স্বাস্থ্যসেবার PDF: ক্লিনিকাল রেকর্ড ও রোগীর গোপনীয়তা

একজন রোগী একটি ক্লিনিকে একটি পুরনো ডিসচার্জ সারাংশের স্ক্যান করা PDF ইমেল করেন। ডাক্তার দেখার আগে রিসেপশনিস্টকে এটি আরও দুটি প্রতিবেদনের সঙ্গে মার্জ করতে হবে। তাই তিনি সামনে আসা প্রথম বিনামূল্যের PDF টুলটি খোলেন, রোগনির্ণয়, ওষুধের তালিকা ও একটি জাতীয় স্বাস্থ্য নম্বরে ভরা তিনটি ফাইল টেনে আনেন, এবং মার্জে ক্লিক করেন।

কিছুই ভুল মনে হয় না। মার্জ করা ফাইলটি ডাউনলোড হয়, ডাক্তার পড়েন, দিন এগিয়ে যায়। কিন্তু ওই তিনটি নথি এইমাত্র ক্লিনিক ছেড়ে একটি অপরিচিতের সার্ভারে গিয়ে নামল, আর সেগুলো সাধারণ নথি ছিল না।

এটি আইনি বা চিকিৎসা পরামর্শ নয়। আমি আপনার ডেটা সুরক্ষা কর্মকর্তা নই এবং প্রতিটি ক্লিনিকের নিজস্ব নিয়ম আছে অনুসরণ করার। কিন্তু স্বাস্থ্য তথ্য GDPR-এর অধীনে একটি আলাদা, কঠোরতর বাক্সে বসে, আর তা বদলে দেয় যে এটি বহনকারী প্রতিটি PDF আপনার কীভাবে সামলানো উচিত।

কেন স্বাস্থ্য তথ্য ভিন্নভাবে বিবেচিত হয়

GDPR-এর অধীনে বেশিরভাগ ব্যক্তিগত তথ্য এমনিতেই সুরক্ষিত। স্বাস্থ্য তথ্য একটি অতিরিক্ত স্তর পায়। রেগুলেশন একে বলে একটি বিশেষ শ্রেণি, আর এটি ধর্মীয় বিশ্বাস, যৌন প্রবণতা ও বায়োমেট্রিক তথ্যের মতো জিনিসের পাশে বসে। বিশেষ-শ্রেণির তথ্যের মূল নিয়মটি হলো এটি প্রক্রিয়া করা নিষিদ্ধ, যদি না আপনি একটি ছোট তালিকার নির্দিষ্ট কোনো শর্ত পূরণ করেন, যেমন রোগীর স্পষ্ট সম্মতি বা একজন স্বাস্থ্য পেশাদারের দ্বারা সেবা প্রদান।

ওই “প্রক্রিয়াকরণ” শব্দটি বিস্তৃত। এটি ফাইল পড়া, সংরক্ষণ করা, পরিবর্তন করা ও শেয়ার করাকে ঢেকে রাখে। দুটি প্রতিবেদন মার্জ করা এতে পড়ে। একটি পৃষ্ঠা পাঠাতে একটি রেকর্ড স্প্লিট করা এতে পড়ে। ইমেল করতে একটি স্ক্যান সংকুচিত করা এতে পড়ে। তাই যে মুহূর্তে একটি স্বাস্থ্য PDF জড়িত হয়, আপনি আইনের স্বীকৃত সবচেয়ে স্পর্শকাতর শ্রেণির তথ্য সামলাচ্ছেন, আর তা অসাবধানে করার মান অনেক বেশি উঁচু।

একটি ক্লিনিকাল রেকর্ডে সাধারণত রোগনির্ণয়ের চেয়েও বেশি কিছু থাকে। সাধারণত একটি নাম, একটি জন্মতারিখ, একটি ঠিকানা, একটি রোগী আইডি, কখনো একটি বিমা নম্বর থাকে। এর প্রতিটি একা একাই শনাক্তকারী। একটি চিকিৎসাজনিত অবস্থার সঙ্গে বান্ডিল হলে, এগুলো একজন মানুষের সবচেয়ে ব্যক্তিগত একটি মুহূর্তে তার একটি সম্পূর্ণ ছবি আঁকে।

