डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम 2023 — भारत में अस्पतालों और डॉक्टरों के लिए इसका क्या अर्थ है?

भारत का डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (डीपीपीडीपीए) को 11 अगस्त 2023 को राष्ट्रपति की मंजूरी मिल गई और उसी दिन इसे आधिकारिक राजपत्र में प्रकाशित किया गया। इस लेख को लिखे जाने तक, अधिकांश प्रावधान अभी तक लागू नहीं हुए हैं - औपचारिक रूप से दायित्व लागू होने से पहले केंद्र सरकार को प्रारंभ तिथि अधिसूचित करनी होगी और नियम जारी करने होंगे। लेकिन स्वास्थ्य सेवा क्षेत्र इंतजार नहीं कर सकता। प्रत्येक अस्पताल, क्लिनिक, निदान केंद्र और डॉक्टर जो डिजिटल रूप में रोगी की जानकारी एकत्र करता है, संग्रहीत करता है या संसाधित करता है, वह इस कानून के दायरे में आएगा, और अनुपालन के लिए समय बहुत कम है।

यह लेख बताता है कि भारत में स्वास्थ्य सेवा प्रदाताओं के लिए डीपीडीपी अधिनियम का क्या अर्थ है: कौन इसके अंतर्गत आता है, क्या दायित्व हैं, मरीज अब क्या मांग कर सकते हैं, और अस्पताल द्वारा गलती किए जाने पर क्या होता है।

"मरीजों का डेटा सबसे संवेदनशील व्यक्तिगत डेटा में से एक है। डीपीडीपी अधिनियम भारतीय स्वास्थ्य सेवा को आधुनिक डेटा-सुरक्षा युग में लाता है - लेकिन जो अस्पताल इसे केवल एक औपचारिकता मानकर चलते हैं, वे नियमों के अधिसूचित होने और प्रवर्तन शुरू होने पर अप्रत्याशित चुनौतियों का सामना करेंगे।"
- डॉ. नमित गुप्ता, वरिष्ठ मेडिको-लीगल विशेषज्ञ, मेडिको लीगल सर्विसेज, नई दिल्ली

डीपीडीपी अधिनियम 2023 का संक्षिप्त विवरण — इसमें नया क्या है?

भारत ने इससे पहले भी डेटा संरक्षण कानून बनाने का प्रयास किया है — 2018 और 2021 में पेश किए गए विधेयकों को वापस ले लिया गया था। 2023 का अधिनियम संसद से पारित होने वाला पहला अधिनियम है। यह काफी हद तक GDPR के ढांचे से प्रेरित है, लेकिन इसे भारत के संदर्भ के अनुरूप बनाया गया है: यह इन पर लागू होता है डिजिटल व्यक्तिगत डेटा केवल (कागजी अभिलेख नहीं), और यह एक घरेलू प्रवर्तन प्राधिकरण बनाता है जिसे कहा जाता है भारत का डेटा संरक्षण बोर्ड.

स्वास्थ्य सेवा से संबंधित प्रमुख विशेषताएं:

• संसाधित किए गए व्यक्तिगत डेटा पर लागू होता है भारत के भीतर डिजिटल रूप में, और भारत के बाहर से एकत्र किए गए डिजिटल डेटा पर भी, यदि इसका उपयोग भारत में व्यक्तियों को वस्तुएं या सेवाएं प्रदान करने के लिए किया जाता है।
• यह "संवेदनशील" व्यक्तिगत डेटा को अन्य व्यक्तिगत डेटा से एक अलग श्रेणी के रूप में अलग नहीं करता है (जीडीपीआर के अनुच्छेद 9 या भारत के पूर्ववर्ती सूचना प्रौद्योगिकी (उचित सुरक्षा प्रथाएं और प्रक्रियाएं और संवेदनशील व्यक्तिगत डेटा या सूचना) नियम, 2011 के विपरीत)।
• यह सीमित वैध उपयोग अपवादों के साथ, प्रसंस्करण के लिए सहमति को प्राथमिक कानूनी आधार के रूप में स्थापित करता है।
• डेटा प्रिंसिपल्स (मरीजों) के लिए लागू करने योग्य अधिकार बनाता है
• डेटा संरक्षण बोर्ड के समक्ष न्यायिक प्रक्रिया के माध्यम से वित्तीय दंड का प्रावधान करता है।

प्रमुख परिभाषाएँ: स्वास्थ्य सेवा के संदर्भ में कौन क्या है?

