- ابدأ بحفظ الدليل قبل أي مواجهة: صدّر سجل التدقيق لملف المريض عن فترة الشكوى، وسجّل الشكوى بتفاصيلها، وعيّن محققًا ليس المدير المباشر للموظف.
- السؤال ليس «من فتح الملف؟» بل «هل كان لديه عمل على هذا المريض في ذلك الوقت؟» طابق كل اطلاع مع خط زمني للمريض: موعد، أو زيارة، أو طلب، أو مطالبة، أو اتصال مسجل.
- صنّف كل اطلاع في واحدة من أربع خانات: مبرر، ومبرر في أصله مفرط في نطاقه، ويحتاج تفسيرًا، وغير مبرر مرجحًا. ثم قابل الموظف قبل أي قرار.
- الإجراء التصحيحي ثلاثي: على مستوى الشخص وفق سياسة الموارد البشرية، وعلى مستوى الصلاحيات، وعلى مستوى الإجراءات. ويُقيّم مبكرًا إن كانت الحادثة تستوجب إبلاغ الجهة المختصة وفق نظام حماية البيانات الشخصية.
هذه المقالة للمدير الطبي أو رئيس القسم الذي وصلته شكوى مريض أو ملاحظة موظف بأن أحدًا اطلع على ملف دون سبب. ستجد فيها ما تفعله في الساعات الأولى، وخطوات التحقيق بسجل التدقيق، وكيف تفرق بين اطلاع له مبرر واطلاع بدافع الفضول، ومثالًا محسوبًا، ومحتوى ملف التحقيق، ثم المراجعة الدورية التي تكشف المشكلة قبل أن يشتكي أحد.
ما تفعله في الساعات الأولى بعد الشكوى
الأخطاء التي تفسد التحقيق تقع غالبًا في اليوم الأول: مواجهة الموظف قبل جمع الدليل، أو تكليف مديره المباشر بالتحقيق، أو ترك الشكوى في بريد أحدهم أيامًا. هذه الخطوات الخمس تسبق أي استعلام تفصيلي:
- سجّل الشكوى كتابة: من اشتكى، وأي مريض، ومن يُشتبه به إن ذُكر، والفترة، وما المعلومة التي يُعتقد أنها كُشفت، وكيف علم المريض بذلك. الجملة الأخيرة مهمة؛ فهي تحدد إن كان الكشف قد يكون حدث خارج النظام أصلًا.
- عيّن محققًا مستقلًا: مسؤول الجودة أو مسؤول حماية البيانات أو من تحدده سياستك، مع مدير تقنية المعلومات للاستعلام الفني. لا يحقق المدير المباشر للموظف المشتبه به، ولا زميل له في القسم نفسه.
- احفظ الدليل: صدّر نتيجة البحث في سجل التدقيق برقم ملف المريض عن الفترة كاملة، وخط النشاط الزمني للمريض عن الفترة نفسها، واحفظهما في ملف التحقيق. السجل نفسه لا يُعدّل، لكن النسخة المصدرة هي ما سيقرؤه كل من يراجع القرار لاحقًا.
- قيّم الحاجة لإجراء فوري: إن كان هناك ما يدل على اطلاع مستمر، فيمكن تضييق نطاق صلاحية المستخدم مؤقتًا بقرار موثق. لا تحذف الحساب ولا تعدّله بطريقة تضيع أثر ما حدث.
- أبلغ مسؤول حماية البيانات والمستشار القانوني مبكرًا: لأن المهلة النظامية للإبلاغ عن حادثة وصول غير مشروع إلى البيانات، إن ثبت أنها تستوجبه، تُحسب من وقت العلم بها لا من وقت انتهاء التحقيق.
خطأ شائع: سؤال الموظف في الممر «هل فتحت ملف فلانة؟» قبل استخراج السجل. أي إجابة ستُعطى الآن ستُبنى على ما يتذكره أو ما يريد قوله، لا على ما حدث، وقد يلجأ لتفسير يصعب التحقق منه بعد ذلك.
