هل إعداد WhatsApp في عيادتك متوافق مع PDPL؟ الموافقة وقواعد TDRA والتسجيل لقطاع الرعاية الصحية في الإمارات
معظم العيادات في دبي ترسل تذكيرات المواعيد ونتائج المختبر عبر تطبيق WhatsApp Business المجاني، دون أن تدرك أن إرسال البيانات الصحية عبر الرسائل يلمس ثلاثة أسلاك قانونية في آنٍ واحد: القانون الاتحادي رقم 2 لسنة 2019، ومعايير الموافقة الصادرة عن DHA، ومتطلبات الموافقة في PDPL المُستحضَرة بالإحالة. الفجوة بين ما تفعله العيادات فعليًا وما يطلبه القانون واسعة. وإليك ما لا يريد أحد سماعه: نموذج موافقة جديد لا يسدّها. أكبر مسؤولية قانونية في معظم العيادات ليست صياغة الموافقة، بل التطبيق الموجود على هاتف موظف الاستقبال. هذا هو ما يجب أن يتغير.
ثلاثة قوانين تتراكم على كل رسالة ترسلها إلى المريض
أرسِل نتيجة مختبر عبر WhatsApp وتنطلق ثلاثة صكوك قانونية في اللحظة نفسها. الأول هو Federal Decree-Law No. 2 of 2019 بشأن تقنية المعلومات والاتصالات في المجالات الصحية. تشترط المادة 20 الاحتفاظ بالمعلومات الصحية لمدة لا تقل عن 25 عامًا من تاريخ آخر إجراء، ومعالجتها وتخزينها داخل دولة الإمارات، دون أي نقل عابر للحدود ما لم تمنح جهة صحية مختصة استثناءً.
الثاني هو Federal Decree-Law No. 45 of 2021، أي PDPL. على الورق يستثني البيانات الصحية الشخصية: تستبعد المادة 2 البيانات الصحية الخاضعة لتشريعها الخاص وتُحيلها إلى الجهات المنظِّمة للقطاع كـ DHA وMOHAP. ولذلك تأتي قواعد الموافقة المعمول بها في العيادة من معايير DHA الخاصة بالموافقة على المعلومات الصحية والتحكم في الوصول، رمزها DHA/HISHD/ST-09، الصادرة في 02 January 2025 والسارية اعتبارًا من 02 April 2025. ويشير ذلك المعيار إلى PDPL بصورة عامة لا إلى مادة بعينها؛ وللتوثيق، فإن الحد الأدنى للموافقة في PDPL نفسه يقع في المادة 6 لا في المادة 8. والإنفاذ يجري عبر DHA لا عبر مكتب البيانات في الإمارات.
أما الطبقة الثالثة فهي سياسة TDRA بشأن الاتصالات الإلكترونية غير المرغوب فيها. وهي تفرض موافقة صريحة مسبقة وآلية إلغاء اشتراك فعّالة في كل رسالة تسويقية، ويعزّزها Cabinet Decision No. 56 of 2024 بشأن الرسائل المُرسَلة عبر تطبيقات التواصل الاجتماعي. اجمع الثلاثة معًا، فتكون العيادة التي ترسل تذكيرًا بموعد عبر تطبيق WhatsApp Business App المجاني، دون موافقة موثّقة ودون سجل لإلغاء الاشتراك، غير ممتثلة بموجبها جميعًا في آنٍ واحد.
قواعد WhatsApp نفسها تحظر معظم ما تريد العيادات إرساله
قبل أن يدخل القانون الإماراتي المشهد أصلًا، تمنع سياسة Meta نفسها ما تظن معظم العيادات أنها تشتريه. تقولها WhatsApp Business Messaging Policy مباشرةً: "لا تستخدم WhatsApp للطب عن بُعد أو لإرسال أو طلب أي معلومات متعلقة بالصحة، إذا كانت اللوائح المعمول بها تحظر توزيع مثل هذه المعلومات على أنظمة لا تستوفي المتطلبات المشددة للتعامل مع المعلومات المتعلقة بالصحة." والبيانات الصحية الإماراتية هي بالضبط من هذا النوع من المعلومات. كما تذكر Meta صراحةً أن خدماتها للأعمال غير مُصمَّمة لتلبية احتياجات السرية المشددة لدى الجهات الصحية. لا يوجد اتفاق معالجة بيانات سريرية يُوقَّع. لم تُصمَّم المنصة يومًا لحفظ تشخيص.