डेटा प्रिंसिपल — रोगी

वह व्यक्ति जिससे व्यक्तिगत डेटा संबंधित है। स्वास्थ्य सेवा में, यह आमतौर पर वह व्यक्ति होता है जिससे व्यक्तिगत डेटा संबंधित होता है। मरीज़. यदि रोगी नाबालिग (18 वर्ष से कम आयु का) है या कोई विकलांग व्यक्ति है जिसे अभिभावक की आवश्यकता है, तो अभिभावक की सहमति आवश्यक है। अधिनियम के अनुसार, डेटा फिड्यूशरीज़ को बच्चों के डेटा को इस तरह से संसाधित नहीं करना चाहिए जो बच्चे के स्वास्थ्य के लिए हानिकारक हो - यह प्रावधान विशेष रूप से बाल चिकित्सा अस्पतालों पर लागू होता है।

डेटा फिड्यूशरी — अस्पताल या डॉक्टर

कोई भी व्यक्ति (व्यक्तिगत या संस्था) जो अकेले या दूसरों के साथ मिलकर व्यक्तिगत डेटा के प्रसंस्करण के उद्देश्य और साधनों का निर्धारण करता है। स्वास्थ्य सेवा में, अस्पताल, नर्सिंग होम, क्लीनिक और व्यक्तिगत डॉक्टर जो लोग मरीजों के रिकॉर्ड एकत्र और प्रबंधित करते हैं, वे डेटा फिड्यूशरी कहलाते हैं। अधिनियम के तहत प्राथमिक कानूनी दायित्व उन्हीं पर होता है।

डेटा प्रोसेसर — ईएमआर विक्रेता और क्लाउड प्रदाता

कोई भी व्यक्ति जो डेटा फिड्यूशरी की ओर से व्यक्तिगत डेटा संसाधित करता है। यदि आपका अस्पताल क्लाउड-आधारित इलेक्ट्रॉनिक मेडिकल रिकॉर्ड्स (ईएमआर) प्लेटफॉर्म का उपयोग करता है या किसी तृतीय-पक्ष सर्वर पर रोगी डेटा संग्रहीत करता है, तो वह विक्रेता आपका डेटा प्रोसेसर है। अस्पताल (डेटा फिड्यूशरी) यह सुनिश्चित करने के लिए जिम्मेदार रहता है कि प्रोसेसर अधिनियम का पालन करे - इसे एक समझौते के माध्यम से संबोधित किया जाना चाहिए। डेटा प्रोसेसिंग समझौता.

महत्वपूर्ण डेटा न्यासी

केंद्र सरकार, संसाधित किए जाने वाले डेटा की मात्रा और संवेदनशीलता, डेटा के मुख्य उपयोगकर्ताओं के अधिकारों के लिए संभावित जोखिम, राष्ट्रीय सुरक्षा संबंधी चिंताओं या सार्वजनिक व्यवस्था पर पड़ने वाले प्रभावों के आधार पर कुछ डेटा न्यासियों को महत्वपूर्ण डेटा न्यासी के रूप में नामित कर सकती है। स्वास्थ्य सेवा क्षेत्र में बड़े बहु-विशेषज्ञ अस्पताल, अस्पताल श्रृंखलाएं और स्वास्थ्य-तकनीक प्लेटफॉर्म इसके लिए सबसे उपयुक्त उम्मीदवार हैं। महत्वपूर्ण डेटा न्यासियों पर अतिरिक्त दायित्व होते हैं, जिनमें भारत में निवासी डेटा संरक्षण अधिकारी (डीपीओ) की अनिवार्य नियुक्ति और अनिवार्य डेटा संरक्षण प्रभाव आकलन शामिल हैं।

स्वास्थ्य सेवा के संदर्भ में "व्यक्तिगत डेटा" क्या है?

