có lợi khi xác minh xem giải pháp hiện tại của họ có tích hợp sẵn ký điện tử phù hợp không. Hướng dẫn của chúng tôi về ký điện tử trong doanh nghiệp giải quyết các tiêu chí tích hợp này chi tiết.

Cuối cùng, nếu bạn đã triển khai một giải pháp ký nhưng muốn chuyển sang nhà cung cấp được chứng thực HDS, đề xuất di cư của chúng tôi cho phép bạn chuyển dữ liệu và quy trình công việc của mình mà không bị gián đoạn dịch vụ.

Khung pháp lý áp dụng cho lưu trữ dữ liệu sức khỏe cho các tổ chức và ONG

Các văn bản sáng lập của khung HDS

Quy định Pháp về lưu trữ dữ liệu sức khỏe dựa trên một tập hợp các văn bản mà sự thành thạo là không thể thiếu đối với bất kỳ tổ chức nào xử lý dữ liệu y tế hoặc y tế - xã hội.

Luật số 2016-41 của ngày 26 tháng 1 năm 2016 (luật hiện đại hóa hệ thống y tế): nó đã ghi vào Bộ luật Sức khỏe Công cộng (điều L. 1111-8) nghĩa vụ sử dụng nhà lưu trữ được chứng thực HDS cho bất kỳ người vật lý hoặc pháp nhân nào lưu trữ dữ liệu sức khỏe cá nhân cho tài khoản của những người bị ảnh hưởng hoặc các thực thể xử lý chúng.

Sắc lệnh số 2018-137 của ngày 26 tháng 2 năm 2018: nó làm rõ các hoạt động phải được chứng thực, các phương thức cấp và rút lại chứng thực, cũng như các yêu cầu áp dụng cho các cơ quan cấp chứng thực (công nhân COFRAC bắt buộc).

Quyết định của ngày 8 tháng 8 năm 2017: nó thiết lập tiêu chuẩn bảo mật áp dụng cho các hệ thống thông tin sức khỏe, phục vụ như nền tảng kỹ thuật để đánh giá HDS.

Bố cục với RGPD

Quy định (EU) 2016/679 (RGPD) tạo thành khung chung để bảo vệ dữ liệu cá nhân. Các quy định của nó áp dụng cộng với các yêu cầu HDS:

• Điều 9: dữ liệu sức khỏe là các danh mục đặc biệt của dữ liệu mà xử lý bị cấm về nguyên tắc, ngoài các ngoại lệ được liệt kê (sự đồng ý rõ ràng, cần thiết cho chăm sóc sức khỏe, lợi ích công cộng, v.v.)
• Điều 28: bất kỳ sử dụng nhà xử lý dữ liệu phụ lưu trữ dữ liệu sức khỏe phải phải được hợp đồng hoá bằng văn bản chi tiết (DPA)
• Điều 32: tổ chức được yêu cầu triển khai các biện pháp kỹ thuật và tổ chức thích hợp (mã hóa, giả danh, kiểm soát truy cập)
• Điều 33: bất kỳ vi phạm dữ liệu sức khỏe phải được thông báo cho CNIL trong vòng 72 giờ
• Điều 35: Phân tích Tác động liên quan đến Bảo vệ Dữ liệu (AIPD) là bắt buộc ngay khi xử lý có khả năng gây ra rủi ro cao đối với quyền của những người

Rủi ro pháp lý trong trường hợp không tuân thủ

Việc không tuân thủ khung HDS tiếp xúc tổ chức với một số mức độ trừng phạt:

• Trừng phạt hành chính CNIL: lên đến 20 triệu euro hoặc 4% doanh thu hàng năm toàn cầu (điều 83, §5 của RGPD) đối với các vi phạm nghiêm trọng nhất. Đối với các tổ chức, CNIL đánh giá số tiền dựa trên các nguồn lực có sẵn, nhưng các trừng phạt mang tính biểu tượng nhưng công khai đã được tuyên bố chống lại các cơ sở nhỏ.
• Trách nhiệm pháp lý hình sự: điều 226-13 của Bộ luật Hình sự quy định lên đến một năm tù và 15.000 euro phạt vì vi phạm bí mật y tế.
• Trách nhiệm dân sự: những người được hưởng lợi bị mất quyền có thể làm chủ trách nhiệm của tổ chức dựa trên cơ sở các điều 1240 trở đi của Bộ luật Dân sự trong trường hợp thiệt hại có thể chứng minh được.
• Tạm ngừng công nhân: các tổ chức được công nhân bởi các cơ quan công cộng (ARS, hội đồng bộ) có thể bị cấp lại công nhân của họ trong trường hợp vi phạm nghiêm trọng bảo vệ dữ liệu sức khỏe.

Cũng cần lưu ý rằng chỉ thị NIS2 (chỉ thị UE 2022/2555, được chuyển tiếp pháp lý vào Pháp bằng luật số 2024-449 ngày 21 tháng 5 năm 2024) mở rộng các nghĩa vụ an ninh mạng đến một phổ rộng hơn của các thực thể, có khả năng bao gồm một số tổ chức lớn quản lý cơ sở hạ tầng quan trọng của sức khỏe.

Các kịch bản sử dụng: sự tuân thủ HDS trong thực hành đối với các tổ chức và ONG

Kịch bản 1: Một tổ chức hỗ trợ tại nhà quản lý 500 hồ sơ người được hưởng lợi

Một tổ chức can thiệp với những người cao tuổi phụ thuộc ở nhiều bộ quản lý khoảng 500 hồ sơ hoạt động bao gồm thông tin về các bệnh lý, đơn thuốc hiện hành và đánh giá phụ thuộc (lưới GIR). Dữ liệu này được lưu trữ trong phần mềm quản lý tổ chức được lưu trữ bởi nhà cung cấp cloud không được chứng thực HDS.

Sau một kiểm toán nội bộ được kích hoạt bởi yêu cầu truy cập của một người được hưởng lợi, tổ chức xác định sự không tuân thủ này. Nó bắt đầu di cư đến nhà lưu trữ được chứng thực HDS cho các hoạt động 4 và 5, kết luận DPA phù hợp với nhà cung cấp phần mềm của nó và triển khai giải pháp ký điện tử để số hóa các mẫu đơn sự đồng ý và các kế hoạch trợ giúp cá nhân.

Kết quả quan sát được: giảm 70% thời gian xử lý sự đồng ý (từ trung bình 12 ngày ở định dạng giấy xuống dưới 4 ngày), loại bỏ hoàn toàn rủi ro liên quan đến mất hoặc gửi sai tài liệu giấy, và có được bảo vệ bảo hiểm mạng được tăng cường nhờ sự tuân thủ được tài liệu hóa.

Kịch bản 2: Một ONG quốc tế phối hợp các sứ mệnh y tế tại địa phương

Một ONG chuyên về chăm sóc y tế khẩn cấp thu thập, trong khuôn khổ các sứ mệnh của nó, dữ liệu sức khỏe trên các dân số người được hưởng lợi ở nhiều quốc gia, bao gồm dữ liệu được truyền đến máy chủ tập trung ở Pháp. Nhóm IT bao gồm hai người tình nguyện.

Đối mặt với không khả năng duy trì cơ sở hạ tầng nội bộ được chứng thực HDS, ONG chọn kiến trúc 100% SaaS với nhà lưu trữ được chứng thực HDS bao gồm các hoạt động 1 đến 6. Nó thiết lập một quy trình ký điện tử cho các giao thức y tế và các mẫu đơn sự đồng ý thích ứng với các khu vực kết nối yếu (ký ở chế độ ngoài tuyến đồng bộ hóa).

Kết quả quan sát được: sự tuân thủ HDS và RGPD đạt được trong vòng 6 tháng mà không cần tuyển dụng IT bổ sung, tiết kiệm ước tính 40% so với cơ sở hạ tầng được lưu trữ tại chỗ, và khả năng đáp ứng các yêu cầu dự án của tổ chức (AFD, Liên minh Châu Âu) yêu cầu chứng thực tuân thủ dữ liệu.

Kịch bản 3: Một mạng lưới tổ chức quản lý các trung tâm sức khỏe cộng đồng

Một nhóm tổ chức liên bang các trung tâm sức khỏe cộng đồng (khoảng 8.000 bệnh nhân hoạt động) sử dụng phần mềm hồ sơ bệnh nhân được chia sẻ giữa các trang khác nhau. Sự phối hợp giữa các trang liên quan đến trao đổi dữ liệu sức khỏe bằng email không an toàn, vi phạm trực tiếp tiêu chuẩn HDS.

Tổ chức bắt đầu sửa chữa hệ thống thông tin của nó với sự hỗ trợ của nhà cung