خصوصية المرضى في التحليلات: ما الذي يجب ألا ترسله مواقع الرعاية الصحية

01

الخلاصة التنفيذية

تنطوي تحليلات الرعاية الصحية على مخاطر لا توجد بالدرجة نفسها في تحليلات المواقع العادية: فمجرد زيارة شخص لصفحة معينة قد يكشف معلومات عن حالته الصحية. فجلسة على صفحة للخصوبة أو الأورام أو الصحة النفسية ليست مجرد بيانات تصفح محايدة؛ وعندما تقترن بمعرّف، تصبح معلومات مرتبطة بالحالة الصحية لشخص محدد.

يعرّف نظام حماية البيانات الشخصية السعودي البيانات الصحية بأنها البيانات الشخصية المتعلقة بالحالة الصحية للفرد أو بالخدمات الصحية التي تلقاها. وبشكل مستقل، تحظر سياسات Google Analytics إرسال بيانات يمكن لـ Google التعرف عليها كمعلومات تحدد الهوية الشخصية أو تكشف معلومات حساسة. وهذان القيدان يعملان بصورة مستقلة، والامتثال لأحدهما لا يعني الامتثال للآخر.

نادراً ما تكون حالات الإخفاق متعمدة. فهي غالبًا نتيجة تراكمية لبنية عناوين URL صُممت للسهولة، أو نموذج أُنشئ دون التفكير فيما تلتقطه وسوم التحليلات، أو حدث تحليلي سُمّي باسم الإجراء الذي قام به المستخدم، أو أداة لتسجيل الجلسات فُعّلت لمعرفة أداء رحلة الحجز.

القرار الذي تدعم هذه المقالة اتخاذه هو: أين يجب أن تبحث؟ فمعظم المؤسسات لم تُدقّق تدفقات بياناتها ولا تستطيع تحديد ما الذي يتم إرساله حاليًا.

02

ما الذي تنص عليه المصادر الرسمية

النص القانوني العربي هو المرجع الحاكم. أما شروط المنصات فهي التزامات تعاقدية تُطبّق بصورة مستقلة عن القانون، وقد يترتب على مخالفتها عواقب خاصة بها، بما في ذلك حذف البيانات أو اتخاذ إجراء بحق الحساب.

03

لماذا تنطوي تحليلات الرعاية الصحية على مخاطر أعلى

هناك ثلاث خصائص تميزها.

سياق الصفحة حساس بحد ذاته. في تجارة التجزئة، تكشف معرفة أن شخصًا شاهد منتجًا عن تفضيل. أما في الرعاية الصحية، فقد تكشف معرفة أنه شاهد صفحة لحالة مرضية محددة عن قلق صحي. وقد يكون عنوان URL وحده مصدر الإفصاح.

تدخل المعرّفات من مسارات جانبية. لا أحد يرسل اسم المريض عمدًا إلى أدوات التحليلات، لكنه قد يصل لأن صفحة تأكيد الحجز تتضمن الاسم في عنوان URL، أو لأن قيمة أحد حقول النموذج التقطها حدث جرى إعداده تلقائيًا، أو لأن تسجيل الجلسة التقط الشاشة بينما كان الحقل يحتوي على البيانات.

تغادر البيانات نطاق سيطرتك. فبمجرد إرسالها إلى منصة تابعة لجهة خارجية، تصبح خاضعة لعمليات المعالجة والاحتفاظ ومواقع التخزين الخاصة بتلك المنصة. واستعادتها أو سحبها قد يكون صعبًا، وفي بعض الإعدادات مستحيلًا دون حذف خاصية التحليلات بالكامل.

والنتيجة أن تحليلات الرعاية الصحية يجب أن تُصمَّم بعناية، لا أن تُفعّل افتراضيًا. فالإعدادات الافتراضية صُممت للتجارة العامة، لا لسياق قد يكون فيه اسم الصفحة نفسه معلومة صحية.

04

ما الذي قد يتحول إلى بيانات تعريفية أو حساسة

ست فئات ينبغي البحث عنها، مرتبة تقريبًا بحسب شيوع ظهورها.

