خصوصية المرضى في البر الرئيسي لدبي: دليل شامل

يطلب مريضٌ من عيادة في دبي نسخة من ملفه. وتطلب شركة تأمين من العيادة ذاتها الملاحظات السريرية المؤيدة لمطالبة. ويطلب مكتب رئيسي لمجموعة في أوروبا ترحيل قاعدة البيانات بأكملها إلى نظام سجلات جديد. ثلاثة طلبات، وثلاث إجابات مختلفة — والمنشأة التي تتعامل معها بالطريقة ذاتها ستُخطئ حتماً في إحداها.

تخضع معلومات المرضى في البر الرئيسي لدبي لأكثر من منظومة قواعد في آنٍ واحد: قانون حماية البيانات الاتحادي، وقواعد القطاع الصحي بشأن الأماكن التي يجوز الاحتفاظ بالسجلات الطبية فيها ومتى يجوز إخراجها من الدولة، والشروط التي تفرضها هيئة الصحة بدبي على ترخيص المنشأة. ويبيّن هذا الدليل ما يقتضيه كل مستوى من هذه المستويات، ومن يجوز له قانوناً الاطلاع على سجل المريض، وما يجب فعله عندما يقع خلل ما.

القواعد المنطبقة، وعلى من تنطبق

تخضع معالجة البيانات الشخصية على المستوى الاتحادي للمرسوم بقانون اتحادي رقم (45) لسنة 2021، قانون حماية البيانات الشخصية. وتُعامَل البيانات الصحية باعتبارها بيانات حساسة، مما يعني أن الأسس المشروعة للتعامل معها أضيق وأن مستوى الحماية الأمنية المتوقع لها أعلى مقارنةً ببيانات الأعمال العادية.

وفوق ذلك، تُقيّد قواعد القطاع الصحي الأماكن التي يجوز تخزين بيانات المرضى الناشئة في دولة الإمارات ومعالجتها فيها، وتَحُدّ من إرسالها إلى خارج الدولة دون إذن الجهة الصحية المختصة. وهذا هو الاشتراط الأكثر إغفالاً، لأنه لا يتولد عن قرار بمشاركة البيانات — بل يتولد عن قرار يتعلق بمكان استضافتها.

تُرخّص هيئة الصحة بدبي المنشآت والمهنيين العاملين في البر الرئيسي وتفرض شروطها الخاصة بالسجلات الطبية من خلال ذلك الترخيص: ما يجب أن يتضمنه السجل، ومدة الاحتفاظ به، وكيفية تأمينه، وكيفية تسليمه إذا أُغلقت المنشأة أو تغيّرت ملكيتها.

وتبرز نقطتان تتعلقان بالاختصاص القضائي. فمدينة دبي للرعاية الصحية منطقة حرة لها جهتها التنظيمية الصحية الخاصة، وبالتالي فإن المنشأة العاملة فيها لا تخضع لقواعد الجهة المختصة في البر الرئيسي. كما يدير كلٌّ من مركز دبي المالي العالمي (DIFC) وسوق أبوظبي العالمي (ADGM) نظاميهما الخاصين لحماية البيانات بجهاتهما التنظيمية المستقلة، بحيث تكون المجموعة التي لديها كيان في أيٍّ من المركزين ملتزمةً بأكثر من معيار في الوقت ذاته.

ما الذي يُعد بيانات مرضى

كل ما يُعرّف بشخصية المريض وكل ما يرتبط بتلك الهوية: السجل الطبي، وملاحظات الاستشارات، والتشخيصات، والوصفات الطبية، ونتائج المختبرات والأشعة، وملفات التأمين والمطالبات، وسجلات الفواتير، والمعلومات الوراثية والبيومترية، وسجلات المواعيد والمراسلات الموجودة في نظام إدارة العيادة. وتُعد الصور الملتقطة لأغراض سريرية وتسجيلات الاستشارات الطبية عن بُعد جزءاً من السجل أيضاً، وكثيراً ما تُترك خارج الضوابط الأمنية المطبقة على كل ما سواها.

