आयरिश हेल्थकेयर में डेटा प्रोटेक्शन: क्या मरीजों को जानना चाहिए

आयरिश डाटा प्रोटेक्शन कमीशन (डीपीसी) जीडीपीआर और डाटा प्रोटेक्शन एक्ट 2018 को लागू करने के लिए जिम्मेदार राष्ट्रीय पर्यवेक्षकीय प्राधिकरण है। डीपीसी की शिकायतों की जांच करने, जुर्माना लगाने और जारी करने के मार्गदर्शन की शक्ति है। मरीजों को डीपीसी से संपर्क कर सकते हैं यदि वे मानते हैं कि उनके डेटा संरक्षण अधिकार का उल्लंघन किया गया है।

एक व्यापक अवलोकन के लिए, Data Protection Act 2018 का आधिकारिक पाठ आयरिश Statute Book वेबसाइट पर उपलब्ध है।

क्या है?

GDPR एक प्राकृतिक व्यक्ति के शारीरिक या मानसिक स्वास्थ्य से संबंधित व्यक्तिगत डेटा के रूप में स्वास्थ्य डेटा को परिभाषित करता है, जिसमें स्वास्थ्य देखभाल सेवाओं का प्रावधान शामिल है, जो उसके स्वास्थ्य की स्थिति के बारे में जानकारी प्रकट करता है।

• Medical रिकॉर्ड - निदान, उपचार योजना, दवा इतिहास, परीक्षण परिणाम।
• Genetic data और बॉयोमेट्रिक डेटा स्वास्थ्य प्रयोजनों के लिए संसाधित किया गया।
• ]स्वास्थ्य के बारे में सूचना प्राप्त – नियुक्तियां, रेफरल, अस्पताल में भर्ती।
• ] डेटा पहनने योग्य स्वास्थ्य उपकरणों से - हृदय गति, गतिविधि का स्तर, नींद पैटर्न (जब स्वास्थ्य सेवाओं से जुड़ा हुआ है)।
• ]Mental health आकलन और परामर्श नोट्स।
• ]डाटा about विकलांगता या दीर्घकालिक स्वास्थ्य स्थिति।

भेदभाव और दुरुपयोग की संभावना के कारण, आयरिश हेल्थकेयर प्रदाताओं को इस तरह के सभी डेटा को उच्चतम स्तर की देखभाल के साथ इलाज करना चाहिए।

स्वास्थ्य डेटा के प्रसंस्करण के लिए वैध आधार

GDPR के तहत, स्वास्थ्य रिकॉर्ड जैसे विशेष श्रेणी के डेटा को संसाधित करने की मनाही है जब तक कि अनुच्छेद 9 की स्थिति लागू नहीं होती है। आयरिश हेल्थकेयर में उपयोग किए जाने वाले सबसे आम आधार में शामिल हैं:

• ]Explicit सहमति - रोगी को एक विशिष्ट प्रसंस्करण उद्देश्य के लिए स्पष्ट, सूचित और अस्पष्ट अनुमति दी गई है। किसी भी समय सहमति वापस ले ली जा सकती है।
• Vital interest - डेटा विषय या किसी अन्य व्यक्ति के जीवन की रक्षा के लिए प्रसंस्करण आवश्यक है।
• ]स्वास्थ्य देखभाल के प्रावधान[ – निवारक या व्यावसायिक चिकित्सा, चिकित्सा निदान, स्वास्थ्य देखभाल, उपचार, या स्वास्थ्य देखभाल प्रणालियों के प्रबंधन के प्रयोजनों के लिए प्रसंस्करण आवश्यक है।
• पब्लिक हेल्थ – सार्वजनिक स्वास्थ्य के क्षेत्र में सार्वजनिक हित के कारणों के लिए प्रसंस्करण आवश्यक है, जैसे कि स्वास्थ्य के लिए गंभीर क्रॉस-बॉर्डर खतरों के खिलाफ सुरक्षा।
• Research – सार्वजनिक हित, वैज्ञानिक या ऐतिहासिक अनुसंधान प्रयोजनों, या सांख्यिकीय प्रयोजनों में उद्देश्य, उचित सुरक्षा के अधीन।