المعرّفات المباشرة في عناوين URL. مثل الأسماء، وأرقام الهوية الوطنية، وأرقام الملفات الطبية، وعناوين البريد الإلكتروني أو أرقام الهواتف التي تظهر ضمن معلمات الاستعلام أو أجزاء مسار الرابط، وغالبًا ما يحدث ذلك في صفحات التأكيد أو بوابات المرضى.

السياق الصحي في عناوينURL. مسارات صفحات تذكر اسم حالة مرضية أو إجراء أو تخصص، وتُرسل مع معرّف دائم يمكن ربطه عبر جلسات متعددة.

قيم حقول النماذج. قد تُلتقط عمدًا من خلال أحداث مخصصة، أو دون قصد عبر إعداد تلقائي للأحداث يقرأ قيم حقول الإدخال.

أسماء الأحداث والمعلمات. فعندما يُسمّى حدث باسم خدمة محددة، مثل حدث حجز يحمل نوع العلاج، يُنقل السياق الصحي إلى مجموعة بيانات التحليلات بحكم التصميم.

تسجيلات الجلسات والخرائط الحرارية. تلتقط هذه الأدوات محتوى الشاشة افتراضيًا. ومن دون إخفاء الحقول، قد تسجل كل ما كتبه المريض، بما في ذلك الوصف الحر للأعراض.

قوائم الجمهور وإعادة الاستهداف. القائمة المبنية من زوار صفحة حالة مرضية هي، عمليًا، قائمة بأشخاص مرتبطين بتلك الحالة. وهذا النوع هو الأكثر احتمالًا أن ينشئه فريق التسويق دون تدخل تقني، كما أنه يفعّل التزامات الخصوصية وقيود المنصات على الاستهداف القائم على المعلومات الصحية.

05

نقاط تسرب البيانات الشائعة

يستحق البحث الداخلي في الموقع اهتمامًا خاصًا. فعندما يكتب المريض أعراضه في مربع البحث داخل الموقع، فإنه ينتج بالضبط نوع المعلومات الصحية النصية الحرة التي يجب ألا تغادر المؤسسة، بينما يكون تتبع البحث الداخلي مفعّلًا افتراضيًا في كثير من إعدادات التحليلات.

06

خريطة تقليل البيانات

تعكس هذه المنهجية النهج المعتاد. فبدلًا من السؤال: ما الذي يمكن جمعه؟ ابدأ بالقرارات.

الخطوة 1: حصر القرارات. ما القرارات التي تتخذها المؤسسة فعليًا باستخدام بيانات الويب؟ غالبًا ما تكون قليلة: أين نستثمر بحسب خط الخدمة، وأين تتعطل رحلة الحجز، وأي محتوى يولّد الاستفسارات.

الخطوة 2: تحديد الحد الأدنى من البيانات. لكل قرار، حدّد أقل قدر من البيانات اللازمة لدعمه. معظم القرارات تحتاج إلى أعداد مجمعة بحسب مجموعة الصفحات والحدث، لا إلى تفاصيل على مستوى الأفراد.

الخطوة 3: جرد ما يتم جمعه حاليًا. كل وسم وأداة وحدث ومعلمة وقائمة جمهور. وأدرج أيضًا الأدوات التي لم يعد لها مسؤول واضح.

الخطوة 4: المقارنة. الفجوة بين البيانات التي تدعم قرارًا فعليًا والبيانات التي يتم جمعها هي الهدف الذي ينبغي تقليصه. وفي معظم تطبيقات الرعاية الصحية تكون هذه الفجوة كبيرة.

الخطوة 5: تصنيف ما تبقى. صنّف كل ما بقي إلى: آمن، أو حساس بحكم السياق، أو قابل لتحديد الهوية. وكل ما يقع ضمن الفئتين الأخيرتين يحتاج إلى ضابط مناسب أو إلى الإزالة.

الخطوة 6: تطبيق الضوابط. وتشمل حجب المعرّفات قبل الإرسال، وتجميع صفحات الحالات المرضية ضمن فئات أوسع، وإخفاء البيانات في أدوات التسجيل، وإزالة جماهير الاستهداف المبنية على المعلومات الصحية، أو إلغاء جمع البيانات بالكامل.