একটি আপলোড সাইট আসলে ফাইলটি দিয়ে কী করে

আপনি যখন সেই PDF একটি অনলাইন টুলে পাঠান, ফাইলটি আপনার নিয়ন্ত্রণ ছাড়ে। এটি এমন একটি সার্ভারে যায় যা আপনি চালান না, সেখানে প্রক্রিয়া হয়, এবং কিছু ফেরত আসার আগে ক্যাশ, কিউ বা কপি হতে পারে। GDPR-এর অধীনে সেই কোম্পানি আপনার হয়ে কাজ করা একটি প্রসেসর হয়ে ওঠে, আর আপনি, ক্লিনিক বা চিকিৎসক, তথ্যের জন্য দায়ী নিয়ন্ত্রণকারী থেকে যান।

একজন প্রসেসর জড়িত হওয়ার সঙ্গে সঙ্গেই নিয়ন্ত্রণকারী আসল দায়িত্ব কাঁধে তুলে নেন। সেই কোম্পানির সঙ্গে আপনার একটি লিখিত চুক্তি দরকার যা স্পষ্ট করে বলে তারা তথ্য নিয়ে কী করতে পারে এবং কখন মুছে ফেলে। বিশেষ-শ্রেণির স্বাস্থ্য তথ্যের জন্য, আপনাকে নিশ্চিতও হতে হবে যে পুরো ব্যবস্থায় সঠিক সুরক্ষা আছে। সার্চের মাধ্যমে পাওয়া একটি বিনামূল্যের টুল এর কোনোটিই খুব কমই দেয়। তাদের সঙ্গে আপনার কোনো চুক্তি নেই, তাদের সার্ভার কোথায় বসে আপনি জানেন না, আর কে আরও ফাইলটি স্পর্শ করতে পারে তা আপনি বলতে পারবেন না।

স্বাস্থ্য তথ্যের জন্য একটি আরও ধারালো প্রান্ত আছে। সার্ভারটি EU-এর বাইরে হলে, আপনি বিশেষ-শ্রেণির তথ্যের একটি আন্তর্জাতিক স্থানান্তর করে ফেলেছেন, যে জিনিসে GDPR সবচেয়ে বেশি বাধা বসায়। একটি ছুটির ছবির জন্য তাতে কিছু আসত-যেত না। কিন্তু একজন রোগীর অনকোলজি প্রতিবেদনের জন্য, আপনি নীরবে একটি সমস্যা তৈরি করেছেন যা আপনি নথিভুক্ত করতে পারবেন না।

যে ব্রিচ আপনাকে রিপোর্ট করতে হতো

স্বাস্থ্য রেকর্ড ঠিক সেটাই যা আক্রমণকারী ও ডেটা ব্রোকাররা চায়। একটি ফাঁস হওয়া চিকিৎসা ইতিহাস একটি পাসওয়ার্ডের মতো রিসেট করা যায় না। আপনি যে পরিষেবার নিশ্চয়তা দিতে পারেননি তার মাধ্যমে যদি স্পর্শকাতর রোগীর তথ্য উন্মুক্ত হয়ে পড়ে, তা একটি ব্যক্তিগত তথ্য ব্রিচ হতে পারে, আর স্বাস্থ্য তথ্য জড়িত ব্রিচগুলোই নিয়ন্ত্রকরা সবচেয়ে গুরুত্বের সঙ্গে নেন। রিপোর্টিং দায়িত্ব, রোগীকে জানানো, এবং একটি ক্লিনিকের সুনামের ক্ষতি, সবই একটি একক অসাবধান আপলোড থেকে আসে।

হতাশার অংশটি হলো কাজটি নিজে, কয়েকটি ফাইল মার্জ করা বা সংকুচিত করা, কখনো ভবন ছাড়ার দরকারই ছিল না।

ফাইলটি নিজের মেশিনে রাখুন

এখানে সমাধান, আর এটি সমস্যাটির চেয়ে হালকা। PDF-টি যদি কখনো আপনার ডিভাইস না ছাড়ে, তবে কোনো বাইরের প্রসেসর এটি স্পর্শ করে না। তাড়া করার মতো কোনো চুক্তি নেই, ন্যায্যতা দেওয়ার মতো কোনো স্থানান্তর নেই, ফাঁস করতে পারে এমন কোনো তৃতীয় পক্ষ নেই। আপনি এখনো নিয়ন্ত্রণকারী আর আপনি এখনো রোগীর প্রতি স্বাভাবিক যত্নের ঋণী, কিন্তু ঝুঁকির একটি গোটা স্তর কেবল অস্তিত্বহীন হয়ে যায়, কারণ তথ্যটি যেখানে ছিল সেখানেই থাকল।

