תיקון 13 לחוק הגנת הפרטיות למרפאות: מה נדרש מקליניקה פרטית ואיך עומדים בזה 2026
בקצרה: תיקון 13 לחוק הגנת הפרטיות בתוקף מאוגוסט 2025, והוא נוגע לכל מרפאה שמחזיקה תיקי מטופלים במחשב. לפי תקנות אבטחת המידע, מאגר עם מידע רפואי נמצא ברמת אבטחה בינונית, או בסיסית אם יש בו עד עשרה בעלי הרשאה. המשמעות: הרשאות לפי תפקיד, הדרכת עובדים, הסכם מסודר עם ספק התוכנה, תיעוד גישה ברמה הבינונית, ועיצום של לפחות 200,000 ₪ על עיבוד מידע שלא כדין.
נניח שמנהלת מרפאה מקבלת שאלון מחברת הביטוח: באיזו רמת אבטחה המאגר שלכם? מי הממונה על הגנת הפרטיות? יש הסכם עיבוד מידע עם ספק התוכנה? אם היא לא יודעת לענות, זה לא מפתיע. אף אחד לא תרגם לה את החוק לשפה של קליניקה עם שני רופאים ומזכירה. זה מה שהמדריך הזה עושה.
מה תיקון 13 לחוק הגנת הפרטיות שינה
חוק הגנת הפרטיות קיים מ-1981, ועד 2024 הוא תוקן שלוש עשרה פעמים. התיקון השלושה עשר הוא המקיף ביותר שנעשה בו מאז שנחקק[1]. הכנסת אישרה אותו ב-5 באוגוסט 2024, והוא נכנס לתוקף ב-14 באוגוסט 2025[2].
ארבעה שינויים נוגעים ישירות למרפאה פרטית:
- הגדרות חדשות. המונח "מידע רגיש" הוחלף ב"מידע בעל רגישות מיוחדת", ומידע על מצב בריאותו של אדם נמצא ברשימה הזו. המרפאה היא "בעל השליטה במאגר", והחובות לפי החוק מוטלות עליה גם כשהתוכנה שייכת לספק, שנחשב "מחזיק" במאגר[2].
- פחות רישום, יותר אחריות. חובת רישום מאגרי המידע, שחלה בעבר כמעט על כל מאגרי המידע במשק, בוטלה כמעט לחלוטין במגזר הפרטי. במקומה נקבעה חובת הודעה לרשות להגנת הפרטיות, בתוך 30 יום, על מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים[2]. מרפאה רגילה לא מגיעה לשם, רשת מרפאות עשויה להגיע.
- ממונה על הגנת הפרטיות. חובת המינוי חלה על מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. החוק מזכיר במפורש בתי חולים וקופות חולים, ולא קובע סף מספרי[2].
- סמכויות אכיפה חדשות. הרשות להגנת הפרטיות קיבלה סמכות להטיל עיצומים כספיים, ונוסף לחוק פרק של עבירות פליליות חדשות[2].
באיזו רמת אבטחה נמצא מאגר המטופלים שלכם
תקנות הגנת הפרטיות (אבטחת מידע) מ-2017 מחלקות את המאגרים לשלוש רמות, וכל רמה גוררת חובות אחרות. מאגר שיש בו מידע רפואי או מידע על מצבו הנפשי של אדם שייך לרמה הבינונית. יש חריג אחד שחשוב למרפאות קטנות: אם מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על עשרה, חלה הרמה הבסיסית. בקצה השני, מאגר עם מידע על 100,000 אנשים ומעלה, או עם יותר ממאה בעלי הרשאה, עובר לרמה הגבוהה[4].
| סוג המרפאה | רמת האבטחה | חובות מרכזיות לפי התקנות |
|---|---|---|
| עד עשרה בעלי הרשאה | בסיסית | מסמך הגדרות מאגר, נוהל אבטחה, ניהול הרשאות לפי תפקיד, הדרכה לפני מתן גישה, תיעוד אירועי אבטחה, בחינה שנתית של הנוהל |
| יותר מעשרה בעלי הרשאה | בינונית | כל האמור למעלה, ובנוסף תיעוד אוטומטי של גישה שנשמר 24 חודשים, הדרכה תקופתית אחת לשנתיים לפחות, החלפת סיסמאות לפחות כל שישה חודשים, אמצעי זיהוי פיזי שבשליטת המשתמש בגישה מרחוק, ביקורת אבטחה אחת ל-24 חודשים, דיווח מיידי לרשות על אירוע אבטחה חמור |
| 100,000 מטופלים ומעלה או יותר ממאה בעלי הרשאה | גבוהה | כל האמור למעלה, ובנוסף סקר סיכונים ומבדקי חדירות |
שימו לב למונח "בעלי הרשאה". לא מדובר ברופאים בלבד אלא בכל מי שקיבל מהמרפאה גישה למערכת: מזכירות, מנהל חשבונות חיצוני, מתמחה. מרפאה עם שלושה רופאים ושמונה עובדות קבלה ושירות כבר חצתה את הקו[4].
