حماية المعطيات الصحية في المغرب: القانون 09-08 واللجنة الوطنية

تقوم حماية المعطيات الصحية في المغرب أساسًا على القانون رقم 09-08 الصادر سنة 2009، المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، وعلى الهيئة المكلفة بالسهر على تطبيقه: اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). وبالنسبة لعيادة طبية أو عيادة أسنان، يعني ذلك ورشين متكاملين: استيفاء الإجراءات المطلوبة واحترام المبادئ الكبرى للقانون، ثم اعتماد تدابير أمنية ملموسة في العمل اليومي. يستعرض هذا الدليل الجانبين معًا.

تنبيه. هذا المقال محتوى إعلامي عام موجّه لمهنيي الصحة، ولا يُعدّ استشارة قانونية. النصوص والمساطر قابلة للتغيير؛ وللنظر في حالتكم الخاصة، يُرجى الرجوع إلى الموقع الإلكتروني للجنة الوطنية أو استشارة محامٍ.

لماذا تُعدّ المعطيات الصحية معطيات من نوع خاص؟

يضمّ ملف المريض معلومات بالغة الخصوصية: السوابق المرضية، والتشخيصات، والعلاجات، والوصفات الطبية، وصور الأشعة، وأحيانًا تفاصيل عن الحياة العائلية. ويصنّف القانون 09-08 المعطيات المتعلقة بالصحة ضمن المعطيات الحساسة، وهي فئة تخضع لضوابط أشدّ من المعطيات الشخصية العادية كالاسم ورقم الهاتف والعنوان.

ويُضاف إلى هذا الالتزام القانوني السرّ الطبي، الذي يلزم الطبيب وجميع أفراد الفريق بمعزل عن القانون 09-08. والإطاران يكمّل أحدهما الآخر: فالسرّ المهني يحدّد من يحق له الاطلاع على المعلومة، بينما يحدّد القانون 09-08 كيف تُجمع وتُستعمل وتُحفظ وتُحمى.

القانون 09-08 واللجنة الوطنية: المبادئ الأساسية

من المعني بهذا القانون؟

بمجرد أن تسجّل العيادة معلومات عن مرضاها — في برنامج معلوماتي أو جدول بيانات أو أرشيف ورقي منظّم — فهي تقوم بـمعالجة معطيات ذات طابع شخصي. وتكون العيادة (أي عمليًا الطبيب المسؤول أو الجهة المسيّرة للعيادة) هي المسؤول عن المعالجة. أما مقدّمو الخدمات الذين يعالجون هذه المعطيات لحسابها — كناشر البرنامج السحابي، أو مزوّد الاستضافة، أو التقني المعلوماتي — فيعملون بصفتهم معالجين من الباطن.

دور اللجنة الوطنية

تسهر اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي على تطبيق القانون. فهي تتلقى الإجراءات المسبقة، وتُعرّف المسؤولين عن المعالجة والأشخاص المعنيين بحقوقهم وواجباتهم، وتعالج الشكايات، ويمكنها القيام بعمليات مراقبة.

الإجراءات المسبقة: التصريح أو الإذن

يشترط القانون إطلاع اللجنة الوطنية على المعالجة قبل الشروع فيها، وفق نظامين رئيسيين: التصريح المسبق، والإذن المسبق بالنسبة لبعض المعالجات التي تُعتبر أكثر حساسية. وتندرج المعالجات المتعلقة بالمعطيات الصحية، كقاعدة عامة، ضمن النظام الأكثر تشددًا.

وتتغيّر الاستمارات وطرق الإيداع والمساطر المبسّطة الخاصة ببعض القطاعات مع مرور الوقت. لذا تحقّقوا من المسطرة المعمول بها على الموقع الإلكتروني للجنة الوطنية قبل إطلاق المعالجة أو تعديلها، كأن تغيّروا البرنامج المعلوماتي مثلًا.

الغاية والتناسب

يجب أن تُجمع المعطيات لـغايات محدّدة وصريحة ومشروعة — وهي هنا التكفل بالمرضى وتدبير المواعيد والفوترة — وألا يُعاد استعمالها لغاية لا تتلاءم معها. اجمعوا ما هو مفيد فقط: فخانة «المهنة» أو «الحالة العائلية» لا مكان لها في الملف إلا إذا كانت تخدم فعلًا المتابعة الطبية أو الإدارية.

مدة الحفظ

لا ينبغي الاحتفاظ بالمعطيات مدةً تتجاوز ما تقتضيه الغاية من جمعها. وبالنسبة للملف الطبي، ترتبط المدة المناسبة أيضًا بالالتزامات المهنية وآجال المسؤولية: ضعوا سياسة مكتوبة بعد استشارة الجهات المختصة (الهيئة المهنية، محامٍ)، وطبّقوها بما في ذلك على الأرشيف الورقي والنسخ الاحتياطية.