خطوات التحقيق من الشكوى إلى القرار
- استلام الشكوى وتسجيلهانموذج مكتوب بالمريض والفترة والمعلومة التي يُعتقد أنها كُشفتالجودة أو مسؤول حماية البيانات
- حفظ الدليلتصدير سجل التدقيق للملف وخط نشاط المريض للفترة نفسهاتقنية المعلومات
- قائمة الاطلاعكل مستخدم فتح الملف: دوره وفرعه، والوقت، والشاشة، ونوع العمليةالمحقق
- مطابقة كل اطلاع بمبرر عملهل توجد مهمة لهذا المستخدم على هذا المريض في ذلك الوقت؟ وهل الشاشات ضمن حاجة دوره؟المحقق مع رئيس القسم المعني
- توسيع النطاق عند الحاجةما فعله المستخدم نفسه في اليوم نفسه، وتاريخ صلاحياته، وجلسة الدخول والجهازتقنية المعلومات
- مقابلة الموظفعرض ما في السجل وسماع تفسيره وتوثيقه، والتحقق مما يذكرهالمحقق والموارد البشرية
- القرار والإجراءات والردتصنيف كل اطلاع، وإجراء على الشخص والصلاحيات والإجراءات، ورد موثق للمريض، وقرار الإبلاغالمدير الطبي والإدارة
لا تتخطَّ الخطوة الخامسة حين يبدو الأمر واضحًا. فهي التي تكشف إن كان الاطلاع جزءًا من نمط أوسع لدى المستخدم نفسه، أو إن كانت الصلاحية التي سمحت به منحت له بالخطأ.
ما يثبته سجل التدقيق وما لا يثبته وحده
سجل التدقيق هو الدليل الأساسي، لكن كل حقل فيه يجيب عن سؤال محدد، ويحتاج بعضها إلى دليل مساند قبل أن تبني عليه قرارًا. عناصر كل سطر في سجل التدقيق هي نقطة البداية:
| الحقل في السجل | ما يثبته | ما لا يثبته وحده | الدليل المساند |
|---|---|---|---|
| المستخدم ودوره وفرعه | أي حساب فتح الملف، وبأي دور | أن صاحب الحساب هو من كان أمام الشاشة | الحضور في الوردية، والجهاز، والتحقق الثنائي عند الدخول |
| الوقت بالثانية | متى حدث الاطلاع بالضبط | أنه لم يكن ضمن مهمة عمل | خط نشاط المريض في الوقت نفسه |
| نوع العملية | اطلاع، أو طباعة، أو تصدير، أو تعديل | الغرض من العملية | مهمة مسجلة تحتاج الطباعة أو التصدير، كمطالبة أو تقرير طبي مطلوب |
| الشاشة أو القسم المفتوح | هل فُتحت البيانات الديموغرافية فقط أم الملف الطبي أم النتائج | أن الشاشة لم تكن لازمة للمهمة | وصف الدور ومصفوفة صلاحياته |
| الجهاز وعنوان الشبكة والجلسة | من أي جهاز وموقع، وفي أي جلسة | من استخدم جهازًا مشتركًا | سياسة قفل الشاشة، ومكان الجهاز، وجلسات المستخدم الأخرى في اليوم |
| السبب المكتوب | ما صرح به المستخدم عند الوصول الطارئ أو خارج نطاقه | صدق السبب | ما حدث للمريض فعلًا في ذلك اليوم |
| سجل الصلاحيات | من منح الدور أو الصلاحية ومتى | أن المنح كان خطأ أو مقصودًا | طلب المنح الأصلي وموافقته |
النقطة الأهم في هذا الجدول: السجل الذي يسجل التعديل فقط لا يصلح لهذا التحقيق، لأن أغلب حالات الاطلاع غير المبرر لا تعدل شيئًا. تأكد أن نظامك يسجل مجرد فتح الملف، وأنه يحدد الشاشة التي فُتحت، لا اسم المريض فقط.
كيف تحكم على الاطلاع: ما يثبت المبرر وما ينفيه
الاطلاع المبرر هو ما كانت له مهمة عمل على المريض في وقته، واقتصر على ما تحتاجه المهمة. هذان الشرطان مستقلان، والجمع بينهما يعطيك أربع حالات:
توجد مهمة عمل على المريض في الوقت نفسه، والشاشات ضمن حاجة الدور. يُغلق دون إجراء.