ממונה על הגנת הפרטיות: האם המרפאה שלכם חייבת
החוק לא קובע סף מספרי לחובת המינוי. המבחן הוא "עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר" כחלק מהעיסוק העיקרי, ובתי חולים וקופות חולים מצוינים בחוק במפורש[2]. ככל שהמרפאה גדולה יותר, למשל רשת עם מאות אלפי תיקים, השאלה הזו רלוונטית יותר.
גם מי שלא חייב כדאי שידע: החוק מתיר למנות ממונה חיצוני במיקור חוץ, הממונה מדווח ישירות למנכ"ל או לגורם הכפוף לו במישרין, ואסור שיהיה בתפקיד שמעמיד אותו בניגוד עניינים[2]. סקירה של משרד עורכי הדין מיתר מדגישה שארגונים רבים במשק יידרשו למינוי כזה[3].
כמה זה עולה למי שלא עומד בדרישות
כאן תיקון 13 לחוק הגנת הפרטיות שינה את האכיפה. המדרגות נראות כך[2]:
- עיבוד מידע שלא כדין, למשל שימוש במידע למטרה שאינה מטרת המאגר: 8 ₪ לכל אדם במאגר כשיש בו מידע בעל רגישות מיוחדת, ולא פחות מ-200,000 ₪ להפרה.
- הפרת תקנות אבטחת המידע: במאגר ברמה בינונית 20,000, 40,000 או 80,000 ₪ להפרה, לפי סוג ההפרה, ובמאגר ברמה גבוהה 80,000, 160,000 או 320,000 ₪. ניהול הרשאות ותיעוד גישה נמצאים בקבוצה של 40,000 ₪, ואי דיווח על אירוע אבטחה חמור או אי פיקוח על ספק במיקור חוץ בקבוצה של 80,000 ₪. במאגר ברמה בסיסית העיצומים הם 1,000 עד 2,000 ₪ להפרה, ו-4,000 ₪ על אי פיקוח על ספק.
- הגנה לעסקים קטנים: לעסקים זעירים עם מחזור עד 4 מיליון ₪ ולעסקים קטנים עם מחזור של 4 עד 10 מיליון ₪ נקבעו תקרות, ובכל מקרה העיצום הכולל לא יעלה על 5% ממחזור העסקאות השנתי.
- פלילי: עיבוד מידע ממאגר בלי הרשאה של בעל השליטה הוא עבירה שדינה עד שלוש שנות מאסר.
החוק גם קובע נסיבות שבהן הרשות רשאית להפחית את העיצום, עד 70% ממנו, ובהן הפסקת ההפרה ביוזמת המפר ודיווח עליה לרשות, ותשלום פיצוי לנפגעים[2]. המידע כאן אינו ייעוץ משפטי, ולשאלות על המרפאה שלכם כדאי לפנות לעורך דין או לממונה הגנת הפרטיות.
רשימת בדיקה: עשרה צעדים לקליניקה פרטית
1. ספרו את בעלי ההרשאה
כל מי שקיבל מכם משתמש במערכת, כולל חיצוניים כמו מנהל חשבונות. אנשי ספק התוכנה לא נספרים: מי שקיבל גישה מהספק אינו בעל הרשאה של המרפאה. המספר הזה קובע אם אתם ברמה הבסיסית או הבינונית[4].
2. כתבו מסמך הגדרות מאגר
המסמך מתאר איך נאסף המידע ולאיזו מטרה, אילו סוגי מידע יש במאגר, אילו פעולות מבצע ספק התוכנה, האם המידע מועבר אל מחוץ לישראל, מי המחזיק ומי הממונה על האבטחה אם מונה, ואילו סיכונים עיקריים זוהו. התקנות דורשות לעדכן אותו בכל שינוי משמעותי ולבחון את הצורך בעדכון עד 31 בדצמבר בכל שנה[4].