وتأتي Commerce Policy فوق ذلك. بيع الأدوية أو الأجهزة الطبية أو المكمّلات الغذائية عبر WhatsApp محظور تمامًا، وإن كان عرض خدمة كزيارة طبيب أو إجراء أمرًا مقبولًا. وقد فتحت Meta استثناءً للأدوية المتاحة دون وصفة طبية في 27 August 2024، لكنه يغطّي APAC وأمريكا اللاتينية والهند فقط، والإمارات ليست على قائمة Meta للدول المسموح فيها بهذه الأدوية. وعلى أي حال، فذلك الاستثناء يتعلق بتجارة الأدوية لا برسائل المواعيد والنتائج لديك.
ولذلك فإن النمط الممتثل ليس "الانتقال إلى الـ API وإرسال نتائج المختبر". بل هو إشعار من نوع الخدمة العامة يدفع المريض إلى بوّابة آمنة مقيمة داخل الإمارات: "نتائجك جاهزة، سجّل الدخول هنا". الرسالة هي جرس الباب لا الملف نفسه. الـ API يعالج التسجيل والتحكم في الوصول وإلغاء الاشتراك. لكن ما لا يقدر عليه هو جعل WhatsApp مكانًا قانونيًا لوضع تشخيص.
ما الذي يمكنك إرساله، وما الذي لا يجوز أن تضعه في الرسالة أبدًا
لم تنشر أي جهة صحية إماراتية قواعد خاصة بـ WhatsApp تحديدًا. ويُستدل الخط المسموح به من الإطار العام: معايير الرعاية الصحية عن بُعد لدى DHA وMOHAP، ومعيار الموافقة لدى DHA، وFederal Law No. 2 of 2019، وMOHAP Ministerial Resolution No. 92 of 2019 بشأن الإعلانات الصحية. وعند جمعها تنقسم بوضوح.
مسموح بها كقوالب خدمة عامة أو خدمية: تذكيرات المواعيد وتأكيداتها، ورابط الحجز، و"نتائجك جاهزة، سجّل الدخول إلى البوّابة"، وتذكير بالدفع، ومتابعة بعد الزيارة لا تحمل أي تفصيل سريري. ويجب أن تُقرأ رسائل الاستدعاء بوصفها استمرارية للعلاج، "حان موعد فحصك نصف السنوي"، لا بوصفها خصمًا أبدًا، لأن Resolution 92/2019 تمنع التأطير الترويجي للاستدعاءات السريرية. وممنوع في متن الرسالة: قيم المختبر، والتشخيصات، وأسماء الأدوية أو الوصفات، ونتائج الأشعة، وأي بيانات صحية قابلة للتعريف بالهوية. فمكان ذلك خلف وصول مُوثَّق إلى البوّابة، لا في سلسلة محادثة.
والتسويق فئة منفصلة. يحتاج إلى موافقته الصريحة المسبقة الخاصة، محفوظة منفصلة عن موافقة الاتصالات السريرية، وإلى آلية إلغاء اشتراك ظاهرة في كل قالب. وتحكم نافذة خدمة العملاء البالغة 24 ساعة التكلفة والحرية معًا: فعندما يراسلك المريض أولًا، تُفتح نافذة مجانية للردود الحرة، وخارجها لا يمكنك إلا إرسال قالب معتمد مسبقًا. ومنذ أن انتقلت Meta إلى التسعير لكل رسالة في 01 July 2025، لا تحمل القوالب الخدمية المُرسَلة داخل نافذة مفتوحة أي رسوم محادثة من Meta، بينما تُحتسب رسوم قوالب التسويق بصرف النظر عن النافذة. وقاعدة الموظفين قصيرة: إذا كان قول الرسالة بصوت عالٍ في غرفة انتظار مزدحمة سيشكّل خرقًا، فلا تذهب في رسالة WhatsApp؛ بل تذهب خلف تسجيل الدخول إلى البوّابة.
ما الذي تتطلبه فعليًا الموافقة الصحيحة من المريض على الرسائل الصحية
يضع البند 8.6 من DHA المعيار: يجب أن تكون الموافقة "محددة، وممنوحة بحرية، ومستنيرة، ولا لبس فيها"، بلغة واضحة يفهمها المريض. الصمت لا يُحتسب، وعدم التفاعل لا يُحتسب، وخانة مُحدَّدة مسبقًا في نموذج الاستقبال لا تُحتسب. ويشترط البند 8.7 أن تكون كتابيةً بالعربية أو الإنجليزية. ويجب أن تذكر الموافقة الغرض المحدد، كتلقّي تذكيرات المواعيد عبر WhatsApp، ولا يجوز أن تُدفن داخل موافقة علاجية عامة لا يستطيع أي مريض أن يستوعبها على نحو معقول. ويجب أن يكون السحب بالسهولة ذاتها: إذا أرسل المريض STOP، يتوقف نظامك.