रोगियों के लिए यह समझना महत्वपूर्ण है कि उनके डेटा का उपयोग किस आधार पर किया जाता है। उदाहरण के लिए, यदि आपको किसी प्रक्रिया के लिए सहमति फॉर्म पर हस्ताक्षर करने के लिए कहा जाता है, तो कानूनी आधार आमतौर पर स्पष्ट सहमति है। हालांकि, एक बार डेटा आपके चिकित्सा रिकॉर्ड में होता है, तो आगे उपयोग करता है (जैसे बिलिंग या सार्वजनिक स्वास्थ्य रिपोर्टिंग) विभिन्न वैध आधारों पर भरोसा कर सकता है, जैसे कि कानूनी दायित्व या स्वास्थ्य देखभाल के प्रावधान।

डेटा संरक्षण कानून के तहत आपका अधिकार

GDPR व्यक्तियों को अपने व्यक्तिगत डेटा पर मजबूत अधिकारों का एक सेट प्रदान करता है। स्वास्थ्य देखभाल संदर्भ में, ये अधिकार मरीजों को यह नियंत्रित करने के लिए सशक्त बनाते हैं कि उनकी स्वास्थ्य जानकारी का उपयोग कैसे किया जाता है, सही, साझा और हटा दिया जाता है। नीचे प्रत्येक दाएं का विस्तार स्पष्टीकरण है, साथ ही साथ आयरलैंड में इसे व्यायाम करने के लिए व्यावहारिक मार्गदर्शन के साथ।

प्रवेश का अधिकार (आर्किल 15)

आपके पास किसी भी स्वास्थ्य सेवा प्रदाता द्वारा आयोजित स्वास्थ्य रिकॉर्ड की एक प्रति का अनुरोध करने का अधिकार है, जिसमें अस्पताल, जीपी प्रैक्टिस और निजी क्लिनिक शामिल हैं। प्रदाता को एक महीने के भीतर जवाब देना चाहिए (एक महीने के लिए दो महीने तक)। एक्सेस आमतौर पर मुफ्त होती है, लेकिन अत्यधिक या दोहराए जाने वाले अनुरोधों के लिए उचित शुल्क लिया जा सकता है।

एक्सेस का अनुरोध करने के लिए, डेटा नियंत्रक (आमतौर पर अस्पताल या अभ्यास प्रबंधक) को लिखने के लिए जो जानकारी आप चाहते हैं उसे रेखांकित करना। कई आयरिश हेल्थकेयर प्रदाताओं के पास अपनी वेबसाइट पर एक मानक विषय एक्सेस अनुरोध (SAR) फॉर्म है। यदि आपको मदद की आवश्यकता है, तो HSE आपके स्वास्थ्य रिकॉर्ड तक पहुंचने के लिए मार्गदर्शन प्रदान करता है।

संशोधन का अधिकार (आर्किल 16)

यदि आप मानते हैं कि आपका स्वास्थ्य डेटा गलत है या अधूरी है - उदाहरण के लिए, एक गलत एलर्जी सूचीबद्ध या पुराना दवा रिकॉर्ड - आपके पास सुधार का अनुरोध करने का अधिकार है। प्रदाता को सही जानकारी की पुष्टि करनी चाहिए और रिकॉर्ड को अत्यधिक देरी के बिना अद्यतन करना चाहिए। यह एक महत्वपूर्ण अधिकार है; स्वास्थ्य डेटा में त्रुटियां खतरनाक चिकित्सा त्रुटियों का कारण बन सकती हैं।

Arasure (Article 17 - "Right to be Forget")

आप अनुरोध कर सकते हैं कि एक हेल्थकेयर प्रदाता आपके व्यक्तिगत डेटा को हटा देता है, लेकिन यह सही पूर्ण नहीं है। स्वास्थ्य देखभाल संदर्भ में, यह अक्सर सीमित है क्योंकि चिकित्सा रिकॉर्ड को कानूनी और नैदानिक कारणों के लिए बनाए रखा जाना चाहिए (उदाहरण के लिए, चिकित्सा लापरवाही दावों, सार्वजनिक स्वास्थ्य निगरानी के लिए सीमाओं का क़ानूनी)। यह उस उद्देश्य के लिए आवश्यक डेटा के लिए इराज़त संभव हो सकता है जिसे एकत्र किया गया था, या यदि सहमति वापस ली जाती है और कोई अन्य कानूनी आधार मौजूद नहीं है। उदाहरण के लिए, आप नियुक्ति लॉग डेटा के लिए पूछ सकते हैं ताकि किसी परामर्श के बाद हटाया जा सके यदि प्रतिधारण की आवश्यकता नहीं है।

Restrict प्रसंस्करण का अधिकार (Article 18)

