ഇന്ത്യയിൽ രോഗികളുടെ രേഖകൾ സുരക്ഷിതമായി സൂക്ഷിക്കൽ: കടലാസ്, ഡിജിറ്റൽ രേഖകൾക്കുള്ള നിയമങ്ങൾ

എല്ലാ ക്ലിനിക്കുകളും രേഖകൾ സൂക്ഷിക്കുന്നുണ്ട്. ഇന്നല്ലെങ്കിൽ നാളെ ഓരോ ക്ലിനിക് ഉടമയും ഒരേ മൂന്നു ചോദ്യങ്ങൾ ചോദിക്കും. ഇവ എത്ര കാലം സൂക്ഷിക്കണം? എവിടെ സൂക്ഷിക്കണം? ആർക്കൊക്കെ ഇവ കാണാൻ അനുവാദമുണ്ട്?

ഇന്ത്യയിൽ ഇവയ്ക്കുള്ള ഉത്തരങ്ങൾ പലയിടത്തായി ചിതറിക്കിടക്കുകയാണ്: ഒരു മെഡിക്കൽ എത്തിക്സ് കോഡ്, Clinical Establishments ചട്ടങ്ങൾ, IT Act, പുതിയ ഡാറ്റ സംരക്ഷണ നിയമം, CERT-In-ന്റെ നിർദ്ദേശങ്ങൾ, NABH-ന്റെ അക്രഡിറ്റേഷൻ മാനദണ്ഡങ്ങൾ. കടലാസ് ഫയലുകൾക്കും ഡിജിറ്റൽ രേഖകൾക്കും ഒരുപോലെ ബാധകമായ രീതിയിൽ ഈ ലേഖനം അവയെല്ലാം ഒരുമിച്ചു ചേർക്കുകയും, ഡിജിറ്റൽ രേഖകൾ 92health എങ്ങനെ കൈകാര്യം ചെയ്യുന്നുവെന്ന് വിവരിക്കുകയും ചെയ്യുന്നു. 2026 ഒക്ടോബർ വരെയുള്ള നിലയുടെ ഒരു സംഗ്രഹമാണിത്; നിയമോപദേശമല്ല. സംസ്ഥാനങ്ങൾക്കനുസരിച്ച് നിയമങ്ങൾ മാറുന്നതിനാൽ, പ്രധാനപ്പെട്ട ഏതു കാര്യവും നിങ്ങളുടെ സ്വന്തം നിയമോപദേഷ്ടാവുമായി ഉറപ്പുവരുത്തുക.

ചുരുക്കത്തിൽ

• കിടത്തിച്ചികിത്സാ രോഗികളുടെ (in-patient) രേഖകൾ കുറഞ്ഞത് മൂന്നു വർഷമെങ്കിലും സൂക്ഷിക്കുക; പ്രായോഗികമായി ഇതിലും വളരെക്കാലം. ഓരോ തരം രേഖയും എത്ര കാലം സൂക്ഷിക്കണമെന്ന് രേഖാമൂലം നിശ്ചയിച്ചിരിക്കണം.
• ശരിയായ രീതിയിൽ അപേക്ഷ ലഭിച്ച് 72 മണിക്കൂറിനുള്ളിൽ രോഗിക്ക് അവരുടെ രേഖകളുടെ പകർപ്പ് നൽകാൻ നിങ്ങൾക്കു കഴിയണം.
• കടലാസ് ഫയലുകൾ സുരക്ഷിതവും ഈർപ്പമില്ലാത്തതും പ്രവേശനം നിയന്ത്രിച്ചതുമായ ഒരിടത്ത് സൂക്ഷിക്കുക; ഏതു ഫയൽ ആര്, എപ്പോൾ എടുത്തുവെന്ന് എഴുതിവെക്കാൻ ഒരു രജിസ്റ്ററും വേണം.
• ഡിജിറ്റൽ രേഖകളെ സെൻസിറ്റീവ് വ്യക്തിഗത ഡാറ്റയായി (sensitive personal data) കണക്കാക്കുക: അവ എൻക്രിപ്റ്റ് ചെയ്തതും, ആക്സസ് നിയന്ത്രിച്ചതും, ലോഗ് ചെയ്യപ്പെടുന്നതും, ബാക്കപ്പ് എടുത്തതും ആയിരിക്കണം.
• ഒരു ഡാറ്റ ചോർച്ച പദ്ധതി (breach plan) തയ്യാറാക്കിവെക്കുക. ചില സംഭവങ്ങൾ ആറു മണിക്കൂറിനുള്ളിൽ CERT-In-നെ അറിയിക്കണം.
• നിങ്ങൾക്ക് NABH അക്രഡിറ്റേഷൻ ഉണ്ടെങ്കിലോ അതിനായി ശ്രമിക്കുന്നുണ്ടെങ്കിലോ, നിങ്ങളുടെ രേഖാ നയങ്ങളും പ്രവർത്തനരീതിയും ഓഡിറ്റ് ചെയ്യപ്പെടും എന്നു പ്രതീക്ഷിക്കുക.