توجد مهمة، لكن المستخدم فتح ما لا تحتاجه، كموظف مطالبات فتح ملاحظات لا علاقة لها بالمطالبة. يُعالج بالتوجيه وتضييق الصلاحية.
لا توجد مهمة مسجلة، لكن الشاشة ضمن حاجة الدور، كموظف استقبال فتح بيانات التواصل. قد يكون اتصالًا لم يُسجل. يُحسم بالمقابلة والتحقق.
لا مهمة ولا حاجة للشاشات: ملف طبي فتحه من لا يعمل على المريض، في يوم لا نشاط فيه للمريض. ينتقل إلى المقابلة ثم القرار.
أدلة مهمة العمل التي تبحث عنها
- موعد أو زيارة للمريض في اليوم نفسه، لدى عيادة المستخدم أو قسمه
- طلب مختبر أو أشعة أو وصفة وصل إلى قائمة قسم المستخدم
- مطالبة أو موافقة مسبقة أو رد رفض يعمل عليه موظف التأمين
- فاتورة أو استرداد أو تسوية يعمل عليها المحاسب
- تحويل أو إحالة داخلية، أو استشارة طلبها الطبيب المعالج
- اتصال أو رسالة من المريض مسجلة، أو طلب تقرير طبي منه
- تكليف مكتوب بمراجعة جودة أو تدقيق ملفات يشمل هذا الملف
إشارات تستدعي التدقيق
- العلاقة الشخصية: مريض يحمل اسم عائلة الموظف، أو زميل عمل مسجل كمريض، أو شخصية معروفة.
- الوصول بالبحث بالاسم: فتح الملف من شاشة البحث لا من قائمة العمل أو الموعد.
- التوقيت: خارج وردية المستخدم، أو في يوم لا نشاط فيه للمريض إطلاقًا.
- التكرار: عودة المستخدم نفسه إلى الملف عدة مرات دون مهمة جديدة.
- الفرع: اطلاع من فرع لم يزره المريض ولم يُحل إليه.
- الإخراج: طباعة أو تصدير أو لقطة لا يطلبها عمل مسجل.
خط النشاط الزمني في سجل نشاط ملف المريض هو المرجع السريع لأدلة مهمة العمل: الحجز والوصول والكشف والطلبات والنتائج والفواتير والرسائل مرتبة بوقتها.
مثال: أربعة عشر اطلاعًا على ملف واحد خلال ثلاثين يومًا
مثال توضيحي بحالة وأدوار افتراضيةاشتكى مريض أن شخصًا في المركز يعرف نتيجة تحليل أجراه ولم يخبر بها إلا طبيبه. استخرج المحقق سجل التدقيق لملفه عن ثلاثين يومًا، فظهر 14 اطلاعًا من ستة مستخدمين. ثم طابقها مع خط نشاط المريض:
| المستخدمون | عدد الاطلاعات | مهمة العمل المقابلة | التصنيف |
|---|---|---|---|
| الطبيب المعالج، وممرضة العيادة، وفني المختبر | 9 | زيارتان، وطلب تحليل ونتيجته، في الأيام والأوقات نفسها | مبرر |
| موظف التأمين | 2 | موافقة مسبقة للتحليل ثم مطالبته، وفتح التشخيص والطلب فقط | مبرر |
| موظف الاستقبال | 1 | لا مهمة مسجلة، وفتح بيانات التواصل فقط. في المقابلة ذكر اتصال المريض لتغيير موعده، وأكده سجل الاتصالات | يحتاج تفسيرًا، ثم مبرر |
| محاسبة في فرع آخر | 2 | لا زيارة للمريض في فرعها، ولا فاتورة أو تسوية تعمل عليها. فتحت شاشة النتائج مرتين في يومين مختلفين | غير مبرر مرجحًا |
المجموع 9 + 2 + 1 + 2 = 14 اطلاعًا. وسّع المحقق النطاق في الاطلاعين الأخيرين، فظهر أمران:
- في سجل الصلاحيات: المحاسبة كانت قد مُنحت قبل خمسة أشهر دورًا إضافيًا مؤقتًا لتغطية زميل في قسم آخر، ولم يُسحب بعد انتهاء التغطية. هذا ما سمح لها بفتح شاشة لا يصل إليها دور المحاسب افتراضيًا.
