مقدمة
قد يحسّن التأهيل عن بُعد استمرارية الرعاية، لكن سهولة التقنية لا تلغي المسؤولية السريرية. وتضيف زيارات الفيديو والتمارين التفاعلية والقياسات عن بُعد وخدمات الذكاء الاصطناعي مخاطر، من الوصول غير المصرح به للبيانات إلى قرارات علاجية غير آمنة. وينبغي للخدمة إدارة الخصوصية والأمن السيبراني والسلامة السريرية والمساءلة المهنية معًا. ويقدم الدليل إطارًا عمليًا للمعالجين والمؤسسات الصحية وفرق الصحة الرقمية.
فهم المجالات الأربعة للمخاطر
- الخصوصية: جمع المعلومات الشخصية أو استخدامها أو مشاركتها أو الاحتفاظ بها دون غرض مناسب أو شفافية أو أساس قانوني.
- الأمن السيبراني: اختراق الحسابات أو الأجهزة أو الشبكات أو البرمجيات أو الخدمات السحابية، أو تعطلها أو تغييرها.
- السلامة السريرية: قد تسهم قياسات مضللة أو اختيار غير مناسب للأشخاص أو تعليمات غير واضحة أو استجابة غير ملائمة للمخاطر في إحداث ضرر.
- المخاطر التشغيلية ومخاطر الإنصاف: قد تقطع صعوبات الاتصال أو الوصول أو التدريب أو اللغة أو الدعم استمرارية الرعاية وتستبعد بعض الأشخاص.
تتداخل هذه المخاطر؛ فقد يكشف حساب مخترق معلومات صحية حساسة ويتيح لشخص غير مخوّل تعديل خطة تمرين منزلي.
رسم دورة حياة البيانات قبل استخدام البرنامج
وثّق البيانات التي تُجمع وسبب جمعها والجهة المسؤولة. فقد تعالج الخدمة الهوية وبيانات الاتصال والملاحظات السريرية والفيديو والصوت ومسارات الحركة ونتائج الألعاب وقراءات المستشعرات ورسائل مقدمي الرعاية. وقد تسمح تسجيلات أو أنماط حركة تبدو مجهولة الهوية بالتعرّف إلى الشخص، خاصة عند دمجها بمعلومات أخرى. وارسم مسارات الجمع والتخزين والنقل والوصول والتصدير والاحتفاظ والحذف والنسخ الاحتياطية والمتعاقدين الفرعيين. ويقلل الاقتصار على البيانات اللازمة التعرض للمخاطر وأثر الاختراق.
الموافقة والشفافية والمعالجة المشروعة
اشرح الخدمة بلغة ميسّرة: هل تُسجَّل الجلسة؟ وهل تُعالج البيانات سحابيًا؟ ومن يراجع النتائج؟ وما الذي يشارَك مع المزوّدين أو أنظمة الذكاء الاصطناعي؟ وتختلف الموافقة السريرية على الرعاية عن بُعد عن الأساس القانوني لمعالجة البيانات الشخصية. وفي الاتحاد الأوروبي، ليست الموافقة الصريحة الشرط المشروع الوحيد الممكن لمعالجة البيانات الصحية، ولا تعوّض سائر متطلبات GDPR. وعند إشراك الأطفال، تُراعى صلاحية الوصي واستقلالية الطفل المتنامية والضمانات المنطبقة.
ضوابط مهمة للأمن السيبراني
- الهوية والوصول: حسابات فردية ومصادقة قوية وصلاحيات بحسب الأدوار وإلغاء سريع للوصول عند تغير الدور.
- التشفير: حماية مناسبة للبيانات أثناء النقل والتخزين، مع إدارة سليمة لمفاتيح التشفير.
- سلامة الأجهزة والبرمجيات: أنظمة تشغيل مدعومة وترقيعات في الوقت المناسب وإعدادات آمنة وتحديثات مضبوطة.
- التسجيل والتدقيق: متابعة الوصول والتغييرات ذات الصلة دون كشف تفاصيل حساسة غير لازمة في السجلات.
- القدرة على الصمود والتعافي: نسخ احتياطية واختبارات استعادة وخطط استجابة للحوادث وإجراءات توقف آمنة سريريًا.
- التحقق من ضمانات المورّد: تقييم الاستضافة ومعالجي البيانات الفرعيين والممارسات الأمنية وإدارة الثغرات والمسؤوليات التعاقدية.
لا تضمن شهادة واحدة أو ادعاء بشأن الاستضافة الأمن. ويجب أن تتناسب الضوابط مع المخاطر وتُختبر في الاستخدام الفعلي.