المبدأ الذي يحسم معظم النقاشات: وجود آلية للموافقة لا يجعل كل عملية نقل للبيانات مناسبة. قد توفر الموافقة أساسًا نظاميًا لغرض معين، لكنها لا تجعل إرسال اسم المريض وتشخيصه إلى منصة إعلانية تابعة لجهة خارجية أمرًا مقبولًا. السؤال هو: هل نقل هذه البيانات ضروري لاتخاذ قرار؟ وليس: هل ضغط المستخدم زر «موافق»؟

07

ضوابط المورّدين والوصول والاحتفاظ بالبيانات

أربعة ضوابط تتجاوز البيانات نفسها.

تقييم المورّد. ما البيانات التي تستقبلها كل أداة؟ أين تتم معالجتها؟ كم مدة الاحتفاظ بها؟ وهل تسمح الشروط التعاقدية باستخدامها في سياق الرعاية الصحية؟ الأدوات التي يضيفها فريق التسويق دون مراجعة هي المصدر الأكثر شيوعًا لتدفقات بيانات لم تخضع للتقييم.

التحكم في الوصول. من يستطيع الاطلاع على بيانات التحليلات؟ ومن يستطيع إنشاء قوائم الجمهور؟ وبشكل خاص، يجب أن يكون إنشاء الجماهير إجراءً خاضعًا للضبط في سياق الرعاية الصحية.

الاحتفاظ بالبيانات. تقليل مدة الاحتفاظ يقلل حجم التعرض للمخاطر. وغالبًا ما تكون مدد الاحتفاظ الافتراضية أطول مما يحتاجه أي قرار فعلي.

إدارة التغيير. ينبغي أن تتطلب الوسوم والأدوات الجديدة اعتمادًا من جهة الخصوصية قبل نشرها. فمعظم حالات التسرب تُدخلها تغييرات جديدة، والتغيير مستمر.

08

مثال على تدقيق التتبع في الرعاية الصحية

التدقيق التالي توضيحي. وقد صيغت النتائج لشرح المنهجية؛ فهي ليست نتائج مقاسة أو مأخوذة من عينة، ولا تمثل معيارًا مرجعيًا لدينا.

المنهجية. افتح الصفحات الرئيسية في المتصفح مع فحص حركة الشبكة، وأرسل حجزًا تجريبيًا باستخدام بيانات وهمية، ثم افحص كل طلب صادر: الوجهة، والحمولة، والمعلمات. كرر الاختبار على الجوال وباللغة العربية. وبشكل منفصل، راجع تعريفات الجماهير في كل حساب إعلاني.

نتائج توضيحية مُنشأة.

قراءة النتائج. تشترك النتائج الأربع عالية الخطورة في سبب واحد: لم يفحص أحد ما الذي يغادر المتصفح. وكل حالة أدخلها شخص يتصرف بشكل منطقي ولغرض مشروع، ومع ذلك لن تظهر أي منها في تدقيق الموافقات أو مراجعة سياسة ملفات تعريف الارتباط.

الدلالة على القرار. يجب ترتيب المعالجة بحسب شدة التعرض للمخاطر، لا بحسب سهولة التنفيذ. تبدأ الأولوية بالمعرّفات المباشرة، ثم الجماهير المبنية على المعلومات الصحية، إذ يمكن عادةً إزالة الأخيرة فورًا من دون تكلفة على القياس.

القيود. يكشف التدقيق عبر المتصفح تدفقات البيانات من جانب العميل فقط. أما عمليات الإرسال من جانب الخادم، والرفع دون اتصال، وتكاملات الأنظمة الخلفية فتتطلب مراجعة منفصلة مع الفريق الهندسي، وغالبًا ما توجد فيها التدفقات الأكثر أهمية.

