حماية الخصوصية الطبية عند مشاركة السجلات عبر الحدود

حدد كل مستلِم، وقلل السجلات، واستخدم نقلًا آمنًا، وأدر الموافقة والوصول والبيانات الوصفية والحذف عند مشاركة البيانات الصحية دوليًا.

النقاط الرئيسية

تُعد المعلومات الطبية والصحية معلومات شخصية حساسة بموجب قانون حماية المعلومات الشخصية الصيني (PIPL). وتتطلب معالجتها غرضًا محددًا وضرورة كافية وضمانات صارمة.[1]
قد يشمل «إرسال سجلاتي إلى الخارج» المستشفى المصدر والمنسق وشركة الترجمة والمنصة والمستشفى الخارجي وشركة التأمين والأسرة. حدد كل مستلِم ودوره.
استخدم الحد الأدنى الضروري من السجلات للغرض المعلن. يحتاج السائق إلى تعليمات الحركة، لا إلى تقرير علم الأمراض؛ وقد لا يحتاج مكتب التسعير إلى التاريخ النفسي الكامل.
تعتمد متطلبات الموافقة المنفصلة والنقل عبر الحدود على الجهة التي تعالج المعلومات وسبب المعالجة. اطلب من المؤسسة توضيح أساسها القانوني وآلية النقل؛ ولا تعتمد على خانة موافقة شاملة.[1][2]
شفّر الملفات، وأرسل كلمة المرور منفصلة، وحدد انتهاء صلاحية الرابط، وأكد الحذف أو الإعادة عند انتهاء المهمة. قد تتضمن بيانات DICOM والبيانات الوصفية للمستندات معلومات الهوية حتى عندما يبدو اسم الملف مجهول الهوية.[3]

الدليل الكامل

قد يعبر السجل عدة حدود دون أن يلاحظ المريض. يصدّر المستشفى ملف PDF إلى منسق، ويرسله المنسق إلى مترجم، وتُرفع الترجمة إلى مساحة تخزين سحابية، ويصل رابط إلى طبيب في الخارج، ثم يعيد أحد الأقارب توجيه الرابط إلى مجموعة عائلية.

قد تبدو كل خطوة مفيدة. لكنها مجتمعةً تنشئ نسخًا ومستلمين جددًا ومدد احتفاظ غير واضحة. تبدأ حماية الخصوصية برسم المسار قبل إرسال الملف.

أولًا، ارسم خريطة للأشخاص والأنظمة

أنشئ خريطة نقل بسيطة:

المستلِم أو النظام	الغرض	البيانات المطلوبة	يجوز له إعادة التوجيه إلى	ينتهي الوصول
المستشفى الصيني	المراجعة السريرية	السجل الطبي المتصل بالقرار	الفريق السريري المحدد بالاسم	وفق قواعد الاحتفاظ في المستشفى
المترجم	ترجمة تقارير مختارة	صفحات المصدر المختارة	المراجع المعتمد فقط	بعد التسليم وفحص الجودة
المنسق	ترتيب المراجعة	الفهرس والملفات الضرورية	جهة الاتصال المحددة بالاسم في المستشفى	عند انتهاء الخدمة
شركة التأمين	قرار التغطية	قائمة الأدلة الموثقة التي تطلبها	معالجي المطالبات	وفق الوثيقة والقانون
السائق أو الفندق	ترتيبات تيسير الوصول	الاسم والوقت واحتياجات الحركة	لا مستلِم سريري	بعد الخدمة

إذا عجز شخص عن توضيح سبب حاجته إلى ملف، فتوقف مؤقتًا. «للتيسير» ليس غرضًا طبيًا محددًا.

اعرف من يتولى معالجة البيانات

إرسال المريض نسخة يحتفظ بها شخصيًا إلى طبيب يختاره ليس الوضع التشغيلي نفسه الذي يصدّر فيه مستشفى سجلات عبر مورّد. قد يعمل كل من المستشفيات والوكالات والمنصات والمترجمين والمستلمين الخارجيين بوصفه معالجًا للمعلومات الشخصية أو معالجًا مفوضًا أو مستلمًا مستقلًا، حسب الترتيب.

