عند الاستعانة بمزوّد يتعامل مع بيانات المرضى، تبقى المنشأة مسؤولة عن معرفة كيفية استخدام هذه البيانات، وما الذي يمكن للمزوّد الوصول إليه، وأين تُحفظ، وما الذي يحدث لها عند انتهاء الخدمة
لذلك من المهم أن تكون هذه التفاصيل واضحة ومكتوبة قبل بدء التعامل مع البيانات
هذا المقال للتوعية العامة ولا يُعد استشارة قانونية، ويُنصح بمراجعة المختص القانوني قبل اعتماد أي اتفاقية تتعلق ببيانات المرضى
ما دور المزوّد في معالجة البيانات؟
يجب أن يكون دور كل طرف محددًا بوضوح. فإذا كان المزوّد يتعامل مع البيانات نيابة عن المنشأة ووفق تعليماتها، فيجب أن ينعكس ذلك بوضوح في الاتفاقية التي تنظم العلاقة بين الطرفين
هل توجد اتفاقية لمعالجة البيانات؟
من المهم وجود اتفاقية تحدد البيانات التي يمكن للمزوّد التعامل معها، والغرض من استخدامها، وحدود الوصول إليها، وما يحدث لها عند انتهاء العلاقة التعاقدية
ويُفضّل أن تكون هذه التفاصيل واضحة قبل بدء معالجة أي بيانات فعلية
أين تُستضاف البيانات؟
اسم مزوّد الخدمة السحابية وحده لا يوضح مكان وجود البيانات. من المهم معرفة الدولة التي تُستضاف فيها البيانات، وما إذا كان أي جزء من عملية المعالجة أو أي مزوّد فرعي يتعامل معها من خارج المملكة
ما البيانات التي يتم جمعها؟
يجب أن يكون نطاق البيانات متناسبًا مع الخدمة المقدمة. ففي خدمة الاستفسارات والحجز مثلًا، قد تقتصر الحاجة على الاسم ورقم التواصل والخدمة المطلوبة وبيانات الموعد وسجل الموافقة
وأي بيانات إضافية يجب أن يكون سبب جمعها واستخدامها واضحًا
هل يحتاج المزوّد إلى الوصول إلى الملف السريري؟
خدمات الاستفسارات والحجز لا تتطلب بالضرورة الوصول إلى التاريخ الطبي أو كامل الملف السريري للمريض
إذا كانت الخدمة تتطلب هذا النوع من الوصول، فمن المهم معرفة السبب ونطاق البيانات المطلوبة والصلاحيات التي سيحصل عليها المزوّد
كيف يتم التعامل مع الحالات الطبية أو العاجلة؟
إذا كانت الخدمة تستخدم الأتمتة أو الذكاء الاصطناعي في التواصل مع المرضى، فيجب أن يكون مسار الحالات الطبية والعاجلة واضحًا
هذه الحالات تحتاج إلى التحويل إلى فريق المنشأة المختص بدل تقديم تشخيص أو استشارة طبية آلية
ماذا يحدث عند وقوع حادث يتعلق بالبيانات؟
يجب أن تكون لدى المزوّد آلية واضحة للتعامل مع حوادث البيانات، تحدد المسؤوليات وخطوات الاستجابة وطريقة إبلاغ المنشأة وفق المتطلبات النظامية المطبقة
وجود هذه الآلية مسبقًا أهم من تحديدها بعد وقوع الحادث
هل يمكن تصدير البيانات عند انتهاء الخدمة؟
من المهم معرفة البيانات التي يمكن للمنشأة استعادتها، والصيغة التي ستُصدّر بها، وما الذي يحدث للنسخ الموجودة لدى المزوّد بعد انتهاء العلاقة التعاقدية
وضوح هذه العملية من البداية يقلل الاعتماد على مزوّد واحد ويضمن قدرة المنشأة على الوصول إلى بياناتها عند الحاجة
هل تُستخدم البيانات لأي غرض آخر؟
يجب أن يكون واضحًا ما إذا كانت بيانات المنشأة أو المرضى تُستخدم لأغراض أخرى غير تقديم الخدمة، بما في ذلك تدريب النماذج أو مشاركتها مع أطراف أخرى
وأي استخدام إضافي للبيانات يجب أن يكون موضحًا ضمن الاتفاقيات والسياسات ذات الصلة
المراجعة لا تقتصر على المزوّد الجديد
هذه الأسئلة ليست فقط قبل التعاقد مع خدمة جديدة، بل يمكن استخدامها أيضًا لمراجعة الخدمات التي تعتمد عليها المنشأة حاليًا
وجود علاقة طويلة مع مزوّد لا يعني أن تفاصيل معالجة البيانات ما زالت واضحة أو مناسبة، لذلك تساعد المراجعة الدورية على التأكد من نطاق الوصول ومكان الاستضافة وآلية الاحتفاظ بالبيانات
قبل مشاركة بيانات المرضى، يجب أن يكون واضحًا من يصل إليها، ولماذا، وأين تُحفظ، وماذا يحدث لها بعد انتهاء الخدمة