- في نشاطها في اليومين: لم تفتح ملفات مرضى آخرين خارج عملها، وكان الدخول من جهازها في وقت ورديتها، بجلسة بدأت بالتحقق الثنائي.
في المقابلة أقرت المحاسبة بأنها تعرف المريض، وأنها فتحت الملف بدافع الاطمئنان عليه. النتيجة: اطلاع غير مبرر ثابت، وخلل في إدارة الصلاحيات سمح به. أي أن الإجراء المطلوب ليس على الموظفة وحدها؛ فالدور المؤقت الذي لم يُسحب مشكلة نظام قد تتكرر مع غيرها.
مقابلة الموظف وملف التحقيق
المقابلة ليست استجوابًا لانتزاع اعتراف، بل فرصة لسماع تفسير قد لا يظهر في السجل. أشرك الموارد البشرية وفق سياسة منشأتك، واعرض على الموظف ما في السجل تحديدًا: التاريخ والوقت والشاشة، واسأله:
- ما المهمة التي كنت تعمل عليها حين فتحت الملف؟ ثم تحقق مما يذكره: اتصال، أو طلب زميل، أو تكليف.
- هل يستخدم أحد جهازك أو حسابك؟ إن قال نعم، فهذه مخالفة لسياسة الحسابات بحد ذاتها، وتحتاج تحققًا من الحضور والجهاز.
- هل تعرف المريض شخصيًا؟ المعرفة لا تثبت المخالفة، لكنها تفسر الدافع حين تغيب المهمة.
- هل أطلعت أحدًا على ما رأيته؟ السؤال يحدد إن كان الأمر اطلاعًا فقط أم كشفًا لطرف آخر، وهو فرق جوهري في الأثر.
محتوى ملف التحقيق
- نموذج الشكوى بتاريخ ووقت الاستلام
- تصدير سجل التدقيق وخط نشاط المريض عن الفترة
- جدول المطابقة: كل اطلاع ومهمته وتصنيفه
- نتائج توسيع النطاق: سجل الصلاحيات، ونشاط المستخدم، والجلسة والجهاز
- محضر المقابلة موقعًا، وما تم التحقق منه من أقوال الموظف
- القرار ومبرراته، والإجراءات المقررة ومسؤول كل منها وتاريخها
- الرد المرسل للمريض وتاريخه
- تقييم الحاجة إلى الإبلاغ النظامي ومن قرره، وتاريخ الإبلاغ إن تم
ملف كهذا يحمي الموظف من اتهام بلا دليل بقدر ما يحمي المنشأة، ويجعل القرار قابلًا للمراجعة إن اعترض عليه أحد الطرفين. واحفظه بصلاحيات مقيدة، فهو نفسه يحتوي بيانات صحية.
الإجراءات التصحيحية والالتزامات النظامية
القرار بشأن الموظف جزء واحد من ثلاثة. إن اكتفيت به، ستتكرر الحادثة مع موظف آخر من الثغرة نفسها.
| المستوى | ما يُنفذ | المسؤول |
|---|---|---|
| الشخص | الإجراء الذي تحدده سياسة الموارد البشرية ولائحة المنشأة حسب ثبوت المخالفة وجسامتها، وتجديد إقرار السرية | الإدارة والموارد البشرية |
| الصلاحيات | سحب الأدوار المؤقتة المنتهية، وتضييق نطاق البيانات حسب الفرع والقسم، وإخفاء الحقول الحساسة عن الأدوار التي لا تحتاجها، وجعل الوصول خارج النطاق مشروطًا بسبب مكتوب | مدير تقنية المعلومات مع المدير الطبي |
| الإجراءات | قفل الشاشة التلقائي على الأجهزة المشتركة، ومنع الحسابات المشتركة، وتدريب قصير بحالة مجهولة الهوية، وإضافة قاعدة تنبيه تلتقط النمط نفسه | الجودة وتقنية المعلومات |
| المريض | رد مكتوب بما تحقق منه والإجراءات المتخذة، بصياغة يراجعها المستشار القانوني | المدير الطبي |
ما يطلبه نظام حماية البيانات الشخصية
البيانات الصحية من البيانات الحساسة في نظام حماية البيانات الشخصية المنشور في منصة حوكمة البيانات الوطنية. ويُلزم النظام جهة التحكم، وهي منشأتك هنا، بإشعار الجهة المختصة عند علمها بتسرب بيانات شخصية أو وصول غير مشروع إليها، وبإشعار صاحب البيانات إن كان من شأن ذلك أن يضر به أو يتعارض مع حقوقه أو مصالحه. كما يطلب قصر الاطلاع على البيانات الصحية على أقل عدد ممكن من الموظفين وبالقدر اللازم لتقديم الخدمة فقط، ويُلزم كل من يعالج البيانات بالمحافظة على سريتها حتى بعد انتهاء علاقته الوظيفية.
