אבטחת מידע בקליניקה פרטית בישראל: מה החוק באמת דורש

HIPAA הוא חוק אמריקאי. הוא לא חל על קליניקה פרטית בישראל, ואף רגולטור ישראלי לא יבדוק אתכם מולו. אם ספק תוכנה מבטיח לכם תאימות ל-HIPAA, הוא מוכר לכם עמידה בתקן של מדינה אחרת.

מה שכן חל עליכם: חוק הגנת הפרטיות, תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017, ומאז אוגוסט 2025 גם תיקון 13.

למה בכלל כולם מדברים על HIPAA

כי רוב התוכן בנושא נכתב באנגלית על השוק האמריקאי ומתורגם לעברית בלי שמישהו עצר לבדוק אם זה רלוונטי. גם GDPR מופיע הרבה — הוא באמת רלוונטי אם אתם מטפלים במטופלים מאירופה, אבל לרוב הקליניקות בישראל המידע כפוף לדין הישראלי.

ההבדל הוא לא סמנטי. הדרישות הישראליות שונות בפרטים, והן אלה שייבדקו.

מה השתנה באוגוסט 2025

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף. שלושה שינויים שנוגעים ישירות לקליניקה:

• אכיפה מנהלית — הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים ישירות, בלי הליך בבית משפט.
• נטל ההוכחה עבר אליכם — אתם צריכים להיות מסוגלים להראות שאתם עומדים בדרישות.
• חובת דיווח על אירועי אבטחה חמורים — דלף מידע הוא לא עניין פנימי.

חובת רישום המאגר, אגב, בוטלה לרוב העסקים הפרטיים. זה השינוי היחיד שמקל. חובת האבטחה עצמה רק התחדדה.

באיזו רמת אבטחה אתם

תקנות אבטחת המידע מחלקות מאגרים לרמות, וכל רמה גוררת חובות שונות. מידע רפואי הוא מידע רגיש, ולכן מאגר של קליניקה נמצא ברמה בינונית לכל הפחות.

אבל יש מסלול נפרד שרוב המטפלים לא מכירים. התקנות מגדירות הקלות למאגר המנוהל בידי יחיד — כאשר רק היחיד ולכל היותר שני בעלי הרשאה נוספים משתמשים בו. מטפל עצמאי עם מזכירה אחת עשוי ליפול לשם. קליניקה עם ארבעה מטפלים ופקידת קבלה — כמעט בוודאות לא.

זה משנה בפועל כמה נהלים אתם חייבים לכתוב ולתחזק. אם אתם מטפלים עצמאיים ומישהו מוכר לכם חבילת ציות של תאגיד, שווה לבדוק את זה לפני שאתם משלמים.

מה זה אומר בפועל

• הרשאות לפי תפקיד — מי שמתאם תורים צריך יומן ופרטי קשר. תוכן הטיפול הוא שכבה אחרת.
• תיעוד גישה — אם מטופל שואל מי צפה בתיק שלו, אתם צריכים רישום, לא זיכרון.
• הצפנה בהעברה ובאחסון — הרשות להגנת הפרטיות פרסמה הנחיה ייעודית על העברת מידע רפואי באמצעים דיגיטליים.
• מסמך הגדרות מאגר ונוהל אבטחה — משעמם, ובדיוק מה שמבקשים לראות ראשון.
• נוהל לאירוע אבטחה — מה עושים ברגע שמתגלה דלף, ומי מדווח למי.

איפה קליניקות באמת נכשלות

לא בהצפנה. בדברים היומיומיים:

• תוצאות בדיקה שנשלחות בוואטסאפ מהטלפון הפרטי
• קובץ אקסל עם רשימת מטופלים על שולחן העבודה, בלי הצפנה ובלי גיבוי
• מחשב קבלה משותף עם משתמש אחד לכולם
• מטפל שעזב לפני שנה ועדיין יש לו גישה
• ספק תוכנה שאף אחד לא חתם איתו על אחריות לעיבוד המידע

אף אחד מאלה לא נפתר בקנייה של תוכנה. חלקם כן.

שאלות לשאול כל ספק

• איפה השרתים פיזית, ומי עוד יושב עליהם?
• יש הרשאות לפי תפקיד, או שכולם רואים הכל?
• יש לוג גישה שאני יכולה לשלוף בעצמי?
• מה קורה למידע אם אני עוזבת — באיזה פורמט, וכמה זמן אתם שומרים עותק?
• אם יש דלף אצלכם — מי מדווח, למי, ותוך כמה זמן?
• אתם חותמים על נספח עיבוד מידע?

אם התשובה לשאלה כלשהי היא "אנחנו עומדים בכל התקנים", זו לא תשובה.

ואצלי

כל לקוח מקבל התקנה נפרדת עם בסיס נתונים משלו — לא סכימה משותפת. הרשאות לפי תפקיד ולוג פעולות מובנים במערכת. את המידע אפשר לייצא בכל רגע.

מה שאני לא אגיד לכם: שהמערכת הופכת אתכם לתואמי רגולציה. אף מערכת לא עושה את זה. תוכנה היא חלק מהתשובה. הנהלים, ההרשאות ומה שקורה בקבלה הם החלק השני, והוא שלכם.

המאמר הזה הוא הסבר כללי ולא ייעוץ משפטי. לפני החלטות ציות התייעצו עם עורך דין שמתמחה בפרטיות ובדיני בריאות.