القانون 18-07: هل عيادتك في وضع قانوني سليم؟

فهم القانون 18-07 المتعلق بحماية البيانات الشخصية

اعتُمد القانون 18-07 عام 2018 ليشكّل الركيزة القانونية لحماية البيانات ذات الطابع الشخصي في الجزائر. وقد استلهم هذا القانون في معظمه من الإطار الأوروبي (RGPD) مع تكييفه وفق السياق الوطني. وبالنسبة للمهنيين الصحيين — من أطباء وأطباء أسنان وصيادلة وعيادات ومخابر تحاليل — يفرض هذا القانون التزامات دقيقة لا يمكن تجاهلها البتة.

تُصنَّف البيانات الصحية ضمن أكثر الفئات حساسية التي يستهدفها هذا النص. فطبيعتها الخاصة، وقابليتها للتسبب في التمييز، وصفتها السرية، تجعلها معلومات تستوجب حماية مشددة. وكل هيكل يتعامل مع معلومات طبية تخص مرضاه يُعدّ معنياً مباشرة بهذا القانون.

من هم المعنيون في قطاع الصحة؟

يسري القانون على كل مسؤول عن المعالجة، أي كل شخص طبيعي أو معنوي يحدد أغراض ووسائل معالجة البيانات. وفي المجال الطبي، يشمل ذلك:

• العيادات الطبية وشبه الطبية (الأطباء العامون، المختصون، معالجو العلاج الطبيعي...)
• العيادات الخاصة ومرافق الرعاية الصحية
• الصيدليات والمستودعات الدوائية
• مخابر التحاليل الطبية والأشعة
• الناشرون للبرمجيات الطبية المتعاملون بالمناولة

حتى العيادة الطبية الصغيرة التي تحتفظ بملفات مرضاها على دعائم إلكترونية تخضع بالكامل لمتطلبات القانون 18-07.

الالتزامات الرئيسية الواجب احترامها

1. التصريح أو طلب الترخيص من الهيئة الوطنية لحماية البيانات الشخصية

الهيئة الوطنية لحماية البيانات الشخصية (ANDP) هي جهاز الرقابة المُنشأ بموجب القانون. وقبل أي معالجة للبيانات الصحية، يتعين على المسؤول تقديم تصريح أو، بالنسبة للمعالجات الحساسة، استصدار ترخيص مسبق. وإغفال هذه الخطوة يُعرّض العيادة لعقوبات إدارية وجزائية.

2. إعلام المرضى بحقوقهم

يجب إعلام كل مريض، عند جمع بياناته، بعدة عناصر جوهرية: هوية المسؤول عن المعالجة، والغرض الذي تُجمع من أجله بياناته، والمستفيدون المحتملون منها، فضلاً عن حقوقه في الاطلاع والتصحيح والاعتراض. ويمكن توفير هذه المعلومات عبر وثيقة استقبال، أو لوحة إعلانية، أو ملاحظة مُدرجة في نماذج التسجيل.

3. ضمان أمن البيانات

يُلزم القانون المسؤول عن المعالجة بتنفيذ تدابير تقنية وتنظيمية ملائمة لحماية البيانات من أي فقدان أو وصول غير مخوّل أو إفصاح أو إتلاف. ويتجلى ذلك عملياً في:

• اعتماد كلمات مرور قوية على الأجهزة الحاسوبية
• تشفير ملفات المرضى المخزّنة رقمياً
• النسخ الاحتياطي المنتظم للبيانات على وسائط آمنة
• تقييد الوصول للموظفين المُخوَّلين حصراً
• التحديث الدوري لبرامج مكافحة الفيروسات والبرمجيات

4. ضبط عمليات نقل البيانات

إن كانت عيادتك تستعين بمزود خارجي — برنامج إدارة طبية مستضاف على السحابة الإلكترونية، أو خدمة سكرتارية هاتفية مُستعان بها من الخارج، أو مختبر شريك — فلا بد من إبرام عقد مناولة مطابق للقانون. وأي نقل للبيانات إلى دولة أجنبية يستوجب من حيث المبدأ الحصول على ترخيص من الهيئة ANDP، باستثناء الحالات التي ينص عليها القانون.

