Platforma zgody pacjenta: jak zgoda, zakresy, wygaśnięcie i cofnięcie działają w interfejsie API danych o zdrowiu

Zgoda to część produktu zdrowotnego, której nikt nie chce tworzyć, a wszyscy są z niej rozliczani. „Użytkownik zaznaczył pole wyboru podczas rejestracji” nie spełnia wymogów art. 9 RODO, nie przejdzie weryfikacji ochrony danych i nie pozwala osobie odebrać dostępu jednej aplikacji bez usuwania jej konta. Ten przewodnik opisuje, co musi robić platforma zgody pacjenta i jak robi to Anpheros Platform, aby można było jej użyć zamiast budować ją od nowa.

Wersja techniczna dla programistów: Platforma zgody pacjenta · Zgoda na developers.anpheros.com, z żądaniami, odpowiedziami i limitami. Ta strona jest wersją w prostym języku.

Zgoda jako obiekt, a nie flaga

W Anpheros zgoda to udzielenie pozwolenia: jedna osoba, jedna aplikacja, zestaw zakresów, cel, termin ważności. Jest tworzona, gdy osoba zatwierdza dostęp na stronie zgody, jest wyświetlana tam, gdzie osoba może ją zobaczyć, i może być cofnięta w dowolnym momencie. Odczyty są sprawdzane pod kątem tej zgody przy każdym żądaniu.

• Zakresy określają, co aplikacja może odczytywać lub zapisywać: obserwacje, schorzenia, leki, alergie, dokumenty itp., opcjonalnie zawężone według kategorii (np. wyniki badań laboratoryjnych, ale nie objawy).
• Czas trwania jest wybierany przez osobę: 30, 90, 180 lub 365 dni. Nie ma opcji „na zawsze”.
• Cofnięcie wchodzi w życie przy następnym żądaniu. Aplikacja otrzymuje webhook consent.revoked.
• Cel jest zapisywany wraz z udzieleniem pozwolenia i wyświetlany osobie.

Jak aplikacja prosi o zgodę

Za pomocą OAuth 2.1 z PKCE, ze standalone launch SMART on FHIR dla aplikacji, które już obsługują SMART. Osoba loguje się, widzi, która aplikacja prosi o zgodę, jakie zakresy i na jak długo, i zatwierdza lub odrzuca. Aplikacja otrzymuje token ograniczony do tego jednego pacjenta i tych zakresów; klucz projektu nigdy nie zastępuje zgody osoby.

GET  https://platform.anpheros.com/oauth/authorize?client_id=…&scope=patient/Observation.read …
POST https://platform.anpheros.com/oauth/token

Tokeny dostępu są ważne przez 30 minut, tokeny odświeżające przez 30 dni. Dokumenty dotyczące odkrywania znajdują się pod adresem /.well-known/oauth-authorization-server i /.well-known/smart-configuration.

Co widzi pacjent

GET /me/patients/{id}/grants wyświetla listę wszystkich aplikacji z dostępem, ich zakresy i daty ważności. …/grants/{grant}/access-log wyświetla listę tego, co każda z nich odczytała lub zapisała, w ramach zgody i z własnym kluczem projektu. Z opcją format=fhir log jest zwracany jako Bundle zasobów FHIR R4 AuditEvent ukształtowanych według IHE Basic Audit Log Patterns. W Anpheros Daily jest to ekran „Połączenia”; Twoja własna aplikacja może wyświetlać to samo.

Odczyty a zapisy

Dzięki zgodzie organizacja widzi cały rekord, w tym to, co napisały inne kliniki, ale może zmieniać lub usuwać tylko to, co sama napisała. Każda wersja każdego zasobu zawiera zapis projektu, który go napisał; zapis dokonany przez inny projekt jest odrzucany z wyjaśnieniem. Każdy zapis generuje zasób Provenance, który zawiera nazwę aplikacji, organizacji, w imieniu której działała, oraz osoby.

Agenci AI proponują, osoba decyduje

Zapis dokonany za zgodą osoby przez aplikację zarejestrowaną jako agent AI nie jest stosowany natychmiast. Platforma go waliduje i odpowiada 202 Accepted z identyfikatorem propozycji; nic nie zmienia się w rekordzie. Osoba widzi propozycję, co ona oznacza i która aplikacja ją wysłała, i akceptuje lub odrzuca ją. Zaakceptowana propozycja jest zapisywana dokładnie tak, jak została wysłana, i oznaczana jako napisana przez AI. W ten sposób asystent połączony przez MCP może pomóc w uzupełnieniu rekordu, nigdy nie zapisując do niego bez nadzoru.

Udostępnianie bez aplikacji: SMART Health Links

Osoba może również udostępnić swój rekord za pomocą kodu QR lub linku. POST /me/patients/{id}/shl tworzy SMART Health Link dla podzbioru awaryjnego (alergie, leki, problemy, szczepienia) lub pełnego Międzynarodowego Podsumowania Pacjenta, z opcjonalnym hasłem i datą ważności. Każde otwarcie jest rejestrowane w logu dostępu, a link można natychmiast wyłączyć. Może go otworzyć każdy czytnik SMART Health Link.

Pełny model, ze wszystkimi zasadami, znajduje się na stronie developers.anpheros.com/guides/consent-model.

Najczęstsze pytania

Czy zgoda jest przechowywana jako zasób FHIR Consent?

Udzielenie pozwolenia jest obiektem operacyjnym sprawdzanym przy każdym żądaniu; rekord zawiera również zasoby FHIR Consent i Provenance, dzięki czemu inne systemy mogą odczytać, co zostało uzgodnione i kto co napisał. Log dostępu jest dostępny jako FHIR AuditEvent.

Czy pacjent może udzielić dostępu tylko do części rekordu?

Tak. Zakresy są per typ zasobu, z filtrami kategorii, a osoba wybiera je na stronie zgody. Aplikacja może poprosić tylko o wyniki badań laboratoryjnych lub tylko o leki.

Co się dzieje po wygaśnięciu zgody?

Żądania w ramach tego pozwolenia zwracają kod 403 od daty wygaśnięcia. Aplikacja może ponownie poprosić; osoba ponownie decyduje. Nic nie jest usuwane.

Czy cofnięcie zgody usuwa dane, które aplikacja już odczytała?

Żaden system nie może cofnąć odczytu danych. Cofnięcie zgody natychmiast zatrzymuje dalszy dostęp i jest rejestrowane; to, co aplikacja zapisała po swojej stronie, podlega jej własnym zobowiązaniom wynikającym z RODO.

Czy klinika może uzyskać dostęp do rekordu bez zgody pacjenta?

Projekt widzi pacjentów, których sam utworzył. Odczytanie rekordu utworzonego gdzie indziej wymaga pozwolenia osoby. Nie ma możliwości obejścia tego administracyjnie.