تلتقي عقود التقنية الصحية في الكويت بين التنظيم الطبي وحماية البيانات والقواعد التجارية العامة. والتشريع الأساسي هو القانون رقم 70 لسنة 2020 في شأن مزاولة مهنة الطب والمهن المساعدة لها وحقوق المرضى والمنشآت الصحية، الذي ينظم ترخيص مزاولي المهنة والمنشآت الصحية الأهلية، ويجيز في المادة 24 صراحة تقديم الخدمات الطبية والرعاية الصحية المنزلية وعن بعد واستخدام الذكاء الاصطناعي وفق الاشتراطات والضوابط التي تضعها وزارة الصحة. وإلى جانبه تأتي لائحة حماية خصوصية البيانات المعتمدة بقرار الهيئة العامة للاتصالات وتقنية المعلومات رقم 26 لسنة 2024 لمقدمي الخدمات المرخص لهم من الهيئة، والإطار التنظيمي للحوسبة السحابية، ومنظومة الأمن السيبراني المقررة بالمرسوم رقم 37 لسنة 2022، والقانون رقم 20 لسنة 2014 في شأن المعاملات الإلكترونية. وسواء كان موضوع العقد منصة لسجلات المرضى أو خدمة طب عن بعد أو أداة دعم للقرار السريري، فإن مراجعة العقد تبدأ مما تجيزه التشريعات الصحية وما تفرضه قواعد البيانات ومن يتحمل كل التزام عند وقوع خلل. تبين هذه المقالة الإطار الذي نتبعه عند مراجعة عقود التقنية الصحية في الكويت.
الخريطة التنظيمية: قانون الصحة وقواعد البيانات والعقد
يخضع نشر أي نظام تقني صحي في الكويت لمسارين تنظيميين متوازيين. في المسار الصحي، ينظم القانون رقم 70 لسنة 2020 من يجوز له مزاولة مهنة الطب وكيفية ترخيص المنشآت الصحية الأهلية وحقوق المرضى وكيفية تقدير المسؤولية الطبية. وفي مسار البيانات، تنظم الهيئة العامة للاتصالات وتقنية المعلومات (سيترا) معالجة البيانات الشخصية لدى مقدمي الخدمات المرخص لهم منها بموجب لائحة حماية خصوصية البيانات المعتمدة بالقرار رقم 26 لسنة 2024 الصادر في 7 فبراير 2024، والتي ألغت اللائحة السابقة المعتمدة بالقرار رقم 42 لسنة 2021.
والعقد هو نقطة التقاء المسارين. فالمورّد الذي يستضيف سجلات المرضى أو المنصة التي تدير استشارات الطب عن بعد أو أداة التحليلات التي تقرأ بيانات سريرية تتعامل جميعها مع نشاط طبي منظم وبيانات شخصية منظمة في الوقت ذاته. لذلك تربط المراجعة كل التزام تعاقدي بالجهة التي تفرضه: مسائل الترخيص لوزارة الصحة، ومسائل البيانات لإطار سيترا، والمسائل المهنية للجنة المسؤولية الطبية والمحاكم. وقد تبدو الصياغة سليمة تجارياً وتسقط إذا أسندت التزاماً إلى طرف لا يجيز له التنظيم القيام به.
من يقدم الرعاية: ترخيص المزاولين والمنشآت
لا تقدم الخدمات الصحية في الكويت إلا عبر مزاولين مرخصين ومنشآت مرخصة. فقد عرّفت المادة 1 من القانون رقم 70 لسنة 2020 المنشأة الصحية بأنها كل مكان معد لتقديم الخدمات الطبية أو الرعاية الصحية بقصد التشخيص أو العلاج أو الوقاية أو تحسين الصحة أو إعادة التأهيل، وعرّفت صاحب المنشأة الصحية الأهلية بأنه الشخص الطبيعي أو الاعتباري المرخص له بإنشائها وتشغيلها وإدارتها. وتنص المادة 55 على أنه لا يجوز إنشاء أو تشغيل أو إدارة أي منشأة صحية أهلية أو فتح فرع لها إلا بعد الحصول على الترخيص من إدارة التراخيص الصحية، وتلزم المنشأة بالتأمين ضد الأخطار الناجمة عن المباني والأجهزة والمعدات الطبية بما يشمل المرضى والمرافقين والعاملين والزائرين.
وتضيف المادة 58 شروط ملكية تؤثر مباشرة في هيكلة مشروعات التقنية الصحية: فترخيص فتح العيادة الخاصة أو المستوصف يشترط أن يكون الطبيب كويتياً مرخصاً له بمزاولة المهنة، ويحظر الترخيص للطبيب بأكثر من عيادة أو مستوصف واحد ويحظر فتح فرع لها، وترخيص المستشفى أو المركز الصحي يشترط مزاولا كويتيا مرخصا أو شخصا اعتباريا يكون مالكه أو أحد شركائه مزاولا كويتيا مرخصا يتناسب اختصاصه مع نشاط المنشأة. لذلك لا تستطيع شركة التقنية أن تتعامل مع الطبقة الطبية كشراء خدمة بسيط؛ فبنية الترخيص هي التي تحدد من يملك الكيان السريري ومن يديره.
الطب عن بعد والذكاء الاصطناعي في ظل المادة 24
المادة 24 من القانون رقم 70 لسنة 2020 هي الباب التشريعي للتقنية الصحية، إذ تجيز تقديم الخدمات الطبية والرعاية الصحية المنزلية وعن بعد، والاستفادة من استخدامات الذكاء الاصطناعي والتقنيات المتطورة والاتصالات الحديثة والوسائل الرقمية والوسائط الإلكترونية، وتضع الوزارة الاشتراطات والضوابط اللازمة لذلك. فالاستشارة عن بعد والمراقبة عن بعد والفرز المدعوم بالذكاء الاصطناعي والعلاجات الرقمية كلها داخلة في هذه الإجازة، لكنها إجازة مشروطة بضوابط الوزارة التي تحكم كيفية تقديم الخدمة فعلياً.
وللمادة 24 أثران على العقد. أولهما أن على الطرفين التحقق من الاشتراطات التي وضعتها وزارة الصحة لنموذج الخدمة المحدد قبل التوقيع، لأن القانون فوّض القواعد التفصيلية للوزارة وقد تتغير المتطلبات بصدور ضوابط جديدة. وثانيهما أن العقد يجب أن يوزع المسؤولية عن حمل التراخيص المهنية وترخيص المنشأة التي تتطلبها الخدمة، لأن المنصة لا تزاول الطب بنفسها؛ فالمورّد يقدم التقنية والمنشأة المرخصة والمزاولون المرخصون يقدمون الرعاية. والعقود التي تخلط هذا الخط تنشئ مخاطر تنظيمية على الطرفين معاً.
حقوق المرضى والملف الطبي
يبين الفصل الرابع من القانون رقم 70 لسنة 2020 حقوق المريض التي يجب أن يحترمها عقد التقنية الصحية لا أن يعيد التفاوض عليها. فالمادة 26 تقرر حق المريض في تلقي الخدمات الطبية والرعاية الصحية الشاملة وفق الأصول الطبية المستقرة بما يشمل الوقاية والتشخيص والعلاج والتأهيل والتوعية والإرشاد. والمادة 27 تقرر حقه في أن يبصر بكل أمانة ودقة بكل ما يتعلق بحالته الصحية. والمادة 28 توجب أن يكون لكل مريض ملف خاص لدى المنشأة الصحية التي قدمت له العلاج أو الاستشارة أو الخدمة، توثق فيه كافة المعلومات والبيانات المتعلقة به وبحالته، من إجراءات وفحوصات وتحاليل ونتائج وتشخيصات وعلاجات ومراجعات وما ركب أو استخدم من أجهزة ومعدات.
كما تمنح المادة 28 المريض أو من يمثله قانوناً حق طلب تقرير طبي مفصل أو مختصر من الطبيب المعالج أو ممن تكلفه إدارة المنشأة. لذلك يجب أن يعامل عقد منصة السجلات وصول المريض إلى ملفه كميزة قانونية واجبة لا كخيار منتج: فينبغي أن يتيح النظام إخراج ملف المريض وتقاريره، وأن تضمن بنود الخروج قدرة المنشأة على الوفاء بالمادة 28 بعد انتهاء علاقة المورّد. وتضيف المادة 22 واجبات توثيق للوصفات والتقارير والشهادات الطبية بحيث تكون واضحة ودقيقة وموقعة ومؤرخة ومحفوظة في الملف الطبي للمريض.
لائحة سيترا لحماية خصوصية البيانات
اعتمدت سيترا لائحة حماية خصوصية البيانات الحالية بالقرار رقم 26 لسنة 2024 الصادر في 7 فبراير 2024 والمعتمد باجتماع مجلس إدارة الهيئة رقم 14 لسنة 2023 المنعقد في 5 ديسمبر 2023. وألغى القرار لائحة حماية خصوصية البيانات السابقة المعتمدة بالقرار رقم 42 لسنة 2021 وتعديلاتها، وعمل به من تاريخ نشره في الجريدة الرسمية والموقع الإلكتروني للهيئة. وتسري اللائحة بموجب مادتها الأولى على مقدمي الخدمات المرخص لهم من الهيئة الذين يجمعون البيانات الشخصية أو يعالجونها أو يخزنونها، سواء داخل الكويت أو خارجها، وتشترط أساساً نظامياً للمعالجة وشفافية تجاه صاحب البيانات وضمانات تتناسب مع حساسية البيانات.
وتقع البيانات الصحية في أعلى درجات الحساسية. ففكرة الموافقة تسري في الإطار الكويتي كله: فمعالجة البيانات الشخصية تتطلب أساساً مشروعاً، والبيانات الحساسة تستلزم أعلى معايير الحماية. وفي عقد التقنية الصحية يجب أن يفصل ملحق معالجة البيانات فئات البيانات المجمعة والأغراض والأساس النظامي لكل غرض ومن يحق له الاطلاع ومدد الاحتفاظ وآليات الحذف. ويجب فصل أغراض التسويق وتدريب النماذج والتحليلات عن غرض العلاج، لأن الموافقة المأخوذة للرعاية لا تمتد تلقائياً إلى إعادة الاستخدام التجاري للبيانات ذاتها.
تصنيف البيانات واستضافة السجلات الصحية سحابياً
كانت سياسة تصنيف البيانات الصادرة بقرار سيترا رقم 95 لسنة 2021 تقسم البيانات إلى أربعة مستويات، ويشمل المستوى الثالث البيانات الخاصة الحساسة ومنها السجلات الطبية. وقد ألغت سيترا السياسة في فبراير 2024 بالقرار رقم 34 لسنة 2024، فلم يعد التصنيف المتدرج يفرض واجبات ملزمة للتصنيف أو التخزين، لكنه يظل مرجعًا مفيدًا عند تصميم ضوابط المنشأة. وينبغي لمورّد التقنية الصحية الذي يقترح استضافة بيانات المرضى أن يبين مدى حساسية كل مجموعة بيانات وكيف تحميها بنيته التقنية.
ويضيف الإطار التنظيمي للحوسبة السحابية قواعد للاستضافة، إذ تعد المادة 4.1.4 منه البيانات المتعلقة بالصحة والجينات والبيانات الحيوية فئات خاصة من البيانات الشخصية، وتلزم مقدمي الخدمات السحابية ومشتركيهم في القطاعين الحكومي والخاص بالامتناع عن استخدام البيانات الشخصية لاستنتاج هوية المشتركين دون إذن كتابي صريح وواضح. وعندما تعتزم منشأة كويتية نقل السجلات إلى سحابة خارج الكويت، تتحقق المراجعة من متطلبات الإطار وقواعد الموافقة في القانون رقم 20 لسنة 2014 وأي إرشادات قطاعية قبل اعتماد خطة النقل، ويجب أن يسجل العقد مواقع الاستضافة المعتمدة وأن يشترط إخطاراً مسبقاً وموافقة قبل إضافة أي منطقة جديدة.
واجبات الأمن السيبراني والمركز الوطني للأمن السيبراني
أنشأ المرسوم رقم 37 لسنة 2022 المركز الوطني للأمن السيبراني تحت إشراف وزير يعينه مجلس الوزراء، باختصاص يشمل الجهات المدنية والعسكرية والأمنية ومؤسسات القطاع الخاص داخل الكويت. ويهدف المرسوم إلى بناء منظومة وطنية للأمن السيبراني لحماية المعلومات والاتصالات والعمليات بالوسائل الإلكترونية، وتقع المنشآت الصحية وتطبيقات الطب عن بعد في نطاقه. لذلك يجب أن يعامل عقد التقنية الصحية الأمن السيبراني كالتزام امتثال تجاه جهة تنظيمية مسمّاة لا كميزة تسويقية.
وعملياً، يجب أن يغطي الملحق الأمني ضوابط الدخول والتشفير وسجلات التدقيق وإدارة الثغرات وكشف الحوادث ومواعيد الإخطار والتعاون مع المركز الوطني للأمن السيبراني. ويلتزم المورّد بإخطار المنشأة خلال مدة محددة بعد تأكيد اختراق يمس بيانات المرضى، وتحتفظ المنشأة بحق إبلاغ المرضى والجهات المنظمة. وتدعم المادة 51 من القانون رقم 70 لسنة 2020 ثقافة السرية بإلزام رئيس الجهاز والعاملين به وأعضاء اللجان بسرية المعلومات التي يطلعون عليها أثناء أعمالهم حتى بعد انتهائها.
المعاملات الإلكترونية والسجلات والتوقيعات
يوفر القانون رقم 20 لسنة 2014 في شأن المعاملات الإلكترونية الإطار العام للسجلات والمعاملات الإلكترونية في الكويت، وقد منح بنك الكويت المركزي الرقابة على السداد الإلكتروني للأموال، وهو ما يهم عندما تتقاضى المنصة مقابل الاستشارات أو الاشتراكات. ويحمي القانون البيانات الشخصية المدخلة في نظم المعالجة الإلكترونية: فالمعلومات المتعلقة بالحالة الصحية يجب أن تحفظ بصورة خاصة، ولا يجوز للعاملين الاطلاع عليها أو إفشاؤها أو نشرها بغير حق، ولا يجوز الإفصاح عنها إلا بموافقة صاحب البيانات أو بأمر قضائي.
ويرسخ ذلك نقطتين في الصياغة. أولاً، ينبغي أن ينص الطرفان على أن السجلات والموافقات والتوقيعات الإلكترونية الناشئة عبر المنصة يقصد بها أن تكون منتجة لآثارها القانونية وفق القانون رقم 20 لسنة 2014، وأن يحافظ تصميم النظام على سلامة كل سجل ونسبته إلى صاحبه. ثانياً، يجب حصر اطلاع فرق الدعم والتشغيل لدى المورّد على البيانات الصحية وتقييده تعاقدياً وتوثيقه، لأن الاطلاع غير المشروع من موظف هو عين السلوك الذي يستهدفه القانون.
المسؤولية والتأمين والفصل بين السريري والتجاري
خصص القانون رقم 70 لسنة 2020 فصلاً للمسؤولية الطبية، وتوضح المادة 23 المعيار: فمزاول الجراحات والتداخلات الطبية يلتزم بالحصول على الموافقة المستنيرة من المريض كتابة مرفقاً بها المستندات ذات الصلة، والتزامه بذل العناية الحريصة. والأحكام السريرية المتخذة عبر منصة تبقى مسؤولية المزاولين المرخصين والمنشأة المرخصة، ولا يستطيع بند تعويض أن ينقل هذه المسؤولية المهنية إلى مورّد برمجيات.
وما يمكن للعقد توزيعه هو المخاطر التجارية: مستويات الخدمة ونسب التوافر وزمن الاستجابة للدعم وتصحيح العيوب وحدود المسؤولية عن الخسائر التجارية والتأمين. وتلزم المادة 55 من القانون رقم 70 لسنة 2020 المنشآت الصحية الأهلية بالتأمين لدى شركة مرخصة ضد أخطار المباني والأجهزة والمعدات الطبية بما يشمل المرضى والمرافقين والعاملين والزائرين. ويجب إثبات تأمين المورّد الخاص بالمسؤولية المهنية والأمن السيبراني في ملف العقد. وحيث تدعم مخرجات المنصة قرارات سريرية، ينص العقد على احتفاظ الأطباء بواجب المراجعة وحق رفض المخرجات، ويلتزم المورّد بتوثيق تغييرات النموذج والأخطاء المعروفة.
المعالجون من الباطن والنقل عبر الحدود واستمرارية الخدمة
نادراً ما تعمل منظومة تقنية صحية بمورّد واحد؛ فمقدمو الاستضافة وبوابات الرسائل وأدوات التحليلات ومعالجو المدفوعات ومقدمو نماذج الذكاء الاصطناعي قد يلامسون جميعاً بيانات المرضى. ويجب أن يلزم العقد المورّد بإدراج معالجيه من الباطن وبيان من يطلع منهم على البيانات الشخصية، وبإخطار مسبق عند إضافة معالج جديد أو تغيير مواقع الاستضافة، وبمسار مراجعة مع بديل إذا حجبت المنشأة موافقتها. ويجب رسم خريطة النسخ الاحتياطية ومسارات الدعم الفني عن بعد بعناية التخزين الأساسي ذاتها، لأن وصول الدعم من خارج الكويت هو بذاته نقل عبر الحدود.
والتخطيط للاستمرارية مسألة سلامة مرضى في هذا القطاع. فإذا فقد الطاقم السريري الوصول إلى السجلات أثناء المناوبة، تحتاج المنشأة إجابة مختبرة: من يوفر نسخة صالحة للاستخدام وفي أي مدة ومن يبلغ فريق الرعاية. ويجب أن يحدد جدول الخدمة أهداف زمن الاستعادة ونقطة الاستعادة وأن يشترط اختبارات استعادة دورية وأن يصف التشغيل في الوضع المتدهور أثناء الانقطاع. وهذه البنود تختبر قبل الإطلاق لا تتفاوض أثناء أول حادث.
الخروج ورد السجلات وقائمة فحص العقد
التخطيط للخروج يحمي واجبات المنشأة القانونية. فلما كانت المادة 28 من القانون رقم 70 لسنة 2020 تلزم المنشأة بالاحتفاظ بملف كل مريض وتقديم التقارير عند الطلب، وجب أن يضمن العقد تصدير مجموعة السجلات كاملة، بما فيها التواريخ المرضية والمرفقات وسجلات التدقيق، بصيغة صالحة وموثقة، خلال فترة انتقالية محددة وبتكلفة متفق عليها سلفاً. ويجب إثبات حذف المورّد للبيانات بعد التصدير كتابةً، وأن يبقى الوصول متاحاً مدة تكفي لحسم انتقال متنازع عليه أو استفسار جهة منظمة.
وملف عقد التقنية الصحية الكويتي عملياً يتضمن: تراخيص الطرفين وترخيص المنشأة من إدارة التراخيص الصحية؛ وملحق معالجة البيانات بالأغراض والأسس والفئات والاحتفاظ والحذف؛ ومواقع الاستضافة المعتمدة وقائمة المعالجين من الباطن؛ والملحق الأمني؛ ومستويات الخدمة مع اختبارات الاستمرارية والاستعادة؛ وتدفقات الموافقة ووصول المريض بما يوافق المادتين 23 و28؛ وشهادات التأمين وفق المادة 55؛ وخطة الخروج مع اختبار تصدير عينة. ولكل بند مسؤول مسمى وتاريخ تحقق.
عندما نراجع عقد تقنية صحية في الكويت
عندما نراجع عقد تقنية صحية لنشره في الكويت، نبدأ من التراخيص: ترخيص المنشأة بموجب المادة 55 من القانون رقم 70 لسنة 2020 وتراخيص المزاولين ومدى توافق نموذج الخدمة مع إجازة المادة 24 للخدمات عن بعد والذكاء الاصطناعي. ثم نرسم خريطة البيانات: ما يجمع وأساس كل غرض وأماكن الاستضافة ومن يطلع، وكيف تشكل لائحة سيترا بموجب القرار 26 لسنة 2024 واجبات التعامل متى كان أحد الأطراف في السلسلة مرخصًا له من سيترا. ونختبر الملاحق الأمنية والاستمرارية قياساً إلى الواجبات الناشئة عن المرسوم 37 لسنة 2022، ونقرأ بنود الخروج قياساً إلى التزام المنشأة المستمر بالاحتفاظ بملفات المرضى وإنتاجها بموجب المادة 28. وتكون النتيجة تقريراً مكتوباً يحدد البنود الواجب تعديلها قبل التوقيع.
اقرأ أيضا: دليلنا للاتصالات وتقنية المعلومات في الكويت ودليلنا لحماية البيانات في الكويت، إضافة إلى ممارستنا في قانون الشركات والأعمال التجارية.
أسئلة شائعة
هل الطب عن بعد قانوني في الكويت؟
نعم. تجيز المادة 24 من القانون رقم 70 لسنة 2020 صراحة تقديم الخدمات الطبية والرعاية الصحية المنزلية وعن بعد واستخدام الذكاء الاصطناعي والوسائل الرقمية، وفق الاشتراطات والضوابط التي تضعها وزارة الصحة. ويجب أن تقدم الخدمة عبر مزاولين مرخصين وهياكل مرخصة.
هل تستطيع شركة تقنية أن تملك عيادة في الكويت؟
ليس مباشرة. فالمادة 58 من القانون رقم 70 لسنة 2020 تشترط أن يكون ترخيص العيادة أو المستوصف لطبيب كويتي مرخص، وترخيص المستشفى أو المركز الصحي لمزاول كويتي مرخص أو لشخص اعتباري مالكه أو أحد شركائه كذلك. لذلك تتعاقد شركات التقنية عادة مع كيانات مرخصة.
ما الجهة المنظمة للبيانات الصحية في الكويت؟
تنظم سيترا معالجة البيانات الشخصية لدى مقدمي الخدمات المرخص لهم منها بموجب لائحة حماية خصوصية البيانات المعتمدة بالقرار 26 لسنة 2024. وتنظم وزارة الصحة الجانب الطبي، ويشرف المركز الوطني للأمن السيبراني على الأمن السيبراني بموجب المرسوم 37 لسنة 2022.
هل تعد بيانات المرضى بيانات حساسة؟
نعم. يعد الإطار التنظيمي للحوسبة السحابية البيانات الصحية والجينية من الفئات الخاصة للبيانات الشخصية في المادة 4.1.4. وقد أُلغيت سياسة تصنيف البيانات التي كانت تضع السجلات الطبية في المستوى الثالث، أي البيانات الخاصة الحساسة، بالقرار رقم 34 لسنة 2024، فأصبح التصنيف المتدرج مرجعًا استرشاديًا لا قاعدة ملزمة.
هل يجوز استضافة سجلات المرضى على السحابة؟
الاستضافة السحابية ممكنة، لكن الإطار التنظيمي للحوسبة السحابية ولائحة سيترا للخصوصية متى وُجد طرف مرخص له في السلسلة، وقواعد الموافقة في القانون رقم 20 لسنة 2014، تحدد أين وكيف تتم الاستضافة. ويجب أن يسجل العقد المواقع المعتمدة وأن يشترط الموافقة قبل إضافة مناطق أو معالجين جدد.
من يتحمل المسؤولية عندما يخطئ تشخيص دعمته منصة؟
تبقى المسؤولية السريرية على المزاول المرخص والمنشأة بموجب فصل المسؤولية الطبية من القانون رقم 70 لسنة 2020. ويتحمل المورّد الالتزامات التجارية التي يقبلها في العقد كمستويات الخدمة وتصحيح العيوب والتعويضات.
ماذا يحدث لسجلات المرضى عند انتهاء العقد؟
تبقى المنشأة ملزمة بالاحتفاظ بملفات المرضى بموجب المادة 28 من القانون رقم 70 لسنة 2020، لذا يجب أن يضمن العقد تصديراً كاملاً مختبراً بصيغة صالحة وفترة انتقالية وإثباتاً كتابياً لحذف المورّد.
كيف نبدأ مراجعة عقد تقنية صحية للكويت؟
اجمعوا مسودة العقد ووصف النظام وخريطة تدفق البيانات وقائمة المعالجين من الباطن والتراخيص، ثم تواصلوا مع مكتبنا في الكويت عبر صفحة الاتصال. سنؤكد النطاق والجدول الزمني والمستندات اللازمة قبل البدء.