حماية بيانات المرضى في العيادة وقانون 151 لسنة 2020
باختصار: يعدّ قانون حماية البيانات الشخصية رقم 151 لسنة 2020 البيانات الصحية بيانات حساسة، فتحتاج العيادة، وهي المتحكم في بيانات مرضاها، إلى موافقة كتابية صريحة من المريض وإلى ترخيص أو تصريح من مركز حماية البيانات الشخصية، وإلى إبلاغ المركز عن أي خرق خلال 72 ساعة. وسينورا، بحسب اتفاقيتها المنشورة، هي المعالج والعيادة هي المتحكم.
إعداد: فريق سينورا، اعتماداً على منشورات مركز حماية البيانات الشخصية ونص القانون المذكورين في نهاية الدليل. آخر تحديث: 30 سبتمبر 2026.
هذا الدليل يلخص ما يخص عيادة الأسنان من القانون 151 لسنة 2020 ولائحته التنفيذية الصادرة بقرار الوزير رقم 816 لسنة 2025 كما يعرضهما المركز. لسنا جهة قانونية، وقد قرأنا مواد القانون في نسخة غير رسمية لأن النسخة الرسمية على موقع الوزارة ملف ممسوح ضوئياً تعذّر نسخ نصه. فراجع محامياً متخصصاً قبل الاعتماد على أي بند.
ما الذي يعنيه القانون 151 لسنة 2020 لعيادة الأسنان؟
يحمي القانون البيانات الشخصية سواء كانت حساسة أم لا. وبحسب المركز تشمل البيانات الحساسة البيانات الصحية (النفسية والعقلية والبدنية والجينية) والقياسات الحيوية والبيانات المالية وبيانات الأطفال. وملف مريض الأسنان يحمل عادةً بيانات صحية، فتقع عليه أشد القواعد.
ونشر المركز أن اللائحة التنفيذية (القرار الوزاري 816 لسنة 2025) نُشرت في الجريدة الرسمية في 1 نوفمبر 2025، ويبدأ العمل بها من اليوم التالي لنشرها، وأن سنة توفيق الأوضاع تبدأ من تاريخ بدء العمل باللائحة. ولا نحدد هنا يوم انتهاء المهلة، فبعض المصادر تحتسبها من تواريخ مختلفة، فاسأل محامياً عن التاريخ الدقيق.
من المتحكم ومن المعالج؟
يعرّف المركز المتحكم بأنه من يملك سلطة تحديد أغراض معالجة البيانات ووسائلها، والمعالج بأنه من يعالج البيانات نيابةً عن المتحكم ووفق تعليماته دون أن يحدد الأغراض أو الوسائل الأساسية.
- العيادة هي المتحكم في بيانات مرضاها: هي التي تقرر ما يُسجَّل ولماذا.
- سينورا هي المعالج، بحسب شروط الاستخدام واتفاقية معالجة البيانات (DPA) المنشورة على موقعنا: تعالج بيانات المرضى نيابةً عن العيادة وبناءً على تعليماتها فقط ولغرض تقديم الخدمة. راجع اتفاقية معالجة البيانات كاملة.
- بالنسبة لبيانات حساب العيادة وفواتير الاشتراك، تصف سياسة الخصوصية سينورا بأنها المتحكم فيها.
هل أحتاج موافقة المريض على تسجيل بياناته؟
المادة 2 من القانون لا تجيز جمع البيانات الشخصية أو معالجتها إلا بموافقة صريحة من الشخص المعني أو في الأحوال التي يجيزها القانون. وتنص المادة 12 على أن معالجة البيانات الحساسة تتطلب، فيما عدا الأحوال المصرح بها قانوناً، موافقة كتابية وصريحة من الشخص المعني، وموافقة ولي الأمر إذا كانت البيانات لطفل.