इस अधिनियम में व्यक्तिगत डेटा को "किसी व्यक्ति के बारे में कोई भी डेटा, जिसकी पहचान ऐसे डेटा के माध्यम से या उसके संबंध में की जा सकती है" के रूप में परिभाषित किया गया है। स्वास्थ्य सेवा में, यह परिभाषा अत्यंत व्यापक है:

• किसी मरीज का नाम और यूएचआईडी (अस्पताल की विशिष्ट आईडी) मिलकर व्यक्तिगत डेटा बनाते हैं।
• किसी पहचान योग्य रोगी से संबंधित निदान, नुस्खा, प्रयोगशाला परिणाम, इमेजिंग रिपोर्ट या डिस्चार्ज सारांश व्यक्तिगत डेटा है।
• किसी पहचाने गए रोगी से जुड़ा आईपी पता या डिवाइस आईडी व्यक्तिगत डेटा है।
• किसी क्लिनिकल रिकॉर्ड से ली गई तस्वीर व्यक्तिगत डेटा है।

पहचान रहित डेटा को इसमें शामिल नहीं किया गया है। यदि डेटा को इस प्रकार से पूरी तरह से गुमनाम कर दिया जाता है कि उससे किसी व्यक्ति की पहचान न हो सके (प्रत्यक्ष रूप से या अन्य डेटा के साथ मिलाकर), तो वह अधिनियम के दायरे से बाहर हो जाता है। अनुसंधान या विश्लेषण के लिए रोगी डेटा का उपयोग करने वाले अस्पतालों को इस छूट का दावा करने के लिए इसे वास्तव में गुमनाम करना होगा; केवल छद्मनामीकरण (कोडित पहचानकर्ताओं का उपयोग करके) आमतौर पर पर्याप्त नहीं होता है।

डेटा ट्रस्टी के रूप में अस्पतालों पर दायित्व

1. उद्देश्य सीमा

कोई अस्पताल किसी मरीज के व्यक्तिगत डेटा को केवल उसी विशिष्ट उद्देश्य के लिए संसाधित कर सकता है जिसके लिए सहमति प्राप्त की गई थी, या किसी अनुमत वैध उपयोग के लिए। अपॉइंटमेंट रिमाइंडर के लिए मरीज का संपर्क नंबर एकत्र करने वाला अस्पताल, नई और विशिष्ट सहमति के बिना प्रचार संदेश भेजने के लिए इसका उपयोग नहीं कर सकता। यह आज अस्पतालों के कामकाज में एक आम कमी है।

2. डेटा न्यूनीकरण

केवल निर्धारित उद्देश्य के लिए आवश्यक जानकारी ही एकत्र करें। किसी मरीज से बाह्य रोगी परामर्श के लिए पंजीकरण कराने हेतु आधार नंबर, वैवाहिक स्थिति या आय विवरण जमा करने की मांग करना - जबकि चिकित्सकीय रूप से इनकी आवश्यकता नहीं है - इस सिद्धांत के विपरीत हो सकता है।

3. सटीकता

डेटा ट्रस्टीज़ को यह सुनिश्चित करने के लिए उचित प्रयास करने चाहिए कि व्यक्तिगत डेटा सटीक और अद्यतन हो। रोगी के रिकॉर्ड में गलत प्रविष्टियाँ — जैसे गलत दवा एलर्जी, गलत जन्मतिथि, गलत निदान कोड — केवल नैदानिक जोखिम ही नहीं हैं; बल्कि अब ये संभावित अनुपालन संबंधी समस्याएं भी हैं।

4. भंडारण सीमा

व्यक्तिगत डेटा को उस उद्देश्य के लिए आवश्यक अवधि से अधिक समय तक नहीं रखा जाना चाहिए जिसके लिए इसे एकत्र किया गया था, जब तक कि कानून द्वारा इसे रखना अनिवार्य न हो। अस्पतालों को अपने डेटा श्रेणियों को लागू प्रतिधारण नियमों (नीचे देखें) के अनुसार वर्गीकृत करना होगा और उस डेटा को हटाना या अनाम करना होगा जिसे अब रखने की आवश्यकता नहीं है।