09

أولويات المعالجة والحوكمة

ما يجب إصلاحه الآن

• فحص ما ترسله روابط تأكيد الحجز وبوابات المرضى، وإزالة المعرّفات
• تعطيل تتبع البحث الداخلي في الموقع أو حجب بياناته الحساسة
• إخفاء جميع حقول النماذج في أي أداة لتسجيل الجلسات أو الخرائط الحرارية
• إزالة الجماهير المبنية على زيارات صفحات الحالات المرضية أو العلاجات أو التخصصات
• حصر كل وسم وأداة مستخدمة حاليًا، بما في ذلك الأدوات التي لا يوجد لها مسؤول واضح

ما يجب بناؤه بعد ذلك

• استكمال جرد القرارات مقابل البيانات وإيقاف جمع أي بيانات لا تدعم قرارًا محددًا
• تقييم كل مورّد من حيث ما يستقبله من بيانات، ومكان معالجتها، ومدة الاحتفاظ بها
• تقليل مدة الاحتفاظ إلى أقصر فترة تكفي لدعم القرارات
• اشتراط اعتماد الخصوصية لأي وسم أو أداة أو جمهور جديد

القياس المستمر

• عدد تدفقات البيانات غير الخاضعة للتقييم، مع استهداف الوصول إلى صفر
• المدة بين نشر وسم جديد وإجراء مراجعة الخصوصية
• نتائج إعادة التدقيق الدورية، لأن الإعدادات تتغير بمرور الوقت
• نسبة الحقول التي يتم جمعها ويمكن ربطها بقرار محدد بالاسم

غالبًا ما تدفع طموحات الإسناد التسويقي إلى جمع البيانات التي تخلق هذا النوع من التعرض للمخاطر، ولهذا تهم حدود الإسناد هنا. راجع «لماذا يضلل إسناد النقرة الأخيرة فرق تسويق الرعاية الصحية»، وكذلك عملية الفرز الأوسع في «الامتثال في تسويق الرعاية الصحية في السعودية: خريطة تشغيلية عملية».

10

القيود القانونية والتقنية

ما الذي تمثله هذه المقالة؟ وصف لأنماط الإخفاق التقنية في تحليلات الرعاية الصحية، مع منهجية للتدقيق وعملية لتقليل البيانات.

ما الذي لا تمثله؟ ليست استشارة قانونية، ولا شهادة امتثال، ولا حكمًا بأن إعدادًا معينًا نظامي. كما أنها لا تغطي جميع الالتزامات المطبقة، ولا تتناول الأنظمة السريرية الخلفية التي تخضع لمتطلبات منفصلة وأكثر صرامة.

قيود المنهجية. لا يكشف التدقيق من جانب العميل تدفقات الخادم، أو عمليات الرفع دون اتصال، أو تكاملات الأنظمة الخلفية. كما تتقادم النتائج سريعًا لأن الوسوم والأدوات تتغير باستمرار. والاختبار بلغة واحدة وعلى جهاز واحد يعطي نتائج غير مكتملة.

قيود المصادر. النص القانوني العربي الرسمي هو المرجع الحاكم. وقد تتغير سياسات المنصات دون إشعار ويجب إعادة التحقق منها. والامتثال لسياسة منصة لا يعني الامتثال للقانون، والعكس صحيح.

الحالات التي تتطلب مراجعة. تتطلب قرارات التنفيذ مراجعة من مستشار خصوصية مؤهل ومراجعة تقنية للأمن. وأي تدفق يشمل أنظمة سريرية يتطلب مشاركة جهة حوكمة المعلومات السريرية.

البحث المخطط له. وضعنا نطاقًا لتدقيق خصوصية تحليلات الرعاية الصحية في السعودية. ولم يكتمل بعد، ولا تتضمن هذه المقالة أي نتائج منه.

المصادر.

• سدايا، نظام حماية البيانات الشخصية
• سدايا، اللائحة التنفيذية لنظام حماية البيانات الشخصية
• Google Analytics، سياسة المعلومات التي تحدد الهوية الشخصية
• Google Analytics، القياس المحسّن

11

هل تعرف ما الذي يرسله موقعك الإلكتروني؟

يكاد لا يوجد أي كيان في قطاع الرعاية الصحية يستطيع الإجابة عن هذا السؤال اعتمادًا على الذاكرة، كما أن مراجعات الموافقة لا تكشفه. يقوم «تشخيص نمو الرعاية الصحية» بفحص تدفقات بياناتك الفعلية باللغتين وعلى نوعي الأجهزة، ويحدد ما الذي يغادر المتصفح. أما الأحكام القانونية فتبقى من اختصاص مستشار الخصوصية لديك.

اطلب تشخيصًا لنمو الرعاية الصحية

واصل الاستكشاف

قراءات ذات صلة من البرنامج المعرفي نفسه.