مخاطر سريرية خاصة بالتأهيل عن بُعد
لا يستطيع المعالج دائمًا فحص البيئة أو الحالة البدنية كاملة عبر الكاميرا. فقد لا يلاحظ السقوط أو عدم استقرار الأعراض أو الانتقالات غير الآمنة أو الحمل التدريبي المفرط أو انزعاج الجهاز أو سوء فهم التعليمات. وقد تشوّه بيانات الحركة مواضع الكاميرا والمعايرة والحجب وانجراف المستشعرات. وينبغي إتاحة إيقاف النشاط والاتصال بالفريق والانتقال إلى التقييم الحضوري حين لا تكفي الرعاية عن بُعد. ولا تُؤتمت زيادة شدة العلاج اعتمادًا على نتائج غير متحقق من صلاحيتها وحدها.
مسار منظّم لإدارة المخاطر السريرية
- تحديد الاستخدام المقصود: حدّد المستخدمين والبيئات والوظائف المدّعاة والقرارات السريرية التي يدعمها البرنامج.
- تحديد مصادر الخطر: راعِ سوء الاستخدام المتوقع وتعطل الجهاز والبيانات الخاطئة والخطأ البشري وقابلية الشخص للتضرر.
- تقدير المخاطر وضبطها: أعطِ الأولوية لضمانات التصميم والمعلومات الواضحة والتدريب والإشراف المناسب.
- التحقق من الضوابط: اختبر البرمجيات والإتاحة والعوامل البشرية ومسارات العمل السريري والإجراءات البديلة.
- المتابعة بعد بدء الاستخدام: راجع الحوادث والشكاوى والتغييرات وانحراف الأداء والتهديدات الناشئة.
- إعادة تقييم التغييرات: قد تغيّر مستشعرات أو نماذج ذكاء اصطناعي أو استطبابات أو ادعاءات جديدة مستوى المخاطر والوضع التنظيمي.
عند الاقتضاء، تُواءم عمليات جودة الأجهزة الطبية وإدارة مخاطرها مع المعايير والمتطلبات القانونية ذات الصلة، ولا تُعامل هذه القائمة كبديل عن التقييم الرسمي للمطابقة.
دمج السلامة في تصميم جلسات الفيديو والأنشطة المنزلية
قبل البدء، تحقّق من الهوية بإجراء مناسب، وأكّد الموقع وإجراءات الاتصال في الطوارئ حين يلزم سريريًا، وافحص البيئة ومن يوجد مع الشخص. وحدد التعامل مع تعطل التقنية والنشاط غير الآمن والأعراض العاجلة. واشرح أن الرسائل غير المتزامنة ليست قناة للطوارئ. وتقتصر الملاحظة عن بُعد على ما يبرره النشاط؛ ونادرًا ما يكون تسجيل كل جلسة خيارًا افتراضيًا ضروريًا.
الذكاء الاصطناعي وخدمات الأطراف الأخرى
قد تضيف أدوات الذكاء الاصطناعي العامة مخاطر الاحتفاظ بالبيانات والإفصاح غير المصرح به والنصائح السريرية المختلقة والتحيز وحقن التعليمات وعدم توقع سلوك النموذج. وقد تساعد في مسودات موارد ميسّرة أو نماذج أنشطة فردية، لكن تجب مراجعة المخرجات وتجنب معلومات الأشخاص القابلة للتعريف في خدمات لم تُعتمد لهذا الاستخدام. ولا تصبح لعبة قليلة البرمجة أو روبوت محادثة أو لوحة متابعة جهازًا طبيًا متحققًا من صلاحيته لمجرد عملها تقنيًا. ويُقيَّم الاستخدام المقصود ومعالجة البيانات والإشراف البشري والأمن والمتطلبات التنظيمية قبل التطبيق السريري.
تتبّع الحركة والواقع الافتراضي وRemotion
قد تلتقط برمجيات التأهيل التفاعلي إكمال المهام وتقديرات الحركة والتوقيت والأحداث السلوكية. ويميّز المختص هذه المؤشرات عن النتائج السريرية المتحقق من صلاحيتها. وفي الواقع الافتراضي أو المعزز، تُراعى احتمالات الدوار والتوازن وملاءمة النظارة والقدرة على التحمّل الحسي وإرشادات العمر. ويقدّم Remotion Classic أنشطة تتمحور حول المعالج على الأجهزة المدعومة. ويدعم Remotion TheraVerse غرفًا قابلة للتهيئة بأشياء تفاعلية وإشارات بصرية وسمعية ولمسية اهتزازية عند توافق العتاد. وقد تدعم الإمكانات التخصيص، لكن الملاءمة والأدلة والأمن والإشراف تحتاج تقييمًا لكل استخدام؛ ولا تعني إتاحة كل الوظائف عن بُعد أو ثبوت الفعالية.