5. सुरक्षा उपाय

डेटा ट्रस्टियों को व्यक्तिगत डेटा के उल्लंघन को रोकने के लिए उचित तकनीकी और संगठनात्मक उपाय लागू करने होंगे। अस्पताल के संदर्भ में इसका अर्थ है: इलेक्ट्रॉनिक रिकॉर्ड (ईएचआर) का एन्क्रिप्टेड भंडारण और प्रसारण, भूमिका-आधारित पहुंच नियंत्रण (सभी कर्मचारियों को सभी रिकॉर्ड देखने की अनुमति नहीं होनी चाहिए), ऑडिट ट्रेल, एंडपॉइंट सुरक्षा और आवधिक सुरक्षा मूल्यांकन। स्वास्थ्य सेवा के लिए न्यूनतम सुरक्षा मानक अभी तक नियम द्वारा परिभाषित नहीं किया गया है, लेकिन यह "उचित" होना चाहिए - जिसकी तुलना न्यायालय और बोर्ड क्षेत्र के मानदंडों से करेंगे।

6. जवाबदेही और उल्लंघन की सूचना

जब व्यक्तिगत डेटा का उल्लंघन होता है — जैसे कि किसी हैकर द्वारा ईएमआर तक पहुंच बनाना, किसी कर्मचारी द्वारा किसी तीसरे पक्ष को गलत मरीज का रिकॉर्ड ईमेल करना, या किसी सर्वर का एन्क्रिप्टेड न होना — तो डेटा फिड्यूशरी को डेटा प्रोटेक्शन बोर्ड और प्रत्येक प्रभावित डेटा प्रिंसिपल को सूचित करना होगा। सूचना तुरंत दी जानी चाहिए, हालांकि नियमों में सटीक समयसीमा निर्दिष्ट की जाएगी। सूचना न देने पर अधिकतम जुर्माना लगाया जा सकता है: अधिकतम ₹250 करोड़.

डीपीडीपी अधिनियम के तहत सहमति: अस्पतालों को क्या बदलाव करने होंगे

सहमति आवश्यक है स्वतंत्र, विशिष्ट, सूचित, बिना शर्त और स्पष्ट. अस्पताल को डेटा एकत्र करने से पहले या उस समय एक सूचना प्रदान करनी होगी जिसमें निम्नलिखित बातें बताई गई हों:

• कौन सा व्यक्तिगत डेटा एकत्र किया जा रहा है?
• प्रसंस्करण का उद्देश्य
• डेटा प्रिंसिपल के अधिकार और उनका प्रयोग कैसे करें
• डेटा संरक्षण बोर्ड के समक्ष शिकायत दर्ज करने का तरीका

सूचना स्पष्ट और सरल भाषा में होनी चाहिए। यदि किसी मरीज की अंग्रेजी साक्षरता सीमित है, तो सूचना उसकी पसंदीदा भाषा में उपलब्ध कराई जानी चाहिए (सरकार भाषाएँ निर्दिष्ट कर सकती है)। सहमति किसी भी नियम और शर्तों के समझौते से अलग होनी चाहिए - पंजीकरण दस्तावेजों में छिपी सहमति की शर्तें अधिनियम के अनुसार मान्य नहीं होंगी।

सहमति किसी भी समय वापस ली जा सकती है, और इसे वापस लेना उतना ही आसान होना चाहिए जितना कि इसे देना। सहमति वापस लेने वाले मरीज़ के लिए अस्पताल को कानून द्वारा आवश्यक रिकॉर्ड हटाना अनिवार्य नहीं है, लेकिन अस्पताल को कानूनी रूप से अनिवार्य अवधि से आगे की प्रक्रिया रोकनी होगी।

संवेदनशील स्वास्थ्य डेटा: डीपीडीपी और जीडीपीआर में क्या अंतर है?

डीपीडीपी अधिनियम और जीडीपीआर के बीच एक महत्वपूर्ण संरचनात्मक अंतर यह है कि भारतीय कानून संवेदनशील व्यक्तिगत डेटा (स्वास्थ्य, आनुवंशिक, बायोमेट्रिक, धार्मिक, राजनीतिक डेटा) के लिए कोई अलग "विशेष श्रेणी" नहीं बनाता है। जीडीपीआर के अनुच्छेद 9 के तहत, स्वास्थ्य डेटा के लिए उच्च मानदंड लागू होते हैं - स्पष्ट सहमति और विशिष्ट कानूनी आधार। डीपीडीपी अधिनियम के तहत, स्वास्थ्य डेटा व्यक्तिगत डेटा है और उसी नियमों के अधीन है। इसके लिए कोई वैधानिक उच्च मानक नहीं है - हालांकि यह बहुत संभव है कि नियम और महत्वपूर्ण डेटा फिड्यूशरी पदनाम प्रक्रिया स्वास्थ्य सेवा के लिए क्षेत्र-विशिष्ट दायित्व बनाएगी।

