תיקון 13 לחוק הגנת הפרטיות: מה קליניקה פרטית צריכה לדעת

תיקון 13 לחוק הגנת הפרטיות הוא השינוי המשמעותי ביותר בדיני הפרטיות בישראל מזה שנים. עבור קליניקה פרטית זה לא אירוע משפטי מרוחק, כי כל קליניקה מנהלת מאגר שמכיל מידע רפואי, וזו הקטגוריה הרגישה ביותר בחוק.

הכתבה הזו נכתבה כדי לתת תמונה שקטה ומעשית: מה השתנה בשפה פשוטה, מה זה אומר ביום העבודה, ומה אפשר לסדר בקליניקה בלי פרויקט ענק. אין כאן מספרים מפחידים ואין כאן הבטחות.

זהו מידע כללי ואינו ייעוץ משפטי. הדרישות המדויקות תלויות בהיקף הפעילות, בסוג המידע ובנסיבות של כל קליניקה. מומלץ להתייעץ עם עורך דין המתמחה בתחום.

מה השתנה, בשפה פשוטה

עד התיקון, חוק הגנת הפרטיות היה קיים אבל האכיפה שלו הייתה מוגבלת. התיקון מתמקד בעיקר בכלים: הוא מחזק את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות, ומאפשר לה להטיל עיצומים כספיים מנהליים על הפרות, במקום להסתמך בעיקר על הליכים ארוכים.

שלוש נקודות שחשוב להכיר:

האכיפה קיבלה שיניים. לרשות יש כלים ברורים יותר לבירור, לפיקוח ולהטלת סנקציות. גובה העיצום נגזר ממאפייני ההפרה ומהיקף הפעילות, ולכן אין מספר אחד שנכון לכל קליניקה. מי שמצטט לך סכום מפחיד אחד, מפשט יתר על המידה.

מידע רפואי נמצא בקטגוריה הרגישה ביותר. החוק מבדיל בין מידע רגיל לבין מידע בעל רגישות מיוחדת, ומידע על מצב בריאותי נכלל בקטגוריה הזו. המשמעות המעשית היא שהציפייה לאמצעי הגנה, לתיעוד ולסדר בטיפול במידע גבוהה יותר, וגם החומרה שבה מתייחסים להפרה.

הדגש עבר לאחריות של מחזיק המאגר. התיקון מחזק את התפיסה שבעל המאגר צריך לדעת איזה מידע יש לו, למה, מי נגיש אליו וכמה זמן הוא נשמר. במקרים מסוימים יש גם דרישות מבניות, כמו מינוי ממונה על הגנת הפרטיות. האם קליניקה מסוימת נכנסת לדרישות האלה תלוי בהיקף הפעילות ובסוג המידע, וזו בדיוק שאלה לעורך דין.

מה זה אומר בפועל בקליניקה פרטית

הרוב המכריע של מה שנדרש הוא סדר תפעולי, לא משפטי. חמש הנקודות הבאות מכסות את עיקר החשיפה של קליניקה קטנה או בינונית.

לדעת איפה המידע של המטופלות יושב

זו נקודת ההתחלה. בפועל, בקליניקות רבות מידע רפואי מפוזר בין המערכת, תיבת המייל, וואטסאפ, גיליון אקסל, תיקיות במחשב וכמה תיקיות נייר בארון. כל מקום כזה הוא חלק מהמאגר שלך, גם אם לא חשבת עליו כך.

שווה לשבת פעם אחת ולרשום את הרשימה הזו במלואה: כל מקום שבו יש שם, טלפון, ממצא, תוצאת בדיקה או מסמך של מטופלת. הרשימה הזו לבדה בדרך כלל מגלה שתיים או שלוש נקודות שאפשר לסגור מיד.

לדעת מי יכול לגשת אליו

מזכירה, קליניקאית נוספת, רואה חשבון, מתמחה, מפתחת אתר, איש תמיכה טכנית. לכל אחד מהם יש בפועל רמת גישה מסוימת, גם אם לא הוגדרה במסמך.

הכלל הפשוט הוא גישה מינימלית: לכל תפקיד רק המידע שהוא צריך כדי לעבוד. מזכירה צריכה תורים, שם וטלפון. היא לא צריכה תיעוד קליני. חשוב לבדוק שההגבלה הזו קיימת באמת במערכת ולא רק בהסכמה בעל פה, ושמשתמש שסיים לעבוד בקליניקה מנוטרל באותו יום.

לתעד גישה למידע

היכולת לענות על השאלה מי צפה בתיק של מטופלת מסוימת ומתי היא חלק מהתפיסה של החוק. מערכת שמנהלת יומן ביקורת נותנת את התשובה הזו בלי מאמץ, ובמקרה של בירור זה ההבדל בין תשובה מתועדת לבין ניחוש.