രേഖകൾ എത്ര കാലം സൂക്ഷിക്കണം

ഇതിന്റെ തുടക്കം Indian Medical Council (Professional Conduct, Etiquette and Ethics) Regulations, 2002 ആണ്. ദേശീയ മെഡിക്കൽ കമ്മീഷൻ (National Medical Commission) ഇപ്പോഴും പ്രസിദ്ധീകരിക്കുന്ന മെഡിക്കൽ എത്തിക്സ് കോഡ് (Code of Medical Ethics) ഇതാണ്. കിടത്തിച്ചികിത്സാ രോഗികളുടെ രേഖകൾ ഒരു നിശ്ചിത മാതൃകയിൽ, ചികിത്സ തുടങ്ങിയ ദിവസം മുതൽ മൂന്നു വർഷം സൂക്ഷിക്കാൻ ഇത് ഓരോ ഡോക്ടറോടും ആവശ്യപ്പെടുന്നു. രോഗിയോ അംഗീകൃത സഹായിയോ നിയമപരമായ അധികാരസ്ഥാപനമോ രേഖകൾ ആവശ്യപ്പെട്ടാൽ, അവ 72 മണിക്കൂറിനുള്ളിൽ നൽകണമെന്നും ഇതു പറയുന്നു.

മൂന്നു വർഷം എന്നത് ഏറ്റവും കുറഞ്ഞ പരിധിയാണ്, ഒരു ശുപാർശയല്ല. മിക്ക ആശുപത്രികളും പല ക്ലിനിക്കുകളും ന്യായമായ കാരണങ്ങളാൽ രേഖകൾ ഇതിലും വളരെക്കാലം സൂക്ഷിക്കുന്നു:

• ഉപഭോക്തൃ സംരക്ഷണ നിയമം, 2019 (Consumer Protection Act) പ്രകാരം, പരാതിക്കു കാരണമായ സംഭവം ഉണ്ടായി രണ്ടു വർഷത്തിനുള്ളിൽ പരാതി നൽകാം. കാലതാമസത്തിന് മതിയായ കാരണമുണ്ടായിരുന്നുവെന്ന് ബോധ്യപ്പെട്ടാൽ, അതിനു ശേഷം വരുന്ന പരാതിയും കമ്മീഷന് സ്വീകരിക്കാം.
• മെഡിക്കോ-ലീഗൽ കേസുകൾക്ക് (medico-legal cases) (പരിക്കുകൾ, വിഷബാധ, ആക്രമണം, അപകടങ്ങൾ) വർഷങ്ങൾക്കു ശേഷവും രേഖകൾ ആവശ്യമായി വരാം; ഏതു നിയമനടപടിയും അവസാനിക്കുന്നതുവരെ അവ സാധാരണയായി സൂക്ഷിക്കുന്നു.
• കുട്ടികളുടെ രേഖകൾ അവർ മുതിർന്നവരായ ശേഷവും പ്രധാനമാണ്.
• ചില സംസ്ഥാനങ്ങൾ അവരുടെ ക്ലിനിക്കൽ സ്ഥാപന ചട്ടങ്ങളിലൂടെ സ്വന്തം വ്യവസ്ഥകൾ ഏർപ്പെടുത്തുന്നുണ്ട്.

പ്രായോഗികമായ പരിഹാരം രേഖാമൂലമുള്ള ഒരു സൂക്ഷിപ്പുകാല പട്ടികയാണ് (retention schedule): ഒ.പി. രേഖകൾ, കിടത്തിച്ചികിത്സാ രേഖകൾ, മെഡിക്കോ-ലീഗൽ രേഖകൾ, സ്കാൻ ചിത്രങ്ങൾ (imaging), സമ്മതപത്രങ്ങൾ (consent forms), ബില്ലിംഗ് എന്നിങ്ങനെ ഓരോന്നിനും ഒരു കാലാവധി; അതു നടപ്പാക്കാൻ ഉത്തരവാദിത്തമുള്ള, പേരെടുത്തു നിശ്ചയിച്ച ഒരാളും.

കടലാസ് രേഖകൾ: മെഡിക്കൽ റെക്കോർഡ്സ് മുറി

ഇന്ത്യയിലെ മിക്ക ക്ലിനിക്കുകളിലും ഇപ്പോഴും വർഷങ്ങളുടെ കടലാസ് രേഖകളുണ്ട്. കടലാസ് സ്വതവേ സുരക്ഷിതമല്ലാത്ത ഒന്നല്ല; പക്ഷേ അതിന് ചിട്ടയായ ഒരു സംവിധാനം വേണം.