सूचना प्रौद्योगिकी (उचित सुरक्षा अभ्यास) नियम 2011 में स्वास्थ्य संबंधी जानकारी को "संवेदनशील व्यक्तिगत डेटा" के रूप में सूचीबद्ध किया गया है, जिसके लिए उच्च स्तरीय सुरक्षा उपायों की आवश्यकता है। सरकार द्वारा अन्यथा निर्दिष्ट किए जाने तक ये नियम निगमित निकायों पर लागू होते रहेंगे, जिससे अंतरिम अवधि में अस्पतालों के लिए अनुपालन का दायित्व बढ़ जाता है।

सीमा पार डेटा स्थानांतरण प्रतिबंध

डीपीडीपी अधिनियम केंद्र सरकार को भारत के बाहर के देशों या क्षेत्रों में व्यक्तिगत डेटा के हस्तांतरण को प्रतिबंधित करने की अनुमति देता है। श्वेतसूची दृष्टिकोण अपेक्षित है कि: अधिसूचित देशों में डेटा स्थानांतरण की अनुमति होगी; गैर-अधिसूचित देशों में स्थानांतरण के लिए विशिष्ट औचित्य या अनुमोदन की आवश्यकता होगी। क्लाउड ईएमआर सिस्टम का उपयोग करने वाले अस्पतालों के लिए, जहां डेटा भारत के बाहर स्थित सर्वरों पर संग्रहीत हो सकता है, यह महत्वपूर्ण है - अंतर्राष्ट्रीय क्लाउड विक्रेताओं के साथ अनुबंधों में डेटा निवास संबंधी प्रावधानों की समीक्षा की जानी चाहिए। भारतीय स्वास्थ्य क्षेत्र को अंततः रोगी डेटा को भारत में स्थित सर्वरों पर संग्रहीत करने की आवश्यकता हो सकती है।

डेटा प्रतिधारण और मौजूदा चिकित्सा अभिलेखों के साथ इसका परस्पर संबंध संबंधी नियम

डीपीडीपी अधिनियम भंडारण सीमा का सिद्धांत प्रस्तुत करता है, लेकिन यह भी मानता है कि कानूनी प्रतिधारण दायित्व उस सिद्धांत से ऊपर हैं। चिकित्सा अभिलेखों के प्रतिधारण संबंधी भारत के मौजूदा नियमों में निम्नलिखित शामिल हैं:

• नैदानिक प्रतिष्ठान (केंद्रीय सरकार) नियम, 2012: उपचार की तारीख से कम से कम 3 वर्षों तक चिकित्सा रिकॉर्ड सुरक्षित रखें।
• महाराष्ट्र चिकित्सा परिषद: रोगी अभिलेखों के लिए 7 वर्ष
• कर्नाटक: न्यूनतम 5 वर्ष
• उपभोक्ता संरक्षण अधिनियम, 2019: शिकायतों के लिए समय सीमा कार्रवाई के कारण से 2 वर्ष है, इसलिए संभावित विवाद से संबंधित रिकॉर्ड उपचार की तारीख के बाद कम से कम इस अवधि तक सुरक्षित रखे जाने चाहिए।
• नाबालिग मरीज: रोगी की आयु 18 वर्ष और 3 वर्ष होने तक (या नाबालिग के बालिग होने पर उसके द्वारा संभावित दावे के लिए स्थानीय समयसीमा समाप्त होने तक) रिकॉर्ड को सुरक्षित रखा जाना चाहिए।
• आईसीयू और सर्जिकल रिकॉर्ड: कई अस्पताल पॉलिसियों में 10 साल की अवधि निर्धारित होती है; मुकदमेबाजी के जोखिम को देखते हुए, यह विवेकपूर्ण है।

