البيانات الصحية بيانات حساسة: ما يطلبه قانون حماية البيانات من العيادات

وفق قانون حماية البيانات الشخصية المصري 151 لسنة 2020، البيانات الصحية بيانات شخصية حساسة، ولائحته التنفيذية الصادرة في نوفمبر 2025 تضع شروطاً أشد لمعالجتها. وتصف التحليلات القانونية المنشورة هذه الشروط بأنها: موافقة كتابية صريحة، وترخيص أو تصريح، وضرورة لغرض مشروع، وضوابط أمان يعتمدها المركز. ومهلة توفيق الأوضاع تنتهي في 1 نوفمبر 2026، فالوقت مناسب لتستعد العيادات والمراكز الطبية الآن.

كل عيادة تتعامل مع هذه البيانات يومياً: التشخيصات والروشتات ونتائج التحاليل والأشعة وملاحظات الجلسات، بل حتى حقيقة أن شخصاً حجز عند طبيب نفسي أو طبيب علاج تأخر الإنجاب. ومع ذلك ما زالت عيادات كثيرة ترسل النتائج على واتساب الموظفين، وتحفظ الملفات على كمبيوتر استقبال مفتوح، وتستخدم كلمة مرور واحدة للفريق كله.

يشرح هذا المقال، في حدود ما تدعمه التحليلات المنشورة، ما يعنيه القانون واللائحة للعيادة، والخطوات العملية والتقنية التي تقلل المخاطر. وهو لا يغني عن رأي محامٍ قرأ النص الرسمي.

الخلاصة السريعة

• البيانات الصحية فئة حساسة وفق القانون 151 لسنة 2020، بشروط معالجة أشد من البيانات العادية.
• تذكر التحليلات المنشورة الموافقة الكتابية الصريحة والترخيص والضرورة وضوابط الأمان المعتمدة كشروط لمعالجة البيانات الحساسة.
• على العيادات أيضاً الالتزامات العامة: إشعار خصوصية بالعربية، ومسؤول حماية بيانات مسجل، وسجلات معالجة، ومدد حفظ، وإخطار بالتسريب خلال 72 ساعة.
• لبيانات الأطفال قواعد موافقة إضافية يشارك فيها ولي الأمر.
• أغلب الخطر في العادات اليومية: واتساب على موبايلات شخصية، وكلمات مرور مشتركة، وشاشات مفتوحة، وتصدير بلا ضوابط.

القانون والموعد النهائي

القانون 151 لسنة 2020 هو القانون العام لحماية البيانات في مصر. صدرت لائحته التنفيذية بالقرار الوزاري 816 لسنة 2025 في 1 نوفمبر 2025، ونُشرت في الجريدة الرسمية في 25 ديسمبر 2025، لتبدأ مهلة سنة تنتهي في 1 نوفمبر 2026 (CMS، 2026). والجهة المختصة هي مركز حماية البيانات الشخصية.

ووفق CMS وAccess Partnership (2026) يشمل الإطار العام تراخيص للمتحكمين والمعالجين (صالحة عادة ثلاث سنوات)، ومسؤول حماية بيانات مسجلاً، وإشعارات خصوصية موجزة ومفهومة وظاهرة وبالعربية، وإخطار المركز بالتسريب خلال 72 ساعة. ولا نذكر قيم العقوبات هنا؛ اقرأها من النص الرسمي مع محاميك.

شروط إضافية للبيانات الصحية الحساسة

يلخص مكتب التميمي (2025) شروط اللائحة لمعالجة البيانات الحساسة في:

1. موافقة كتابية صريحة من صاحب البيانات.
2. ترخيص أو تصريح يناسب نوع النشاط.
3. الضرورة لغرض مشروع.
4. ضوابط أمان يعتمدها المركز.

ويشير إلى حظر المعالجة التي تضر بأصحاب البيانات. وعلى العيادات أن تتأكد مع مستشارها القانوني من كيفية تطبيق هذه الشروط على أنشطتها تحديداً، وما الذي يعتمد على الموافقة وما يندرج تحت أسس أخرى.

البيانات الصحية للأطفال

عيادات الأطفال والأسنان والصحة المدرسية تعالج بيانات أطفال. ووفق التحليل نفسه، يحتاج الطفل دون 15 سنة موافقة كتابية صريحة من ولي الأمر، وبين 15 و18 سنة قد تأتي الموافقة من الطفل أو ولي الأمر حسب الظروف. ويجب أن تسجل النماذج والنظام من أعطى الموافقة وبأي صفة.

