Electronic Health Records (EHR) Policy - Global Framework 2024

1. الهدف والنطاق

الهدف الاستراتيجي:
إنشاء إطار تنظيمي لحماية البيانات الصحية الإلكترونية (ePHI/eHR) يضمن السرية والنزاهة والتوفر (Confidentiality, Integrity, Availability)، مع تمكين تبادل المعلومات الآمن لدعم رعاية المرضى والبحث العلمي.

النطاق:
تغطي هذه السياسة جميع بيانات الرعاية الصحية المحمية إلكترونياً (ePHI) بما فيها:

• السجلات الطبية الإلكترونية (EHR/EMR)
• أنظمة الصور الطبية (PACS/RIS)
• تطبيقات الهاتف المحمول الصحية (mHealth)
• الأجهزة القابلة للارتداء (Wearables) والأجهزة الطبية المتصلة (IoMT)
• السحابة الإلكترونية والخوادم البعيدة

2. التعريفات والمصطلحات

3. المبادئ الأساسية لحماية البيانات

3.1 مبادئ GDPR للبيانات الصحية (Article 5 & 9)

1. القانونية والنزاهة (Lawfulness & Fairness): المعالجة قائمة على أساس قانوني صريح (موافقة صريحة، الضرورة الطبية، المصلحة العامة)
2. تحديد الغرض (Purpose Limitation): البيانات تجمع لأغراض محددة ومشروعة ولا تُعالج لاحقاً بطرق غير متوافقة
3. تقليل البيانات (Data Minimization): جمع الحد الأدنى الضروري فقط
4. الدقة (Accuracy): ضمان تحديث البيانات ودقتها، مع تصحيح الأخطاء فوراً
5. تقييد الاحتفاظ (Storage Limitation): الاحتفاظ لمدة لا تتجاوز الحد المسموح به قانونياً
6. المحاسبة والأمان (Accountability & Integrity): تطبيق تدابير تقنية وتنظيمية مناسبة لحماية البيانات

3.2 مثلث CIA (النموذج الأمريكي)

• السرية (Confidentiality): منع الوصول غير المصرح به (Encryption, Access Controls)
• النزاهة (Integrity): منع التعديل أو التدمير غير المصرح به (Audit Trails, Checksums)
• التوفر (Availability): ضمان الوصول الفوري والموثوق للمعلومات (Backups, Disaster Recovery)

4. الهيكل التنظيمي والحوكمة

4.1 لجنة حوكمة البيانات الصحية (Data Governance Committee)

التكوين:

• رئيس اللجنة: Chief Information Security Officer (CISO) أو Data Protection Officer (DPO)
• أعضاء: مدير تقنية المعلومات (CIO)، المدير الطبي، مدير الامتثال، ممثل قانوني، ممثل المرضى

الاختصاصات:

• اعتماد سياسات الأمن والخصوصية للبيانات الصحية
• مراجعة تقييمات تأثير حماية البيانات (DPIAs) للمشاريع عالية الخطورة
• إدارة حوادث الخروقات والإبلاغ التنظيمي
• مراجعة اتفاقيات المعالجين والشركاء (Business Associate Agreements)

4.2 ضابط حماية البيانات (Data Protection Officer - DPO)

4.3 ضابط أمن HIPAA (HIPAA Security Officer)

المسؤوليات:

1. تنفيذ تحليل المخاطر السنوي (Risk Analysis)
2. إدارة سياسات الأمن الإداري والفني والبدني
3. الإشراف على تدريب القوى العاملة بشأن أمن المعلومات
4. التحقيق في الحوادث الأمنية والتبليغ عنها

5. الضمانات الأمنية (Security Safeguards)

5.1 الضمانات الإدارية (Administrative Safeguards)

5.2 الضمانات البدنية (Physical Safeguards)

