אבטחת מידע בקליניקה פרטית

קשה לחשוב על קליניקה כעל "מאגר מידע", אך ברגע שתיקי המטופלים נשמרים במחשב, בענן או בתוכנה, הם מהווים מאגר מידע והמטפל הוא בעל המאגר. חוק הגנת הפרטיות ותקנות אבטחת המידע חלים עליו. החדשות הטובות הן שהרמה החלה על קליניקה קטנה היא הנמוכה מבין השלוש, ואת רוב דרישותיה אפשר להסדיר בערב אחד.

איזו רמת אבטחה חלה

התקנות קובעות שלוש רמות: בסיסית, בינונית וגבוהה. מאגר הכולל "מידע רפואי או מידע על מצבו הנפשי של אדם" נמצא בדרך כלל ברמה הבינונית, אך יש סייג: כש"מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על עשרה", חלה הרמה הבסיסית.

בעל הרשאה הוא מי שיש לו גישה למידע מטעם בעל המאגר: אתם, ומזכירה או עמית שקיבלו גישה. הרשות להגנת הפרטיות הבהירה שהספירה נעשית רק אצל בעל המאגר; עובדים של חברת התוכנה המחזיקה את המידע עבורכם אינם נספרים אצלכם. החברה עצמה כפופה לרמה הבינונית, אך אתם, כבעלי המאגר, נותרים ברמה הבסיסית.

מה הרמה הבסיסית דורשת

ברמה הבסיסית חלים רוב סעיפי התקנות, בגרסה מקלה יותר. בתרגום לחיי הקליניקה:

• מסמך הגדרות מאגר: מה נאסף ולשם מה, אילו סוגי מידע נשמרים, האם מידע מועבר לחו"ל או לספק חיצוני, מהם הסיכונים העיקריים וכיצד מתמודדים איתם (תקנה 2).
• נוהל אבטחה: מסמך הקובע כיצד שומרים על המידע - גישה, סיסמאות, מכשירים ניידים והטיפול באירוע אבטחה (תקנה 4).
• מיפוי: רשימת המערכות שבהן מצוי המידע: מחשב, טלפון, תוכנה, דוא"ל וגיבוי.
• אבטחה פיזית: תיקי נייר בארון נעול ומחשב שאינו נותר פתוח בחדר המתנה.
• כוח אדם: מי שמקבל גישה עובר הדרכה ומתחייב לשמור על סודיות.
• הרשאות וזיהוי: רשימת המורשים לגשת וזיהוי של כל אחד מהם בסיסמה אישית.
• תיעוד אירועים: בעל המאגר אחראי לתעד "כל מקרה שבו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה" (תקנה 11(א)).
• התקנים ניידים: הגבלה על חיבור התקנים ניידים למערכות (תקנה 12) - בקליניקה מדובר בעיקר בהתקן זיכרון נייד (דיסק און קי) ובטלפון.
• מערכות מעודכנות ותקשורת מאובטחת: התקנת עדכוני אבטחה והימנעות מעבודה עם תיקים ברשת אלחוטית פתוחה.
• מיקור חוץ: ספק המקבל גישה למידע, כגון חברת תוכנה, טכנאי או שירות ענן, מחייב הסכם המגדיר מה מותר לו ואיך הוא שומר על המידע (תקנה 15).

מה שאינו חל ברמה הבסיסית: ביקורות תקופתיות, בקרה ותיעוד אוטומטי של כל גישה, גיבוי ושחזור של נתוני אבטחה והחובה להודיע מיד לרשות על אירוע אבטחה חמור. אין משמעות הדבר שגיבוי התיקים, למשל, מיותר; אלא רק שתקנה זו בתקנות אינה מחייבת אותו ברמת האבטחה הבסיסית.

מה השתנה בתיקון 13

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. שני שינויים נוגעים לקליניקה קטנה:

• רישום מאגר: החובה לרשום מאגר מידע בוטלה כמעט לחלוטין, ונותרה בעיקר לגופים ציבוריים ולמי שעוסק בסחר במידע. מטפל פרטי אינו נדרש לרשום את המאגר. מאגר שנרשם לפני התיקון נשאר רשום, אלא אם בעליו מבקשים למחוק אותו.
• עיצומים: הרשות מוסמכת להטיל עיצום כספי ישירות על הפרה של התקנות. הסכומים תלויים ברמת האבטחה, וברמה הבסיסית הם נמוכים בהרבה: על אי-קביעה של הרשאות גישה, למשל, 2,000 ש"ח ברמה הבסיסית לעומת 40,000 ש"ח ברמה הבינונית.

סדר פעולות לערב אחד

• הצפנה: הפעילו הצפנת דיסק במחשב (BitLocker ב-Windows,‏ FileVault ב-Mac). בטלפון, ההצפנה פעילה כשמוגדר קוד נעילה.
• סיסמאות: סיסמה חזקה ונפרדת לכל שירות, מנהל סיסמאות ואימות דו-שלבי בדוא"ל ובתוכנת התיקים.
• נעילה: נעילה אוטומטית לאחר זמן קצר. הרשות המליצה, בהקשר של מכשירים המחזיקים מידע רפואי, על 30 שניות.
• משתמש נפרד: במחשב המשמש גם את בני המשפחה, הגדירו חשבון משתמש נפרד המוגן בסיסמה.
• ספקים: ערכו רשימה של כל מי שמחזיק מידע על מטופלים, ובדקו שקיים עמם הסכם תקף.
• שני המסמכים: מסמך הגדרות מאגר ונוהל אבטחה. התבנית שלמטה היא נקודת התחלה.

מסמך הגדרות מאגר: [שם הקליניקה] תאריך: [___] בעל המאגר: [שם]. בעלי הרשאה: [שמות ותפקידים, למשל מזכירה]. תיאור כללי: תיקימטופלים בקליניקה פרטית, לצורך טיפול, תיעוד וגבייה. מטרות השימוש: מתן טיפול,ניהול רשומה כנדרש בחוק, תיאום פגישות, הוצאת קבלות. סוגי המידע: פרטי זיהוי וקשר,רשומות טיפול, תוצאות שאלונים, מסמכים, פרטי תשלום. היכן המידע נשמר: [תוכנה / ענן/ מחשב / תיקי נייר]. ספקים שמחזיקים מידע (מחזיקים): [שם הספק, מה הוא מחזיק, האםיש הסכם]. העברה לחו"ל: [לא / כן, לאן ובאיזה בסיס]. סיכונים עיקריים ודרכיהתמודדות: - אובדן או גניבה של מחשב או טלפון: הצפנה, נעילה, מחיקה מרחוק.- גישה לא מורשית לחשבונות: סיסמאות נפרדות ואימות דו-שלבי.- שליחה בשגגה לנמען לא נכון: בדיקת הנמען לפני שליחה של כל מסמך. רמת אבטחה:  בסיסית (עד עשרה בעלי הרשאה).

נבדק לאחרונה: נובמבר 2026. המדריך מסביר את הכללים באופן כללי, ואינו מחליף ייעוץ משפטי.