5. احترام مدد الاحتفاظ بالبيانات

لا يجوز الاحتفاظ بالبيانات إلى أجل غير مسمى، بل ينبغي حفظها فقط للمدة اللازمة لتحقيق الغرض من معالجتها. وفي المجال الطبي، كثيراً ما تحدد الأنظمة القطاعية (قانون أخلاقيات المهنة، والنصوص المتعلقة بالملف الطبي) مدداً دنيا يجب مراعاتها. وبعد انقضائها، يجب حذف البيانات أو إخضاعها للإخفاء الكامل للهوية.

المخاطر عند عدم الامتثال

يتضمن القانون 18-07 منظومة من العقوبات في مواجهة المخالفين. وقد تترتب على الإخلالات:

• عقوبات إدارية تصدرها الهيئة ANDP، تتراوح بين الإنذار والإنذار الرسمي
• عقوبات جزائية قد تصل إلى السجن وغرامات مالية باهظة
• الإضرار بسمعة العيادة في حال الإفصاح العلني عن انتهاك للبيانات
• المسؤولية المدنية تجاه المرضى المتضررين

« ثقة المرضى هي أساس كل علاقة علاجية. وحماية بياناتهم هي في الحقيقة حماية لهذه الثقة. »

كيف تجعل عيادتك ممتثلة للقانون: الخطوات الأساسية

1. إجراء تدقيق شامل لعمليات المعالجة الحالية: أحصِ جميع بيانات المرضى التي تجمعها، والأدوات المستخدمة، والصلاحيات الممنوحة، والمزودين الخارجيين المتعاملين معك.
2. استيفاء الإجراءات الرسمية أمام الهيئة ANDP: حدد ما إذا كانت عمليات المعالجة لديك تستوجب مجرد تصريح أو ترخيصاً، ثم باشر الإجراءات اللازمة.
3. تحديث وثائقك: أعدّ أو راجع بيانات الإعلام والموافقة، ونماذج الموافقة، وعقودك مع المتعاملين بالمناولة.
4. تكوين موظفيك: وعِّ جميع أفراد فريقك بالممارسات الصحيحة في مجال السرية وأمن البيانات.
5. تأمين بنيتك التحتية الرقمية: استعن بمتخصص في تقنية المعلومات عند الحاجة لتقييم أمن أنظمتك وتعزيزه.
6. وضع إجراء للتعامل مع حالات الانتهاك: اعرف كيف تتصرف إذا وقع تسريب للبيانات، ولا سيما فيما يخص آجال الإخطار الواجبة للهيئة ANDP.

الامتثال: ميزة تنافسية وأخلاقية في آنٍ واحد

الامتثال للقانون 18-07 ليس مجرد التزام قانوني؛ بل هو أيضاً رسالة قوية تبعثها لمرضاك. وفي ظل تنامي الهجمات الإلكترونية على المؤسسات الصحية على المستوى العالمي، فإن إثبات أنك تأخذ حماية البيانات بجدية يُعزز ثقة مرضاك ويكسب ولاءهم.

والعيادات التي تستبق هذه التحديات بدلاً من انتظار عمليات التفتيش المحتملة تضع نفسها في مكانة الفاعل المسؤول والمتجدد في منظومة الرعاية الصحية. فالامتثال استثمار بلا شك، غير أن عوائده — القانونية والسمعية والعلائقية — تفوق بكثير تكاليفه.

خاتمة

يفرض القانون 18-07 مسؤوليات واضحة وصارمة على المهنيين الصحيين الجزائريين في مجال حماية البيانات الشخصية لمرضاهم. التصريح أمام الهيئة ANDP، وإعلام المرضى، وتأمين الأنظمة، وضبط التعاملات مع المتعاملين بالمناولة: كل التزام له أهميته. وإن لم تكن قد شرعت بعد في مسار الامتثال، فقد حان الوقت للتحرك. لا تتردد في الاستعانة بمحامٍ متخصص أو مستشار في حماية البيانات لتحصين ممارستك المهنية والحفاظ على ثقة مرضاك.