שווה לבדוק אצל הספק שלך אם יש יומן כזה, אם הוא פעיל תמיד, ואם ניתן למחוק ממנו רשומות. יומן שאפשר לשכתב לא עוזר לאף אחד.

תקשורת מאובטחת עם המטופלת

שליחת סיכום או ממצא כטקסט בהודעת וואטסאפ או במייל היא הנוהג הנפוץ, וגם הנקודה החלשה ביותר. ההודעה נשמרת במכשיר, בגיבוי הענן ולעיתים גם במסך נעילה גלוי.

הגישה הבטוחה היא הודעה שמכילה רק שם, מועד וקישור, כשהתוכן הרפואי נפתח מאחורי הקישור בלבד. עדיף שהקישור יהיה בתוקף מוגבל ושהצפייה בו תירשם. אם אין לך אפשרות כזו כרגע, מדיניות ביניים סבירה היא לא לשלוח ממצאים ואבחנות בהודעה, ולהעביר אותם במסירה ישירה או במסמך מוגן.

מחיקה ושמירה של מידע

שתי טעויות נפוצות והופכיות: לשמור הכל לנצח בלי סיבה, או למחוק מידע רפואי שיש חובה לשמור אותו לתקופה מוגדרת. שמירת רשומות רפואיות כפופה לכללים נפרדים, ולכן זו נקודה שכדאי לברר ולא להמציא.

מה שכן אפשר לעשות באופן פשוט: להגדיר מה בכלל לא צריך להישמר אצלך, כמו צילומי מסך וקבצים שהועברו בהודעות או קורות חיים של מועמדות שלא נבחרו, ולוודא שמחיקה במערכת אינה בלתי הפיכה בטעות. סל מיחזור עם שחזור בקליק וגיבויים יומיים הם ההגנה הפרקטית מפני תאונה.

צ'קליסט מעשי לבעלת קליניקה

אפשר לעבור על הרשימה הזו בשעה, ולסמן מה כבר קיים ומה דורש טיפול.

1. יש לי רשימה כתובה של כל המקומות שבהם מוחזק מידע של מטופלות, כולל מייל, וואטסאפ, קבצים מקומיים ונייר.
2. יש למערכת שלי הרשאות לפי תפקיד, ובדקתי בפועל מה רואה מזכירה.
3. לכל אחד בצוות יש משתמש אישי, בלי סיסמאות משותפות, והכניסה מוגנת באימות דו-שלבי.
4. משתמש של מי שסיים לעבוד בקליניקה מנוטרל מיד.
5. יש יומן ביקורת שרושם כניסות, צפייה ועריכה, ואני יודעת איך לצפות בו.
6. סיכומים וממצאים לא נשלחים כטקסט בהודעה, אלא בקישור מאובטח או במסירה ישירה.
7. מתבצעים גיבויים אוטומטיים, ואני יודעת מי יכול לשחזר ומתי נבדק השחזור בפעם האחרונה.
8. מחיקה במערכת אינה סופית ואפשר לשחזר פריט שנמחק בטעות.
9. יש לי הודעת פרטיות למטופלות שמסבירה איזה מידע נאסף, למה, ולמי הוא מועבר.
10. אני יודעת אילו ספקים חיצוניים מחזיקים או רואים מידע של מטופלות, ויש לי הסכם מסודר איתם.
11. בדקתי מול עורך דין המתמחה בתחום אם הקליניקה שלי נכנסת לדרישות המבניות של התיקון, כמו מינוי ממונה על הגנת הפרטיות.

מי שמסמן שמונה או תשעה מהסעיפים האלה נמצא במקום סביר, וזה בהישג יד גם לקליניקה קטנה.

הפרופורציה הנכונה

תיקון 13 לא נועד לסבך את העבודה של רופאות. הוא מבקש דבר אחד: שמי שמחזיק מידע רגיש ידע מה יש לו, מי נגיש אליו ואיך הוא מוגן. חלק גדול מהדרישות האלה כבר קיים בקליניקה מסודרת, פשוט בלי שנרשם.

הדרך המעשית לגשת לזה היא לא פרויקט של חודשיים, אלא שעה אחת של מיפוי, ואחריה שתיים או שלוש החלטות תפעוליות. איפה מפסיקים לשלוח מידע רפואי בהודעות. מי מקבל אילו הרשאות. איך נראה גיבוי ושחזור. אחרי שהדברים האלה מסודרים, שאר הדיון הופך לשאלות משפטיות ממוקדות שכדאי להביא בפני עורך דין המתמחה בתחום.

תזכורת: זהו מידע כללי ואינו ייעוץ משפטי, והוא אינו מחליף בדיקה פרטנית של הקליניקה שלך.