डेटा को मिटाने के बजाय, आप पूछ सकते हैं कि प्रसंस्करण प्रतिबंधित है। इसका मतलब है कि डेटा का उपयोग स्टोरेज के अलावा किसी भी उद्देश्य के लिए नहीं किया जाता है। यह उपयोगी है यदि आप डेटा की सटीकता का मुकाबला कर रहे हैं, या यदि आपने प्रसंस्करण पर आपत्ति की है और निर्णय लेने की प्रतीक्षा कर रहे हैं। एक अस्पताल की सेटिंग में, प्रतिबंध आपके डेटा को अनुसंधान या गुणवत्ता लेखा परीक्षा के लिए इस्तेमाल किए जाने से रोक सकता है जब तक कि मुद्दा हल नहीं हो जाता है।

वस्तु का अधिकार (आर्किल 21)

आपके पास वैध हितों के आधार पर या प्रत्यक्ष विपणन उद्देश्यों के लिए अपने व्यक्तिगत डेटा के प्रसंस्करण पर आपत्ति करने का अधिकार है। स्वास्थ्य देखभाल में, यह रोगी संतुष्टि सर्वेक्षण जैसे माध्यमिक उपयोगों पर लागू हो सकता है, अस्पताल की नींव द्वारा चलाए गए धन उगाहने वाले अभियान, या व्यावसायिक अनुसंधान के लिए डेटा का उपयोग। यदि आप ऑब्जेक्ट करते हैं, तो प्रदाता को तब तक रोकना चाहिए जब तक वे अपने हितों को ओवरराइड करने वाले वैध आधारों को प्रदर्शित नहीं कर सकते।

डेटा पोर्टेबिलिटी का अधिकार (आर्किल 20)

आप अनुरोध कर सकते हैं कि आपके स्वास्थ्य डेटा को संरचित, आमतौर पर इस्तेमाल किया जाने वाला, मशीन-पढ़ने योग्य प्रारूप (जैसे, CSV या XML) में प्रदान किया जाता है और अन्य डेटा नियंत्रक को प्रेषित किया जाता है - जैसे कि जीपी प्रथाओं के बीच स्विच करना। यह सही केवल आपके द्वारा प्रदान किए गए डेटा पर लागू होता है और जो सहमति या अनुबंध के आधार पर स्वचालित साधनों द्वारा संसाधित किया जाता है। इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड और रोगी पोर्टल के विकास के साथ यह तेजी से महत्वपूर्ण है।

स्वचालित निर्णय लेने से संबंधित अधिकार (आर्टिकल 22)

आपके पास केवल स्वचालित प्रसंस्करण पर आधारित निर्णय के अधीन नहीं होने का अधिकार है, जिसमें प्रोफाइलिंग शामिल है, जो आपके विषय में कानूनी प्रभाव पैदा करता है या आपको काफी प्रभावित करता है। हालांकि अभी भी आयरिश प्राथमिक देखभाल में दुर्लभ है, कुछ एआई-चालित नैदानिक उपकरण स्वचालित आउटपुट पर भरोसा कर सकते हैं। हेल्थकेयर प्रदाताओं को यह सुनिश्चित करना चाहिए कि किसी भी तरह के फैसले में मानव निगरानी शामिल है।

]]Practical अनुस्मारक:] इन अधिकारों का प्रयोग करने के लिए, अपने स्वास्थ्य सेवा प्रदाता के डेटा संरक्षण अधिकारी (DPO) से संपर्क करें। यदि आप प्रतिक्रिया से असंतुष्ट हैं, तो आपके पास डेटा प्रोटेक्शन कमीशन के साथ शिकायत दर्ज करने का अधिकार है।

]

कैसे हेल्थकेयर प्रदाता अपने डेटा को सुरक्षित रखने के लिए

आयरिश हेल्थकेयर संगठनों को कानूनी रूप से जोखिम के लिए उपयुक्त सुरक्षा स्तर सुनिश्चित करने के लिए उचित तकनीकी और संगठनात्मक उपायों को लागू करने के लिए बाध्य किया जाता है।

• Encryption – दोनों बाकी और पारगमन में, अनधिकृत पहुँच से डेटा की रक्षा के लिए।
• Access control[ - भूमिका आधारित अनुमतियाँ केवल कर्मचारियों को सुनिश्चित करती हैं जिन्हें उनके कर्तव्यों के लिए डेटा की आवश्यकता होती है, इसे देख सकते हैं।
• Staff training – रोगी की जानकारी को संभालने वाले सभी कर्मचारियों के लिए अनिवार्य डेटा संरक्षण प्रशिक्षण।
• ]Regular Security audits – जिसमें भेद्यता मूल्यांकन और प्रवेश परीक्षण शामिल है।
• ]डिजाइन और डिफ़ॉल्ट द्वारा डेटा सुरक्षा - नई प्रणाली और प्रक्रियाओं को शुरू से गोपनीयता सुरक्षा को शामिल करना होगा।
• ]Incident उत्तर योजना - किसी भी डेटा उल्लंघन को जल्दी से पता लगाने, रिपोर्ट करने और कम करने के लिए।