وتنص شروط استخدام سينورا على أن العيادة هي المسؤولة عن إعلام المريض والحصول على موافقته (أو موافقة وليّه) على تسجيل بياناته وحفظها إلكترونياً وسحابياً عبر مزوّد تقني، وعن الاحتفاظ بما يثبت ذلك. وهذه الموافقة على معالجة البيانات غير نماذج الموافقة المستنيرة على الإجراءات الطبية، وهي موضوع مختلف تنظمه جهات أخرى.
كم مدة الاحتفاظ ببيانات المرضى؟
تشترط المادة 3 لجمع البيانات ومعالجتها والاحتفاظ بها ألا يُحتفظ بها لمدة أطول من اللازمة لتحقيق الغرض المحدد. ولم نجد في المصادر التي اطّلعنا عليها مدة عامة محددة لسجلات المرضى في عيادات الأسنان، فلا نذكر رقماً. وتقول شروط سينورا إن العيادة تظل مسؤولة عن مدد الاحتفاظ بالسجلات الطبية التي يوجبها القانون حتى بعد تركها البرنامج، ولذلك تنصح بتصدير البيانات قبل إغلاق الحساب. وتذكر صفحة الأمان أن مالك العيادة في الخطتين الأساسية والاحترافية يستطيع تنزيل تصدير كامل من الإعدادات ← تصدير البيانات، وأن الخطة المجانية تتيح الطلب كتابةً.
ماذا أفعل إذا حدث خرق للبيانات؟
بحسب المركز، يلتزم المتحكم والمعالج بإخطار المركز خلال 72 ساعة من العلم بالخرق (فوراً إذا تعلق باعتبارات الأمن القومي). ويجب إخطار الشخص المعني خلال ثلاثة أيام عمل من تاريخ الإخطار الموجه إلى المركز. ويوفّر المركز على موقعه نماذج لإخطار المركز وإخطار الشخص المعني.
وتنص اتفاقية معالجة البيانات في سينورا على أن سينورا تُخطر العيادة بأي خرق يمس بياناتها في موعد أقصاه 24 ساعة من علمها به، وتتعاون لتتمكن العيادة من إخطار المركز خلال 72 ساعة. لكن الالتزام بإخطار المركز والمرضى يظل التزام العيادة بوصفها متحكماً.
هل يجوز حفظ بيانات المرضى أو نقلها خارج مصر؟
يحظر القانون ولائحته، بحسب المركز، نقل البيانات الشخصية خارج مصر إلا بترخيص أو تصريح مسبق من المركز، أو في حالات استثنائية تنص عليها المادة 15. وتشمل أنواع التراخيص التي يمنحها المركز ترخيصاً لنقل البيانات عبر الحدود يشمل صراحةً التعامل مع مزودي الحوسبة السحابية الذين تُخزَّن البيانات لديهم على خوادم خارج الحدود.
وهنا ما نعرفه عن سينورا: لم تحدد سياسة الخصوصية بعد مكان السيرفرات، بل تقول إنه سيُذكر قبل اعتمادها، وتنص اتفاقية معالجة البيانات على أن سينورا لن تخزّن بيانات العيادة أو تنقلها خارج مصر إلا وفق المواد 14 إلى 16 من القانون. فإن كان مكان التخزين يهمك في قرارك، اسألنا قبل أن تبدأ.
ما التراخيص والتصاريح التي يمنحها المركز؟
بحسب المركز، مدة الترخيص ثلاث سنوات وقابلة للتجديد، ومدة التصريح سنة واحدة وقابلة للتجديد. وتشمل الأنواع: متحكم، ومعالج، ومتحكم-معالج، وتسويق إلكتروني، ونقل بيانات عبر الحدود، ووسائل المراقبة البصرية. وبحسب دليل المركز، يمكن للأشخاص الطبيعيين التقدم بتصاريح فقط، بينما يتقدم الأشخاص الاعتباريون بتراخيص أو تصاريح.
ويذكر المركز أن مسؤول حماية البيانات شخص طبيعي يعيّنه الممثل القانوني للشخص الاعتباري ويُقيَّد في سجل مسؤولي حماية البيانات لدى المركز. ولا نستطيع الجزم بانطباق ذلك على عيادة يديرها طبيب فرد، ولا بالفئة المناسبة لعيادتك، فاسأل محامياً أو المركز.
