فرضت هيئة حماية البيانات الشخصية غرامة إدارية قدرها 1000 دينار بحريني على أحد المراكز الطبية، بعد ثبوت مخالفته أحكام قانون حماية البيانات الشخصية، على خلفية مشاركة بيانات صحية خاصة بأحد المرضى مع جهة عمله دون الحصول على موافقته المسبقة أو وجود مسوغ قانوني يجيز الإفصاح عنها.
وجاء القرار عقب شكوى تقدم بها أحد المواطنين إلى الهيئة، أفاد فيها بأن المركز الطبي أرسل عبر البريد الإلكتروني معلومات ووثيقة مرتبطة بفحوصاته الطبية إلى جهة عمله، معتبرًا أن ذلك يمثل انتهاكًا لخصوصيته ومخالفة لأحكام قانون حماية البيانات الشخصية.
وباشرت الهيئة التحقيق في الشكوى، واستمعت إلى إفادة مقدمها، كما أخطرت المركز الطبي بالواقعة وتلقت مذكرة دفاعه، إلى جانب طلب إيضاحات ومستندات من جهة عمل الشاكي.
وخلص التحقيق إلى عدم ثبوت وجود موافقة مسبقة من صاحب البيانات، مستوفية للشروط القانونية، على مشاركة بياناته الصحية مع جهة العمل، كما لم يثبت انطباق أي من الحالات الاستثنائية التي تسمح بمعالجة هذا النوع من البيانات دون موافقة صاحبها.
البيانات الصحية تحت حماية خاصة
شددت هيئة حماية البيانات الشخصية على أن البيانات الصحية تندرج ضمن البيانات الشخصية الحساسة، وأن التعامل معها يخضع لضوابط قانونية أكثر تشددًا، خصوصًا عند جمعها أو تخزينها أو استخدامها أو الإفصاح عنها أو مشاركتها مع أطراف أخرى.
وبحسب الهيئة، يجب أن تستند معالجة البيانات الشخصية الحساسة إلى أساس قانوني مشروع ومحدد، وأن تقتصر المعالجة على القدر الضروري لتحقيق الغرض المشروع منها.
وتكتسب هذه الضوابط أهمية خاصة في القطاع الصحي، حيث تتضمن الملفات الطبية معلومات شديدة الخصوصية مرتبطة بالحالة الصحية للأفراد، ما يجعل مشاركتها مع جهات خارجية مسألة تتطلب التحقق من وجود سند قانوني واضح.
رسالة إلى القطاع الطبي وأصحاب الأعمال
يمثل القرار مؤشرًا على أهمية التعامل مع البيانات الصحية باعتبارها أصولًا معلوماتية حساسة، وليس مجرد مستندات إدارية يمكن تداولها بين الموظف ومقدم الخدمة الصحية وجهة العمل.
وتشدد الهيئة على ضرورة أن يتحقق مديرو البيانات والمتحكمون في معالجتها، في القطاعين العام والخاص، من وجود الأساس القانوني قبل إجراء أي معالجة أو إفصاح، مع تحديد الغرض من استخدام البيانات ونطاقه، وقصر الوصول إليها على الأشخاص المخولين.
كما يتعين على الجهات التي تتعامل مع البيانات الصحية اتخاذ تدابير فنية وتنظيمية تمنع استخدامها أو الإفصاح عنها أو مشاركتها بصورة غير مشروعة.
أثر اقتصادي على المؤسسات الصحية
لا تقتصر أهمية القرار على الغرامة المالية البالغة 1000 دينار، وإنما تمتد إلى تكلفة الامتثال التي أصبحت جزءًا أساسيًا من إدارة المؤسسات الصحية.
فحماية البيانات تتطلب من المراكز الطبية مراجعة آليات إرسال التقارير الطبية، وتحديد صلاحيات الوصول إلى الملفات، ووضع إجراءات واضحة للتعامل مع طلبات الإفصاح، خصوصًا عندما تكون الجهة الطالبة للبيانات هي صاحب العمل.
ويعني ذلك أن المؤسسات الصحية مطالبة بالتعامل مع البيانات باعتبارها مسؤولية قانونية وتشغيلية، إلى جانب كونها جزءًا من العلاقة الطبية مع المريض.
تعزيز الثقة في الخدمات الصحية الرقمية
ترى الهيئة أن الالتزام بقواعد حماية البيانات لا يمثل مجرد متطلب تنظيمي، بل يشكل عنصرًا أساسيًا في حماية خصوصية الأفراد وتعزيز الثقة في منظومة الرعاية الصحية.
ومع توسع الاعتماد على السجلات الإلكترونية والبريد الإلكتروني والأنظمة الرقمية في القطاع الصحي، تزداد أهمية وجود ضوابط واضحة تحدد من يملك حق الوصول إلى المعلومات الصحية، والجهات التي يجوز مشاركة البيانات معها، والظروف التي تسمح بذلك.
ويبرز القرار في هذا السياق كتنبيه للمؤسسات الصحية والجهات التي تتعامل مع بيانات الموظفين إلى ضرورة التحقق من الأساس القانوني قبل تبادل المعلومات الصحية، وعدم اعتبار علاقة العمل بحد ذاتها مبررًا تلقائيًا للحصول على البيانات الطبية للموظف.
ويؤكد القرار، في المحصلة، أن البيانات الصحية أصبحت مجالًا رئيسيًا للامتثال القانوني في القطاع الصحي البحريني، وأن مشاركة المعلومات الطبية مع أطراف أخرى دون موافقة قانونية أو سند مشروع قد تترتب عليها إجراءات وعقوبات من الجهة المختصة بحماية البيانات.
