PDPL: بيانات المرضى والموافقة ومكان حفظها

يسري نظام حماية البيانات الشخصية في السعودية، الذي تشرف عليه SDAIA، على أي عيادة تعالج بيانات مرضى، والبيانات الصحية فئة حساسة بقواعد أشد. انتهت المهلة الانتقالية في 14 سبتمبر 2024. وتشمل قرارات الإنفاذ المنشورة في 2025 و 2026 إرسال رسائل تسويقية من دون موافقة، ويحدد النظام غرامات لكل مخالفة. الأسئلة العملية للعيادة هي: أين تُستضاف البيانات، ومن وافق على ماذا، وكم تُحفظ السجلات، ومن يستطيع رؤية الأثر. ولدى الإمارات قانون اتحادي لحماية البيانات وقانون للبيانات الصحية بشكل مشابه؛ وتتبع هذه الصفحة النص السعودي.

ماذا يتطلب

• أساس نظامي، وللبيانات الصحية موافقة صريحة مسجّلة قبل المعالجة، مع غرض مذكور بلغة واضحة
• لا رسائل تسويقية أو ترويجية لمريض لم يوافق، وإيقاف يعمل فعلاً
• بقاء البيانات داخل البلد ما لم يستوفِ النقل شروط النظام، وتقييم لمخاطر النقل حين لا يستوفيها
• احتفاظ مقصور على الغرض، ثم حذف أو إخفاء للهوية
• سجل للمعالجة، وإجراء للإبلاغ عن الاختراقات، وشخص مسمّى مسؤول
• يستطيع المرضى معرفة ما تحتفظ به عنهم وتصحيحه وطلب حذفه حيث يسمح النظام

ماذا يوفر النظام

• Hosting في النطاق القضائي الذي يجب أن تبقى فيه البيانات الصحية، مع نسخ احتياطي ومراقبة ضمن باقة الصيانة
• سطر موافقة قبل أول تذكير على WhatsApp، يُحفظ لكل مريض بوقته ونصه، وإيقاف يلتزم به المساعد
• تذكيرات وإيصالات فقط؛ ولا رسالة ترويجية ما لم يوافق المريض عليها على حدة
• Audit Trail على كل تعديل في سجل وكل ردّ من المساعد، يُقرأ من لوحة الإدارة
• إزالة المعرّفات قبل أن يصل أي نص إلى نموذج لغوي، وتحويل بشري في كل مساعد

ما لا ندّعيه بعد

• لا نسجّل عيادتك لدى الجهة التنظيمية ولا نعيّن مسؤول حماية البيانات لديك ولا نكتب إشعار الخصوصية؛ نوفّر الضوابط التقنية والأثر
• لا ندّعي أي اعتماد أو شهادة من SDAIA

المصادر

• Kiteworks: الامتثال لـ PDPL وحماية البيانات الصحية

هذه الصفحات ملاحظات هندسية لا استشارة قانونية. تأكد من التزاماتك لدى الجهة التنظيمية أو مستشار مرخّص قبل أن تعتمد عليها.