ما الضوابط الموجودة في سينورا لحماية بيانات المرضى؟
نذكر هنا ما تقوله صفحة الأمان في موقعنا، بلا زيادة:
- الصلاحيات: لكل موظف ما يسمح به دوره، وموظف الاستقبال في الدور الجاهز لا يرى التاريخ الطبي ولا المخطط السني ولا الصور. راجع الموظفين والصلاحيات.
- سجل الفتح: كل فتح للمخطط السني أو التاريخ الطبي أو صور المريض يُسجَّل بمن فتحه ووقته، والسجل لا يعدّله ولا يمسحه حساب قاعدة البيانات الذي يعمل به البرنامج.
- الحسابات: تحقق بخطوتين اختياري لكل مستخدم، وقفل الحساب بعد محاولات دخول خاطئة، والاتصال عبر HTTPS فقط.
- عزل العيادات: بيانات كل عيادة معزولة عن غيرها في قاعدة البيانات.
- روابط المشاركة مع المريض: لها تاريخ انتهاء، وتحميها عند الرغبة برمز PIN، ويمكن إلغاؤها.
وتقول الصفحة نفسها إن هذا وصف لطريقة التصميم وليس شهادة امتثال، وتذكر ما لم يُنجز بعد: اختبار اختراق مستقل لم يُجرَ، والتحقق بخطوتين الإجباري غير متاح (هو اختياري لكل مستخدم)، وتفاصيل الاستضافة، ومنها مكان السيرفرات وسياسة النسخ الاحتياطي وتشفير القرص، لم تُؤكد بعد.
كيف أبدأ عملياً؟
- حدّد من يصل إلى ملفات المرضى في عيادتك، وأعطِ كل موظف أقل صلاحية تكفيه.
- اجعل موافقة المريض على تسجيل بياناته جزءاً من إجراءات الاستقبال، واحتفظ بما يثبتها.
- ضع خطة مكتوبة لما تفعله عند الاشتباه في خرق، تتضمن مهلة 72 ساعة.
- اسأل محامياً عن الترخيص أو التصريح المناسب لعيادتك.
وتستطيع تجربة سينورا مجاناً: الخطة المجانية تستوعب حتى 50 مريضاً وحساباً واحداً، ويعمل البرنامج من المتصفح دون تحميل، ويمكن استيراد قائمة المرضى من ملف Excel أو CSV (المرضى فقط). راجع البرنامج المجاني لعيادات الأسنان ودليل البدء وملفات المرضى.
تنبيه: هذا المحتوى للتوعية والإرشاد العام فقط، ولا يُعد استشارة قانونية أو ضريبية أو طبية. راجع نقابة أطباء الأسنان ووزارة الصحة ومحاسبك القانوني.
المصادر
- مركز حماية البيانات الشخصية (PDPC)، الأسئلة الشائعة: الخرق ونقل البيانات ومسؤول حماية البيانات والتراخيص وبدء العمل باللائحة (اطّلعنا عليها في 30 سبتمبر 2026)
- مركز حماية البيانات الشخصية (PDPC)، الموقع الرسمي وصفحة الخدمات وأنواع التراخيص والتصاريح (اطّلعنا عليه في 30 سبتمبر 2026)
- مركز حماية البيانات الشخصية، دليل التراخيص والتصاريح (ملف PDF بالإنجليزية، اطّلعنا عليه في 30 سبتمبر 2026)
- وزارة الاتصالات وتكنولوجيا المعلومات، القانون رقم 151 لسنة 2020 (ملف PDF ممسوح ضوئياً، تأكدنا من إتاحته في 30 سبتمبر 2026)
- نص القانون 151 لسنة 2020 كما ينشره موقع LawHub، نسخة غير رسمية (قرأنا المواد 2 و3 و12 في 30 سبتمبر 2026)
