بيانات المريض ليست بيانات عميل عادية: هي بيانات حساسة تمسّ خصوصيته وتاريخه الصحي، والخطأ في حمايتها لا يُصلَح باعتذار. في المملكة، ينظّم نظام حماية البيانات الشخصية (PDPL) جمع هذه البيانات ومعالجتها وتخزينها، وتشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، وهو المرجع الرسمي للتفاصيل. هذا المقال يشرح الضوابط التقنية والتشغيلية التي نبني بها الأنظمة الطبية.
تنبيه: هذا المقال للتوعية التقنية ولا يُعد استشارة قانونية. التفاصيل النظامية والالتزامات الخاصة بمنشأتكم تُراجع مع مختص أو مستشار مختص بالامتثال.
ما البيانات الحساسة تحديداً؟
- البيانات الشخصية: الاسم، والهوية أو الإقامة، والجوال، والعنوان.
- البيانات الصحية: التشخيص، والأدوية، والتحاليل، والأشعة، وملاحظات الطبيب.
- البيانات المالية: الفواتير، والتأمين، وبيانات الدفع.
- بيانات الحساب: كلمات المرور وسجل الدخول.
تحديد هذه الأصناف هو الخطوة الأولى، لأن حماية كل شيء تبدأ بمعرفة ما يستحق الحماية.
الضوابط الثمانية
1. تقليل الجمع
لا تجمع بيانات لا تحتاجها. حقل «الرقم القومي» أو «المهنة» إن لم يكن له استخدام واضح فهو عبء ومخاطرة بلا مقابل.
2. صلاحيات دقيقة (RBAC)
موظف الاستقبال يرى المواعيد وبيانات التواصل، والطبيب يرى الملف الطبي لمرضاه، والمحاسب يرى الفواتير، والمدير يرى التقارير. والقاعدة: الحد الأدنى من الصلاحية التي تسمح بإنجاز العمل. وإن كنت تبحث عن سبب تأخير المواعيد من أصله، فالأمر تشخيص قبل أن يكون نظاماً: لماذا تتأخر مواعيد العيادة؟
3. التشفير
تشفير أثناء النقل (HTTPS) إلزامي، وتشفير البيانات الحساسة أثناء التخزين يحميها عند أي وصول غير مصرّح به للنسخ الاحتياطية أو قواعد البيانات.
4. سجل التدقيق (Audit Log)
من فتح ملف مريض؟ ومَن عدّل تشخيصاً؟ ومتى؟ السجل يحمي المريض، ويحمي المنشأة عند التحقيق في أي ادعاء، وهو عنصر أساسي في أي نظام طبي جاد.
5. النسخ الاحتياطي وخطة الاستعادة
نسخ منتظمة، ومشفّرة، ومختبرة. النسخة التي لم تُختبر لا تُسمى نسخة احتياطية. والسؤال الحقيقي: كم تستغرق العودة للعمل بعد حادث؟
6. إخفاء الهوية في التقارير والعروض
التقارير الإدارية لا تحتاج اسم المريض غالباً. وفي الشاشات المعروضة في الصالة — مثل شاشات الانتظار — يُعرض رقم الدور لا الاسم الكامل.
7. إدارة الاحتفاظ والحذف
مدة الاحتفاظ بالبيانات الطبية تحددها الجهات المختصة وسياسة المنشأة. المهم أن تكون السياسة مكتوبة ومطبّقة تقنياً: متى تُحذف بيانات التواصل؟ وماذا يُحذف عند طلب المريض؟
8. الاستضافة وموقع البيانات
أين تُخزَّن البيانات فعلياً؟ وهل موقع التخزين متوافق مع متطلبات المنشأة والجهات الرقابية؟ هذا القرار يُتخذ قبل بناء النظام لا بعده.
الضوابط التشغيلية (التقنية وحدها لا تكفي)
- تدريب الفريق: أغلب الحوادتبدأ بخطأ بشري: كلمة مرور مشتركة، أو رابط تصيّد، أو شاشة مفتوحة.
- سياسة استخدام مكتوبة: ماذا يُسمح وماذا يُمنع، وماذا يحدث عند المخالفة.
- إدارة الأجهزة: قفل تلقائي للشاشة، وتحديثات دورية، وحماية للأجهزة المحمولة.
- خطة التعامل مع الحوادث: مَن يُبلَّغ، وماذا يُفعل، وفي أي مدة؟
- مراجعة دورية للصلاحيات: خصوصاً بعد تغيّر الأدوار أو مغادرة موظف.
عندك مشروع وتحتاج قراراً تقنياً واضحاً؟
استشارة مجانية — نفهم احتياجك ونقول لك الأنسب بصراحة.
قائمة مراجعة قبل إطلاق نظام طبي
- تصنيف البيانات الحساسة موثّق
- الصلاحيات معرّفة لكل دور فعلي في المنشأة
- التشفير مفعل أثناء النقل والتخزين
- سجل التدقيق يعمل ويُراجع
- النسخ الاحتياطي تلقائي ومشفّر ومُختبَر
- خطة استعادة من الحوادث موثقة ومجرّبة
- سياسة الاحتفاظ والحذف مطبّقة
- الفريق مدرب على أساسيات الخصوصية
- عقود معالجة البيانات مع أي طرف ثالث واضحة
الأسئلة الشائعة
هل يكفي أن يكون النظام سحابياً ليكون آمناً؟
لا. السحابة توفر بنية جيدة، لكن الأمان نتاج إعداد صحيح: صلاحيات، وتشفير، ومتابعة، ونسخ احتياطي.مزوّد البنية شريك في الأمان لا بديل عنه.
هل يمكن لموظف الاستقبال رؤية الملف الطبي؟
لا ينبغي. الصلاحيات تُصمم بحيث يرى كل دور ما يحتاجه لعمله فقط، وهذا من أوضح تطبيقات مبدأ الحد الأدنى.
كيف نتعامل مع طلب المريض حذف بياناته؟
بسياسة مكتوبة تحدد ما يُحذف، وما يجب الاحتفاظ به لأغراض طبية أو نظامية، ومن ينفّذ الطلب. اسأل مزوّد النظام: هل يوفّر أداة لذلك أم تحتاج تدخلاً يدوياً؟
هل تخزين البيانات خارج المملكة مسموح؟
هذا موضوع نظامي يخص منشأتكم والجهات المختصة. راجعه مع مستشارك، واسأل مزوّد النظام صراحة عن موقع التخزين قبل التعاقد.
هل يشمل ذلك معامل الأسنان؟
نعم. معمل الأسنان يتعامل مع بيانات مرضى وأطباء محيلين وصور حالات، وتنطبق عليه المبادئ نفسها — راجع نظام إدارة معامل الأسنان.
هل تقدمون استشارة قانونية؟
لا. نبني الجانب التقني للأنظمة، أما الالتزامات النظامية فتُراجع مع مختص مرخص.
الخلاصة
حماية بيانات المرضى ليست ميزة تُضاف، بل طريقة بناء: تقليل ما تجمعه، وتحديد مَن يراه، وتسجيل ما يحدث له، والاستعداد لأسوأ يوم. إن أردت مراجعة نظامك الحالي أو بناء نظام طبي على هذه الأسس، احجز استشارة مجانية أو تعرّف على نظام إدارة العيادات.
محمد جمال
فريق هندسي سعودي يبني المواقع والمتاجر والتطبيقات والأنظمة المخصصة للشركات في السعودية.