ماذا يعني «متوافق مع HIPAA» و«مشفّر» بالنسبة إلى العائلة

تنطبق قواعد HIPAA على «الجهات المشمولة»: الخطط الصحية، وغرف المقاصة للرعاية الصحية، ومقدمي الرعاية الصحية الذين يرسلون المعلومات الصحية إلكترونياً للفوترة والمعاملات المشابهة، ومعهم «الشركاء التجاريون» الذين يتعاملون مع تلك المعلومات لحسابهم.¹ والابنة التي تحتفظ بقائمة أدوية أمها ليست جهة مشمولة. ولا مجموعة المحادثة العائلية، ولا جدول البيانات المشترك، ولا معظم التطبيقات التي تنزّلها العائلة بنفسها.

ولهذا تقول لجنة التجارة الاتحادية (FTC) للمستهلكين بوضوح إن التطبيق الصحي، بخلاف طبيبك، قد لا تشمله قوانين الخصوصية الصحية مثل HIPAA، وإن إشعار الخصوصية في التطبيق هو ما تعتمد عليه.⁵ ولهذا أيضاً وُجدت قاعدة الإبلاغ عن اختراق البيانات الصحية لدى اللجنة: فمنذ 2024 تُلزم التطبيقات التي تتعامل مع معلومات صحية ولا يشملها HIPAA بإبلاغ الناس حين تُخترق تلك المعلومات أو تُكشف دون تفويض.²

لا توجد جهة حكومية تعتمد تطبيقاً بوصفه متوافقاً مع HIPAA. وحين تقول شركة ذلك، فهي تصف ممارساتها هي: أنها تتعامل مع المعلومات بالطريقة التي تفرضها القواعد على جهة مشمولة، وغالباً أنها ستوقّع اتفاقية شريك تجاري إن استخدمها مقدم رعاية. وكلا الأمرين جيد. لكن أياً منهما ليس تفتيشاً رسمياً. ولهذا السبب يقول CareCoordinate إنه «منسجم مع HIPAA»: فالممارسات هي التي تصفها القواعد، والكلمة صادقة.

فتعامل مع هذه العبارة على أنها بداية حوار. والسؤال التالي المفيد هو: ماذا تفعلون بالتحديد؟ والقسم التالي هو القائمة.

معايير الأمن في HIPAA للمعلومات الصحية الإلكترونية تسمّي الضمانات بكلمات واضحة: التحكم في الوصول حتى لا يرى المعلومات إلا من مُنحوا الإذن، وضوابط التدقيق التي تسجّل النشاط وتفحصه، والتحقق من الهوية للتأكد من أن الشخص هو من يقول إنه هو، وأمن النقل لحماية المعلومات المتنقلة عبر الشبكة.³ ويظهر التشفير مرتين في تلك القائمة، للمعلومات المخزّنة وللمعلومات أثناء النقل، وكلاهما مصنّف «قابلاً للتقدير» (addressable)، أي أن على الجهة أن تطبقه أو توثّق لماذا يكون إجراء بديل مكافئ معقولاً.³

وبلغة العائلة، معنى ذلك ما يلي. اسأل هل المعلومات مشفّرة حيث تُخزَّن، لا في طريقها إلى الخادم فقط. واسأل هل يحتفظ التطبيق بسجل لمن اطّلع على ماذا ومن غيّر ماذا، حتى يكون لسؤال يُطرح بعد شهور جواب. واسأل كيف يثبت الشخص هويته، وهل يمكن سحب الوصول في اليوم الذي يغادر فيه مقدم رعاية الدائرة. والشركة التي تفعل هذه الأشياء ستقول ذلك في جملة واحدة.

هل معلومات عائلتي مشفّرة وهي مخزّنة وأثناء نقلها؟ من في شركتكم يستطيع قراءتها، ووفق أي قواعد؟ هل يُشارَك شيء مع شركات أخرى أو يُباع لها، بما في ذلك لأغراض الإعلان؟ هل هناك سجل تدقيق للوصول والتغييرات؟ هل أستطيع سحب وصول شخص فوراً؟ هل أستطيع تصدير كل شيء وحذف الحساب، وبعد كم من الوقت تزول البيانات؟ ماذا يحدث، ومن يُبلَّغ، إن وقع اختراق؟ ينبغي أن يجيب إشعار الخصوصية عن معظم هذه الأسئلة؛ ونصيحة لجنة التجارة الاتحادية هي أن تقرأه لتعرف ما يُجمع، وكيف يُستخدم، وهل يُشارَك، وأن تراجع الإعدادات لترى ما الذي تتحكم فيه.⁵

القاعدة التي تُلزم أطباء والدك تساعدك أنت أيضاً. فلمقدم الرعاية أن يشارك المعلومات المتصلة بمشاركة أحد أفراد العائلة في رعاية المريض حين يوافق المريض، أو حين تُتاح له فرصة الاعتراض فلا يعترض، أو حين يرى مقدم الرعاية، إن كان المريض عاجزاً عن القرار، أن ذلك في مصلحته الفضلى.⁴ هذا هو النص الذي يستند إليه الطبيب حين يتحدث مع ابنة في غرفة الفحص، وهو النص الذي تحتجّ به حين تقول لك عيادة إن HIPAA يمنع ذلك. أما الأوراق التي تجعل ذلك إجراءً معتاداً، فراجع دليلنا عن الوثائق التي ينبغي أن يسأل عنها كل مقدم رعاية من العائلة.