המרפאה שלך מחזיקה מאגר מידע רפואי. מה זה מחייב

רופא פרטי לא חושב על עצמו כעל בעל מאגר מידע. הוא חושב על עצמו כעל מי שמטפל באנשים ושומר תיקים. אבל מבחינת החוק, תיקי המטופלים הם מאגר מידע, המידע שבו הוא מידע רגיש, והחובות שנגזרות מזה קיימות בין אם המרפאה מודעת להן ובין אם לא.

למה מרפאה נופלת ברמת אבטחה בינונית

תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, שנכנסו לתוקף במאי 2018, יוצרות מדרג של רמות אבטחה: בסיסית, בינונית וגבוהה. הסיווג נקבע לפי רגישות המידע ומספר האנשים שהוא נוגע להם. מידע רפואי מסווג ברמה הבינונית.

המשמעות המעשית של הרמה הבינונית היא שהמרפאה לא נמצאת במסלול המקל. היא חייבת במסמך הגדרות מאגר, בנהלי אבטחה, בבקרת הרשאות, ובהדרכה תקופתית של מורשי הגישה, לפחות אחת לשנתיים, על מסמך ההגדרות, על נהלי האבטחה ועל הוראות אבטחת המידע. בנוסף, לפני שמישהו מקבל גישה למאגר או לפני שינוי בהיקף ההרשאות שלו, בעל המאגר חייב להדריך אותו על חובותיו.

מה שינה תיקון 13

עד לא מזמן, החוק הזה נאכף בעיקר בהמלצות. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, שינה את זה מיסודו והפך את רשות הגנת הפרטיות לרגולטור עם סמכויות אכיפה מנהליות.

הרישום דווקא הוקל

בעבר כמעט כל מאגר היה טעון רישום. היום חובת הרישום צומצמה לגופים ציבוריים ולמאגרים פרטיים של מעל 10,000 אנשים שמשמשים לסחר במידע או לדיוור ישיר. מרפאה טיפוסית לא נכנסת לשם. אבל מאגר שמכיל מידע רגיש על יותר מ־100,000 אנשים חייב בדיווח לרשות גם בלי חובת רישום.

ממונה הגנת פרטיות

חובת מינוי ממונה חלה על גופים שמעבדים מידע בהיקף ניכר, מעבדים מידע רגיש, או מנהלים מאגרים לדיוור ישיר מעל 10,000 אנשים. מרפאה בודדת לרוב לא תגיע לסף הזה. רשת מרפאות או מרכז רפואי עם כמה סניפים בהחלט עשויים.

הקנסות

כאן נמצא השינוי שמשנה התנהגות:

שני פרטים נוספים משנים את חישוב הסיכון: תקופת ההתיישנות הוארכה לשבע שנים, ותובענות ייצוגיות בגין הפרות פרטיות הותרו במפורש. מרפאה עם אלפי מטופלים בתיק היא יעד אפשרי לתובענה ייצוגית באופן שלא היה קיים קודם.

רשימת הבדיקה המינימלית

1. מיפוי. איפה בדיוק יושב המידע. תוכנת הניהול, גיבויים, מייל, וואטסאפ, גיליונות אקסל על שולחן העבודה, ענן.
2. הרשאות. מי ניגש למה, ולמה. גישה של כולם לכל היא הכשל הנפוץ ביותר במרפאות קטנות.
3. מסמך הגדרות מאגר ונהלי אבטחה. בכתב.
4. הדרכה מתועדת לכל מורשה גישה, ורענון אחת לשנתיים.
5. ספקים חיצוניים. תוכנת התורים, מוקד המענה, סוכנות השיווק. כל מי שנוגע בנתוני מטופלים צריך הסכם שמסדיר את זה.
6. וואטסאפ. תיאום תורים בוואטסאפ אישי הוא נוהג נפוץ ובעייתי. שווה החלטה מודעת ולא הרגל.