ماذا يعني ذلك في مواقف العيادة الفعلية؟

الموقف	الخطر	الممارسة الأفضل
إرسال نتائج التحاليل من واتساب الشخصي لموظفة الاستقبال	بيانات حساسة على جهاز غير مُدار ولا سجل لما أُرسل	الإرسال من نظام العيادة أو حساب أعمال رسمي مع سجل
حساب دخول واحد مشترك لكمبيوتر الاستقبال	لا مساءلة؛ أي شخص يفتح أي ملف	حسابات شخصية وصلاحيات حسب الدور وخروج تلقائي
صور قبل وبعد على السوشيال ميديا	نشر معلومات صحية عن أشخاص يمكن التعرف عليهم	التعامل معها كأمر يتطلب موافقة كتابية محددة ومراجعة الصياغة مع المحامي
رسائل عروض لكل المرضى السابقين	تسويق مباشر دون موافقة مسبقة	موافقة تسويقية منفصلة وتعريف بالمرسل ووسيلة إلغاء سهلة
ملفات على فلاشة يأخذها الطبيب للمنزل	فقد أو سرقة بيانات غير مشفرة	وصول آمن عن بُعد للنظام بدلاً من النسخ
ملفات ورقية قديمة في دولاب مفتوح بالممر	اطلاع غير مصرح به	حفظ مغلق ومدة حفظ محددة وإعدام آمن

الالتزامات العامة مطبقة على العيادة

إشعار خصوصية بالعربية

أخبر المرضى بعربية واضحة ما البيانات التي تجمعها، ولماذا، ومن يستلمها (المعامل وشركات التأمين والأطباء المحوَّل إليهم)، ومدة حفظها، وكيف يمارسون حقوقهم. اعرضه عند الحجز وعلى الموقع وفي الاستقبال.

مسؤول حماية البيانات

تتطلب اللائحة مسؤول حماية بيانات مسجلاً لدى المركز. في العيادة الصغيرة قد يكون دوراً مضافاً لمهام أخرى أو خدمة خارجية، وفق قواعد التأهيل والاستقلالية؛ راجع الخيارات مع مستشارك.

سجلات المعالجة

وثّق الأغراض وفئات المرضى والبيانات والأساس القانوني ومدد الحفظ والجهات المستلمة ومكان تخزين البيانات. ويمكن لنظام العيادة أن يولّد جزءاً كبيراً من ذلك من إعداداته.

حقوق المرضى

للمريض طلب الاطلاع والتصحيح والمحو، وتقييد المعالجة أو الاعتراض عليها، وسحب الموافقة. احتفظ بسجل للطلبات ونتائجها، وتذكر أن الحذف يجب أن يراعي أي التزام قانوني بحفظ سجلات طبية أو مالية معينة.

الإخطار بالتسريب

أخطر المركز خلال 72 ساعة من العلم بالتسريب، والأشخاص المتأثرين خلال ثلاثة أيام عمل من ذلك الإخطار، وفق التميمي. حدد الآن من يقود ومن يقيّم وكيف سيُبلّغ المرضى.

الاستضافة السحابية والنقل عبر الحدود

إذا استُضيفت بيانات المرضى خارج مصر فقواعد النقل عبر الحدود تنطبق، ومنها الترخيص وتقييم أثر النقل. أدخل ذلك في قرار الاستضافة.

المعامل وشركات التأمين وموردو البرمجيات

نادراً ما تعالج العيادة البيانات وحدها؛ فالمعامل ومراكز الأشعة وشركات التأمين وشركة البرمجيات التي تستضيف نظامك، وحتى فني الكمبيوتر الذي يصلح جهاز الاستقبال، قد يصلون لبيانات المرضى. واللائحة تفرق بين المتحكم والمعالج وتشترط ترخيص الاثنين، لذلك اعمل قائمة بكل شريك يستلم بيانات المرضى أو يستضيفها، وتحقق مما يفعله بها، وضع في العقود بنوداً مكتوبة لحماية البيانات: حدود الغرض، والأمان، والسرية، وإخطارك بأي تسريب، وإعادة البيانات أو حذفها عند انتهاء التعاقد.