3. קבעו הרשאות לפי תפקיד
מזכירה רואה יומן ופרטי קשר, לא סיכומי ביקור. ההרשאה לכל תפקיד תהיה במידה הנדרשת לביצועו בלבד, וצריך לנהל רישום מעודכן של התפקידים וההרשאות[4].
4. סגרו משתמשים של מי שעזב
ביטול הרשאה מיד עם סיום התפקיד, ובמידת האפשר שינוי סיסמאות שהעובד עשוי היה לדעת[4]. במרפאה עם תחלופת מזכירות קל לפספס את הסעיף הזה.
5. ודאו שיש תיעוד גישה
ברמה הבינונית המערכת חייבת לתעד אוטומטית מי ניגש, מתי, לאיזה רכיב, ואם הגישה אושרה או נדחתה. התיעוד נשמר 24 חודשים לפחות, וצריך נוהל לבדיקה שגרתית שלו[4].
6. הגדירו סיסמאות וניתוק אוטומטי
ברמה הבינונית: החלפת סיסמה לפחות כל שישה חודשים, הגבלת ניסיונות שגויים, וניתוק אוטומטי אחרי פרק זמן של חוסר פעילות[4]. מסך מטופל שנשאר פתוח בקבלה הוא בדיוק הסיכון שהסעיף הזה מטפל בו.
7. הדריכו את הצוות
לפני שעובד מקבל גישה למערכת, צריך להדריך אותו על חובותיו לפי החוק ונוהל האבטחה. ברמה הבינונית נדרשת גם הדרכה תקופתית, אחת לשנתיים לפחות, וסמוך ככל האפשר לכניסה לתפקיד חדש[4]. התקנות לא קובעות משך להדרכה, אבל צריך לתעד שהיא התקיימה.
8. חתמו הסכם מסודר עם ספק התוכנה
התקשרות עם ספק שיש לו גישה למאגר היא "מיקור חוץ" לפי תקנה 15. לפני ההתקשרות בוחנים את סיכוני האבטחה, ובהסכם מגדירים במפורש איזה מידע הספק רשאי לעבד, לאיזו מטרה, לכמה זמן, ומה קורה למידע בסיום[4].
9. בנו נוהל לאירוע אבטחה
מי מקבל את ההודעה, מה בודקים, מתי מדווחים. ברמה הבינונית אירוע חמור מדווח לרשות באופן מיידי, ויש לתעד כל אירוע ולקיים דיון באירועים אחת לשנה לפחות[4].
10. בדקו את הגיבוי
ברמה הבינונית התקנות מחייבות לגבות את נתוני האבטחה, כמו תיעוד הגישה ותיעוד האירועים, ולקבוע נהלים לגיבוי ולשחזור שלהם[4]. את גיבוי תיקי המטופלים עצמם כדאי לעגן בהסכם עם הספק, כמו בסעיף 8, והאחריות נשארת של המרפאה גם כשהספק מבצע אותו בפועל[2]. בקשו לראות בכתב איפה נשמר הגיבוי ובאיזו תדירות.
מה לדרוש מספק התוכנה של המרפאה
חצי מהסעיפים ברשימה, הרשאות, סגירת משתמשים, תיעוד גישה, סיסמאות וגיבוי, תלויים קודם כול במערכת שמנהלת את תיקי המטופלים. RapidOne מיועדת לעבודה עם משתמש אחד ועד מאות משתמשים, ממרפאה אחת ועד רשת מרפאות, בענן או בהתקנה מקומית, ולפי עדכוני הגרסה נוסף בה אימות דו שלבי לכל המשתמשים.
לפני שאתם חותמים עם ספק כלשהו, בקשו תשובה כתובה לשש שאלות: האם ההרשאות ניתנות להגדרה לפי תפקיד? האם קיים יומן גישה וכמה זמן הוא נשמר? האם הגישה מרחוק דורשת אמצעי זיהוי פיזי שנמצא בשליטת המשתמש? היכן נשמר המידע ומה תדירות הגיבוי? האם ההסכם כולל סעיף מיקור חוץ לפי תקנה 15? והאם יש לספק הסמכת אבטחת מידע חיצונית? מרפאה ששוקלת לבנות מערכת בעצמה צריכה לקרוא קודם את המדריך על וייב קודינג למרפאה: שם כל החובות האלה נופלות על המרפאה לבדה.
