امنیت اطلاعات بیمار در مطب دندانپزشکی؛ قانون، نرم‌افزار و عادت‌های روزانه
امنیت اطلاعات بیمار در مطب سه لایه دارد: لایهٔ قانونی که می‌گوید با دادهٔ سلامت چه می‌توان کرد، لایهٔ نرم‌افزار که دسترسی‌ها و ثبت رویدادها را کنترل می‌کند، و لایهٔ عادت‌های روزانه که بیشترِ نشت‌های واقعی از آن رخ می‌دهد؛ مثل حساب کاربری مشترک، صفحهٔ باز پذیرش یا ارسال پرونده در پیام‌رسان شخصی. نرم‌افزار امن بدون عادت درست، مطب را امن نمی‌کند.
لایهٔ قانونی؛ چه می‌گوید؟
قانون تجارت الکترونیکی ایران (مصوب ۱۳۸۲) در فصل حمایت از داده‌پیام‌های شخصی، مادهٔ ۵۸، ذخیره، پردازش یا توزیع داده‌های مربوط به وضعیت جسمانی، روانی یا جنسی اشخاص را بدون رضایت صریح آنان غیرقانونی می‌داند. مادهٔ ۵۹ هم شرایطی می‌گذارد؛ از جمله اینکه هدف گردآوری مشخص و روشن باشد و داده فقط به اندازهٔ ضرورت و متناسب با همان هدف گردآوری شود.
رازداری دربارهٔ اطلاعات بیمار در اخلاق و مقررات حرفه‌ای پزشکی هم جایگاهی شناخته‌شده دارد. برای شکل دقیق رضایت‌نامه و الزامات مطب خودتان با مشاور حقوقی یا سازمان نظام پزشکی مشورت کنید.
لایهٔ نرم‌افزار؛ چه چیزهایی را بررسی کنیم؟
- حساب کاربری شخصی برای هر نفر؛ بدون حساب مشترک.
- دسترسی بر پایهٔ نقش: پذیرش، صندوق، دستیار و پزشک هر کدام فقط آنچه لازم دارند.
- ثبت رویدادها: چه کسی، چه زمانی، کدام پرونده را دید یا تغییر داد.
- خروج خودکار پس از مدتی بی‌کاری.
- رمزنگاری ارتباط بین دستگاه و سرور.
- محدودیت و ثبت خروجی گرفتن از فهرست بیماران.
لایهٔ عادت‌ها؛ جایی که بیشتر نشت‌ها رخ می‌دهد
- صفحهٔ نمایش پذیرش رو به سالن انتظار نباشد.
- پرونده، عکس یا تصویر رادیوگرافی بیمار از طریق پیام‌رسان شخصی پرسنل ارسال نشود.
- رمز عبور روی برگه کنار مانیتور نوشته نشود و بین پرسنل دست‌به‌دست نشود.
- با پایان همکاری هر پرسنل، دسترسی او همان روز بسته شود.
- تماس تلفنی دربارهٔ درمان، پیش از دادن اطلاعات، با پرسش هویتی کوتاه شروع شود.
پیام به بیمار و محرمانگی
پیامک یادآوری نباید جزئیات درمان را فاش کند؛ ممکن است گوشی بیمار در دست دیگری باشد. «نوبت شما در مطب فردا ساعت …» کافی است و نام درمان لازم نیست.
بیمار باید بتواند درخواست کند که برای پیگیری با او تماس گرفته نشود، و نرم‌افزار باید این درخواست را ثبت و رعایت کند.
اگر نشتی رخ داد
- دسترسی مشکوک را فوراً قطع و رمزها را عوض کنید.
- از ثبت رویدادهای نرم‌افزار، دامنهٔ ماجرا را مشخص کنید.
- با ارائه‌دهندهٔ نرم‌افزار و در صورت لزوم مشاور حقوقی تماس بگیرید.
- رویه‌ای را که نشت از آن رخ داد اصلاح و به پرسنل آموزش دهید.
راهنماهای مرتبط
پرسش‌های پرتکرار
آیا قانونی دربارهٔ حفاظت از اطلاعات سلامت در ایران وجود دارد؟
قانون تجارت الکترونیکی در مواد ۵۸ و ۵۹ پردازش دادهٔ مربوط به وضعیت جسمانی و روانی را به رضایت صریح و شرایطی مثل هدف مشخص و تناسب داده با هدف مشروط کرده است.
مهم‌ترین تنظیم امنیتی نرم‌افزار مطب چیست؟
حساب کاربری شخصی برای هر نفر و دسترسی بر پایهٔ نقش؛ بدون این دو، هیچ ثبت رویدادی معنا ندارد.
ارسال عکس رادیوگرافی در پیام‌رسان اشکال دارد؟
ارسال از حساب شخصی پرسنل، داده را از کنترل مطب خارج می‌کند. اگر ارسال لازم است، از مسیر رسمی و ثبت‌شدهٔ مطب و با رضایت بیمار انجام شود.
در پیامک یادآوری چه چیزی نیاید؟
نام یا جزئیات درمان؛ زمان نوبت و نام مطب کافی است.
با رفتن یک پرسنل چه کنیم؟
همان روز دسترسی او را ببندید و اگر رمزی مشترک بوده، عوض کنید.