डीपीडीपी अधिनियम इन प्रतिधारण आवश्यकताओं को निरस्त नहीं करता है। यह जो जोड़ता है वह एक दायित्व है हटाएँ या गुमनाम करें वह डेटा जिसे किसी भी लागू कानून या निर्दिष्ट उद्देश्य के तहत अब बनाए रखने की आवश्यकता नहीं है। व्यवहार में, अस्पतालों को अपने डेटा की श्रेणियों का मानचित्रण करना होगा, सबसे लंबी लागू प्रतिधारण अवधि निर्धारित करनी होगी और उस अवधि को पार कर चुके रिकॉर्ड के लिए डेटा हटाने की प्रक्रिया बनानी होगी।

डेटा प्रिंसिपल के रूप में रोगियों के अधिकार

सूचना का अधिकार

मरीज अस्पताल द्वारा उनके बारे में रखे गए व्यक्तिगत डेटा का सारांश और उसके प्रसंस्करण के बारे में जानकारी का अनुरोध कर सकते हैं - जिसमें अन्य डेटा फिड्यूशरी और डेटा प्रोसेसर की पहचान भी शामिल है जिनके साथ इसे साझा किया गया है।

सुधार और मिटाने का अधिकार

रोगी गलत या भ्रामक व्यक्तिगत डेटा में सुधार, अपूर्ण डेटा को पूरा करने और उस डेटा को हटाने का अनुरोध कर सकते हैं जो उस उद्देश्य के लिए आवश्यक नहीं है जिसके लिए इसे एकत्र किया गया था, या जहां रोगी ने सहमति वापस ले ली है और कोई कानूनी प्रतिधारण दायित्व लागू नहीं होता है।

शिकायत निवारण का अधिकार

प्रत्येक डेटा ट्रस्टी के पास एक प्रकाशित शिकायत निवारण तंत्र होना चाहिए। यदि शिकायत का संतोषजनक समाधान नहीं होता है, तो रोगी डेटा संरक्षण बोर्ड से संपर्क कर सकता है।

नामांकन का अधिकार

डेटा प्रिंसिपल किसी अन्य व्यक्ति को मृत्यु या अक्षमता की स्थिति में अपने अधिकारों का प्रयोग करने के लिए नामित कर सकता है - यह नैदानिक संदर्भ में प्रासंगिक है जहां रोगी के निकटतम संबंधी को रोगी के डेटा तक पहुंचने या उस पर कार्रवाई करने की आवश्यकता हो सकती है।

डेटा संरक्षण बोर्ड और दंड

The भारत का डेटा संरक्षण बोर्ड यह न्यायनिर्णय निकाय है। यह डेटा प्रिंसिपलों की शिकायतों की सुनवाई करेगा और वित्तीय दंड लगा सकता है। अधिनियम की अनुसूची I के अंतर्गत प्रमुख दंड इस प्रकार हैं:

• व्यक्तिगत डेटा के उल्लंघन की सूचना देने में विफलता: ₹250 करोड़ तक
• पर्याप्त सुरक्षा उपायों को लागू करने में विफलता: ₹200 करोड़ तक
• बच्चों के डेटा से संबंधित दायित्वों का उल्लंघन: ₹200 करोड़ तक
• महत्वपूर्ण डेटा न्यासियों द्वारा अतिरिक्त दायित्वों का उल्लंघन: ₹150 करोड़ तक
• अधिनियम या नियमों के अन्य उल्लंघन: 50 करोड़ रुपये तक

बोर्ड एक दीवानी, अर्ध-न्यायिक प्रक्रिया के तहत कार्यवाही करता है। जुर्माने आपराधिक नहीं हैं। हालांकि, ये राशियां इतनी बड़ी हैं कि छोटे और मध्यम आकार के अस्पतालों के लिए अस्तित्व का संकट बन सकती हैं। अस्पताल के ईएमआर पर एक भी रैंसमवेयर हमला, जिसकी रिपोर्ट ठीक से न की गई हो या बिल्कुल भी न की गई हो, तो अधिकतम ₹250 करोड़ का जुर्माना लग सकता है।

