منصة موافقة المريض: كيف تعمل الموافقة والنطاقات وانتهاء الصلاحية والإلغاء في واجهة برمجة تطبيقات بيانات الصحة

الموافقة هي الجزء الذي لا يرغب أحد في بنائه في منتج صحي، ويخضع الجميع لعمليات تدقيق بشأنه. "قام المستخدم بتحديد مربع عند التسجيل" لا يفي بالمادة 9 من اللائحة العامة لحماية البيانات (GDPR)، ولا يصمد أمام مراجعة حماية البيانات، ولا يسمح للشخص بسحب الوصول من تطبيق واحد دون حذف حسابه. يصف هذا الدليل ما يجب أن تقوم به منصة موافقة المريض وكيف تقوم منصة Anpheros بذلك، حتى تتمكن من إعادة استخدامه بدلاً من إعادة بنائه.

نسخة تقنية للمطورين: منصة موافقة المريض · الموافقة على developers.anpheros.com، مع الطلبات والاستجابات والحدود. هذه الصفحة هي النسخة بلغة بسيطة.

الموافقة ككائن، وليس كعلامة

في Anpheros، الموافقة هي منحة: شخص واحد، تطبيق واحد، مجموعة من النطاقات، غرض، تاريخ انتهاء. يتم إنشاؤها عندما يوافق الشخص على الوصول في صفحة الموافقة، ويتم إدراجها حيث يمكن للشخص رؤيتها، ويمكن إلغاؤها في أي وقت. يتم التحقق من القراءات مقابلها في كل طلب.

• النطاقات تحدد ما يمكن للتطبيق قراءته أو كتابته: ملاحظات، حالات، أدوية، حساسيات، مستندات، وما إلى ذلك، مع تضييق اختياري حسب الفئة (على سبيل المثال، نتائج المختبر ولكن ليس الأعراض).
• المدة يختارها الشخص: 30، 90، 180 أو 365 يومًا. لا يوجد شيء اسمه "إلى الأبد".
• الإلغاء يسري في الطلب التالي. يتلقى التطبيق إشعارًا عبر الويب (webhook) باسم consent.revoked.
• الغرض يتم تسجيله مع المنحة وعرضه على الشخص.

كيف يطلب التطبيق

من خلال OAuth 2.1 مع PKCE، مع تشغيل SMART على FHIR بشكل مستقل للتطبيقات التي تتحدث SMART بالفعل. يقوم الشخص بتسجيل الدخول، ويرى أي تطبيق يطلب، وما هي النطاقات ولأي مدة، ويوافق أو يرفض. يحصل التطبيق على رمز مميز محدود لهذا المريض الواحد وتلك النطاقات؛ مفتاح المشروع لا يحل محل موافقة الشخص أبدًا.

GET  https://platform.anpheros.com/oauth/authorize?client_id=…&scope=patient/Observation.read …
POST https://platform.anpheros.com/oauth/token

رموز الوصول المميزة تعيش لمدة 30 دقيقة، ورموز التحديث لمدة 30 يومًا. وثائق الاكتشاف موجودة في /.well-known/oauth-authorization-server و /.well-known/smart-configuration.

ما يراه المريض

GET /me/patients/{id}/grants يسرد كل تطبيق لديه وصول، ونطاقاته وتاريخ انتهاء صلاحيته. …/grants/{grant}/access-log يسرد ما قرأه أو كتبه كل منها، تحت الموافقة وبمفتاح المشروع الخاص. مع format=fhir، تعود السجل كحزمة من موارد FHIR R4 AuditEvent مشكلة بعد أنماط سجل التدقيق الأساسي لـ IHE. في Anpheros Daily، هذه هي شاشة "الاتصالات"؛ يمكن لتطبيقك الخاص عرض نفس الشيء.

القراءات مقابل الكتابات

بموافقة، ترى المنظمة السجل بأكمله، بما في ذلك ما كتبته العيادات الأخرى، ولكن يمكنها تغيير أو حذف فقط ما كتبته بنفسها. يسجل كل إصدار من كل مورد المشروع الذي كتبه؛ يتم رفض الكتابة بواسطة مشروع آخر مع شرح. تنتج كل كتابة مورد Provenance يحدد التطبيق، والمنظمة التي تصرف نيابة عنها، والشخص.

تقترح وكلاء الذكاء الاصطناعي، ويقرر الشخص

الكتابة التي تتم بموافقة الشخص من قبل تطبيق مسجل كوكيل ذكاء اصطناعي لا يتم تطبيقها على الفور. تقوم المنصة بالتحقق منها وترد بـ 202 Accepted مع معرف اقتراح؛ لا يتغير شيء في السجل. يرى الشخص الاقتراح، وما هو، وأي تطبيق أرسله، ويقبله أو يرفضه. يتم كتابة الاقتراح المقبول تمامًا كما تم إرساله ويتم تمييزه على أنه مكتوب بواسطة الذكاء الاصطناعي. هذه هي الطريقة التي يمكن بها للمساعد المتصل عبر MCP المساعدة في ملء سجل دون الكتابة إليه أبدًا دون إشراف.

المشاركة بدون تطبيق: روابط SMART الصحية

يمكن للشخص أيضًا مشاركة سجله عبر QR أو رابط. POST /me/patients/{id}/shl ينشئ رابط SMART الصحي لمجموعة الطوارئ الفرعية (الحساسيات، الأدوية، المشاكل، التطعيمات) أو ملخص المريض الدولي الكامل، مع رمز مرور اختياري وتاريخ انتهاء. كل فتح يتم تسجيله في سجل الوصول، ويمكن إيقاف تشغيل الرابط على الفور. يمكن لأي قارئ لرابط SMART الصحي فتحه.

النموذج الكامل، مع كل قاعدة، موجود على developers.anpheros.com/guides/consent-model.

الأسئلة الشائعة

هل يتم تخزين الموافقة كمورد FHIR Consent؟

المنحة هي الكائن التشغيلي الذي يتم التحقق منه في كل طلب؛ يحمل السجل أيضًا موارد FHIR Consent و Provenance حتى تتمكن الأنظمة الأخرى من قراءة ما تم الاتفاق عليه ومن كتب ماذا. سجل الوصول متاح كمورد FHIR AuditEvent.

هل يمكن للمريض منح الوصول إلى جزء فقط من السجل؟

نعم. النطاقات لكل نوع مورد، مع عوامل تصفية الفئة، ويختارها الشخص في صفحة الموافقة. يمكن للتطبيق طلب نتائج المختبر فقط، أو الأدوية فقط.

ماذا يحدث عند انتهاء صلاحية الموافقة؟

تعود الطلبات تحت تلك المنحة برمز 403 من تاريخ الانتهاء فصاعدًا. يمكن للتطبيق أن يطلب مرة أخرى؛ يقرر الشخص مرة أخرى. لا يتم حذف أي شيء.

هل يؤدي الإلغاء إلى حذف ما قرأه التطبيق بالفعل؟

لا يمكن لأي نظام إلغاء قراءة البيانات. يوقف الإلغاء الوصول الإضافي على الفور ويتم تسجيله؛ ما قام التطبيق بتخزينه على جانبه يخضع لالتزاماته الخاصة بموجب اللائحة العامة لحماية البيانات (GDPR).

هل يمكن للعيادة الوصول إلى سجل بدون موافقة المريض؟

يرى المشروع المرضى الذين أنشأهم بنفسه. تتطلب قراءة سجل تم إنشاؤه في مكان آخر منحة الشخص. لا يوجد تجاوز إداري.