هل بيانات المرضى آمنة سحابياً؟

خصوصية بيانات المرضى في أنظمة الانتظار: السؤال الجدير بأن تسأله المورّد

اسأل المورّد أين يجري فحص الصلاحيات، لا هل البيانات مشفّرة — فكل شيء مشفّر، وذلك الجواب لا يخبرك بشيء.

إن كان النظام يقرّر ما تراه في المتصفّح، فالمتصفّح هو الأمان. وكل من يستطيع فتح أدوات المطوّر يستطيع طلب شيء آخر، وسيجيبه الخادم، لأن الخادم لم يُطلب منه رأي أصلًا. وهذه أشيع طريقة يتسرّب بها نظام عيادة صغير، وهي غير مرئية من الخارج.

في QueueCare الفحص على الخادم، في كل طلب، بلا استثناء. والمحطّة التي تطلب دورًا لا يخصّ عيادتها لا تحصل على جواب مُرشَّح؛ تحصل على رفض.

معزولة تعني معزولة

لا تستطيع عيادة قراءة دور عيادة أخرى ولا مرضاها ولا سجلّاتها، بأي طريق — لا عبر رابط، ولا عبر مُعرّف مُخمَّن، ولا عبر محطّة تُركت مسجَّلة الدخول.

وشاشة غرفة الانتظار خاضعة للقاعدة نفسها، وهذا يستحقّ القول لأنها الجهاز الوحيد في المبنى بلا شخص مرتبط به. الشاشة محصورة في العيادة التي تخصّها ولا تستطيع عرض غيرها.

وما لا ينبغي أن يحمله نظام دور

QueueCare لا يخزّن سجلات سريرية. لا ملاحظات، ولا تشخيصات، ولا وصفات، ولا تاريخ مرضي.

وهذا قرار تصميم لا ميزة ناقصة. الدور يحتاج اسمًا، وموقعًا في الصفّ، وأيّ طبيب. وإضافة التاريخ الطبي إلى ذلك تجعل النظام أثمن للمهاجم ولا تجعله أفضل في العمل الذي وُجد له. وأأمن البيانات ما لم يُجمَع أصلًا.

ما قوانين الخصوصية التي تنطبق على دور العيادة؟

يحمل الدور أسماء المرضى والطبيب الذي ينتظرونه، وهذا يجعله في أغلب البلدان بيانات شخصية تتعلق بالصحة، تخضع لأشدّ القواعد لديها. والقانون المنطبق يحدّده مكان العيادة، لا مكان شركة البرنامج:

كيف تحمي بيانات المرضى في نظام دور العيادة؟

اجمع ما يحتاجه الدور فقط، وأبعِد سبب زيارة المريض عن أي شيء يراه الآخرون، وقيّد من يستطيع فتح البيانات، واعرف أين تُخزَّن. هذه العادات الأربع تصحّ في كل القوانين أعلاه. وعلى شاشة الانتظار لا تعرض من الاسم أكثر مما تحتاجه الصالة؛ وفي QueueCare يستطيع المركز تقصيره من الإعدادات ← الوصول والأمان.

وجواب QueueCare عن السؤال الأخير في صفحة الأمن، التي تسمّي كل شركة تحفظ البيانات ومكانها: قاعدة البيانات تعمل على AWS عبر Convex، والتطبيق على Google Cloud في ولاية فرجينيا. وعلى العيادة في بلد يقيّد تخزين البيانات الصحية خارجه، كالإمارات، أن تراجع الجهة الصحية المختصة قبل وضع بيانات المرضى في أي نظام سحابي مستضاف خارج البلد. هذا الدليل معلومات عامة، لا استشارة قانونية.

كيف يطبّق QueueCare ذلك

ثلاثة إعدادات في «الإعدادات ← الوصول والأمان» تحمل هذه العادات. الأول يحدّد كم يظهر من اسم المريض على شاشة الانتظار: الاسم الكامل، أو الاسم الأول وحرف العائلة، أو — في العيادة التي تطبع تذاكر — رقم الدور وحده. والنداء الصوتي يقول ما تعرضه الشاشة بالضبط، ولا يظهر جنس المريض ولا فئته العمرية على الشاشة العامة في أي وضع.

والثاني يحدّد هل يستطيع موظفو QueueCare أنفسهم فتح بيانات المركز أصلًا. المركز الذي يشترك اليوم يبدأ وهذا الوصول مغلق، وكل تغيير وكل وصول يُسجَّل في سجلّ التدقيق الخاص به. والثالث يعيد البيانات إلى أصحابها: يمكن تصدير نسخة كاملة في أي وقت، وطلب حذف المركز يبدأ مهلة سبعة أيام يمكن خلالها إلغاء الطلب.

والرقم الوحيد الذي ينشره هذا الموقع

العدّاد على الصفحة الرئيسية — إجمالي المرضى الذين مرّوا عبر QueueCare — يصف المنصّة ككل ولا يعرّف أحدًا. لا اسم عيادة، ولا مريضًا، ولا موقعًا، ولا تفصيلًا.

وهو الرقم الوحيد المنشور علنًا، ويستحقّ الذكر لأن المورّد الذي ينشر إحصاءات استخدام لكل عميل مورّدٌ قرّر أن حجم مرضاك مادّته التسويقية.