إقامة البيانات الصحية في السعودية: ما يشترطه النظام فعلاً

يصنّف نظام حماية البيانات الشخصية البيانات الصحية صراحةً ضمن تعريف البيانات الحسّاسة، ويعرّف البيانات الصحية بأنها كل بيانات شخصية متعلّقة بالحالة الصحية للفرد أو بالخدمات الصحية التي تلقّاها. ونظام الأصول السريرية يحتفظ بأوامر عمل وملاحظات فنيين وتواريخ أجهزة قد تلامس هذه الفئة.

والعقوبات ليست إدارية. فإفشاء البيانات الحسّاسة أو نشرها بالمخالفة للنظام يعاقَب عليه بالسجن مدة تصل إلى سنتين، أو بغرامة تصل إلى ثلاثة ملايين ريال، أو بهما معاً.

كما يسري النظام خارج الحدود — إذ يمتدّ إلى معالجة البيانات الشخصية المتعلّقة بأفراد مقيمين في المملكة من أي جهة خارجها. فالمورّد المستضيف في الخارج ليس خارج نطاق النظام لمجرّد كونه في الخارج.

بدل حظر النقل، يضع النظام شروطاً عليه. فلجهة التحكّم نقل البيانات الشخصية خارج المملكة متى كان النقل لا يُخلّ بالأمن الوطني أو المصالح الحيوية للمملكة، ومتى وُجد مستوى حماية كافٍ للبيانات لا يقلّ عمّا يوفّره النظام، ومتى اقتصر النقل على الحد الأدنى من البيانات الشخصية اللازمة.

وهذا اختبار كفاية وتقليل لا قاعدة توطين. وهو التزام حقيقي — لكنه الالتزام الخطأ لوصفه بأن «البيانات يجب أن تبقى في السعودية»، وفريق مشتريات قرأ النظام سيلاحظ ذلك.

يقصر النظام الاطلاع على البيانات الصحية، بما فيها الملفات الطبية، على أقل عدد ممكن من الموظفين أو العاملين. وهذا لنظام إدارة الصيانة مسألة تصميم لا سياسة: فصلاحيات الأدوار يجب أن تكون حقيقية، وعلى الفني أن يرى الجهاز والعمل لا السياق العلاجي المحيط به.

كما تُحيل اللائحة التنفيذية إلى المتطلبات والضوابط الصادرة عن وزارة الصحة والمجلس الصحي السعودي. وهناك تقع الالتزامات القطاعية، ولهذا لا تكفي إجابة عامة عن حماية البيانات في نشر صحي.

لأن موقع الاستضافة كثيراً ما يكون شرطاً في كراسة الشروط حتى حين لا يكون شرطاً في النظام. ففرق المشتريات تكتب المتطلبات من السياسات الداخلية ومن إرشادات الأمن السيبراني ومن تفضيل إبقاء الأنظمة السريرية داخل نطاقها. والمنتج غير القادر على تلبية هذا الشرط يُستبعَد قبل تقييم إمكاناته.

ويعمل iAssets سحابياً أو داخلياً بالكامل، وهو منشور داخلياً اليوم في تجمّع صحي سعودي. ونفضّل الفوز بهذا المتطلّب بتلبيته لا بإساءة وصف النظام المحيط به.