وتحدد اللائحة التنفيذية للنظام مهلة إشعار الجهة المختصة بما لا يتجاوز 72 ساعة من العلم بالحادثة إن كان من شأنها الإضرار بالبيانات أو بأصحابها، ومحتوى الإشعار (وصف الحادثة ووقتها وكيفية وقوعها، والفئات المتأثرة، والمخاطر، والإجراءات المتخذة)، وإشعار صاحب البيانات دون تأخير غير مبرر. وتطلب اللائحة كذلك توثيق مراحل معالجة البيانات الصحية وتحديد المسؤول عن كل مرحلة.
تنبيه: هل الحادثة في مثالك تستوجب الإبلاغ؟ هذا تقدير نظامي يقرره مسؤول حماية البيانات والمستشار القانوني في منشأتك وفق النص النافذ وقت الحادثة، لا مدير القسم. دور التحقيق أن يوفر لهم الوقائع مبكرًا وبدقة، حتى لا تضيع المهلة في جمع ما كان يمكن جمعه في ساعة.
وما يتحمله المركز بموجب النظام بتفصيل أوسع، من الموافقة إلى حقوق صاحب البيانات، هو موضوع مقالة حماية البيانات الصحية في المنشأة.
المراجعة الدورية: اكتشاف الاطلاع قبل أن يشتكي المريض
أغلب المرضى لا يعلمون أن أحدًا اطلع على ملفاتهم. الشكوى تكشف الحالة التي عرف بها المريض، والمراجعة الدورية تكشف البقية. هذا جدول مراجعة مقترح يمكن أن يتولاه مسؤول الجودة بساعات محدودة شهريًا:
| التكرار | ما يُراجع | ما تبحث عنه |
|---|---|---|
| عند حدوثه | تنبيهات النشاط غير المعتاد | اطلاع على ملف يحمل اسم عائلة المستخدم، أو ملف موظف مسجل كمريض، أو عدد ملفات كبير في وقت قصير، أو تصدير كبير |
| أسبوعيًا | كل وصول طارئ خارج النطاق | هل السبب المكتوب يطابق ما حدث للمريض فعلًا |
| شهريًا | عينة من ملفات محمية: المرضى الموظفون، وملفات الطب النفسي، والشخصيات المعروفة | كل اطلاع عليها يطابق مهمة عمل |
| ربع سنويًا | مراجعة الصلاحيات لكل دور ومستخدم | أدوار مؤقتة لم تُسحب، وحسابات لمن ترك العمل، ومستخدمون بأدوار أوسع من عملهم |
الملفات المحمية تستحق عناية خاصة، لأن كشفها أشد أثرًا. ففي العيادات النفسية مثلًا تُفصل ملاحظات الجلسات عن الملف العام بصلاحيات مستقلة، كما تشرح مقالة سرية الملاحظات والجلسات في العيادات النفسية. وأصل كثير من الحالات صلاحيات أوسع من الحاجة، وتصميمها من البداية بمبدأ الحد الأدنى موضوع مقالة مصفوفة الأدوار والصلاحيات في المركز الطبي.
ولا تنسَ أثر الإعلان: حين يعرف الموظفون أن الاطلاع يُراجع دوريًا، وأن المراجعة حدثت فعلًا بحالات مجهولة الهوية تُعرض في التدريب، يقل الفضول قبل أن يحدث.