تذكير تنظيمي دولي: الاتحاد الأوروبي والولايات المتحدة والشرق الأوسط
الاتحاد الأوروبي
إنّ اللائحة العامة لحماية البيانات (GDPR) تنظّم معالجة البيانات الشخصية مع شروط إضافية للبيانات الصحية. وقد يلزم تقييم أثر على حماية البيانات بحسب طبيعة المعالجة وحجمها، وتتوقف واجبات الإبلاغ عن الاختراق على الظروف والمواعيد المنطبقة. وقد تخضع البرمجيات ذات الغرض الطبي لأحكام لائحة الأجهزة الطبية (MDR 2017/745)؛ وقد تخضع استخدامات معينة للذكاء الاصطناعي لأحكام قانون الذكاء الاصطناعي، مع ضرورة التحقق من جدول التطبيق والقواعد الانتقالية السارية. وقد تضيف قواعد الاستضافة والبيانات الصحية الوطنية التزامات أخرى.
الولايات المتحدة
قانون HIPAA ينطبق على جهات مشمولة وشركاء أعمال محددين، بما يشمل الضمانات والإبلاغ عن الاختراق، لكنه لا يشمل كل تطبيق صحي. وقد تنطبق قاعدة FTC للإبلاغ عن خروقات البيانات الصحية على بعض التقنيات الصحية غير المشمولة بـHIPAA. أما إدارة الغذاء والدواء الأمريكية (FDA) فتحدد رقابتها على البرمجيات بحسب الغرض الطبي المقصود والاستثناءات المنطبقة. وتهم أيضًا متطلبات الولايات للرعاية عن بُعد والترخيص والخصوصية.
الشرق الأوسط
تختلف المتطلبات بحسب البلد. السعودية: تُراجع قواعد حماية البيانات الشخصية ومتطلبات SFDA للصحة الرقمية والأجهزة الطبية وضوابط الأمن السيبراني المنطبقة. الإمارات العربية المتحدة: تُقيَّم قواعد البيانات الشخصية ومتطلبات القطاع الصحي، ومنها القانون الاتحادي رقم 2 لسنة 2019 بشأن استخدام تقنية المعلومات والاتصالات في المجالات الصحية، وتراخيص الأجهزة عند الاقتضاء. قطر: يُراعى قانون حماية خصوصية البيانات الشخصية رقم 13 لسنة 2016 ومتطلبات وزارة الصحة العامة. وتحتاج التحويلات عبر الحدود والاستضافة وترخيص المختصين والإبلاغ عن الحوادث إلى مراجعة قانونية خاصة بكل بلد.
تمييز مهم: قد يختلف تنظيم الاتصال بالفيديو وألعاب العافية العامة وبرامج التقييم ذات الغرض الطبي والتوصيات العلاجية بالذكاء الاصطناعي. وهذه ملخصات تعليمية، وليست استشارة قانونية.
التحقق الواجب من المورّد والمشتريات
اطلب من المورّدين مخطط تدفق بيانات واضحًا ومسؤوليات تعاقدية ونموذجًا للتحكم في الوصول وإجراءات الثغرات والترقيعات ومنطقة الاستضافة وخيارات الاحتفاظ والحذف وإجراءات الإبلاغ عن الحوادث ووثائق الإتاحة والأدلة السريرية ذات الصلة بالادعاءات وقائمة المتعاقدين الفرعيين الأساسيين. وحدد المتحكم في البيانات ومعالجها عند الاقتضاء؛ فالتسمية في العقد لا تحدد وحدها العلاقة القانونية. وتحقق من إمكان تعطيل التسجيلات وبيانات المستشعرات دون فقد الوظائف السريرية الأساسية.
الاستجابة للحوادث واستمرارية الخدمة
تحدد الخطة الواقعية من يتلقى البلاغات ومن يعزل الأنظمة وكيف تستمر الرعاية بأمان أثناء العطل ومتى يُبلَّغ المختصون أو الأشخاص وكيف تُحفظ الأدلة وما الإشعارات القانونية المطلوبة. وتدرّب على وصول غير مصرّح به أو برمجيات فدية أو إعداد تمرين فاسد أو تعليمة غير آمنة يولدها الذكاء الاصطناعي. واستخدم قناة بديلة مناسبة سريريًا وراجع القرارات المتأثرة المحتملة. ولا تفترض مهلة موحّدة للإبلاغ عن الاختراق؛ فهي تختلف بحسب الاختصاص والمخاطر والتنظيم.