ورسائل التسويق ترفع المعيار من جديد. العروض الترويجية وباقات العافية وعروض المناسبات، كلها تقع تحت TDRA Unsolicited Electronic Communications Policy v1.1 وCabinet Decision No. 56 of 2024، اللذين يستلزمان آلية إلغاء اشتراك ظاهرة في كل قالب وموافقة صريحة مسبقة تُحفظ منفصلة عن الموافقة السريرية. وهذا الفصل ليس شكليًا، لأن للموافقتين دورتَي حياة مختلفتين، وهنا تنزلق معظم العيادات بهدوء خارج الامتثال. وتُصنِّف Meta قوالب WhatsApp إلى فئات خدمية وتسويقية ومصادقة وخدمة، وتعمل رسائل التسويق الإماراتية بنحو USD 0.0499 لكل رسالة مُسلَّمة، أي نحو AED 0.16 to 0.18 بعد التحويل بالسعر المربوط، قبل أي هامش يضيفه مزوّد الخدمة. أما رقم AED 1.20 to 1.45 الذي ينتشر على الإنترنت فلا تدعمه قائمة أسعار Meta المنشورة؛ والرقم الحقيقي هو الأدنى، المُقوَّم بـ USD.
ويستند نمط من طبقتين يمكن الدفاع عنه، متوائم مع DHA 8.6 و8.18 إضافةً إلى قاعدة الموافقة المنفصلة لدى TDRA، إلى عبارتين يمكن تأشير كل منهما على حدة، دون أن تكونا مؤشَّرتين مسبقًا أبدًا. الطبقة الأولى: "أوافق على أن تتواصل معي [العيادة] عبر WhatsApp بشأن تذكيرات المواعيد، وإشعارات النتائج، والاتصالات المتعلقة بالعلاج، وعلى مشاركة معلوماتي الصحية عبر NABIDH وفق ما تشترطه DHA. سارية لمدة عام واحد بعد آخر زيارة لي ما لم أسحبها." الطبقة الثانية، في خانة منفصلة: "وبشكل منفصل، أوافق على تلقّي عروض تسويقية من [العيادة] عبر WhatsApp. ويمكنني إلغاء الاشتراك في أي وقت بالرد بكلمة STOP." هذا للتوضيح، لا قالبًا منشورًا من جهة تنظيمية، فاعرضه على مستشار قانوني إماراتي قبل استخدامه. وهنا ينهار التطبيق المجاني: أرسِل منه عروضًا ترويجية بعد الزيارة، فلا توجد بوابة لاعتماد القوالب، ولا آلية إلغاء اشتراك مفروضة، ولا سجل لمن وافق على ماذا. تلك الفجوة هي المسؤولية القانونية.
الموافقة ليست أبدية، ولا تتوقف عند حدود دبي
البند 8.16 من DHA هو الفخ الذي لا يحسب له أحد حسابًا تقريبًا: "تبقى الموافقة على الوصول إلى HIS سارية لمدة عام واحد بعد آخر لقاء صحي مع صاحب البيانات/المريض، ما لم يلغِ المريض موافقته." والعيادة التي تراسل مريضًا لم يزرها منذ أربعة عشر شهرًا قد تقف على موافقة منتهية الصلاحية. ويجب أن يعيش التجديد داخل سير العمل، لا في ذاكرة أحدهم. ولاحظ أن مؤقت العام الواحد هذا يحكم الوصول السريري وتبادل المعلومات الصحية فقط. أما موافقة التسويق المسبقة لدى TDRA فليس لها انتهاء صلاحية محدد، وإن وجب الاحتفاظ بسجلات موافقتها لمدة عامين بعد آخر رسالة تسويقية بموجب البند 10.1 من TDRA. الاثنان يعملان بمؤقتين مختلفين، ويجب ألا تربطهما بالمؤقت نفسه أبدًا.
