قواعد حماية البيانات الشخصية الصحية والمعركة الدائرة بين التعاضدية العامة

لقد سبق لنا أن تطرقنا في عدة مناسبات لإشكالية ضعف حماية البيانات الشخصية بالمغرب ، وأوعزنا ذلك إلى عدة عوامل من بينها على الخصوص ضبابية القانون 08-09 المنظم لهذا الميدان وافتقار الهيأة الوطنية المختصة (CNDP) ، وهي السلطة التي أوكل إليها بموجب هذا القانون أمر ضبط تجميع ومعالجة وتخزين وتبادل المعطيات الشخصية ، (افتقارها) للاستقلالية اللازمة و الكفاءات والوسائل المالية والتقنية الكافية لممارسة اختصاصاتها على الوجه الأكمل.
في نفس هذا الإطار ، وعلى اثر النزاع الذي وقع بين التعاضدية العامة للموظفين(MGPAP) والصندوق الوطني لمنظمات الاحتياط الاجتماعي (CNOPS) والضجة التي أثارها هذا النزاع ، سوف نحاول في هذه الورقة التطرق إلى جانب أكتر خطورة في هذا الموضوع وهو جانب حماية البيانات الشخصية الصحية.
المعالجة المعلوماتية للبيانات الشخصية للمرضى:
تتمتع المعالجة المعلوماتية للبيانات الشخصية للمرضى والتي تصنفها القوانين الدولية في خانة "البيانات الحساسة" (données sensibles) بحماية قوية وخاصة، حيث أن جمعها ومعالجتها وتخزينها وتبادلها بين مهنيي الصحة (أطباء، مختبرات التحليلات، مصحات، هيآت التأمين... الخ) تخضع لقواعد دقيقة.
بالنسبة للمغرب، ورغم مقتضيات القانون 08-09 المتعلق بحماية معالجة البيانات ذات الطابع الشخصي، تبقى هذه الحماية جد ضعيفة. ذلك أن غالبية الأطباء أصبحوا يستعملون الحواسب في تخزين البيانات الصحية التي يجمعونها من مرضاهم، وكذلك الأمر بالنسبة للمختبرات والمصحات التي أصبحت تتوفر على قواعد بيانات ضخمة تضم معلومات شخصية وحساسة عن زبنائهم (أرقام البطائق الوطنية، أرقام الهواتف، أرقام الانخراط، التحاليل الطبية...الخ) يتم تبادلها بكل حرية, ونشير بهذه المناسبة أن صندوق منظمات الاحتياط الاجتماعي (CNOPS) ، في إطار حرصه على سرية البيانات الصحية التي يتوفر عليها ، كان في بداية إطلاق بوابته على الأنترنيت يقتصر على مطالبة المستفيد بإدخال رقم انخراطه في التعاضدية لفتح الصفحة الخاصة بجموع استردادات النفقات الصحية. وقد راسلنا في حينه الهيئة الوطنية لحماية البيانات الشخصية (CNDP) مثيرين انتباهها إلى أن الاكتفاء برقم الانخراط لولوج نظام المعلومات الخاص بالصندوق لا يضمن الحماية الكافية للبيانات الحساسة لأن هذا الرقم تتداوله بكل حرية المختبرات والمصحات ومهني الصحة التي يلجأ إليها المعني بالأمر, ورغم سكوت وتغاضي الهيأة المعنية عن هذا الأمر الخطير ، بادر الصندوق إلى اعتماد تقنية ألقن السري الذي يختاره المستفيد بنفسه بدل رقم الانخراط كمفتاح لولوج قاعدة البيانات لتتبيت الصفحة التي تخصه. وإننا إذ نحيي الصندوق لاعتماده هذا التطبيق ألمعلوماتي حرصا منه على سرية البيانات التي يتوفر عليها ، وهو الحرص الذي حدا بمنظمة "تراسنسبرانسي المغرب" إلى منحه جائزة صاحب أحسن بوابة عمومية على الأنترنت. إلا أننا نفاجأ مؤخرا أنه ، حسب المعطيات التي نشرتها الصحف، تم المس بالحماية اللازمة لهذه البيانات من طرف التعاضدية العامة MGPAPوذلك بمنحها مفاتيح الولوج إلى قواعد البيانات إلى أعوان عرضيين في خدمة شركة للمناولة، وهو الأمر الذي دفع بالصندوق إلى منع التعاضدية المذكورة من ولوج المنظومة الإعلامية لتفريغ البيانات الخاصة بمنخرطيها ، مما نتج عنه توقيف خدمات التغطية الصحية و تنظيم عدة وقفات احتجاجية و مسيرات حاشدة .