القواعد الأساسية للتعامل معها

• اجمع البيانات لغرض محدد ومعلن. وثّق سبب جمع كل فئة من المعلومات، ولا تُعِد استخدام البيانات السريرية لأغراض تسويقية استناداً إلى الموافقة الممنوحة للعلاج.
• قَيّد الوصول بحسب الدور الوظيفي. فموظفو الاستقبال والتمريض والأطباء والفواتير والإدارة لا يحتاجون إلى الصلاحيات ذاتها. والوصول القائم على الأدوار مع حسابات دخول فردية، وسجل تدقيق يُظهر من فتح أي سجل، هو الضابط الذي يسأل عنه المنظمون أولاً.
• احتفظ بالسجلات للمدة التي تحددها الجهة المختصة، ثم تخلّص منها بطريقة آمنة. فالاحتفاظ غير المحدد زمنياً «تحسباً لأي طارئ» يشكّل مخاطرة قائمة بذاته.
• ألزم موظفيك. فالتزامات السرية ينبغي أن تُدرج في عقود العمل الصادرة بموجب المرسوم بقانون اتحادي رقم (33) لسنة 2021، الذي حل محل القانون الاتحادي رقم (8) لسنة 1980، وفي سياسة مكتوبة يكون الموظفون قد دُرّبوا عليها فعلاً ووقّعوها.
• ألزم مورّديك. فأنظمة السجلات ومقدمو خدمات الاستضافة السحابية وشركات الفواتير وخدمات التفريغ الصوتي والوكالات التسويقية ومقدمو خدمات التحليلات جميعهم يتعاملون مع بيانات المرضى. ويحتاج كلٌّ منهم إلى عقد مكتوب يغطي الغرض والأمن والتعاقد من الباطن وموقع البيانات وما يؤول إليه مصيرها عند انتهاء العقد.

من يجوز له قانوناً الاطلاع على السجل

يجوز للمريض ذلك. وتُدار طلبات الوصول من خلال إجراء موثق يتضمن التحقق من الهوية، ولا يجوز أن يُجاب الطلب بصورة غير رسمية ممن التقط سماعة الهاتف. كما يحق للمرضى تصحيح المعلومات غير الدقيقة، وتحتاج العيادة إلى وسيلة لتسجيل التصحيح دون الإخلال بمسار التدقيق السريري.

ويجوز للأطباء المشاركين في رعاية المريض الاطلاع بالقدر اللازم لتقديم تلك الرعاية. وينبغي أن توضح خطابات الإحالة وترتيبات الرعاية المشتركة ما الذي يجري تبادله ولماذا.

وتتلقى شركات التأمين ومديرو المطالبات ما هو ضروري لمعالجة المطالبة، استناداً إلى الأساس الذي أُرسي عند تسجيل المريض وموافقته. ويعني التأمين الصحي الإلزامي أن بيانات المطالبات تنتقل بصورة روتينية بين مقدم الخدمة والمدير وشركة التأمين، وينبغي أن يدرك الموظفون أن «الروتيني» ليس مرادفاً لـ«غير المحدود».

ويمكن للجهات والمنظمين والمحاكم إلزام المنشأة بالإفصاح. فوثّق ما طُلب، ومن طلبه، وبموجب أي صلاحية، وما الذي أُفرج عنه — فالمنظم الذي يراجع المنشأة لاحقاً سيسأل عن ذلك، وكذلك المريض.

أما أفراد الأسرة وأصحاب العمل والأطراف الخارجية فلا يجوز لهم الاطلاع عموماً ما لم توجد موافقة المريض أو أساس قانوني محدد. ومن هنا تنشأ معظم الشكاوى: إفصاح حسن النية لقريب أو لصاحب عمل لم يكن أحد مخولاً بإجرائه.

الاستضافة والسحابة والنقل عبر الحدود

معظم مشكلات الخصوصية في الرعاية الصحية هي مشكلات تعاقدية. فقبل التوقيع على منصة سجلات طبية إلكترونية أو أداة استشارات عن بُعد أو خدمة تشخيص بالذكاء الاصطناعي أو نظام تقارير على مستوى المجموعة، حدّد أين ستوجد البيانات فعلياً، ومن يمكنه الوصول إليها من خارج دولة الإمارات، وما إذا كانت أي وظيفة دعم أو نسخ احتياطي تقع في الخارج، وما الموافقة التي يتطلبها أي نقل للبيانات. واحصل على تلك الإجابة كتابةً من المورّد قبل توقيع العقد، لأن ترحيل نظام سجلات عامل لاحقاً أمر مكلف ومُربك.