1. ضوابط الوصول للمنشآت:
   • أنظمة التحكم بالدخول الإلكترونية (Badge Access)
   • كاميرات مراقبة في مناطق الخوادم والأرشيف
   • حماية من الحرائق والفيضانات والكوارث الطبيعية
2. أمن محطات العمل (Workstation Security):
   • قفل تلقائي للشاشة بعد فترة خمول 15 دقيقة كحد أقصى
   • منع استخدام محطات العمل في مناطق عامة أو مرئية
   • تشفير الأقراص الصلبة (Full Disk Encryption) للأجهزة المحمولة

5.3 الضمانات التقنية (Technical Safeguards)

6. حقوق الأفراد (Patient Rights)

بناءً على GDPR و HIPAA، يحق للمرضى:

7. القانونية والأساس القانوني للمعالجة

7.1 الأسباب القانونية لمعالجة البيانات الصحية (GDPR Article 9)

يجب أن تستند المعالجة إلى أحد الأسس التالية (و documentها):

1. الموافقة الصريحة (Explicit Consent): المريض قدّم موافقة واضحة ومحددة ومطلعة (للبحث أو التسويق)
2. الضرورة الطبية (Medical Necessity): معالجة ضرورية للتشخيص الطبي، الرعاية الصحية، أو إدارة أنظمة الرعاية (الأساس الأكثر استخداماً في المستشفيات)
3. المصلحة العامة في الصحة العامة (Public Health Interest): التحكم في الأوبئة، إدارة الجائحات
4. الأغراض الأرشيفية/البحثية/الإحصائية: بضمانات مناسبة (Pseudonymization)
5. الالتزام القانوني: الاحتفاظ بالسجلات الطبية إلزامي بموجب القوانين الصحية

7.2 موافقة HIPAA (Authorization)

8. اتفاقيات المعالجين والشركاء (Third-Party Management)

8.1 Business Associate Agreements (BAA) - HIPAA

يجب على جهات الرعاية (Covered Entities) إبرام اتفاقيات مع:

• مزودي الخدمات السحابية (Cloud Providers)
• شركات التحليلات والبيانات الضخمة
• مزودي خدمات تكنولوجيا المعلومات (IT Vendors)
• شركات التخلص من البيانات

محتوى الاتفاقية:

• تحديد مسؤوليات المعالج في حماية ePHI
• تقييد استخدام/كشف المعلومات لأغراض محددة
• التزام المعالج بتطبيق الضمانات المناسبة
• إبلاغ جهة الرعاية عن أي خروقات أمنية فوراً
• السماح لجهة الرعاية بإنهاء العقد إذا انتهك المعالج الشروط
• إعادة أو تدمير جميع ePHI عند انتهاء العقد

8.2 Data Processing Agreements (DPA) - GDPR

• تحديد الغرض والمدة وطبيعة البيانات وفئات الأفراد
• التزامات الأمان التقني والتنظيمي (Article 32)
• السلط الفرعية (Sub-processors) والتحكم فيهم
• مساعدة جهة التحكم في الامتثال (DPIAs, حقوق الأفراد)
• حذف/إعادة جميع البيانات بعد انتهاء الخدمة
• تدقيقات وتفتيشات من جهة التحكم أو مدققين مستقلين

9. إدارة الحوادث والخروقات

9.1 تعريف الخرق (Breach Definition)

الوصول/الحصول/الاستخدام/الكشف غير المصرح به عن ePHI الذي يعرض خصوصية الفرد أو أمنه للخطر.