عرض موجز لجوانب هذا النزاع بين التعاضدية العامة لصندوق CNOPS:
بموجب اتفاق مبرم بين الصندوق (CNOPS) ومجموعة التعاضديات القطاعية ، فوضت هذه الأخيرة للصندوق الاستغلال المعلوماتي لملفات المرضى الخاصة (اتفاقية ESQUIF) ، على أن يمنحها الصندوق مفاتيح الولوج للنظام ألمعلوماتي المستغل من طرفه قصد تحميل البيانات الخاصة باسترداد المصارف الصحية. وبتعليمات من الهيئة المكلفة بسلامة النظم المعلوماتية التابعة لإدارة الدفاع الوطني (Direction Générale de la Sécurité des Systèmes d'Information) ، حسب مدير الصندوق، عمد هذا الأخير إلى افتحاص منظومته المعلوماتية للتأكد من سلامتها ، افتحاص تبين على إثره أن التعاضدية العامة خرقت مقتضيات اتفاق ESQUIF بمنحها مفاتيح السرية للولوج لعمال عرضيين تابعين لشركة للمناولة، وهو الأمر الذي دفع بالصندوق إلى منع الولوج لهذه التعاضدية و بالتالي حرمان منخرطيها من الاستفادة من خدمات التغطية الصحية. و ولدعم موقفه لجأ الصندوق إلى الهيئة الوطنية لحماية معالجة البيانات الشخصية (CNDP) للتأكد منتبوث مخالفة المس بسلامة وسرية البيانات واتخاذ الإجراءات اللازمة ضد التعاضدية العامة، طبقا للقانون. إلا أن الهيأة اكتفت بمجرد رسالة جوابية إلى مدير الصندوق تخبره أن قرار توقيف الولوج سليم اعتمادا على أنه المكلف بالتدبير المالي لصندوق التأمين الإجباري عن المرض (AMO) ، دون أن تتخذ أي إجراء ضد التعاضدية العامة .
الجوانب القانونية لهذا الملف:
بمقتضى الظهير الجاري به العمل المنظم لتعاضديات التغطية الصحية ، تعد هذه الأخيرة هيئات خاضعة لقانون الجمعيات، ويعد بالتالي رؤساؤها المنتخبون من طرف المنخرطين "مكلفون بالمعالجة"(Responsables de traitement) طبقا لمقتضيات القانون 09-08 المتعلق بحماية المعطيات الشخصية (الفقرة 6 الفصل 1) .و حسب نفس القانون (الفقرة 6 من الفصل الأول) تعتبر البيانات الشخصية الصحية بيانات حساسة (الفقرة 3 من الفصل 1) ، تخضع بالتالي معالجتها لترخيص خاص من طرف الهيئة CNDP. ويحدد الفصل 3 من نفس القانون التزامات السرية والسلامة التي يتعين على مسؤولي المعالجة (رؤساء التعاضديات في هذه الحالة) مراعاتها. أما في حالة لجوء هؤلاء إلى متعهد آخر لمعالجة تلك البيانات (un sous - traitant) يتعين عليهم التأكد من كون هذا الأخير (CNOPS في هذه الحالة) يوفر الضمانات التقنية الكافية لسلامة وسرية معالجة تلك البيانات.
على ضوء المعطيات القانونية السالفة الذكر، يبقى رؤساء التعاضديات، بصفتهم مسؤولي المعالجة، مسؤولين مباشرة ، جناءيا ومدنيا، عن كل إخلال بقواعد السلامة اللازمة لمعالجة البيانات الصحية التي يستقونها من ملفات منخرطيهم. إلا أن غالبية هذه التعاضديات لا تتوفر على الكفاءات البشرية والتقنية اللازمة لتحديد قواعد السلامة ولا الإشراف على احترامها من طرف المتعهد له بالمعالجة( le sous-traitant) .
أمام هذا النقص في الإمكانيات ، أوكلت التعاضديات سنة 2006أمر معالجة البيانات إلى الصندوق بموجب اتفاقية ESQUIF تحدد شروط الاستغلال الآمن والسري لتلك المعطيات بما فيها مراقبة ولوج التعاضديات عن طريق منحها أقنان معلوماتية (Code d'accès) من طرف الصندوق بصفته متعهد له بالمعالجة(un sous-traitant) ، وذلك قصد تحميل البيانات، و أقنان أخرى يخلقها المنخرطون عند رغبتهم الإطلاع عن طريق الأنترنت على مراحل معالجة ملفاتهم.
وعند تسليم هذه المفاتيح من طرف التعاضدية العامة إلى أعوان عرضيين غير مرخص لهم من طرف هذا الأخير، يبقى الصندوق محقا في تعطيل مفاتيح الولوج للغير بصفته موكول له بالمعالجة لفائدة الغير (sous – traitement) وليس بصفته مكلف بالتدبير المالي للتأمين الإجباري (A.M.O) كما جاء في رسالة رئيس الهيئة (CNDP) التي كان عليها ، ضمانا لاستمرارية تقديم خدمات التغطية الصحية، بذل إصدار مجرد فتوى، ( كان عليها) توجيه إنذار ، وإذا اقتضى الحال تحريك المتابعة ضد مدير التعاضدية العامة بصفته المسؤول المباشر عن المعالجة(Responsable de traitement وذلك لعدم احترامه قواعد السلامة والسرية اللازمة في تدبير معالجة البيانات الحساسة للمنخرطين والحرص على سرية مفاتيح الولوج كما تعهد بذلك بموجب اتفاقية « اسكيف« (Accord Esquif) عند توكيله أمر المعالجة للصندوق بصفته مكلف بالمعالجة (Sous- traitant).
*خبير دولي في قانون الإعلام والاتصال
عضو الفريق الدولي للتحكيم في منازعات أسماء مواقع الإنترنت