بموجب PIPL، يتطلب تقديم المعلومات الشخصية إلى معالج آخر عمومًا إبلاغ الفرد بهوية المستلِم وبيانات اتصاله والغرض والطريقة وفئات المعلومات والحصول على موافقة منفصلة، ما لم ينطبق أساس قانوني آخر.[1] وتتطلب المعلومات الحساسة معلومات إضافية عن الضرورة والأثر، كما يخضع تقديمها عبر الحدود لمتطلبات أخرى.[1]

لا ينبغي أن يُطلب من المريض اختيار الآلية القانونية للمؤسسة. اطلب من جهة اتصال الخصوصية في المؤسسة بيان:

المسؤول عن النقل
الأساس القانوني للمعالجة والتصدير
المستلِم الخارجي والبلد أو المنطقة
الغرض وفئات البيانات وفترة الاحتفاظ
ما إذا كان متعاقدون من الباطن أو مزودو خدمات سحابية مشاركين
كيف يمكن للمريض ممارسة حقوقه لدى المستلِم الخارجي
آلية النقل عبر الحدود أو الإعفاء الذي تستند إليه

تعدّل قواعد الصين لعام 2024 بشأن البيانات العابرة للحدود الحالات التي تستلزم إجراءات التقييم الأمني أو العقد القياسي أو الاعتماد، وتشمل إعفاءات لبعض عمليات النقل الضرورية للعقود أو الطوارئ.[2] والإعفاء من آلية إيداع لا يعني السماح بتجاهل تقييد الغرض أو الأمن أو حقوق الفرد.

أرسل الحد الأدنى الضروري من السجلات

ابدأ بالقرار وأنشئ نسخة للمراجعة. احتفظ بأرشيف كامل للمصدر بصورة منفصلة.

أمثلة:

قد يحتاج الجرّاح الذي يقيّم قابلية الاستئصال إلى التصوير وعلم الأمراض والتاريخ الجراحي أو الطبي ذي الصلة، لا إلى كل ملاحظة عيادية خارجية غير ذات صلة.
لا يحتاج المترجم الذي يعمل على ملخص خروج إلى أرشيف DICOM بأكمله.
ينبغي أن تتلقى شركة التأمين البنود الواردة في طلبها الكتابي للأدلة، لا وصولًا غير محدود إلى البوابة.
قد يحتاج مقدم النقل إلى تفاصيل الكرسي المتحرك والمواعيد، لا إلى التشخيص.

الحد الأدنى الضروري لا يعني نقصًا سريريًا. اسأل الطبيب المستلِم عن المستندات التي تدعم مراجعة آمنة، ثم احذف فقط المواد غير المرتبطة فعلًا.

لا تطمس أو تعدّل نسخة المصدر الوحيدة مطلقًا. أنشئ ملفًا مشتقًا موسومًا نسخة مطموسة البيانات، وسجّل ما أُزيل واحتفظ بترتيب الصفحات. وللعلاج السريري، أفصح عن الطمس حتى يتمكن الفريق المستلِم من تحديد ما إذا كان يؤثر في التفسير.

ينبغي أن تكون الموافقة محددة بما يكفي لفهمها

يجيب الإشعار المفيد عن الأسئلة التالية:

ما المعلومات المستخدمة؟
لأي غرض؟
من يتلقاها؟
في أي بلد أو منطقة؟
كيف ستُنقل وتُخزّن؟
ما مدة بقائها متاحة؟
من يمكنه تلقيها لاحقًا؟
كيف يمكن للمريض سحب الموافقة حيثما ينطبق ذلك، أو طلب الوصول أو التصحيح، أو تقديم شكوى؟

تجنب الإذن الواحد الذي يجمع بين المراجعة السريرية والتسويق والبحث والشهادات الترويجية والاحتفاظ غير المحدد بالبيانات. فهذه أغراض مختلفة.

ليست الموافقة دائمًا الأساس القانوني الوحيد. يعترف PIPL أيضًا بالمعالجة الضرورية لإبرام عقد يكون الفرد طرفًا فيه أو تنفيذه، والمعالجة الطارئة الضرورية لحماية الحياة أو الصحة أو الممتلكات.[1] ينبغي للمؤسسة توثيق الأساس الذي تستخدمه فعلًا بدلًا من جمع توقيع بحكم العادة ثم استخدام البيانات على نطاق أوسع.

اختر قناة نقل مزودة بضوابط

فضّل بوابة المستشفى المستلِم أو خدمة نقل مشفرة معتمدة من المؤسسة. إذا تعيّن إرسال الملفات كأرشيف مشفر:

استخدم تشفيرًا قويًا، وليس مجرد إعادة تسمية امتداد ZIP
أرسل كلمة المرور عبر قناة أخرى
اقصر الرابط على المستلمين المحددين بالاسم حيثما أمكن
اشترط تسجيل الدخول والمصادقة متعددة العوامل
حدد أقصر مدة صلاحية عملية
عطّل الفهرسة العامة وإعادة المشاركة المجهولة
احتفظ بسجل للرفع والتنزيل
تحقق من المجموع الاختباري أو عدد الملفات في عمليات النقل الكبيرة
احذف النسخ المحلية والسحابية المؤقتة بعد التحقق من الاستلام، مع مراعاة الاحتفاظ الإلزامي

قد يكون البريد الإلكتروني والدردشة العاديان مريحين، لكن يصعب ضبط إعادة التوجيه والنسخ الاحتياطية واختراق الحسابات. إذا وافق المستشفى على قناة كهذه، فاسأل كيف تُدار الهوية والوصول والاحتفاظ.

لا تستخدم حسابًا عائليًا مشتركًا لبوابة المريض. يمنح رمز تحقق لمرة واحدة أو رقم تعريف شخصي للدفع أو كلمة المرور الرئيسية وصولًا أوسع من رابط تقرير واحد.

الهوية المخفية داخل الملفات

إزالة الاسم من الصفحة المرئية أو اسم الملف ليست بالضرورة إزالةً للهوية.

قد تحتوي ملفات PDF والملفات المكتبية على أسماء المؤلفين وسجل التعديلات والتعليقات والمرفقات المضمنة. وقد تحمل الصور الفوتوغرافية بيانات وصفية عن الموقع والجهاز. تتضمن كائنات DICOM سمات المريض والفحص، وقد يكون النص مثبتًا داخل بكسلات الصورة.[3]

عندما يتطلب الغرض إزالة الهوية، مثل البحث أو التدريس أو مراجعة خارجية معماة، استخدم سير عمل مؤهلًا يتوافق مع قواعد المؤسسة المستلِمة. ثم اختبر ما إذا كان لا يزال بالإمكان ربط مجموعة البيانات بصورة متسقة بين الملفات دون كشف معرّفات مباشرة.

في الرعاية المباشرة، قد تؤدي إزالة الهوية المفرطة إلى خطر في مطابقة المريض. قد يحتاج المستشفى إلى الاسم وتاريخ الميلاد ورقم المريض لمنع إلحاق السجلات بالشخص الخطأ. اتبع إجراءه المضبوط لمطابقة الهوية.

امنح المترجمين والمنسقين وصولًا محدودًا

ينبغي أن تحدد اتفاقية الخدمة:

الكيان القانوني والأفراد المخولين بالوصول بأسمائهم
الملفات المحددة والغرض
ما إذا كان التنزيل المحلي مسموحًا
استخدام الترجمة الآلية أو خدمات الذكاء الاصطناعي ومكان معالجة البيانات
حظر التعاقد من الباطن أو شروطه
متطلبات السرية والأمن
تاريخ الاحتفاظ والإعادة والحذف
مسار الإبلاغ عن الحوادث
حظر استخدام قصة المريض أو صورته أو بياناته للتسويق أو تدريب النماذج دون إذن منفصل

يلزم PIPL المعالجين المفوضين بالعمل ضمن الغرض والطريقة المتفق عليهما وإعادة المعلومات أو حذفها عند انتهاء الترتيب؛ ويتطلب التفويض اللاحق إذنًا من المعالج الأصلي.[1]

اطلب عينة ترجمة باستخدام بيانات وهمية قبل إرسال سجلات شديدة الحساسية. لا ترفع سجلات قابلة لتحديد الهوية إلى أداة مجانية للترجمة أو التلخيص عبر الإنترنت لمجرد سرعتها.

وصول الأسرة يظل مشاركةً للبيانات

يرغب المرضى غالبًا في مساعدة الزوج أو الزوجة أو أحد الأبناء البالغين. حدد ما يُسمح لذلك الشخص بفعله:

عرض المواعيد فقط
تلقي الفواتير
الوصول إلى التقارير السريرية
التحدث مع الأطباء
الإذن بإفصاحات إضافية
اتخاذ القرارات إذا كان ذلك مناسبًا قانونيًا

استخدم خاصية الوكيل أو وصول الأسرة في المستشفى حيثما توفرت. لا تفترض أن القرابة تسمح بإفصاح غير محدود. إذا سحب المريض وصول الأسرة لاحقًا، فحدّث المستشفى والمنسق والمجلدات المشتركة ومجموعات المراسلة، لا كلمة مرور واحدة فقط.

تتطلب سجلات الأطفال عناية خاصة. يعامل PIPL معلومات الأطفال دون 14 عامًا بوصفها حساسة، ويشترط موافقة أحد الوالدين أو الوصي عند معالجتها على أساس الموافقة.[1]

تستلزم الوراثة والصحة الإنجابية والصحة النفسية تفكيرًا إضافيًا

تكشف بعض السجلات معلومات عن الأقارب إلى جانب المريض. قد تشير نتائج الاختبارات الجينية للخط الجنسي إلى خطر عائلي. ويمكن أن تسبب سجلات الإنجاب والأمراض المعدية والصحة الجنسية والنفسية أذى اجتماعيًا إضافيًا إذا أسيء استخدامها.

قبل المشاركة، اسأل إن كان التقرير بأكمله ضروريًا، وإن كان يمكن تقليل أسماء أفراد الأسرة، وإن كان ملخص من اختصاصي سيدعم القرار. لا تحجب معلومات مؤثرة سريريًا عن الفريق المعالج، لكن لا ترسلها تلقائيًا إلى الفنادق أو وكالات السفر أو الإداريين العامين.

احتفظ بمسار تدقيق يستطيع المريض قراءته

احتفظ بسجل نقل يتضمن:

التاريخ والوقت
المرسل والمستلِم
الغرض
أسماء الملفات وإصدارها
القناة وانتهاء صلاحية الرابط
الإذن أو الأساس القانوني الذي سجلته المؤسسة
تأكيد الاستلام
الإفصاح عن إعادة التوجيه أو المتعاقدين من الباطن
تأكيد الحذف أو الإعادة

ليست هذه بيروقراطية لذاتها. إذا أُرسلت نسخة خاطئة أو تسرّب رابط، يبين السجل موضع احتواء المشكلة.

مارس الحقوق دون الإضرار بالسجل الطبي

يمنح PIPL الأفراد حقوق معرفة المعالجة والبت فيها، ومع مراعاة الشروط القانونية، الوصول إلى المعلومات الشخصية أو نسخها وتصحيحها وطلب حذفها.[1]

اسأل جهة اتصال الخصوصية عن كيفية:

الحصول على نسخة من البيانات المحتفظ بها
تصحيح خطأ في الهوية أو بيانات الاتصال
تقييد المشاركة الاختيارية أو إنهائها
إزالة وصول منسق سابق
طلب الحذف عند استيفاء الشروط القانونية
الاعتراض على مطابقة آلية غير دقيقة
تقديم شكوى إلى المؤسسة أو الجهة التنظيمية

لا تعني حقوق الحذف أن المستشفى ملزم بمحو السجلات التي يفرض القانون الاحتفاظ بها. وقد يستطيع المريض بدلًا من ذلك إيقاف إفصاح اختياري مع بقاء السجل الطبي الأصلي محفوظًا.

إذا وصل رابط أو ملف إلى الشخص الخطأ

تصرف فورًا:

ألغِ الرابط أو جلسة الحساب.
اتصل بالمستلِم غير المقصود واطلب الحذف دون مزيد من الفتح أو إعادة التوجيه.
أخطر جهة اتصال الخصوصية أو الأمن في المؤسسة المرسِلة.
حدد بدقة الملفات والمعرّفات والفترة الزمنية التي انكشفت.
أعد تعيين كلمات المرور المخترقة وأنهِ الجلسات النشطة.
احتفظ بسجل التدقيق ومرجع الحادثة.
اسأل عن تقييم المخاطر والإخطار والمعالجة التي ستلي ذلك.

لا تحذف أدلة الحادثة قبل أن يسجلها فريق الأمن المسؤول. إذا شمل الأمر معلومات الهوية المالية أو جواز السفر أو الحساب، فراقب إساءة الاستخدام واتبع الإرشادات الرسمية لحماية الهوية أو المدفوعات.