والجغرافيا مهمة أيضًا. جرى ربط NABIDH في دبي وMalaffi في أبوظبي وRiayati في الإمارات الشمالية ضمن السجل الطبي الوطني الموحَّد عبر عامَي 2024 و2025، فأصبح سجل المريض من إمارة واحدة قابلًا للوصول إليه في إمارة أخرى بموافقة. لكن الموافقة نفسها لا تنتقل مع السجل. فبموجب البندين 8.3 و8.16 من DHA، يسجّل كل مرفق المريض ويجمع موافقته الخاصة على الوصول، وهي غير قابلة للنقل. والرفع إلى NABIDH إلزامي ومعفى من الموافقة بموجب البند 8.17، بينما يشترط البند 8.18 على كل جهة أن تُدرِج بندًا للمشاركة عبر NABIDH ضمن موافقتها العامة. وبالنسبة لعيادة مرخَّصة في دبي، يحكم معيار DHA، ويُدار إلغاء الاشتراك من NABIDH مركزيًا عبر DHA على العنوان Nabidh.optout@dha.gov.ae. والدرس هو أن موافقة جُمعت مرة واحدة عند التسجيل الأول ليست ترخيصًا دائمًا للمراسلة. فهي تنتهي، وتراعي الإمارة، ويجب أن تكون قابلة للتجديد وللإلغاء على السجل.
لماذا لا يجتاز تطبيق WhatsApp Business App المجاني تدقيق DHA
يخزّن تطبيق WhatsApp Business App المجاني الرسائل على أي جهاز يعمل عليه، فيما تحتفظ بها Meta نحو 30 يومًا على جانب الخادم. وأرضية الاحتفاظ الملزِمة تقع أبعد من ذلك بكثير. يحدد Federal Law No. 2 of 2019 البيانات الصحية الرقمية بحد أدنى 25 عامًا من آخر إجراء، وتعيد إرشادات DHA لإدارة السجلات الصحية تأكيد أرضية الـ 25 عامًا الرقمية نفسها؛ أما رقم الـ 10 سنوات في تلك الإرشادات فينطبق على السجلات الورقية لمواطني الإمارات، لا على رسائل العيادة الرقمية. ومخزن رسائل يعيش على هاتف واحد يُعاد ضبطه عند مغادرة الموظفين، وعند استبدال الجهاز، وعند إعادة تثبيت التطبيق. ولا يمكنه استيفاء أيٍّ من القاعدتين.
كما يفشل في استيفاء معيار التحكم في الوصول لدى DHA على مستوى البند. لا يوجد تحكم بأقل قدر من الامتيازات أو بمبدأ الحاجة إلى المعرفة (10.5)، ولا معرّف مستخدم فريد أو اتفاق وصول مُوقَّع قبل أن يلمس أحد بيانات PHI (10.3 إلى 10.4)، ولا أدوار للأطباء مرمَّزة بمعرّف Sheryan (10.11)، ولا انتهاء مهلة للجلسة (16.9). ولا يوجد تسجيل للوصول إطلاقًا، بينما يشترط البند 16.1 تسجيل كل وصول ومراقبته، ويشترط البند 13.3 الاحتفاظ بسجلات تغيير الوصول لمدة لا تقل عن ست سنوات. وأي شخص يحمل الهاتف يقرأ كل محادثة مع المرضى.
أما WhatsApp Business API فيغيّر الصورة. تصل إليه عبر مزوّد حلول أعمال مرخَّص، كـ 360dialog أو Twilio أو Bird، ويقع المزوّد بين نظامك وMeta. كل حدث رسالة يمر عبر تلك الطبقة ويُسجَّل فيها، أيًّا كان مصير أي جهاز بعد ذلك. ويجب أن تعتمد Meta القوالب مسبقًا قبل إرسالها، فلا يصل المحتوى غير الممتثل إلى مريض من الأساس. ووصول الموظفين إلى سجل المحادثات يمر عبر لوحة تحكم المزوّد بحسابات مستخدمين فردية، مما يستوفي متطلب الوصول القائم على الأدوار في معايير DHA المرتبطة بـ NABIDH. وعندما يَرِد طلب تدقيق، تصدّر الـ API سجل الرسائل بصيغ منظَّمة يمكنك تسليمها فعليًا.
بناء بنية تسجيل ممتثلة لعيادة في دبي
تشترط المادة 7(4) من PDPL على المتحكمين الاحتفاظ بسجل لأنشطة المعالجة، أي ROPA. وهو يوثّق البيانات الشخصية التي تعالجها، والأساس القانوني، ومدد الاحتفاظ، وكل معالِج خارجي في السلسلة. وبالنسبة لعيادة تستخدم WhatsApp، يجب أن يذكر قيد الـ ROPA المزوّد بوصفه معالِجًا فرعيًا، وأن يؤكد أن بيانات الرسائل موجودة على بنية تحتية مقيمة داخل الإمارات، وأن ينص على أرضية الاحتفاظ بالبيانات الصحية الرقمية البالغة 25 عامًا بموجب Federal Law No. 2 of 2019، وأن يشير إلى آلية الموافقة.