9.2 إجراءات الاستجابة للحوادث

1. الكشف والتحديد: تحديد نطاق الخرق والبيانات المتأثرة
2. الاحتواء: وقف الانتشار الفوري للخرق
3. التقييم: تقييم خطر الضرر (Harm Assessment) - هل هناك "احتمال كبير للضرر المالي أو السمعي أو غيره"؟
4. الإخطار:
   • HIPAA: إخطار HHS خلال 60 يوماً (90 يوماً إذا كان أكثر من 500 فرد)
   • GDPR: إخطار السلطة التنظيمية خلال 72 ساعة، وإخطار الأفراد المتضررين دون تأخير غير مبرر
   • المرضى: إخطار فوري إذا كان الخرق يشكل خطراً كبيراً

9.3 التسجيل والتوثيق

• الاحتفاظ بسجلات جميع الحوادث والخروقات لمدة 6 سنوات على الأقل
• تحليل الجذور (Root Cause Analysis) لمنع التكرار

10. الاحتفاظ بالسجلات والتخلص منها

10.1 فترات الاحتفاظ (Retention Periods)

10.2 التخلص الآمن

• التدمير المادي: التقطيع (Shredding) للأوراق، التحليل الكيميائي/المغناطيسي (Degaussing) للأقراص الممغنطة
• التدمير الرقمي: Cryptographic Erasure (حذف مفاتيح التشفير)، Overwriting (كتابة البيانات 7 مرات على الأقل)، Physical Destruction
• التأكيد: شهادات التخلص من مزودي الخدمات الخارجيين

11. الامتثال والتدقيق

11.1 التدقيق الداخلي (Internal Audit)

• مراجعة سنوية لجميع سياسات وإجراءات أمن المعلومات
• فحص تقني (Vulnerability Scanning, Penetration Testing) سنوي على الأقل
• مراجعة سجلات الوصول والتدقيق (Audit Logs)

11.2 التدقيق الخارجي

• تدقيق HIPAA من قبل HHS OCR (Office for Civil Rights)
• تدقيق GDPR من قبل Supervisory Authorities (مثل CNIL في فرنسا، ICO في UK)
• شهادات الأمن الدولية: ISO 27001, ISO 27799 (Health Informatics), HITRUST CSF

12. التدريب والتوعية

المتطلبات الإلزامية:

• التدريب الأولي: قبل منح الوصول لأي نظام يحتوي على ePHI (HIPAA)
• التدريب الدوري: سنوياً على الأقل، أو عند:
  • تغيير السياسات أو الإجراءات
  • حدوث تغييرات تقنية كبيرة
  • حدوث خرق أمني أو حادث
• محتوى التدريب: مبادئ GDPR/HIPAA، مبدأ تقليل البيانات، التعرف على الهندسة الاجتماعية (Phishing)، إجراءات الإبلاغ عن الحوادث
• التوثيق: الاحتفاظ بسجلات حضور التدريب للموظفين لمدة 6 سنوات

13. الانتقال الدولي للبيانات

13.1 GDPR

• آليات نقل البيانات: Standard Contractual Clauses (SCCs)، Binding Corporate Rules (BCRs)، أو قرارات الكفاية (Adequacy Decisions)
• القيود: لا يجوز نقل البيانات الصحية إلى دول خارج EEA إلا بضمانات مناسبة

13.2 HIPAA

• الموافقة: تتطلب موافقة كتابية صريحة قبل نقل ePHI دولياً (ما لم يكن للعلاج)
• الحماية: يجب أن يكون المستلم خاضعاً لـ BAA ويوفر ضمانات مماثلة لـ HIPAA

14. المراجع القانونية والدولية

• HIPAA Security Rule (45 CFR Part 160 & 164): المعايير الوطنية الأمريكية لحماية ePHI
• GDPR (Regulation EU 2016/679): اللائحة العامة لحماية البيانات، خاصة المادة 9 (البيانات الخاصة) والمادة 32 (الأمان)
• HL7 FHIR: معايير التبادل السريع للموارد الصحية، مع أدلة تنفيذ الأمان (FAST Security STU 2)
• ISO/IEC 27001: نظام إدارة أمن المعلومات
• ISO 27799:2016: Health Informatics - Information Security Management in Health
• NIST Cybersecurity Framework: الإطار الوطني للأمن السيبراني