प्रत्येक हेल्थकेयर प्रदाता 250 से अधिक कर्मचारी हैं - या जो एक बड़े पैमाने पर डेटा की विशेष श्रेणियों की प्रक्रिया करते हैं - को ]डेटा प्रोटेक्शन ऑफिसर (DPO) नियुक्त करना चाहिए। DPO डेटा विषयों और DPC के लिए संपर्क का बिंदु है, और GDPR के अनुपालन की निगरानी करता है। उदाहरण के लिए, HSE में एक केंद्रीय डेटा संरक्षण कार्यालय है, और बड़े अस्पतालों में DPOs को समर्पित किया गया है।

डेटा ब्रेचेस: आपकी सुरक्षा और सहारा

सर्वोत्तम प्रयासों के बावजूद, डेटा उल्लंघन हो सकता है। एक उल्लंघन में रोगी रिकॉर्ड वाले लैपटॉप की हानि, गलत प्राप्तकर्ता को भेजे गए ईमेल या साइबर हमले शामिल हो सकते हैं। जीडीपीआर के तहत, स्वास्थ्य देखभाल प्रदाताओं को डीपीसी को 72 घंटों के भीतर सूचित करना चाहिए, जो एक उल्लंघन के बारे में जागरूक होने के बारे में जागरूक होना चाहिए जो रोगियों के अधिकारों और स्वतंत्रता को जोखिम में डालता है। यदि उल्लंघन आपको उच्च जोखिम (जैसे, पहचान चोरी, भेदभाव) होने की संभावना है, तो प्रदाता को आपको बिना किसी देरी के सीधे सूचित करना चाहिए।

यदि आपको संदेह है कि आपके स्वास्थ्य डेटा से समझौता किया गया है, तो आपको चाहिए:

1. इस घटना की रिपोर्ट करने के लिए हेल्थकेयर प्रदाता के डीपीओ से संपर्क करें और पूछिए कि क्या उपचारात्मक कदम उठाए जा रहे हैं।
2. किसी भी असामान्य गतिविधि की निगरानी करें, जैसे कि मेडिकल पहचान धोखाधड़ी (जैसे, आपके नाम से भरा हुआ डॉक्टरेट)।
3. यदि आपका ऑनलाइन रोगी पोर्टल खाता प्रभावित हो गया है तो पासवर्ड बदलने पर विचार करें।
4. यदि आप प्रतिक्रिया से संतुष्ट नहीं हैं तो डीपीसी के साथ शिकायत दर्ज करें।
5. अदालतों के माध्यम से मुआवजा मांगना यदि आपको उल्लंघन के परिणामस्वरूप सामग्री या गैर-सामग्री क्षति (जैसे, संकट) का सामना करना पड़ा है।

डीपीसी के पास संगठन के वार्षिक वैश्विक कारोबार का 20 मिलियन € या 4% तक जुर्माना लगाने की शक्ति है, जो भी अधिक है। आयरलैंड में, एचएसई को 2025 में जीडीपीआर के कई उल्लंघनों के लिए डीपीसी द्वारा $ 75 मिलियन का जुर्माना लगाया गया था, जो नियामक की प्रवर्तन क्षमता का प्रदर्शन करता है। Data संरक्षण आयोग वेबसाइट पर वर्तमान प्रवर्तन कार्यों के बारे में सूचित रहें।

सार्वजनिक स्वास्थ्य, अनुसंधान और एकीकृत देखभाल के लिए डेटा साझा करना

आयरलैंड एक अधिक एकीकृत स्वास्थ्य प्रणाली की ओर बढ़ रहा है, जैसे कि ] इलेक्ट्रॉनिक हेल्थ रिकॉर्ड (EHR) कार्यक्रम का उद्देश्य अस्पतालों, जीपी और सामुदायिक सेवाओं में रोगी डेटा के निर्बाध आदान-प्रदान की अनुमति देना है। हालांकि यह देखभाल समन्वय में सुधार कर सकता है और दोहराव को कम कर सकता है, यह डेटा सुरक्षा चिंताओं को भी बढ़ाता है। मरीजों को निम्नलिखित के बारे में पता होना चाहिए:

• Consent and Opti-out - आम तौर पर, प्रत्यक्ष देखभाल के लिए साझा करना निहित सहमति (रोगी के सर्वोत्तम हित) पर आधारित होता है, लेकिन आपके पास कुछ साझा करने की व्यवस्था पर आपत्ति करने का अधिकार है। कुछ पायलट कार्यक्रम आपकी तत्काल देखभाल टीम से परे साझा करने के लिए एक विकल्प प्रदान करते हैं।
• स्वास्थ्य अनुसंधान – स्वास्थ्य अनुसंधान विनियम 2018 को अनुसंधान में स्वास्थ्य डेटा के उपयोग के लिए स्पष्ट सहमति की आवश्यकता है, जब तक कि एक अनुसंधान नीति समिति ने एक छूट को मंजूरी दे दी। मरीजों को अनुसंधान के लिए इस्तेमाल किए गए डेटा (ऑप्ट-आउट रजिस्ट्री मौजूद) में कमी आ सकती है।
• पब्लिक हेल्थ रिपोर्टिंग - सार्वजनिक स्वास्थ्य वैध आधार के तहत प्रत्यक्ष रोगी सहमति के बिना रोग निगरानी, प्रकोप प्रबंधन और स्वास्थ्य नीति के लिए एकनामीकृत या छद्म नामकरण डेटा का उपयोग किया जा सकता है।

अनुसंधान डेटा संरक्षण के बारे में विवरण के लिए, हेल्थ रिसर्च बोर्ड शोधकर्ताओं और प्रतिभागियों के लिए व्यापक मार्गदर्शन प्रदान करता है।

टेलीहेल्थ, डिजिटल हेल्थ, और न्यू गोपनीयता चैलेंज

COVID-19 महामारी ने वीडियो परामर्श, रिमोट मॉनिटरिंग ऐप और डिजिटल प्रिस्क्रिप्शन को अपनाने में तेजी ला दी। जबकि सुविधाजनक, ये उपकरण नए डेटा सुरक्षा जोखिम पेश करते हैं:

• वीडियो कॉन्फ्रेंसिंग प्लेटफॉर्म [ - सभी जीडीपीआर के अनुरूप नहीं हैं। स्वास्थ्य प्रदाताओं को स्थान पर अंत से अंत एन्क्रिप्शन और डेटा प्रोसेसिंग समझौतों के साथ प्लेटफार्मों का उपयोग करना चाहिए (जैसे, HSE-approved Zoom, Microsoft Teams)।
• स्वास्थ्य ऐप्स और पहनने योग्य[ - आपके स्मार्टवॉच या हेल्थ ट्रैकिंग ऐप द्वारा एकत्रित डेटा को स्वास्थ्य देखभाल प्रदाता की प्रणालियों के बाहर आयोजित होने पर एनएचएस डेटा के समान सुरक्षा के अधीन नहीं किया जा सकता है। अनुमति देने और तीसरे पक्ष की कंपनियों के साथ डेटा साझा करने के बारे में सावधान रहें।
• ]इंटरपरेबिलिटी - डिजिटल स्वास्थ्य पारिस्थितिकी तंत्र विस्तार के रूप में, डेटा विशेषज्ञ सलाह के लिए सीमाओं में प्रवाहित हो सकता है। जीडीपीआर ऐसे स्थानांतरण में पर्याप्त सुरक्षा प्रदान करता है, लेकिन रोगियों को यह पूछना चाहिए कि अंतर्राष्ट्रीय स्तर पर साझा होने पर उनका डेटा कैसे सुरक्षित है।

यदि आप स्वास्थ्य ऐप का उपयोग करते हैं, तो अपनी गोपनीयता नीति की जांच करें। एक प्रतिष्ठित ऐप स्पष्ट रूप से समझा जाएगा कि कौन आपके डेटा को संसाधित करता है, किस उद्देश्य के लिए, और आप अपने अधिकारों का कैसे व्यायाम कर सकते हैं। डीपीसी ने स्वास्थ्य डेटा के लिए पर मार्गदर्शन प्रकाशित किया है जो डिजिटल उपकरणों पर भी लागू होता है।

क्या रोगियों को करना चाहिए: प्रैक्टिकल चरण

जबकि स्वास्थ्य देखभाल प्रदाता डेटा संरक्षण के लिए प्राथमिक जिम्मेदारी लेते हैं, रोगी अपनी जानकारी की सुरक्षा में महत्वपूर्ण भूमिका निभाते हैं। निम्नलिखित आदतों को अपनाने: