المادة 9 من اللائحة العامة لحماية البيانات (GDPR) لبيانات

إجابة مختصرة: بموجب اللائحة العامة لحماية البيانات (GDPR)، تُعتبر البيانات المتعلقة بالصحة فئة خاصة. تحظر المادة 9(1) معالجتها؛ بينما تسرد المادة 9(2) الاستثناءات التي ترفع هذا الحظر. بالنسبة لفريق المنتج، هناك أربعة استثناءات مهمة: (أ) الموافقة الصريحة للشخص، (ح) تقديم الرعاية الصحية من قبل مهني ملزم بالسرية أو تحت مسؤوليته، (ط) الصحة العامة، و (ي) البحث العلمي مع ضمانات بموجب المادة 89. يلزم وجود استثناء من المادة 9 بالإضافة إلى أساس قانوني عادي بموجب المادة 6، وليس بدلاً منه. يؤدي معالجة بيانات الصحة على نطاق واسع أيضًا إلى تفعيل تقييم أثر حماية البيانات (DPIA) (المادة 35) و مسؤول حماية البيانات (DPO) (المادة 37).

ما الذي يُعتبر بيانات صحية

بموجب اللائحة العامة لحماية البيانات (GDPR)، تُعد البيانات المتعلقة بالصحة بيانات شخصية مرتبطة بالصحة الجسدية أو العقلية للشخص، بما في ذلك تقديم خدمات الرعاية الصحية، والتي تكشف عن معلومات حول حالته الصحية (المادة 4(15)). وبمعناها الواسع، تشمل هذه البيانات نتائج الفحوصات المخبرية، والتشخيصات، والأدوية، والمواعيد، وإجازات المرض، وأي بيانات يمكن استنتاج حالة صحية منها.

تعرّف المادة 4(15) البيانات المتعلقة بالصحة بأنها بيانات شخصية تتعلق بالصحة الجسدية أو العقلية للشخص، بما في ذلك تقديم خدمات الرعاية الصحية، والتي تكشف عن معلومات حول حالته الصحية. تقرأ المادة التمهيدية 35 والسوابق القضائية هذا التعريف بشكل واسع: قيمة معملية، تشخيص، دواء، موعد طبي، شهادة مرضية، عدد خطوات مع حالة قلب، بحث عن عرض مرتبط بحساب. البيانات التي تكشف عن الحالة الصحية هي بيانات صحية حتى لو لم يتم جمعها على هذا النحو. أكدت محكمة العدل في عام 2022 (OT، C-184/20) أن البيانات التي يمكن استنتاج حقيقة من فئة خاصة منها، هي بحد ذاتها بيانات من فئة خاصة.

الاستثناءات المهمة

الاستثناءات الواردة في المادة 9(2) من اللائحة العامة لحماية البيانات (GDPR) الأكثر أهمية للمنتجات الصحية هي: الموافقة الصريحة (أ)، والتي تستخدمها تطبيقات الصحة الاستهلاكية والسجلات التي يتحكم فيها المريض؛ تقديم الرعاية الصحية (ح)، والتي تستخدمها العيادات وموردو برامجها بموجب السرية المهنية؛ الصحة العامة (ط)؛ البحث العلمي (ي) مع ضمانات المادة 89؛ والمصلحة العامة الجوهرية (ز)، التي يعتمد عليها النظام الأوروبي للبيانات الصحية (EHDS) للاستخدام الثانوي.

المادة 9(2)	من يستخدمها عادة	الشروط
(أ) الموافقة الصريحة	تطبيقات صحة المستهلك، خدمات العافية، السجلات التي يتحكم فيها المريض	مُعطاة بحرية، محددة، مستنيرة، لا لبس فيها، من خلال إجراء إيجابي واضح، سهلة السحب مثل إعطائها؛ لا تُضمّن مع الخدمة إلا إذا كانت الخدمة تحتاج إلى البيانات
(ج) المصالح الحيوية	الوصول في حالات الطوارئ	فقط عندما يكون الشخص غير قادر جسديًا أو قانونيًا على الموافقة
(ح) تقديم الرعاية الصحية	العيادات، المستشفيات، الأطباء العامون، مورّدو برامجهم كمعالجين	ضرورية للتشخيص، الرعاية، العلاج أو إدارة الأنظمة الصحية، بموجب قانون الاتحاد الأوروبي أو القانون الوطني أو عقد مع مهني، وتحت سرية المهنة (المادة 9(3))
(ط) الصحة العامة	سلطات الصحة العامة، اليقظة الدوائية	بناءً على قانون يوفر تدابير مناسبة
(ي) البحث، الإحصاء، الأرشفة	معاهد البحث، السجلات، المنصات التي تمكّن البحث	بناءً على قانون، متناسب، مع ضمانات المادة 89 (التشفير الزائف، التقليل)
(ز) مصلحة عامة جوهرية	البنى التحتية الوطنية لبيانات الصحة	بناءً على قانون؛ يعتمد عليها الفضاء الأوروبي للبيانات الصحية (EHDS) للاستخدام الثانوي

يعمل السجل الصحي الشخصي الذي يتحكم فيه المريض بموجب (أ): يقرر الشخص ما يخزنه ومع من يشاركه. تعمل العيادة التي تكتب في هذا السجل بموجب (ح) لمعالجتها الخاصة، وتخضع مشاركة البيانات لموافقة المريض. المنصة التي تخدم كلاهما هي معالج للعيادة (عقد المادة 28) و متحكم للحساب الذي تقدمه للشخص. كتابة هذا، لكل عملية معالجة، هو جوهر السجلات المطلوبة بموجب المادة 30.

الموافقة التي لها وزن حقيقي

تُعتبر الموافقة الصريحة على بيانات الصحة بموجب اللائحة العامة لحماية البيانات (GDPR) صالحة فقط عندما تكون بيانًا منفصلاً ومحددًا لكل غرض، ويتم تقديمها من خلال إجراء إيجابي واضح، مع إبلاغ المستلمين، وتسجيلها مع الوقت والطريقة، ويمكن إلغاؤها بسهولة كما تم منحها. وقد تم اعتبار مربعات الاختيار المحددة مسبقًا، والأغراض المجمعة، والتطبيقات التي لا يمكن استخدامها دون الموافقة على التحليلات، كلها غير صالحة.

ألغت الجهات التنظيمية الموافقة لتطبيقات الصحة لنفس الأسباب مرارًا وتكرارًا: مربعات محددة مسبقًا؛ طلب الموافقة لكل شيء دفعة واحدة؛ عدم وجود طريقة لاستخدام التطبيق دون الموافقة على التحليلات؛ نصوص الموافقة التي لا تسمي المستلمين؛ عدم وجود مسار للسحب. الموافقة الصريحة الصالحة لبيانات الصحة تعني بيانًا منفصلاً ومحددًا ("أوافق على أن Anpheros يخزن نتائج المختبر التي أقوم بتحميلها")، مفصل حسب الغرض (التخزين؛ المشاركة مع عيادة مسماة؛ إحصاءات مجهولة المصدر)، مع سجل لوقت وكيفية منحها، وزر يلغيها بأثر فوري على المعالجة المستقبلية. بيانات الأطفال تتطلب ولي الأمر، مع تحديد عتبات عمرية من قبل كل دولة عضو بين 13 و 16 عامًا.

السرية، المادة 9(3)

تحدد المادة 9(3) من اللائحة العامة لحماية البيانات (GDPR) شرط السرية لاستثناء الرعاية الصحية: لا يجوز معالجة بيانات الصحة بموجب المادة 9(2)(ح) إلا من قبل أو تحت مسؤولية مهني ملزم بالسرية المهنية بموجب قانون الاتحاد الأوروبي أو القانون الوطني، أو من قبل شخص آخر يخضع لالتزام سرية مماثل.

يقوم موردو البرامج للعيادات بتلبية هذا الشرط من خلال العقود: تفرض اتفاقية المعالجة السرية على الموظفين الذين لديهم وصول، ويتم تسجيل الوصول.

ما وراء المادة 9

لا يُعد استثناء المادة 9(2) الالتزام الوحيد بموجب اللائحة العامة لحماية البيانات (GDPR) لبيانات الصحة. تتطلب المعالجة أيضًا أساسًا بموجب المادة 6، وعادةً تقييمًا لتأثير حماية البيانات بموجب المادة 35، وتعيين مسؤول حماية بيانات بموجب المادة 37، وقيودًا على القرارات الآلية بموجب المادة 22، وأداة بموجب الفصل الخامس لنقل البيانات خارج الاتحاد الأوروبي، وإخطارًا بالخرق خلال 72 ساعة، وقوانين السجلات الصحية الوطنية.

المادة 6 لا تزال سارية: العقد (6(1)(ب)) لتقديم الخدمة التي طلبها الشخص، الموافقة (6(1)(أ))، الالتزام القانوني، المهمة العامة أو المصالح المشروعة، والتي لا يمكن استخدامها لتجاوز المادة 9.
المادة 35 تقييم أثر حماية البيانات (DPIA) إلزامي للمعالجة واسعة النطاق للفئات الخاصة؛ معظم تطبيقات الصحة وجميع المنصات مؤهلة. انظر تقييم أثر حماية البيانات لتطبيق صحي.
المادة 37 مسؤول حماية البيانات (DPO) إلزامي للأنشطة الأساسية التي تتكون من معالجة واسعة النطاق للفئات الخاصة.
المادة 22 تقييد القرارات المستندة فقط إلى المعالجة الآلية ذات الآثار الكبيرة، والتي تشمل الفرز الآلي أو الأهلية؛ يمكن استخدام بيانات الصحة لها فقط بموافقة صريحة أو أساس قانوني في القانون، مع ضمانات.
المادة 44 وما بعدها: تتطلب عمليات النقل خارج الاتحاد الأوروبي الكفاية (إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة للشركات الأمريكية المعتمدة)، أو بنود العقود القياسية مع تقييم أثر النقل، أو أداة أخرى من الفصل الخامس. الاستضافة في الاتحاد الأوروبي تتجنب السؤال عن البيانات المخزنة؛ الموظفون الداعمون في الخارج لا يفعلون ذلك.
المادة 33-34: إخطار الخرق للسلطة في غضون 72 ساعة وللأشخاص عندما يكون الخطر مرتفعًا، وهو ما يحدث عادةً مع بيانات الصحة.
القانون الوطني يضيف طبقات: قوانين السرية الطبية، قوانين السجلات الصحية، فترات الاحتفاظ، وفي بعض البلدان قواعد محددة لتطبيقات الصحة (شهادة استضافة HDS في فرنسا، إطار DiGA في ألمانيا).

الفضاء الأوروبي للبيانات الصحية (EHDS) فوق كل ذلك

لا يغير تنظيم الفضاء الأوروبي للبيانات الصحية (2025/327) المادة 9. يضيف حقوق الوصول إلى بيانات الصحة ونقلها بتنسيق مشترك، والتزامات لأنظمة السجلات الصحية الإلكترونية، ونظام تصاريح للاستخدام الثانوي الذي يعتمد على المادة 9(2)(ز)، (ح)، (ط)، و (ي) مع ضماناته الخاصة وخيار الانسحاب. انظر بياناتك الطبية في الاتحاد الأوروبي.

في Anpheros

تعالج Anpheros بيانات الصحة بموافقة صريحة من الشخص للسجل الذي يحتفظ به (المادة 9(2)(أ))، حسب الغرض وقابل للسحب في التطبيق، وكـ معالج للعيادات التي تكتب في هذا السجل بموجب أساس المادة 9(2)(ح) الخاص بها. يتطلب كل وصول من قبل عيادة موافقة الشخص على نطاق ومدة، ويظهر في سجل الوصول الخاص به. انظر منصة موافقة المريض و من شاهد سجلي الطبي؟.

تشرح هذه الصفحة اللوائح الخاصة بفرق المنتجات والهندسة. إنها ليست نصيحة قانونية؛ النصوص المرتبطة تحت المصادر هي السلطة، ويقرر مسؤول حماية البيانات الخاص بك، أو الهيئة المُبلغ عنها، أو المستشار الخاص بك لحالتك. آخر مراجعة: أكتوبر 2026.

صفحات ذات صلة

المصادر

الأسئلة الشائعة

هل عدد الخطوات بيانات صحية؟

بحد ذاته، عادة لا. عند دمجه مع بيانات أخرى تكشف عن حالة صحية (تشخيص، برنامج إعادة تأهيل، حالة قلب)، أو معالجته لاستنتاج حالة صحية، يصبح بيانات تتعلق بالصحة. تنظر الجهات التنظيمية إلى الغرض والاستنتاج، وليس فقط الحقل الخام.

هل يمكنني استخدام المصالح المشروعة لبيانات الصحة؟

لا. المصالح المشروعة هي أساس بموجب المادة 6؛ بيانات الصحة تتطلب بالإضافة إلى ذلك استثناءً من المادة 9(2)، ولا يُعدّ أي منها مصالح مشروعة. تتطلب التحليلات على بيانات الصحة موافقة أو إخفاء هوية.

هل تحتاج العيادة إلى موافقة المريض للاحتفاظ بالسجلات؟

ليس بموجب اللائحة العامة لحماية البيانات: فهي تعالج بموجب المادة 9(2)(ح) وقانون الصحة الوطني. تصبح الموافقة ذات صلة عندما تُستخدم البيانات لشيء آخر (مشاركة مع تطبيق، بحث، تسويق) أو عندما يتطلب القانون الوطني ذلك.

إلى متى يمكن الاحتفاظ ببيانات الصحة؟

تنص اللائحة العامة لحماية البيانات على عدم الاحتفاظ بها لفترة أطول من اللازم؛ تحدد قوانين السجلات الصحية الوطنية فترات احتفاظ محددة للسجلات السريرية (غالبًا من 10 إلى 30 عامًا). يتم الاحتفاظ بسجل شخصي يتحكم فيه الشخص طالما يريده، ويتم حذفه عند الطلب.

Anpheros Platform

جرّبه مجانًا في بيئة الاختبار

أول طلب FHIR خلال 5 دقائق. واجهة برمجة تطبيقات HL7 FHIR R4 مع موافقة المريض مدمجة: جربها في بيئة الاختبار، ثم اربط تطبيقك الخاص أو نظام عيادتك.

أنشئ بيئة اختبار مجانية اقرأ أدلة المطورين →

مجاني · 30 مريضًا اصطناعيًا · دون بطاقة

هذا الدليل هو للمعلومات فقط ولا يغني عن الاستشارة الطبية. لاتخاذ قرارات بشأن صحتك، تحدث مع طبيبك. في حالة الطوارئ، اتصل برقم الطوارئ المحلي (112 في أوروبا).

بقلم

فريق Anpheros

تبني Anpheros سجلًا طبيًا يتحكم فيه المريض ويمكن مشاركته مع أي عيادة، على منصة HL7 FHIR R4، مقرها في الاتحاد الأوروبي. تساعدك هذه الأدلة على فهم وتنظيم صحتك؛ ولا تغني عن استشارة طبيبك.

عن Anpheros →