בקצרה: מידע רפואי הוא מידע בעל רגישות מיוחדת לפי חוק הגנת הפרטיות. בתי חולים וקופות חולים חייבים במפורש למנות ממונה על הגנת הפרטיות. מרפאות פרטיות, מכונים, מעבדות ורשתות רפואיות חייבות במינוי כשהעיסוק העיקרי שלהן כולל עיבוד מידע רפואי בהיקף ניכר. מרפאה קטנה של רופא יחיד כנראה אינה חייבת, אבל כל גוף רפואי חייב לעמוד בחובות האבטחה, הסודיות והיידוע, לצד חוק זכויות החולה.
גופים רפואיים מחזיקים את אחד הסוגים הרגישים ביותר של מידע אישי: אבחנות, טיפולים, תרופות, בדיקות, צילומים ולעיתים גם מידע גנטי. תיקון 13 לחוק הגנת הפרטיות הגדיר מידע כזה כמידע בעל רגישות מיוחדת, והחיל על גופים רפואיים רבים את החובה למנות ממונה על הגנת הפרטיות. המאמר מסביר מי בתחום הרפואי חייב במינוי, מה החובות החלות על כל גוף רפואי, ואיך מתארגנים.
מי חייב במינוי?
חובה מפורשת
החוק מחייב במפורש בתי חולים וקופות חולים למנות ממונה. בנוסף, בתי חולים ציבוריים וקופות החולים הם גופים ציבוריים, ולכן גם ספקים שמעבדים מידע עבורם — כמו חברות מחשוב, מוקדי שירות ומעבדות חיצוניות — עשויים להיות חייבים במינוי כמחזיקים של גוף ציבורי.
מידע רגיש בהיקף ניכר
גוף שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר חייב במינוי. בתחום הרפואי זה עשוי לכלול:
- רשתות מרפאות פרטיות ומרפאות שיניים.
- מכוני דימות ומעבדות.
- מרכזים רפואיים פרטיים ובתי חולים פרטיים.
- חברות שירותי בריאות דיגיטליים ורפואה מרחוק.
- חברות גנטיקה ובדיקות.
- ספקי מערכות לניהול רשומות רפואיות, כמחזיקים.
מה זה "היקף ניכר" בתחום הרפואי?
החוק לא קובע מספר מטופלים. בוחנים את מספר המטופלים, את כמות המידע על כל אחד, את משך העיבוד ואת היקף הפעילות. בקצה אחד, בית חולים או רשת ארצית מעבדים מידע בהיקף ניכר באופן ברור. בקצה השני, רופא עצמאי שמטפל במטופלים שלו כנראה אינו מעבד מידע בהיקף ניכר. מרפאה בינונית, מכון פיזיותרפיה עם כמה סניפים או מרפאה אסתטית גדולה נמצאים באזור האפור, ומומלץ לבצע בדיקה מתועדת.
החובות שחלות על כל גוף רפואי
| חובה | מקור | מה זה אומר במרפאה |
|---|---|---|
| סודיות רפואית | חוק זכויות החולה | מסירת מידע רק בהסכמה או לפי חריג שבחוק |
| אבטחת מידע | תקנות אבטחת המידע | רמת אבטחה מתאימה למידע רגיש, הרשאות, תיעוד וגיבוי |
| יידוע | סעיף 11 לחוק | נוסח יידוע בטופס הקליטה ובאתר |
| הגבלת מטרה | סעיף 8 לחוק | שימוש במידע רפואי רק למטרת הטיפול ולמטרות שהוגדרו |
| עיון ותיקון | החוק וחוק זכויות החולה | מסירת רשומה רפואית למטופל לפי בקשה |
| הודעה לרשות | סעיף 8א(ב) | מאגר עם מידע רגיש על יותר מ-100,000 איש מחייב הודעה בתוך 30 יום |
ההסבר המקצועי: בתחום הרפואי, פרטיות היא לא רק רגולציה אלא חלק מהיחסים בין המטפל למטופל. חוק זכויות החולה מטיל חובת סודיות רפואית, ותקנות אבטחת המידע מחייבות רמת אבטחה גבוהה יותר כשמדובר במידע רגיש. דליפה של תיקים רפואיים פוגעת קשות במטופלים ובמוניטין של המרפאה, הרבה מעבר לעיצום.
סיכונים ייחודיים בתחום הרפואי
- וואטסאפ וצילומים בנייד — שליחת תוצאות, צילומי פצעים או מסמכים בהודעות לא מאובטחות, ושמירתם בטלפונים אישיים של הצוות.
- גישה רחבה מדי — כל אנשי הצוות רואים את כל התיקים, גם כשאין להם צורך בכך.
- שיווק — שימוש ברשימת מטופלים לקמפיינים או לסקרים בלי בסיס מתאים.
- ספקים — מערכות ענן, מעבדות חיצוניות ומוקדי תורים שמקבלים מידע רפואי בלי הסכם עיבוד ברור.