• ഒരൊറ്റ സ്ഥലം. ഒരു മെഡിക്കൽ റെക്കോർഡ്സ് മുറിയോ പൂട്ടിയ ഒരു അലമാരയോ; പരിശോധനാ മുറികളിലും റിസപ്ഷൻ മേശകളിലും കിടക്കുന്ന ഫയലുകളല്ല.
• നിയന്ത്രിത പ്രവേശനം. പേരെടുത്തു നിശ്ചയിച്ച ജീവനക്കാർക്കു മാത്രമേ അവിടെ കയറാനോ അതു തുറക്കാനോ കഴിയൂ.
• ഒരു ഫയൽ രജിസ്റ്റർ. മുറിയിൽ നിന്ന് പുറത്തുപോകുന്ന ഓരോ ഫയലും തീയതി, കൊണ്ടുപോകുന്ന ആൾ, കാരണം എന്നിവ സഹിതം രജിസ്റ്ററിൽ എഴുതണം; തിരികെ എത്തുമ്പോൾ അതും രേഖപ്പെടുത്തണം. ഫയൽ എടുത്ത ഒഴിവിൽ ഷെൽഫിൽ വെക്കുന്ന ട്രേസർ കാർഡുകൾ (tracer cards) ഒരു ഫയൽ കാണാതായാൽ അതു പെട്ടെന്നു വ്യക്തമാക്കും.
• ഓരോ രോഗിക്കും ഒരു ഫയൽ, പേരിനു പകരം രോഗിയുടെ ID അല്ലെങ്കിൽ MRN പ്രകാരം അടുക്കിവെച്ചത്; അതിനാൽ ഒരേ പേരുള്ള രണ്ടുപേർ ഒരിക്കലും തമ്മിൽ മാറിപ്പോകില്ല.
• കേടുപാടുകളിൽ നിന്നുള്ള സംരക്ഷണം. ഫയലുകൾ തറയിൽ നിന്ന് ഉയർത്തി, വെള്ളക്കുഴലുകളിൽ നിന്ന് അകലെ, ഈർപ്പമില്ലാതെ, കീടങ്ങളിൽ നിന്ന് സുരക്ഷിതമായി സൂക്ഷിക്കണം; കടലാസ് സംഭരണത്തിനു യോജിച്ച അഗ്നിസുരക്ഷാ സംവിധാനവും വേണം.
• നിശ്ചിത സമയത്തുള്ള നശിപ്പിക്കൽ. ഒരു രേഖയുടെ സൂക്ഷിപ്പുകാലാവധി കഴിയുമ്പോൾ അത് ഷ്രെഡ് ചെയ്യുകയോ (shred) കത്തിച്ചുകളയുകയോ ചെയ്യണം; സാധാരണ മാലിന്യത്തോടൊപ്പം ഒരിക്കലും എറിഞ്ഞുകളയരുത്. ഈ നശിപ്പിക്കലും ഒരു രജിസ്റ്ററിൽ രേഖപ്പെടുത്തണം: എന്താണ് നശിപ്പിച്ചത്, എപ്പോൾ, എങ്ങനെ, ആര്.

പഴയ ഫയലുകൾ സ്കാൻ ചെയ്യുന്നത് അവ എളുപ്പത്തിൽ ഉപയോഗിക്കാൻ പറ്റുന്നതാക്കാനുള്ള നല്ലൊരു വഴിയാണ്; പക്ഷേ അത് ആസൂത്രണം ചെയ്തു ചെയ്യുക. ഒരേ നിലവാരത്തിൽ സ്കാൻ ചെയ്യുക, സ്കാനുകൾ പരിശോധിക്കുക, ഓരോ സ്കാനും ശരിയായ രോഗിയുമായി ബന്ധിപ്പിക്കുക. യഥാർത്ഥ കടലാസ് ഫയൽ എപ്പോൾ നശിപ്പിക്കാം, അല്ലെങ്കിൽ ഒരിക്കലും നശിപ്പിക്കേണ്ടതില്ലേ എന്ന് നിങ്ങളുടെ സൂക്ഷിപ്പു നയത്തിൽ (retention policy) തീരുമാനിക്കുക. Indian Evidence Act-നു പകരം വന്ന Bharatiya Sakshya Adhiniyam, 2023 പ്രകാരം, ആ നിയമം ആവശ്യപ്പെടുന്ന സർട്ടിഫിക്കറ്റ് സഹിതം ഹാജരാക്കിയാൽ ഇലക്ട്രോണിക് രേഖകൾ തെളിവായി സ്വീകാര്യമാണ്.