فحص للخصوصية قبل كل إرسال

التحقق من هوية المستلِم عبر قناة مستقلة
بيان الغرض السريري أو الإداري
اختيار الحد الأدنى الضروري من الملفات
حفظ الأرشيف الأصلي
فهم الصفحات الحساسة والبيانات الوصفية المضمنة
توثيق إشعار المريض وموافقته أو الأساس الآخر من جانب المؤسسة المسؤولة
تأكيد آلية النقل عبر الحدود أو الإعفاء حيثما ينطبق
ضبط القناة الآمنة وانتهاء الوصول
إرسال كلمة المرور منفصلة
الإفصاح عن إعادة التوجيه والمتعاقدين من الباطن
تأكيد الاستلام
تسجيل تاريخ الحذف أو الإعادة

إخلاء مسؤولية قانوني وطبي: يقدم هذا الدليل معلومات عامة عن الخصوصية والأمن، وليس مشورة قانونية. تعتمد التزامات البيانات العابرة للحدود على المؤسسات والبيانات والغرض والحجم والموقع والقواعد السارية. ينبغي للمستشفيات ومقدمي الخدمات الحصول على مشورة مؤهلة في الصين وبلد الوجهة؛ وينبغي ألا يؤخر المرضى رعاية الطوارئ بسبب الإجراءات الإدارية.

المستشفيات ذات الصلة

اطلب من كل مستشفى جهة اتصال الخصوصية وقنوات الرفع المعتمدة وإشعار المستلِم الخارجي وسياسة الاحتفاظ وإجراء وصول الوكيل والتصحيح والإبلاغ عن الحوادث.

العلاجات ذات الصلة

يمكن أن تتضمن الاختبارات الجينومية ورعاية الخصوبة والرعاية النفسية وعلاج الأمراض المعدية ومراجعة الأمراض النادرة معلومات شديدة الحساسية أو مرتبطة بالأسرة تستحق خطة إفصاح محدودة.

أدلة ذات صلة

الأسئلة الشائعة

هل إرسال المريض سجلاته الخاصة بالبريد الإلكتروني إلى الخارج غير قانوني؟

لا تطرح هذه المقالة هذا الادعاء الشامل. تختلف الالتزامات القانونية بين فرد يرسل نسخته الخاصة ومؤسسة أو منصة تصدّر البيانات. وتظل مخاطر الخصوصية قائمة، لذا استخدم المسار الآمن للمستشفى المستلِم واحصل على مشورة خاصة بالحالة عند الحاجة.

هل يتيح توقيع نموذج موافقة واحد لكل مقدم خدمة استخدام سجلي؟

ليس من الآمن افتراض ذلك. ينبغي الإفصاح تحديدًا عن المستلمين والأغراض وفئات البيانات وعمليات النقل اللاحقة، ويشترط PIPL موافقة منفصلة لبعض أنشطة المشاركة والمعلومات الحساسة ما لم ينطبق أساس قانوني آخر.[1]

هل يكفي ملف ZIP محمي بكلمة مرور؟

إنه أحد الضوابط، وليس نظامًا كاملًا. تحقق أيضًا من المستلِم، واستخدم تشفيرًا قويًا، وأرسل كلمة المرور منفصلة، وقيّد الوصول، وحدد انتهاء الصلاحية، وأكد الحذف.

هل يمكنني إزالة اسمي من ملفات DICOM بنفسي؟

إعادة تسمية الملفات غير فعالة لأن DICOM يحتوي على سمات مضمنة.[3] في الرعاية المباشرة، حافظ على مطابقة آمنة للهوية؛ وللاستخدام منزوع الهوية، استخدم إجراءً مؤهلًا تطلبه المؤسسة.

هل يمكنني أن أطلب من المستشفى حذف سجلي الطبي؟

للأفراد حقوق حذف وفق شروط قانونية محددة، لكن قد تكون على المستشفيات واجبات قانونية للاحتفاظ. اطلب من المستشفى التمييز بين الاحتفاظ بالسجل الأصلي والمشاركة الاختيارية أو نسخ الأطراف الثالثة.[1][4]

حماية خصوصيتك الطبية عند مشاركة السجلات دوليًا