এটাই সেই ধারণা যা সম্পূর্ণভাবে আপনার ব্রাউজারে চলা টুলের পেছনে আছে। কোডটি কাজটি স্থানীয়ভাবে, আপনার কম্পিউটারের মেমরিতে করে, এবং ফাইলটি জায়গাতেই থাকে। এভাবেই আমরা reader.me বানিয়েছি। আপনি যখন একটি ক্লিনিকাল PDF মার্জ, স্প্লিট বা সংকুচিত করেন, তা আপনার ব্রাউজারে প্রক্রিয়া হয় এবং কখনো আমাদের কোনো সার্ভারে পৌঁছায় না। প্রমাণ চাইলে, আপনার ব্রাউজারের DevTools খুলুন, কাজ করার সময় Network ট্যাব দেখুন, আর আপনি দেখবেন আপনার নথিসহ কিছুই বাইরে যাচ্ছে না।

স্বাস্থ্য ফাইলের জন্য দুটি প্রতিদিনের কাজ সবচেয়ে গুরুত্বপূর্ণ:

• যখন একটি রেকর্ড একটি পাসওয়ার্ডসহ আসে আর আপনি তা জানেন, আপনি স্থানীয়ভাবে সেই পাসওয়ার্ড সরাতে পারেন যাতে ফাইলটি নিয়ে কাজ করা সহজ হয়, কোথাও না পাঠিয়েই।
• যখন আপনার একটি রেকর্ড পাঠানো দরকার আর তা আগে লক করতে চান, আপনি আপনার মেশিনেই একটি পাসওয়ার্ড দিয়ে PDF এনক্রিপ্ট করতে পারেন, তারপর রোগী যে চ্যানেল প্রত্যাশা করেন সেটির মাধ্যমে শেয়ার করতে পারেন।

ক্লিনিক, ডাক্তার ও রোগীদের জন্য অভ্যাস

কয়েকটি সহজ নিয়ম স্বাস্থ্যের PDF-কে ঝামেলা থেকে দূরে রাখে:

• প্রতিটি ক্লিনিকাল নথিকে বিশেষ-শ্রেণির তথ্য হিসেবে গণ্য করুন। ডিসচার্জ সারাংশ, ল্যাব ফলাফল, প্রেসক্রিপশন, রেফারেল চিঠি ও সম্মতি ফর্ম সবই এর আওতায় পড়ে, এমনকি একটি স্ক্যান করা একক পৃষ্ঠাও।
• কখনো একটি রোগীর রেকর্ড একটি এলোমেলো অনলাইন টুলে টেনে আনবেন না। কোনো চুক্তি নেই আর সার্ভারের অবস্থান স্পষ্ট নেই মানে আপনার রোগীদের তথ্য তা পাবে না, ব্যস।
• মার্জ, স্প্লিট বা সংকুচিত করার মতো রুটিন কাজের জন্য ব্রাউজারে চলা টুল ডিফল্ট করুন। এটি যদি স্থানীয়ভাবে কাজ করে, তবে যাচাই করার মতো কোনো প্রসেসর নেই আর কিছুই সীমানা পার হয় না।
• পাঠানোর আগে ফাইল লক করুন। PDF-এ একটি পাসওয়ার্ড আর একটি বিবেচকপূর্ণ ডেলিভারি চ্যানেল একটি খোলা সংযুক্তির চেয়ে ভালো।
• আপনি যদি রোগী হন, জিজ্ঞেস করুন আপনার ক্লিনিক আপনার ফাইল কীভাবে সামলায়। আপনার এই অধিকার আছে।

স্বাস্থ্য তথ্য নিয়ে নিয়মগুলো ভারী শোনায়, আর তা ভারীই, কারণ তথ্যটিও তাই। কিন্তু প্রতিদিনের সমাধান ছোট। ফাইলটি আপনার মেশিনে রাখুন, এমন টুল ব্যবহার করুন যা আপলোড করে না, আর সমস্যার সবচেয়ে ভারী অংশ কখনো আপনার কাছে পৌঁছায় না। আপলোড করা কীভাবে এই দায়িত্বগুলো ডেকে আনে তার দীর্ঘ সংস্করণ চাইলে, আমি GDPR ও PDF আপলোড করা নিয়ে আলাদাভাবে লিখেছি।