NABH എന്താണ് പ്രതീക്ഷിക്കുന്നത്

NABH-ന്റെ Accreditation Standards for Hospitals-ൽ (ഇതിന്റെ 6-ാം പതിപ്പ് 2025-ൽ പ്രസിദ്ധീകരിച്ചു) വിവര മാനേജ്മെന്റിനെക്കുറിച്ച് (Information Management) ഒരു മുഴുവൻ അധ്യായം തന്നെയുണ്ട്. അതിൽ ഉൾപ്പെടുന്നവ:

• രേഖകളുടെ രഹസ്യാത്മകത, സമഗ്രത (integrity), സുരക്ഷ;
• പൂർണ്ണവും കൃത്യവുമായ രേഖപ്പെടുത്തൽ, ഓരോ എൻട്രിയും ആര് എഴുതിയതാണെന്ന് തിരിച്ചറിയാൻ കഴിയുന്ന വിധത്തിൽ;
• ഗുണനിലവാര ഉറപ്പിന്റെ (quality assurance) ഭാഗമായി, കടലാസിലും ഇലക്ട്രോണിക് രൂപത്തിലുമുള്ള മെഡിക്കൽ രേഖകളുടെ അവലോകനം;
• ആർക്കൊക്കെ രേഖകൾ കാണാം, രേഖകൾ എത്ര കാലം സൂക്ഷിക്കണം, അവ എങ്ങനെ നശിപ്പിക്കണം എന്നിവയെക്കുറിച്ചുള്ള രേഖാമൂലമുള്ള നയങ്ങൾ;
• രോഗിയെ ചികിത്സിക്കുന്നവർക്ക് ആവശ്യമുള്ളപ്പോൾ രേഖകൾ അവർക്കു ലഭ്യമായിരിക്കുക.

ആശുപത്രികൾക്കായി NABH Digital Health Standards എന്ന പേരിൽ, ഡിജിറ്റൽ പക്വതയ്ക്കുള്ള (digital maturity) ഒരു പ്രത്യേക സർട്ടിഫിക്കേഷനും നടത്തുന്നുണ്ട്. ആയുഷ്മാൻ ഭാരത് ഡിജിറ്റൽ മിഷനുമായി (Ayushman Bharat Digital Mission, ABDM) യോജിച്ചുപോകുന്ന ഇതിൽ, ഡിജിറ്റൽ അടിസ്ഥാനസൗകര്യങ്ങളെയും പ്രവർത്തനങ്ങളെയും കുറിച്ചുള്ള അധ്യായങ്ങൾ സൈബർ സുരക്ഷയും ഐടി പ്രതിരോധശേഷിയും (IT resilience) ഉൾക്കൊള്ളുന്നു. ആശുപത്രി വിവര സോഫ്റ്റ്‌വെയറിനും EMR സോഫ്റ്റ്‌വെയറിനും തന്നെയുള്ള കരട് മാനദണ്ഡങ്ങൾ 2024-ൽ NABH പ്രസിദ്ധീകരിച്ചു.

ഈ മാനദണ്ഡങ്ങൾ ഉപയോഗിക്കാൻ അക്രഡിറ്റേഷൻ ആവശ്യമില്ല. തങ്ങളുടെ രേഖകൾ ചിട്ടയോടെ സൂക്ഷിക്കാൻ ആഗ്രഹിക്കുന്ന ഏതു ക്ലിനിക്കിനും ഇവ ഒരു പ്രായോഗിക പരിശോധനാപ്പട്ടികയാണ്.

ഡിജിറ്റൽ രേഖകൾ: നിയമം പറയുന്നത്

രേഖകൾ ഡിജിറ്റൽ ആകുന്നതോടെ പല നിയമങ്ങളും ചട്ടങ്ങളും ബാധകമാകുന്നു.

Clinical Establishments ചട്ടങ്ങൾ. Clinical Establishments (Registration and Regulation) Act, 2010 അംഗീകരിച്ചിട്ടുള്ള സംസ്ഥാനങ്ങളിലും കേന്ദ്രഭരണ പ്രദേശങ്ങളിലും, 2012-ലെ കേന്ദ്ര സർക്കാർ ചട്ടങ്ങളിലെ (Central Government Rules) ചട്ടം 9 (Rule 9), സർക്കാർ നിശ്ചയിക്കുന്ന രീതിയിൽ ഓരോ രോഗിയുടെയും ഇലക്ട്രോണിക് മെഡിക്കൽ അഥവാ ഹെൽത്ത് രേഖകൾ സൂക്ഷിക്കാൻ ക്ലിനിക്കൽ സ്ഥാപനങ്ങളോട് ആവശ്യപ്പെടുന്നു.

ഇന്ത്യയുടെ EHR Standards. ആരോഗ്യ മന്ത്രാലയത്തിന്റെ Electronic Health Record Standards, 2016, ആരോഗ്യ രേഖകൾ എങ്ങനെ ശേഖരിക്കണം, സൂക്ഷിക്കണം, കൈമാറണം എന്നു വിശദീകരിക്കുന്നു. സുരക്ഷയ്ക്കായി അവ അന്താരാഷ്ട്ര മാനദണ്ഡങ്ങളെ ചൂണ്ടിക്കാണിക്കുന്നു: ആരോഗ്യമേഖലയിലെ വിവരസുരക്ഷയ്ക്ക് ISO 27799, ആക്സസ് നിയന്ത്രണത്തിന് ISO 22600, ഓഡിറ്റ് ട്രെയിലുകൾക്ക് (audit trails) ISO 27789 എന്നിവ ഉൾപ്പെടെ.

IT Act. Information Technology Act, 2000-ഉം സെൻസിറ്റീവ് വ്യക്തിഗത ഡാറ്റയെക്കുറിച്ചുള്ള അതിന്റെ 2011-ലെ ചട്ടങ്ങളും പ്രകാരം മെഡിക്കൽ രേഖകൾ സെൻസിറ്റീവ് വ്യക്തിഗത ഡാറ്റയാണ്. ന്യായമായ സുരക്ഷാ രീതികൾ (reasonable security practices) ഈ ചട്ടങ്ങൾ ആവശ്യപ്പെടുന്നു; അവ പാലിക്കുന്ന ഒരു മാനദണ്ഡമായി ISO/IEC 27001-നെ എടുത്തുപറയുകയും ചെയ്യുന്നു.

Digital Personal Data Protection Act, 2023. ഇതിന്റെ ചട്ടങ്ങൾ 2025 നവംബറിൽ വിജ്ഞാപനം ചെയ്തു; അവ ഘട്ടംഘട്ടമായാണ് പ്രാബല്യത്തിൽ വരുന്നത്. സുരക്ഷയും ഡാറ്റ ചോർച്ചയുമായി ബന്ധപ്പെട്ട ചുമതലകൾ 2027 മേയിൽ പ്രാബല്യത്തിൽ വരും. എൻക്രിപ്ഷൻ, ആക്സസ് നിയന്ത്രണം, ലോഗിംഗ്, ബാക്കപ്പുകൾ തുടങ്ങിയ ന്യായമായ സുരക്ഷാ മുൻകരുതലുകൾ (reasonable security safeguards) ഈ ചട്ടങ്ങൾ ആവശ്യപ്പെടുന്നു. ഡാറ്റ ചോർച്ചയുണ്ടായാൽ, ബാധിക്കപ്പെട്ട ആളുകളെയും Data Protection Board-നെയും ക്ലിനിക് അറിയിക്കണം; 72 മണിക്കൂറിനുള്ളിൽ ബോർഡിന് വിശദമായ റിപ്പോർട്ടും നൽകണം. ന്യായമായ സുരക്ഷാ മുൻകരുതലുകൾ എടുക്കാതിരുന്നാൽ 250 കോടി രൂപ വരെ പിഴ ചുമത്താം.

CERT-In-ന്റെ നിർദ്ദേശങ്ങൾ. 2022 ജൂൺ മുതൽ, നിശ്ചിത തരം സൈബർ സംഭവങ്ങൾ ശ്രദ്ധയിൽപ്പെട്ട് ആറു മണിക്കൂറിനുള്ളിൽ CERT-In-നെ അറിയിക്കണം; ഐടി സംവിധാനങ്ങളുടെ ലോഗുകൾ 180 ദിവസം ഇന്ത്യയ്ക്കുള്ളിൽ തന്നെ സൂക്ഷിക്കുകയും വേണം.

ABDM. ദേശീയ ആരോഗ്യ അതോറിറ്റിയുടെ (National Health Authority) ആരോഗ്യ ഡാറ്റ മാനേജ്മെന്റ് നയപ്രകാരം, രോഗിയുടെ ABHA-യുമായി ബന്ധിപ്പിച്ച രേഖകൾ രോഗിയുടെ സമ്മതത്തോടെ (consent) മാത്രമേ പങ്കുവെക്കൂ. ABDM-ലേക്കു ബന്ധിപ്പിക്കുന്ന സോഫ്റ്റ്‌വെയർ ഉപയോഗത്തിൽ വരുന്നതിനു മുമ്പ് ABDM-ന്റെ തന്നെ സർട്ടിഫിക്കേഷൻ പാസാകണം.

ക്ലൗഡ് ഉപയോഗിക്കാൻ അനുവാദമുണ്ടോ?

ഉണ്ട്. രോഗികളുടെ രേഖകൾ ക്ലൗഡിൽ (cloud) സൂക്ഷിക്കുന്നത് ഒരു ഇന്ത്യൻ നിയമവും വിലക്കുന്നില്ല. മിക്ക ക്ലിനിക്കുകൾക്കും, പിന്നിലെ ഒരു മുറിയിലുള്ള സെർവറിനെക്കാളും റിസപ്ഷനിലെ കമ്പ്യൂട്ടറിലുള്ള ഒരു ഫോൾഡറിനെക്കാളും സുരക്ഷിതം നന്നായി നടത്തുന്ന ഒരു ക്ലൗഡ് സേവനമാണ്. കമ്പ്യൂട്ടർ എവിടെയാണ് എന്നതല്ല, രേഖകൾ സംരക്ഷിക്കപ്പെടുന്നുണ്ടോ എന്നതാണ് നിയമം ശ്രദ്ധിക്കുന്നത്.

സോഫ്റ്റ്‌വെയർ തിരഞ്ഞെടുക്കുമ്പോൾ വെണ്ടറോട് ചോദിക്കുക:

1. കൈമാറ്റം ചെയ്യുമ്പോഴും (in transit) സൂക്ഷിച്ചിരിക്കുമ്പോഴും (at rest) രേഖകൾ എൻക്രിപ്റ്റ് (encrypt) ചെയ്യുന്നുണ്ടോ?
2. റിസപ്ഷനിലുള്ളവർ അവർക്കു വേണ്ടതു മാത്രം, അതിൽ കൂടുതലൊന്നുമില്ലാതെ കാണുന്ന വിധത്തിൽ, ചുമതലയുടെ (role) അടിസ്ഥാനത്തിൽ ആക്സസ് നിയന്ത്രിക്കാൻ എനിക്കു കഴിയുമോ?
3. ഓരോ ആക്സസും ലോഗ് ചെയ്യപ്പെടുന്നുണ്ടോ? ആ ലോഗ് എനിക്കു കാണാമോ?
4. ഒരു ജീവനക്കാരൻ ജോലി വിടുമ്പോൾ, അവരുടെ ആക്സസ് ഉടനടി അവസാനിക്കുമോ?
5. ഒരു രേഖ ഒരു തെളിവും ശേഷിക്കാതെ തിരുത്താനോ ഡിലീറ്റ് ചെയ്യാനോ കഴിയുമോ, അതോ തിരുത്തലുകൾ രേഖപ്പെടുത്തപ്പെടുമോ?
6. ഫയലുകൾ എങ്ങനെയാണ് പങ്കുവെക്കുന്നത്: സ്ഥിരമായ പൊതു ലിങ്കുകൾ വഴിയോ, അതോ കാലാവധി തീരുന്ന ലിങ്കുകൾ വഴിയോ?
7. ഡാറ്റ എവിടെയാണ് സൂക്ഷിക്കുന്നത്? അത് ഇന്ത്യയിൽ തന്നെയാണോ?
8. ബാക്കപ്പ് (backup) സംവിധാനം എന്താണ്? ഞാൻ നിങ്ങളുടെ സേവനം ഉപേക്ഷിച്ചാൽ എന്റെ ഡാറ്റയ്ക്ക് എന്തു സംഭവിക്കും?
9. വെണ്ടറുടെ ഡാറ്റ ചോർച്ച പദ്ധതി എന്താണ്? നിങ്ങളെ എത്ര വേഗം അറിയിക്കും?

92health രേഖകൾ എങ്ങനെ സൂക്ഷിക്കുന്നു

ഇന്ത്യയിലെ ക്ലിനിക്കുകളും ആശുപത്രികളും ഫാർമസികളും ലാബുകളും ഒപ്റ്റിക്കൽ ഷോപ്പുകളും ഉപയോഗിക്കുന്ന ഒരു EMR ആണ് 92health. മുകളിൽ പറഞ്ഞ കാര്യങ്ങൾ അത് എങ്ങനെ കൈകാര്യം ചെയ്യുന്നുവെന്ന് താഴെ കൊടുക്കുന്നു.