إخبار المرضى واحترام حقوقهم

يجب إخبار المريض بوجود المعالجة: من يقوم بها، ولأي غاية، ومن قد تُبلَّغ إليه المعطيات، وكيف يمارس حقوقه. ويمكن تحقيق ذلك بوسائل بسيطة كملصق في قاعة الانتظار وإشارة في استمارة الاستقبال.

ويخوّل القانون للمريض، من بين حقوق أخرى، حق الولوج إلى معطياته، وحق التصحيح للمعلومات غير الدقيقة، وحق التعرّض لأسباب مشروعة على بعض المعالجات. حدّدوا من يتولى الرد على هذه الطلبات، وكيف تتحققون من هوية صاحب الطلب، وكيف توثّقون الجواب.

الالتزام بالأمن

يتعيّن على المسؤول عن المعالجة اتخاذ التدابير التقنية والتنظيمية الملائمة لحماية المعطيات من الإتلاف أو الضياع أو التحريف أو الإفشاء أو الولوج غير المرخّص. ويمتد هذا الالتزام إلى اختيار المعالجين من الباطن، الذين ينبغي أن يقدّموا ضمانات كافية. وهنا تلتقي متطلبات القانون مباشرة بالحياة اليومية للعيادة.

الإجراءات العملية داخل العيادة

صلاحيات الولوج حسب دور كل شخص

المبدأ بسيط: لا يطّلع كل شخص إلا على ما يحتاجه. فالكاتبة تدبّر المواعيد والاستقبال، والمساعدة تطّلع على ما يتعلق بالعلاجات التي تُحضّرها، والطبيب يصل إلى الملف السريري كاملًا. ويتيح البرنامج الجيد ضبط هذه الصلاحيات حسب الدور بدل منح الجميع ولوجًا كاملًا.

حسابات فردية، ولا كلمات مرور مشتركة

إن استعمال حساب واحد باسم «العيادة» على حاسوب الاستقبال يجعل من المستحيل معرفة من اطّلع على ماذا أو عدّله. يجب أن يتوفر كل فرد في الفريق على حسابه الخاص بكلمة مرور شخصية وقوية، وأن يُعطَّل حسابه في اليوم نفسه الذي يغادر فيه العيادة.

قفل الشاشات

شاشة مفتوحة على ملف مريض ومرئية من قاعة الانتظار هي تسريب للمعطيات. فعّلوا القفل التلقائي بعد بضع دقائق من عدم الاستعمال، ووجّهوا شاشات الاستقبال بعيدًا عن أنظار المرضى، واجعلوا قفل الحاسوب (Windows + L، أو Ctrl + Cmd + Q على أجهزة Mac) عادة عند مغادرة المكتب.

النسخ الاحتياطي واختبار الاسترجاع

قرص صلب معطّل أو حاسوب مسروق أو برنامج فدية قد يجعل الملفات غير متاحة. إذا كانت معطياتكم مخزّنة على حاسوب محلي، فاعتمدوا نسخًا احتياطية منتظمة، على أن تكون نسخة واحدة على الأقل مشفّرة ومحفوظة خارج العيادة. واختبروا الاسترجاع من حين لآخر: فالنسخة الاحتياطية التي لم تُختبر ليست سوى أمل.

اختيار الاستضافة وناشر البرنامج

عند استعمال برنامج عبر الإنترنت، يقع جزء من الأمن على عاتق مزوّد الخدمة. وقبل التوقيع، اطرحوا أسئلة دقيقة:

• أين تُستضاف المعطيات، ولدى أي مزوّد استضافة؟ إذا كانت مخزّنة خارج المغرب، فإن القانون 09-08 يؤطّر نقل المعطيات إلى الخارج، وقد يتطلب ذلك إذنًا من اللجنة الوطنية حسب بلد الوجهة.
• كيف يتم فصل معطيات عيادتكم عن معطيات باقي الزبناء؟
• هل يحدّد العقد التزامات المزوّد بصفته معالجًا من الباطن (السرية، الأمن، مصير المعطيات عند انتهاء العقد)؟
• هل يمكنكم استرجاع معطياتكم بصيغة قابلة للاستعمال إذا قررتم تغيير الحل؟

يفصّل دليلنا لاختيار برنامج تدبير العيادة في المغرب هذه المعايير إلى جانب نقاط أخرى ينبغي التحقق منها. وعلى سبيل المثال، في MediNEEO يُطبَّق الفصل بين العيادات مباشرة داخل قاعدة البيانات (الأمن على مستوى الأسطر): أي طلب يستهدف ملفًا تابعًا لعيادة أخرى لا يُعيد أي نتيجة.

تشفير المعطيات أثناء التبادل

ينبغي أن يمرّ كل اتصال ببرنامج عبر الإنترنت عبر بروتوكول HTTPS (رمز القفل في شريط العنوان). وتجنّبوا إرسال التقارير أو نتائج التحاليل أو صور الأشعة عبر البريد الإلكتروني الشخصي أو تطبيقات المراسلة الموجّهة للعموم؛ وإذا اضطررتم إلى إرسال وثيقة، فاختاروا قناة آمنة واقتصروا على المعلومات الضرورية.