ما تحتاجه من النظام لتنفيذ هذه الخطوات
كل خطوة في هذه المقالة تفترض قدرة في النظام الطبي. إن كنت تقيّم نظامًا أو تراجع نظامك الحالي، فاختبر هذه القدرات بحالة حقيقية لا بشرح المورد:
- تسجيل مجرد الاطلاع على الملف، مع الشاشة أو القسم الذي فُتح
- سجل لا يستطيع أحد تعديله أو حذفه، بما في ذلك مدير النظام
- بحث برقم ملف المريض أو باسم المستخدم خلال فترة، وتصدير النتيجة، مع تسجيل التصدير نفسه
- سجل لمنح الأدوار والصلاحيات وسحبها، وصلاحيات مؤقتة تنتهي تلقائيًا
- وصول طارئ خارج النطاق بسبب مكتوب وإشعار للمسؤول
- قواعد تنبيه للنشاط غير المعتاد، وإمكانية إرسال السجل إلى نظام المراقبة الأمنية SIEM
ما تفعله المنصة: يسجل سجل التدقيق في المنصة كل دخول واطلاع وتعديل باسم المستخدم ووقته وجهازه وفرعه، ولا يعدّله أحد حتى مدير النظام، وينبه عند أنماط مثل الاطلاع على ملف يحمل اسم عائلة الموظف. وتحدد الصلاحيات ونطاق البيانات ما يراه كل دور حسب الفرع والقسم والمريض، مع إخفاء الحقول الحساسة والصلاحيات المؤقتة. وتعرض صفحة الضوابط الأمنية بقية الطبقات من التشفير إلى التحقق الثنائي.
وإن كانت منشأتك تحتاج أن تبقى السجلات على خوادمها أو في سحابة خاصة داخل المملكة لسياسة احتفاظ أو رقابة أشد، تحدث مع مستشار عن خيار الاستضافة ومكان حفظ سجلات التدقيق، ونعرض لك في الجلسة نفسها تحقيقًا تجريبيًا على ملف مريض من البحث حتى التصدير.
أسئلة شائعة
هل أخبر الموظف أنه قيد التحقيق فور وصول الشكوى؟
الأفضل أن تحفظ الدليل وتجري المطابقة أولًا، وهي تستغرق عادة ساعات لا أيامًا. بعدها يُبلَّغ الموظف ويُقابل وفق سياسة الموارد البشرية. أما إن كان هناك خطر اطلاع مستمر، فيُضيَّق نطاق صلاحيته مؤقتًا بقرار موثق.
ماذا لو لم يظهر في السجل أي اطلاع غير مبرر والمريض مصر على شكواه؟
قد يكون الكشف حدث خارج النظام: حديث في الصالة، أو ورقة مطبوعة، أو شاشة رآها شخص عابر. وثّق أن السجل لم يُظهر اطلاعًا غير مبرر، وراجع مسار الأوراق المطبوعة ومواقع الشاشات، وأبلغ المريض بما تحقق منه وما لم يمكن التحقق منه.
هل يحق للمريض أن يعرف أسماء من اطلعوا على ملفه؟
هذه مسألة تُقرر مع المستشار القانوني ومسؤول حماية البيانات وفق النظام النافذ وسياسة المنشأة. الممارسة الشائعة أن يتلقى المريض ردًا بما حدث ونتيجة التحقيق والإجراءات المتخذة، دون تفاصيل الموظفين الذين ثبت أن اطلاعهم كان ضمن رعايته.
ماذا لو كان المشتبه به طبيبًا؟
الخطوات نفسها تنطبق، لكن تقييم «مهمة العمل» للطبيب أوسع قليلًا؛ فالاستشارة غير الرسمية من زميل قد تكون مبررًا حقيقيًا. تحقق منها بسؤال الطبيب المعالج، وأشرك المدير الطبي أو لجنة مختصة في القرار بدل رئيس القسم وحده.
كم مدة الاحتفاظ بسجل التدقيق التي تكفي للتحقيق؟
يجب أن تغطي المدة أبعد فترة يمكن أن تصل عنها شكوى، ومتطلبات الجهات المنظمة لمنشأتك. تحددها سياسة المنشأة، ويمكن أرشفة السجل القديم بدل حذفه، على أن يبقى قابلًا للبحث عند الحاجة.