ഡാറ്റ എവിടെയാണ്. 92health പ്രവർത്തിക്കുന്നത് Google Cloud-ലാണ്; രോഗികളുടെ ഡാറ്റ ഇന്ത്യയിൽ തന്നെ തുടരുന്നു. സ്കാനുകൾ, റിപ്പോർട്ടുകൾ, ഫോട്ടോകൾ, സന്ദർശന സംഗ്രഹങ്ങൾ (visit summaries) എന്നിവ Google Cloud Storage-ലെ സ്വകാര്യ (private) സ്റ്റോറേജിലാണ് സൂക്ഷിക്കുന്നത്. ക്ലിനിക് ലോഗോകൾ, വെബ്സൈറ്റ് ഫോട്ടോകൾ തുടങ്ങിയവയ്ക്ക് ഉപയോഗിക്കുന്ന പൊതു സ്റ്റോറേജിൽ നിന്ന് ഇത് വേറിട്ടതാണ്. സൂക്ഷിച്ചിരിക്കുന്ന ഡാറ്റ Google Cloud സ്വതവേ എൻക്രിപ്റ്റ് ചെയ്യുന്നു; 92health-ലേക്കുള്ള ഓരോ കണക്ഷനും HTTPS വഴിയാണ്.

ഫയലുകൾ എങ്ങനെ തുറക്കുന്നു. ഒരു ഫയലും സ്ഥിരമായ ഒരു പൊതു വിലാസത്തിൽ ഒരിക്കലും ലഭ്യമാകില്ല. അഞ്ചു മിനിറ്റിനു ശേഷം കാലാവധി തീരുന്ന ഒരു ലിങ്ക് വഴിയാണ് അതു തുറക്കുന്നത്; അല്ലെങ്കിൽ സൈൻ ഇൻ ചെയ്ത ഒരു ജീവനക്കാരനു മാത്രമായി സ്ട്രീം ചെയ്യുന്നു.

ആർക്ക് എന്തു കാണാം. ആക്സസ് നിശ്ചയിക്കുന്നത് ചുമതലയുടെയും രേഖയുടെ തരത്തിന്റെയും അടിസ്ഥാനത്തിലാണ്: ക്ലിനിക്കൽ കുറിപ്പുകൾ, കുറിപ്പടികൾ, രോഗിയുടെ ഡോക്യുമെന്റുകൾ, ബില്ലിംഗ് തുടങ്ങി ഓരോന്നിനും ആക്സസ് ഇല്ല, വായിക്കാൻ മാത്രം (read), എഴുതാനും (write) എന്നിങ്ങനെ. ക്ലിനിക് തീരുമാനിക്കാത്ത പക്ഷം, ഒരു ഡോക്ടർ കാണുന്നത് റിസപ്ഷനിലുള്ളവർ കാണില്ല. ഒരു ജീവനക്കാരനെ നീക്കം ചെയ്യുകയോ അവരുടെ അക്കൗണ്ട് പ്രവർത്തനരഹിതമാക്കുകയോ ചെയ്താൽ, അവരുടെ ചുമതല എന്തുതന്നെയായാലും അവരുടെ ആക്സസ് ഉടനടി അവസാനിക്കും.

എന്തൊക്കെ ലോഗ് ചെയ്യുന്നു. ഒരു സ്ഥാപനം രോഗികളുടെ ഡാറ്റ ആക്സസ് ചെയ്യുന്നത് ലോഗ് ചെയ്യപ്പെടുന്നു. ചുമതല മാറ്റുന്നതോ അക്കൗണ്ട് പ്രവർത്തനരഹിതമാക്കുന്നതോ പോലെ ജീവനക്കാരുടെ ആക്സസിൽ വരുന്ന മാറ്റങ്ങൾ ചരിത്രമായി സൂക്ഷിക്കുന്നു; നിരസിക്കപ്പെട്ട സൈൻ ഇൻ ശ്രമങ്ങളും രേഖപ്പെടുത്തുന്നു.

സൈൻ ഇൻ. പാസ്‌വേഡുകൾ bcrypt ഹാഷുകളായി മാത്രമേ സൂക്ഷിക്കൂ; 90 ദിവസം കഴിഞ്ഞാൽ അവയുടെ കാലാവധി തീരും; അടുത്തിടെ ഉപയോഗിച്ച പാസ്‌വേഡുകൾ വീണ്ടും ഉപയോഗിക്കാനാവില്ല. SMS വഴിയുള്ള ടു-ഫാക്ടർ (two-factor) സൈൻ ഇൻ ലഭ്യമാണ്; ഒരു സെഷൻ ഒരു ദിവസം നീണ്ടുനിൽക്കും.

തിരിച്ചറിയൽ നമ്പറുകൾ. ആധാർ നമ്പർ പരിശോധിക്കുകയും, ഒരു വൺ-വേ ഹാഷ് (one-way hash) ആയി മാത്രം സൂക്ഷിക്കുകയും, പ്രതികരണങ്ങളിലും ലോഗുകളിലും മറയ്ക്കുകയും (mask) ചെയ്യുന്നു.