- מתקפות כופר — גופים רפואיים הם מטרה מועדפת, כי השבתת המערכות פוגעת בטיפול.
מה הממונה עושה בגוף רפואי?
מעבר לתפקידים הכלליים — ייעוץ, הדרכה, בקרה, וידוא מסמכי אבטחה, טיפול בבקשות וקשר עם הרשות — ממונה בגוף רפואי מתמודד עם שאלות ייחודיות: מסירת מידע לבני משפחה, שיתוף מידע בין מטפלים, שימוש במידע למחקר, רשומות של קטינים, והעברת מידע לחברות ביטוח ולגופים ציבוריים. הוא צריך להכיר גם את חוק זכויות החולה, את חוק מידע גנטי ואת ההנחיות של משרד הבריאות.
תוכנית עבודה למרפאה
- למפות את המאגרים: תיקים רפואיים, תורים, תשלומים, שיווק ועובדים.
- לבדוק חובת מינוי ממונה וחובת הודעה לרשות.
- לעדכן טופס קליטה עם נוסח יידוע והסכמות נדרשות.
- להגדיר הרשאות לפי תפקיד, ולצמצם גישה לתיקים.
- לקבוע נוהל לתקשורת עם מטופלים, כולל ערוצים מאובטחים.
- לחתום על הסכמים עם ספקים ולבדוק את רמת האבטחה שלהם.
- להכין תוכנית תגובה לאירוע סייבר, כולל גיבוי מנותק.
- להדריך את הצוות לפחות פעם בשנה.
לבדיקה כללית של חובת המינוי ראו האם הארגון שלך מחויב במינוי DPO.
מחקר ושימוש משני במידע רפואי
גופים רפואיים רבים רוצים להשתמש במידע שנאסף לצורך טיפול גם למטרות נוספות: מחקר קליני, שיפור שירות, פיתוח כלי בינה מלאכותית או שיתוף פעולה עם חברות טכנולוגיה. סעיף 8 לחוק אוסר לעבד מידע במאגר שלא למטרה שנקבעה לו כדין, ולכן שימוש משני כזה מחייב בדיקה מוקדמת: האם המטרה החדשה הוגדרה, האם המטופלים יודעו עליה, האם נדרשת הסכמה, ואם אפשר להסתפק במידע מותמם. מחקר רפואי בבני אדם כפוף גם לכללים של משרד הבריאות ולאישור ועדת הלסינקי. ממונה על הגנת הפרטיות שמעורב בשלב התכנון יכול לעזור לבנות את הפרויקט כך שיעמוד בדרישות.
קטינים ובני משפחה
שאלות על מסירת מידע לבני משפחה עולות כמעט כל יום במרפאה: הורים שמבקשים מידע על ילדים מתבגרים, בני זוג שמבקשים תוצאות, ילדים בוגרים שמטפלים בהורה מבוגר. חוק זכויות החולה וחוק הגנת הפרטיות קובעים מתי מותר למסור מידע ולמי, ולכן חשוב שיהיה נוהל ברור שמסביר לצוות איך לאמת זהות, איזו הסכמה נדרשת ומה עושים במקרים חריגים.
בחירת ספק מערכת רפואית
לפני בחירת מערכת לניהול רשומות, תורים או רפואה מרחוק, כדאי לבדוק היכן המידע מאוחסן, איזו רמת אבטחה הספק מפעיל, אילו תקנים הוא עומד בהם, מי אצלו יכול לגשת למידע, ואיך מתבצע גיבוי ושחזור. ההסכם עם הספק צריך להגדיר את מטרות העיבוד, את חובת הדיווח על אירוע אבטחה ואת החזרת המידע ומחיקתו בסיום ההתקשרות.
שאלות נפוצות
האם מרפאה פרטית חייבת למנות ממונה על הגנת הפרטיות?
רק אם העיסוק העיקרי שלה כולל עיבוד מידע רפואי בהיקף ניכר. רשתות ומרפאות גדולות עשויות להיות חייבות, ואילו רופא עצמאי כנראה לא.
האם בתי חולים וקופות חולים חייבים ב-DPO?
כן. החוק מחייב אותם במפורש.
האם מותר לשלוח תוצאות בדיקות בוואטסאפ?
שליחה בערוץ לא מאובטח ושמירה בטלפונים אישיים מעלות סיכון אבטחה ופרטיות. מומלץ לקבוע נוהל ולהשתמש בערוצים מאובטחים.
מתי מרפאה צריכה להודיע לרשות על המאגר שלה?
כשבמאגר יש מידע בעל רגישות מיוחדת על יותר מ-100,000 איש והוא אינו חייב ברישום. ההודעה נמסרת בתוך 30 יום.
המידע במאמר הוא כללי ומבוסס על נוסח חוק הגנת הפרטיות, התשמ״א-1981, כפי שתוקן בתיקון מס׳ 13. הוא אינו מהווה ייעוץ משפטי, ובכל מקרה פרטני כדאי להתייעץ עם עורך דין המתמחה בדיני פרטיות.