ضوابط في النظام تجعل الامتثال عملياً

• تسجيل الموافقة: موافقة صريحة موقعة أو مسجلة مرتبطة بملف المريض، بتاريخها وغرضها ومن وافق (المريض أو ولي الأمر).
• موافقة تسويقية منفصلة لا تُدمج أبداً مع موافقة العلاج.
• أقل صلاحية لازمة: الملاحظات الطبية للطبيب المعالج فقط، والاستقبال للمواعيد والحسابات.
• سجل تدقيق: من فتح كل ملف أو عدّله أو طبعه أو صدّره ومتى.
• ضوابط التصدير: التصدير الجماعي معطل أو بموافقة الإدارة.
• مشاركة آمنة: النتائج عبر النظام بروابط محدودة المدة بدلاً من الرسائل الشخصية.
• التشفير والنسخ الاحتياطي: HTTPS، ونسخ مشفرة، وتشفير كلمات المرور مع salt، واختبار الاسترجاع.
• مهام الحفظ: تاريخ مراجعة لكل فئة سجلات وحذف آمن عند انتهاء المدة.

قائمة مراجعة للعيادة قبل 1 نوفمبر 2026

1. حصر كل أماكن بيانات المرضى: النظام والورق وموبايلات واتساب والبريد والفلاشات.
2. إيقاف استخدام الأجهزة الشخصية لبيانات المرضى وتوفير قنوات رسمية.
3. تحديث نماذج التسجيل بموافقة كتابية صريحة وموافقة تسويقية منفصلة.
4. نشر إشعار خصوصية بالعربية عند الحجز وعلى الموقع وفي الاستقبال.
5. حساب شخصي لكل موظف بدور محدد.
6. تفعيل سجلات التدقيق وتقييد التصدير.
7. تحديد مدد الحفظ وإجراء آمن لإعدام الورق.
8. كتابة خطة استجابة للتسريب خلال 72 ساعة.
9. تحديد مكان الاستضافة مع المستشار ومراجعة متطلبات النقل.
10. مراجعة الترخيص ومسؤول الحماية مع متخصص قانوني.
11. تدريب الفريق بأمثلة حقيقية من عيادتك.

كيف تساعدك Nilex

تبني Nilex أنظمة عيادات تتضمن الضوابط السابقة من التصميم: سجلات موافقة للمريض وولي الأمر، وصلاحيات حسب الدور، وسجلات تدقيق، وقيود على التصدير، ومشاركة آمنة للنتائج، ونسخ احتياطية مشفرة، واتصال مشفر عبر شهادات SSL، وتشفير كلمات المرور مع الـsalt. ويمكننا مراجعة نظامك الحالي وفق القائمة وتنفيذ الجانب التقني، بينما يتولى مستشارك القانوني الترخيص والتفسير. ويعرض مشروع عيادة PhysioTech نظام عيادة يدير الحجز وملفات المرضى وملاحظات الجلسات في مكان واحد.

الأسئلة الشائعة

هل تعتبر البيانات الصحية بيانات حساسة في القانون المصري؟

نعم. يعامل القانون 151 لسنة 2020 البيانات الصحية كبيانات شخصية حساسة، وتضع اللائحة التنفيذية شروطاً أشد لمعالجتها، منها الموافقة الكتابية الصريحة وفق التحليلات المنشورة.

هل ينطبق القانون على عيادة خاصة صغيرة؟

إذا كانت العيادة تعالج بيانات شخصية لمرضى في مصر فالقانون يخصها. أما كيفية تطبيق الترخيص ومسؤول الحماية على العيادة الصغيرة فيجب تأكيدها مع متخصص قانوني قبل 1 نوفمبر 2026.

هل يمكن إرسال نتائج التحاليل للمرضى على واتساب؟

إرسال بيانات حساسة من موبايلات الموظفين الشخصية خطر كبير. استخدم نظام العيادة أو قناة أعمال رسمية، وتأكد من رقم المريض وموافقته، واحتفظ بسجل لما أُرسل.

هل يمكن نشر صور قبل وبعد للمرضى؟

الصور التي تكشف هوية المريض وعلاجه معلومات صحية. تعامل مع النشر كأمر يتطلب موافقة كتابية محددة، وراجع صياغة الموافقة مع محاميك.

ماذا تفعل العيادة إذا تسربت بيانات المرضى؟

احتوِ الحادث، وقيّم البيانات المتأثرة، وأخطر المركز خلال 72 ساعة من العلم به، ثم المرضى المتأثرين خلال ثلاثة أيام عمل من ذلك الإخطار. وجود خطة مكتوبة مسبقاً يجعل ذلك ممكناً.

ثقة المرضى أغلى ما تملكه العيادة. احجز استشارة مجانية مع Nilex لمراجعة طريقة تعامل نظام عيادتك مع الموافقة والصلاحيات والأمان قبل 1 نوفمبر 2026.

هذا المقال معلومات عامة وليس استشارة قانونية أو ضريبية؛ راجع التفاصيل الخاصة بشركتك مع متخصص.