ഒന്നും നിശ്ശബ്ദമായി മാറ്റിയെഴുതുന്നില്ല. നൽകിക്കഴിഞ്ഞ ഒരു കുറിപ്പടി തിരുത്താനാവില്ല; അതിൽ ഭേദഗതി വരുത്തുന്നത് വേറിട്ട, രേഖപ്പെടുത്തപ്പെടുന്ന ഒരു പ്രവൃത്തിയാണ്. ഒരു സന്ദർശന സംഗ്രഹം രോഗിക്കു നൽകിയ രൂപത്തിൽ തന്നെ സൂക്ഷിക്കുന്നു. തെറ്റായി രേഖപ്പെടുത്തിയ ഒരു രോഗനിർണ്ണയം (diagnosis) ഡിലീറ്റ് ചെയ്യുന്നില്ല; ഒരു കാരണം സഹിതം പിൻവലിക്കുന്നു. പഴയ ഒരു കടലാസ് കാർഡിൽ നിന്ന് പകർത്തിയെഴുതിയ സന്ദർശനം, ആര്, എപ്പോൾ ചേർത്തു എന്നതു സഹിതം പിന്നീട് ചേർത്തത് (entered later) എന്ന് അടയാളപ്പെടുത്തുന്നു.

സമ്മതം. ഒരു രോഗിയുടെ സ്വന്തം 92health രേഖ അവരുടെ സമ്മതത്തോടെ മാത്രമേ ഒരു ക്ലിനിക്കുമായി പങ്കുവെക്കൂ; രേഖകൾ രോഗിയുടെ ABHA-യുമായി ബന്ധിപ്പിക്കാനും കഴിയും, അതും സമ്മതത്തോടെ മാത്രം.

പ്രധാനപ്പെട്ട ചെറിയ കാര്യങ്ങൾ. ഡോക്ടറുടെ Google Calendar-ലേക്ക് സിങ്ക് ചെയ്യുന്ന അപ്പോയിന്റ്മെന്റുകളിൽ രോഗിയുടെ ID-യും സന്ദർശനത്തിന്റെ തരവും ഉണ്ടാകും; രോഗിയുടെ പേര് ഒരിക്കലും ഉണ്ടാകില്ല.

നിങ്ങളുടെ ക്ലിനിക്കിനുള്ള പരിശോധനാപ്പട്ടിക

1. ഓരോ തരം രേഖയ്ക്കും ഒരു സൂക്ഷിപ്പുകാല പട്ടിക എഴുതിയുണ്ടാക്കുക; അതു നടപ്പാക്കുന്നത് ആരാണെന്ന് പേരെടുത്തു നിശ്ചയിക്കുക.
2. കടലാസ് രേഖകൾ ഒരു ഫയൽ രജിസ്റ്റർ സഹിതം സുരക്ഷിതമായ ഒരൊറ്റ മുറിയിൽ സൂക്ഷിക്കുക; കാലാവധി കഴിഞ്ഞ രേഖകൾ രേഖപ്പെടുത്തപ്പെടുന്ന ഒരു രീതിയിൽ നശിപ്പിക്കുക.
3. 72 മണിക്കൂറിനുള്ളിൽ രോഗിക്ക് അവരുടെ രേഖകളുടെ പകർപ്പ് നൽകാൻ നിങ്ങൾക്കു കഴിയുമെന്ന് ഉറപ്പാക്കുക.
4. ഓരോ ജീവനക്കാരനും സ്വന്തമായ ഒരു ലോഗിൻ (login) നൽകുക, ഒരിക്കലും പങ്കിട്ട ഒന്നല്ല; അവരുടെ ചുമതലയ്ക്കു ചേർന്ന ആക്സസോടെ.
5. ഒരാൾ ജോലി വിടുന്ന ദിവസം തന്നെ അവരുടെ ആക്സസ് നീക്കം ചെയ്യുക.
6. ആര് എന്തു തുറന്നു എന്നതിന്റെ ലോഗ് സൂക്ഷിക്കുക; അതു നോക്കുകയും ചെയ്യുക.
7. ഒരു ഡാറ്റ ചോർച്ച പദ്ധതി തയ്യാറാക്കുക: ആര് തീരുമാനമെടുക്കും, ആറു മണിക്കൂറിനുള്ളിൽ CERT-In-നെ ആര് അറിയിക്കും, രോഗികളെ ആര് അറിയിക്കും.
8. മുകളിലെ ചോദ്യങ്ങൾ നിങ്ങളുടെ സോഫ്റ്റ്‌വെയർ വെണ്ടറോട് ചോദിക്കുക; അവരുടെ മറുപടികൾ സൂക്ഷിച്ചുവെക്കുക.

നിങ്ങളുടെ ക്ലിനിക്കിന്റെ രേഖകൾ 92health എങ്ങനെ കൈകാര്യം ചെയ്യുന്നുവെന്ന് കാണണമെങ്കിൽ, ഒരു ഡെമോ ബുക്ക് ചെയ്യൂ.