وترتيبات المجموعات تستحق التدقيق ذاته. فالمكتب الرئيسي الذي يرغب في قاعدة بيانات موحدة للمرضى يطلب في الواقع نقل بيانات عبر الحدود، مهما قالت المصطلحات الداخلية.

عندما يقع خلل ما

أعدّ إجراءً مكتوباً للتعامل مع الحوادث قبل أن تحتاج إليه: من يُبلَّغ داخل المنشأة، ومن يقيّم نطاق الحادث، ومن يخطر الجهات المختصة والمرضى المتأثرين، ومن يحفظ الأدلة. فالساعات الأولى من فقدان حاسوب محمول أو اختراق حساب أو إرسال تقرير إلى وجهة خاطئة هي التي تحدد نتيجة كل ما يلي، والارتجال في التعامل هو ما يحوّل الحادث إلى إجراء إنفاذ.

ويمكن للخرق الواقع في بيئة سريرية أن يسلك عدة مسارات في آنٍ واحد. فيمكن للجهة الصحية اتخاذ إجراء ضد ترخيص المنشأة، وضد الترخيص المهني لكل من يثبت تورطه. ويمكن إحالة الشكوى المتعلقة بالرعاية السريرية إلى لجنة المسؤولية الطبية. وقد يرفع المريض دعوى مدنية. وتسير هذه المسارات وفق جداول زمنية مختلفة وتُنتج سجلات مختلفة، لذا تعامل معها بوصفها ملفاً واحداً برواية وقائعية واحدة بدلاً من الرد على كلٍّ منها على حدة وبصورة متناقضة.

بين الأطراف التجارية — المنشأة والمورّد وشركة التأمين وشركة الإدارة — يمكن توزيع المخاطر بالعقد، وينبغي أن يتحملها الطرف الأقدر على التحكم فيها. غير أن المسؤولية عن الإهمال الجسيم والتقصير المتعمد لا يمكن استبعادها بالاتفاق، وأي صياغة تحاول ذلك لن تصمد. ويبدأ عملنا في تسوية المنازعات الطبية عادةً برسم خريطة للمخاطر التنظيمية والمخاطر المدنية معاً، لأن الإجابة المقدمة إلى المنظم تصبح دليلاً في الدعوى.

قائمة تحقق موجزة لمنشأة في البر الرئيسي لدبي

اعرف أين تُستضاف سجلات مرضاك ومن يمكنه الوصول إليها من الخارج. وطبّق الوصول القائم على الأدوار مع حسابات دخول فردية ومسار تدقيق. واحتفظ باتفاقيات بيانات موقعة مع كل مورّد يتعامل مع السجل. وأعدّ إجراءً مكتوباً لطلبات وصول المرضى، وجدولاً زمنياً للاحتفاظ بالسجلات وفق المدة التي تشترطها الجهة المختصة، وخطة حوادث تحدد أسماء المسؤولين عن كل خطوة. ودرّب موظفي الاستقبال والفواتير وليس الأطباء وحدهم، لأن معظم حالات الإفصاح تقع عند مكتب الاستقبال.

للاستشارة بشأن التعامل مع بيانات المرضى أو ترتيبات المورّدين والاستضافة أو الرد على شكوى أو إخطار تنظيمي، تواصل مع فريق نور اتورنيز.

احجز استشارتك

إخلاء مسؤولية: المعلومات الواردة في هذا المقال مقدمة لأغراض إعلامية عامة فقط ولا تشكل استشارة قانونية. وعلى القراء طلب استشارة قانونية مهنية مصممة وفق ظروفهم الخاصة قبل اتخاذ أي قرار أو إجراء بناءً على محتوى هذا المقال.

فريق نور اتورنيز

موارد ذات صلة

اطّلع على المزيد من رؤانا حول المواضيع ذات الصلة:

• متطلبات ترخيص المنشآت الصحية في دولة الإمارات
• استراتيجيات الدفاع في قضايا الأخطاء الطبية لعيادات دبي
• إرشادات امتثال القطاع الدوائي للموزعين في دولة الإمارات
• لوائح خصوصية المرضى للكيانات متعددة الجنسيات