המחשב או הטלפון נגנבו

מכשיר עלול ללכת לאיבוד ברכבת, בבית קפה או בפריצה לרכב. כשיש בו מידע על מטופלים, האירוע הופך מעניין אישי לאירוע מקצועי. מה שנעשה בשעות הראשונות קובע במידה רבה מהו הנזק שייגרם בפועל.

בשעה הראשונה

• נעילה ומחיקה מרחוק: Find My במכשירי Apple,‏ Find My Device ב-Android וב-Windows דרך חשבון Microsoft. אם המכשיר לא צפוי לחזור, מוחקים אותו מרחוק.
• סיסמאות: מחליפים סיסמה במייל, בתוכנה שבה שמורים התיקים, בשירותי הענן ובוואטסאפ - ומתחילים מהמייל, כי דרכו אפשר לאפס את כל השאר.
• ניתוק חיבורים: ברוב השירותים קיימת אפשרות "להתנתק מכל המכשירים", המבטלת גם חיבור שנותר פתוח במכשיר שנגנב.
• ספקים: מודיעים לספק של תוכנת התיקים, שיכול לבדוק גישות חריגות ולחסום את המכשיר.
• משטרה: מגישים תלונה על גניבה; היא נדרשת גם לביטוח וגם מתעדת את האירוע.

להבין מה נחשף

הנזק תלוי פחות בשאלה מה נגנב ויותר בשאלה מה אפשר היה לקרוא במכשיר:

• האם הדיסק היה מוצפן והמכשיר נעול בסיסמה: מחשב מוצפן ונעול שנגנב הוא בעיקר הפסד כספי של ציוד.
• מה נשמר מקומית: קבצים שהורדו, מסמכים בתיקיית ההורדות, הקלטות וצילומי מסך.
• מה היה מחובר: מייל, וואטסאפ, תוכנת התיקים. חיבור פתוח בלי סיסמה נוספת מהווה דלת פתוחה.
• מיהם המטופלים שהמידע עליהם היה במכשיר ומה סוגו: שם ומספר טלפון הם דבר אחד; רשומות טיפול הן דבר אחר.

מה החוק דורש

מטפל העובד לבדו או עם צוות קטן נמצא בדרך כלל ברמת האבטחה הבסיסית. ההסבר המלא מופיע במדריך אבטחת מידע בקליניקה פרטית. ברמה זו חלים שני כללים:

• חובה לתעד: בעל המאגר אחראי לתעד "כל מקרה שבו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה" (תקנה 11(א)). הנוהל שלו צריך לכלול גם את אופן הטיפול באירוע.
• אין חובת הודעה מיידית לרשות: החובה להודיע מיד לרשות להגנת הפרטיות על "אירוע אבטחה חמור" חלה ברמת האבטחה הבינונית והגבוהה; ברמה הבסיסית היא אינה חלה.

מכון או קליניקה עם יותר מעשרה בעלי הרשאה נמצאים בדרך כלל ברמה הבינונית. שם החובה חלה, והרשות כתבה במפורש כי גניבה של טלפון שיש בו מידע רפואי רגיש עלולה להיחשב אירוע אבטחה חמור.

האם להודיע למטופלים

לפי מה שנבדק, אין בדין הישראלי חובה כללית ואוטומטית להודיע לכל אדם שהמידע עליו דלף. ההחלטה נשארת אצל בעל המאגר, אלא אם הרשות מורה אחרת.

זוהי החלטה שאינה טכנית בלבד. כשרשומות טיפול נחשפו - או כשיש סיכוי ממשי שנחשפו - מטופל עשוי לרצות לדעת, ולעיתים אף צריך לדעת כדי להגן על עצמו. כשהמכשיר היה מוצפן ונעול, הסיכון נמוך וההודעה עלולה להדאיג ללא סיבה. במקרה גבולי כדאי להתייעץ עם עורך דין, ובמידת הצורך גם עם הרשות להגנת הפרטיות.

מה מצמצם את הנזק מראש

• הצפנת דיסק במחשב וקוד נעילה בטלפון.
• נעילה אוטומטית לאחר זמן קצר.
• אימות דו-שלבי במייל ובתוכנת התיקים.
• מזעור מידע השמור מקומית: עבודה מתוך המערכת ומחיקה של קבצים שהורדו.
• הפעלת מחיקה מרחוק מראש, שכן לאחר שהמכשיר נגנב כבר מאוחר להפעילה.

יומן אירועי אבטחה: רישום אירוע תאריך ושעה שבהם התגלה האירוע: [___] מה קרה: [המכשיר אבד / נגנב, היכן ובאילונסיבות] המכשיר: [סוג], מוצפן: [כן / לא], נעול בסיסמה: [כן / לא] מה היה במכשיר אומחובר בו: [קבצים, מייל, וואטסאפ, תוכנת התיקים] מטופלים שהמידע עליהם עלול היהלהיחשף: [מספרם וסוג המידע] מה נעשה: - נעילה או מחיקה מרחוק: [מתי]- החלפת סיסמאות וניתוק חיבורים: [אילו שירותים ומתי]- הודעה לספק: [מי ומתי]- תלונה במשטרה: [מספר תיק]- הודעה למטופלים: [לא / כן, למי ומתי, ומדוע] מסקנות: [מה משתנה כדי שהאירוע לא יישנה]

נבדק לאחרונה: נובמבר 2026. המדריך מסביר את הכללים באופן כללי, ואינו מחליף ייעוץ משפטי.