تتبّع العمليات الحساسة

تتيح إمكانية التتبّع معرفة من قام بماذا ومتى. وفي الملف السريري، تحمي المريض بقدر ما تحمي الطبيب. ففي MediNEEO، يدخل كل فرد من الفريق بحسابه الخاص، وتتحدّد صلاحياته حسب دوره، وتُقفل الملاحظة السريرية بعد توقيعها فلا يمكن تعديلها بعد ذلك. وينطبق الحرص نفسه على الوصفات الطبية، وهو ما نتناوله في مقالنا حول الوصفة الطبية الإلكترونية في المغرب.

لا تنسوا الورق

الملفات الورقية والوصفات المطبوعة وأوراق العلاج هي أيضًا معطيات صحية. احفظوها في خزانات مقفلة، ولا تتركوا وثائق في مكتب الاستقبال، وأتلفوا الأوراق المستغنى عنها بآلة الإتلاف بدل رميها في سلة المهملات.

تحسيس الفريق

تنشأ أغلب الحوادث عن عادات يومية: كلمة مرور مكتوبة على ورقة لاصقة، أو مرفق فُتح على عجل، أو معلومة قُدّمت عبر الهاتف لـ«قريب» لم يُتحقق من هويته. إن حصة تحسيسية قصيرة عند التحاق كل عضو جديد، ثم تذكيرًا سنويًا، أنفع من مسطرة طويلة لا يقرؤها أحد. كما أن التزامًا بالسرية يوقّعه كل فرد في الفريق يذكّر الجميع بأن السرّ المهني يسري على الكل.

ماذا تفعلون في حال وقوع حادث؟

حاسوب مسروق، أو بريد إلكتروني أُرسل إلى الشخص الخطأ، أو حساب مخترق: تصرّفوا بمنهجية.

1. الاحتواء: غيّروا كلمات المرور المعنية، وعطّلوا الحسابات المخترقة، واعزلوا الحاسوب المصاب عن الشبكة.
2. التقييم: ما هي المعطيات المعنية، وكم عدد المرضى، وما المخاطر التي تهدّدهم؟
3. الإبلاغ: أخبروا ناشر البرنامج أو مزوّد الخدمات المعلوماتية، فبإمكانه مساعدتكم على تقدير حجم الحادث.
4. الاستعلام: استفسروا لدى اللجنة الوطنية، وعند الحاجة لدى محامٍ، عن الإجراءات الواجب اتخاذها ومدى ملاءمة إخبار المرضى المعنيين.
5. التوثيق: دوّنوا تفاصيل الحادث والتدابير المتخذة، ثم عالجوا السبب حتى لا يتكرر.

أسئلة شائعة

هل تخضع العيادة الصغيرة للقانون 09-08؟

نعم. لا يرتبط تطبيق القانون بحجم المؤسسة: فبمجرد أن تسجّل العيادة معلومات عن مرضى يمكن التعرّف عليهم، فهي تعالج معطيات شخصية، ومعطيات صحية على وجه الخصوص. وبالتالي تسري الإجراءات لدى اللجنة الوطنية والالتزام بالأمن حتى على الطبيب الذي يمارس بمفرده.

هل يجب التصريح ببرنامج تدبير العيادة لدى اللجنة الوطنية؟

لا يتم التصريح بالبرنامج في حد ذاته، بل بـالمعالجة التي تقوم بها العيادة بواسطته. غير أن تغيير البرنامج أو مزوّد الاستضافة أو الغاية قد يستدعي تحيين الإجراء. تحقّقوا من المسطرة المعمول بها على الموقع الإلكتروني للجنة الوطنية.

هل يحق للمريض طلب نسخة من ملفه؟

يخوّل القانون 09-08 للمريض حق الولوج إلى معطياته الشخصية، كما تؤطّر قواعد أخلاقيات المهنة تسليم الملف الطبي. تحقّقوا من هوية صاحب الطلب، وأجيبوا في أجل معقول، واحتفظوا بما يوثّق الطلب والجواب.

هل يمكن استعمال تطبيق للمراسلة في التواصل مع المرضى؟

بالنسبة لتذكير المواعيد، فهذا أمر شائع: اقتصروا في الرسالة على التاريخ والساعة واسم العيادة، دون ذكر سبب الاستشارة. أما لإرسال النتائج أو الوثائق الطبية، فالأفضل اعتماد قناة آمنة والاقتصار على الضروري. ولتنظيم هذه التذكيرات، اطّلعوا على مقالنا حول الحدّ من المواعيد الضائعة.

هل تسري اللائحة الأوروبية العامة لحماية البيانات (RGPD) على عيادة مغربية؟

الإطار المرجعي في المغرب هو القانون 09-08 الذي تسهر على تطبيقه اللجنة الوطنية. أما اللائحة الأوروبية فهي نص أوروبي مستقل لا يسري إلا في حالات خاصة؛ وإذا كان نشاطكم يشمل مرضى أو مزوّدي خدمات في أوروبا، فاستشيروا مختصًا قانونيًا.