وإعداد هذا عبر مزوّد يعني الحصول على تأكيد مكتوب بأن مراكز البيانات التي تخدم حسابك موجودة داخل الإمارات، أو أن استثناء نقل ساريًا ينطبق. لا مرونة هنا: يحظر Federal Law No. 2 of 2019 تصدير البيانات الصحية دون موافقة الجهة المختصة، ويمنع Ministerial Decision No. 51 of 2019 تخزين البيانات الصحية ونقلها خارج البلاد إلا ضمن استثناءات ضيقة.
كن دقيقًا بشأن التهديد الفعلي، لأن العيادات تظل تشير إلى التهديد الخطأ. فاللائحة التنفيذية لـ PDPL لم تصدر بعد حتى عام 2026، ولم ينشر مكتب البيانات في الإمارات أي جدول للعقوبات، ولا يحدد القانون أي مبالغ غرامات. وقناة الإنفاذ الفعلية للعيادة هي ترخيص DHA والتفتيش، إضافةً إلى التعرّض الطبي القانوني، لا غرامة إدارية بموجب PDPL. وما يجيب على تلك القناة هو مسار التدقيق من مزوّدك: أحداث رسائل موسومة بالطابع الزمني، وأسماء القوالب، وحالة التسليم، وسجلات الاشتراك وإلغائه، على غرار متطلب "كسر الزجاج" (Break-the-Glass) في المعيار نفسه (البندان 17.6 إلى 17.7) للوصول الذي يُفعَّل، ويُبلَّغ عنه، ويُراقَب، ويُسجَّل، ويُراجَع. هذا ما تقدّمه عندما يصل مفتشو DHA، أو عندما يطلب مريض يمارس حقه في الاطلاع على بياناته كل رسالة أرسلتها إليه يومًا. وبدون سجل على طبقة المزوّد، لا وجود لهذا السجل ببساطة، ولن ينقذك أي نموذج موافقة، لأنك لا تستطيع إثبات امتثال لم تسجّله قط.
إن كنت بالفعل على التطبيق المجاني: مسار للمعالجة
إن تعرّفت على عيادتك في الفقرة الأولى، فالحل متسلسل لا مجرّد، اليوم. أولًا، أوقِف إرسال أي محتوى سريري من التطبيق المجاني اليوم، وحوّل النتائج والتشخيصات وأسماء الأدوية إلى إشعارات تسجيل دخول إلى البوّابة بينما يجري بقية الانتقال. ثانيًا، انقل الرقم إلى WhatsApp Business API عبر مزوّد مرخَّص، واحصل على تأكيد مكتوب بأن مراكز البيانات التي تخدم الحساب مقيمة داخل الإمارات، أو أن استثناء نقل ساريًا ينطبق بموجب Federal Law No. 2 of 2019 وMinisterial Decision No. 51 of 2019.
ثالثًا، أعِد جمع الموافقة على الأساس المنفصل: موافقة الاتصالات السريرية متمايزة عن موافقة التسويق المسبقة، كتابيةً، مؤرشفة مع السجل الطبي، مع STOP فعّال مُسجَّل. رابعًا، أضِف المزوّد بوصفه معالِجًا فرعيًا مُسمّى في الـ ROPA لديك بموجب المادة 7(4) من PDPL، وأكّد أن التسجيل يشمل أحداث رسائل موسومة بالطابع الزمني، وأسماء القوالب، وحالة التسليم، وسجلات الاشتراك وإلغائه، محفوظةً بما يفي بأرضية سجل الوصول البالغة ست سنوات (DHA 13.3) ونظام الاحتفاظ بالسجلات البالغ 25 عامًا. خامسًا، أوقِف تشغيل محادثات المرضى على الأجهزة الشخصية للموظفين، وافرِض حسابات فردية على لوحة تحكم المزوّد بوصول بأقل قدر من الامتيازات (DHA 10.5)، كي لا يكون أي هاتف منفرد نسخةً ثانية من سجل المريض. لم يكن التشخيص يومًا هو الجزء الصعب. الانتقال هو الصعب، وهو محدود ومنتهٍ.
هل لديك أسئلة حول إعدادك؟
نساعد الشركات الإماراتية الصغيرة والمتوسطة على بناء أنظمة ذكاء اصطناعي متوافقة ومحلية وفعّالة فعلاً. محادثة أولى مجانية.