حالات عملية
اختراق حساب المعالج
تلغي الخدمة الوصول وتقيّم انكشاف البيانات وتغييرات الخطط وتحفظ السجلات المناسبة وتنسق الاستجابة وتقيّم واجبات الإبلاغ. ويتلقى الأشخاص توجيهًا ذا صلة سريرية عبر قناة متحقق منها.
تغذية راجعة حركية خاطئة
تصنّف لعبة بالكاميرا حركة تعويضية مرارًا كنجاح. يوقف المختص الاعتماد على المؤشر ويستخدم الملاحظة المباشرة أو بديلًا متحققًا من صلاحيته، ويبلّغ بالمشكلة التقنية للتحقيق.
تسجيل جلسة طفل
تطلب أسرة تسجيلًا للمراجعة. يشرح الفريق ضرورة التسجيل ومن يصل إليه ومدة الاحتفاظ به، وما إذا كان ملخص مكتوب أقل مخاطرة يحقق الهدف.
قائمة مختصرة للتحقق من الجاهزية
- هل الغرض السريري المقصود موثّق؟
- هل معايير اختيار الأشخاص والإشراف والاستجابة للمخاطر واضحة؟
- هل وُثّقت تدفقات البيانات والأدوار والمتعاقدون الفرعيون والاحتفاظ؟
- هل اختُبرت المصادقة والتشفير والتحديثات والنسخ الاحتياطية؟
- هل القياسات عن بُعد موثوقة بما يكفي لغرضها؟
- هل أُبلغ المستخدمون بالتسجيلات والذكاء الاصطناعي والوصول إلى البيانات؟
- هل تستمر الخدمة بأمان أثناء الأعطال؟
- هل قُيّمت الإتاحة وأعباء مقدمي الرعاية؟
- هل التحليل التنظيمي للأجهزة الطبية والخصوصية خاص بكل سوق؟
- هل توجد آلية لمراجعة الحوادث وتغييرات البرمجيات؟
الأسئلة الشائعة
هل تكفي مكالمة فيديو محمية بكلمة مرور؟
لا. يعتمد الأمن أيضًا على الهوية والوصول والسياسات وترتيبات المورّد والأجهزة والتدريب ومسارات العمل السريري.
هل يشمل HIPAA كل تطبيق تأهيل؟
لا. يعتمد الانطباق على الجهة والعلاقة، وقد تنطبق قواعد أخرى لصحة المستهلك أو للولايات.
هل يمكن الاحتفاظ بالتسجيلات السريرية إلى أجل غير مسمى؟
يحتاج الاحتفاظ إلى غرض وأساس قانوني مناسبين، مع اتباع السياسات والقوانين المنطبقة.
هل يحدد الذكاء الاصطناعي متى تُزاد شدة التأهيل؟
لا يمكن الاعتماد بأمان على نتيجة آلية غير متحقق من صلاحيتها وحدها. وتحتاج القرارات إلى أدلة مناسبة وإشراف مهني.
هل تكفي شهادة استضافة بيانات صحية لتحقيق الامتثال؟
لا. ضمانات الاستضافة جزء فقط من التزامات أوسع للخصوصية والأمن السيبراني والأجهزة الطبية والرعاية السريرية.
الخلاصة والمصادر الأساسية
يتطلب التأهيل الآمن عن بُعد نهجًا متكاملًا يحمي المعلومات ويؤمّن الأنظمة ويقيّم المخاطر السريرية ويوضح المسؤوليات ويحفظ الوصول إلى رعاية مؤهلة. والأمن والسلامة عمليتان مستمرتان مع تطور التقنية والاحتياجات. وقد تدعم أدوات رقمية جيدة الحوكمة قدرات المعالج، مع إبقاء اختيارات الشخص ورفاهه في المركز.
مقالات ذات صلة: التقييم عن بُعد في التأهيل, التحالف العلاجي في التأهيل عن بُعد و إمكانية الوصول والإدماج الرقمي.
- المفوضية الأوروبية. الأسس القانونية لمعالجة البيانات الشخصية.
- وزارة الصحة والخدمات الإنسانية الأمريكية (HHS). الخصوصية والأمن في الرعاية الصحية عن بُعد.
- لجنة التجارة الفيدرالية الأمريكية (FTC). قاعدة الإبلاغ عن خروقات البيانات الصحية.
- إدارة الغذاء والدواء الأمريكية (FDA). الأمن السيبراني للأجهزة الطبية.