באותה הזדמנות כדאי לסדר גם את טופסי ההסכמה הרפואית הדיגיטליים, שמתעדים את ההסכמה לאיסוף המידע ולטיפול, ואת התיק הרפואי הדיגיטלי עצמו, שבו נקבע מי רואה מה. בהדגמה בקשו לראות איך מגדירים הרשאות לפי תפקיד ומה המערכת מתעדת על כל כניסה לתיק.
שאלות נפוצות
האם תיקון 13 לחוק הגנת הפרטיות חל גם על מרפאה של רופא אחד?
כן. החוק חל על כל מי שאוסף או מעבד מידע אישי, ומידע רפואי הוא מידע בעל רגישות מיוחדת. מה שמשתנה לפי הגודל הוא רמת האבטחה: מרפאה שיש בה עד עשרה בעלי הרשאה נמצאת ברמה הבסיסית, עם חובות מצומצמות יותר, ומעל לכך חלה הרמה הבינונית. חובת מינוי ממונה תלויה בהיקף עיבוד המידע הרגיש, והחוק מזכיר במפורש בתי חולים וקופות חולים.
האם מרפאה פרטית צריכה לרשום את מאגר המטופלים ברשות להגנת הפרטיות?
ברוב המקרים לא. התיקון ביטל כמעט לחלוטין את חובת הרישום במגזר הפרטי. במקומה יש חובת הודעה לרשות בתוך 30 יום, שחלה רק על מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 אנשים. מרפאה רגילה לא מתקרבת למספר הזה, אבל רשת גדולה צריכה לבדוק אם היא חצתה אותו.
מה ההבדל בין ממונה על הגנת הפרטיות לממונה אבטחת מידע?
אלה שני תפקידים שונים במהותם. ממונה הגנת הפרטיות פועל להבטחת קיום החוק, מייעץ להנהלה, מכין תוכנית הדרכה ובקרה ומשמש איש הקשר מול הרשות, ונדרש לידע מעמיק בדיני פרטיות. על ממונה אבטחת המידע החוק מטיל אחריות אישית לאבטחת המידע בארגון. החוק לא אוסר לאחד את התפקידים, אבל לפי הרשות ברוב המקרים הדרישות משני התפקידים לא מתאימות לאותו אדם.
מי נושא בעיצום כשעובד נכנס לתיק בלי הרשאה?
עיבוד מידע בלי הרשאה של בעל השליטה הוא הפרה של מי שביצע אותו: עיצום של 8 ₪ לכל אדם במאגר שיש בו מידע בעל רגישות מיוחדת, ולא פחות מ-200,000 ₪, וגם עבירה פלילית שדינה עד שלוש שנות מאסר. החשיפה של המרפאה עצמה היא בתקנות אבטחת המידע: ניהול הרשאות לקוי במאגר ברמה בינונית נמצא בקבוצת העיצום של 40,000 ₪, ובמאגר ברמה בסיסית 1,000 עד 2,000 ₪.
מה צריך להיות כתוב בהסכם עם ספק תוכנת המרפאה?
לפי תקנות אבטחת המידע, לפני ההתקשרות בוחנים את סיכוני האבטחה, ובהסכם קובעים במפורש איזה מידע הספק רשאי לעבד, למה, לכמה זמן, איך הוא מחזיר או משמיד את המידע בסיום, ואיך הוא מדווח על אירועי אבטחה. כדאי לצרף גם את פרטי ההסמכות של הספק לאבטחת מידע, אם יש כאלה, ואת מיקום שרתי האחסון.
מה שתיקון 13 דורש ממרפאה פרטית הוא לדעת מי נכנס לתיקים, למה, ושיהיה על זה תיעוד. חלק מהעבודה נעשה פעם אחת: ספירת משתמשים, מסמך הגדרות, הרשאות לפי תפקיד והסכם עם הספק. השאר הוא שגרה: בחינה שנתית של המסמך והנוהל, הדרכות והחלפת סיסמאות. ואם מחר יגיע השאלון של חברת הביטוח, על כמה מעשרת הסעיפים תוכלו לענות בלי להרים טלפון?
מקורות
- ויקיפדיה, חוק הגנת הפרטיות. he.wikipedia.org/wiki/חוק_הגנת_הפרטיות
- משרד המשפטים, הרשות להגנת הפרטיות, מדריך לתיקון מס' 13 לחוק הגנת הפרטיות, מאי 2025, עותק באתר ae-cpa.co.il. ae-cpa.co.il
- מיתר עורכי דין, תיקון 13 לחוק הגנת הפרטיות בפתח, יולי 2025. meitar.com
- תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז 2017, ויקיטקסט. he.wikisource.org