अस्पतालों के लिए व्यावहारिक अनुपालन चेकलिस्ट

बड़े अस्पताल और अस्पताल श्रृंखलाएँ

• डेटा मैपिंग का अभ्यास करें: आप किस प्रकार का रोगी डेटा एकत्र करते हैं, कहाँ से, किस उद्देश्य से, कहाँ संग्रहीत करते हैं, और किसके साथ साझा करते हैं?
• डीपीडीपी अधिनियम के सहमति मानक को पूरा करने के लिए रोगी सहमति प्रपत्रों और पंजीकरण दस्तावेजों की समीक्षा करें और उन्हें अद्यतन करें।
• रिसेप्शन पर और आपकी अस्पताल की वेबसाइट पर प्रदर्शित करने के लिए एक स्पष्ट, बहुभाषी गोपनीयता सूचना का मसौदा तैयार करें।
• अपने ईएमआर विक्रेता और अन्य सभी डेटा प्रोसेसरों का ऑडिट करें — उनके साथ औपचारिक डेटा प्रोसेसिंग समझौते करें जो उन्हें अधिनियम के अनुपालन के लिए बाध्य करें।
• उल्लंघन का पता लगाने और सूचित करने के प्रोटोकॉल लागू करें (आंतरिक स्तर पर शिकायत दर्ज करना, बोर्ड को सूचित करना, रोगी को सूचित करना)
• महत्वपूर्ण डेटा न्यासी के रूप में संभावित पदनाम के लिए तैयारी करें — एक संभावित डेटा संरक्षण अधिकारी (डीपीओ) उम्मीदवार की पहचान करें और डेटा संरक्षण प्रभाव आकलन करें।
• क्लाउड और सीमा पार डेटा ट्रांसफर व्यवस्थाओं की समीक्षा करें।
• नैदानिक और प्रशासनिक कर्मचारियों को डेटा प्रबंधन संबंधी दायित्वों के बारे में प्रशिक्षित करें।

छोटे क्लीनिक और एकल चिकित्सक

यदि आप किसी भी प्रकार के डिजिटल सिस्टम का उपयोग करते हैं — जैसे अपॉइंटमेंट ऐप, प्रिस्क्रिप्शन साझा करने के लिए मैसेजिंग सेवा, रोगी फॉलो-अप के लिए व्हाट्सएप ग्रुप, या ऑनलाइन बुकिंग सिस्टम — तो आप डेटा फिड्यूशरी हैं। भले ही इसका पैमाना अलग हो, अधिनियम के तहत आपके दायित्व सिद्धांत रूप में समान हैं। कम से कम, छोटे क्लीनिकों को निम्नलिखित करना चाहिए: रोगी डेटा को डिजिटल रूप से एकत्र करने से पहले वैध सहमति प्राप्त करना, पासवर्ड-सुरक्षित उपकरणों और एन्क्रिप्टेड स्टोरेज का उपयोग करना, असुरक्षित चैनलों के माध्यम से रोगी डेटा साझा न करना, और रोगी के एक्सेस अनुरोधों का जवाब देने के लिए एक बुनियादी तंत्र होना।

निष्कर्ष

डीपीडीपी अधिनियम 2023 अभी पूरी तरह से लागू नहीं हुआ है, लेकिन इसकी दिशा स्पष्ट है और स्वास्थ्य सेवा पर इसकी प्रयोज्यता निर्विवाद है। जो अस्पताल और डॉक्टर अभी से कदम उठाएंगे—डेटा प्रवाह का मानचित्रण करेंगे, सहमति प्रक्रियाओं को अद्यतन करेंगे, ईएमआर सुरक्षा को मजबूत करेंगे, विक्रेता अनुबंधों की समीक्षा करेंगे—वे उन लोगों की तुलना में कहीं बेहतर स्थिति में होंगे जो अधिनियम के लागू होने का इंतजार करेंगे। रोगी डेटा गोपनीयता एक कानूनी दायित्व और एक नैदानिक कर्तव्य दोनों है; इस ढांचे के तहत ये दोनों पहले से कहीं अधिक सुसंगत हैं।

यदि आपके अस्पताल या क्लिनिक को डिजिटल स्वास्थ्य रिकॉर्ड के लिए अनुपालन समीक्षा, डेटा उल्लंघन प्रतिक्रिया योजना या रोगी सहमति ढांचा की आवश्यकता है, हमारी चिकित्सा-कानूनी टीम से संपर्क करें विशेषज्ञों के मार्गदर्शन के लिए।