מידע רפואי בישראל: החובות המיוחדות של קליניקות, מכונים ואפליקציות בריאות

כשמדברים על ״מידע רפואי״ הראש הולך אוטומטית לבית חולים או לקופת חולים. אבל עצרו רגע וחשבו מי עוד מחזיק היום נתונים על הגוף והנפש שלכם: סוכן הביטוח שקיבל צילום של תוצאות בדיקות דם כדי לאשר פוליסה, המעסיק שאצלו יושבים אישורי מחלה במחלקת השכר, חדר הכושר שהחתים אתכם על הצהרת בריאות, אפליקציית התזונה שיודעת בדיוק מה אכלתם ומה משקלכם, מטפל ברפואה משלימה שמנהל תיק מטופלים באקסל, ותיק העובד ב-HR שכולל התאמות רפואיות. כל אלה מחזיקים מידע בעל רגישות מיוחדת — ורובם לא בנו את עצמם כמו מוסד רפואי. המאמר הזה הוא הצלילה המשפטית והמעשית לכל ארגון שנוגע במידע בריאות, לא רק לקליניקה. את המדריך התפעולי לקליניקה עצמה כתבנו בנפרד במדריך אבטחת המידע לקליניקות ומרפאות.

מי בכלל מחזיק מידע רפואי? הרשימה המפתיעה

החוק לא סופר מי ״נחשב״ עסק רפואי — הוא סופר מי מחזיק את המידע. וברגע שאתם אוספים נתון על מצב בריאותי של אדם, אתם בתוך המשחק. הנה מי שמופתע לגלות שהוא כאן:

• מבטחים וסוכני ביטוח. הצהרות בריאות, תוצאות בדיקות, מסמכים רפואיים שנאספים לחיתום פוליסת חיים, בריאות או סיעוד — כולם מידע בעל רגישות מיוחדת. סוכן ביטוח בודד שמנהל תיקי לקוחות מחזיק מאגר רפואי לכל דבר.
• מעסיקים. אישורי מחלה, ועדות רפואיות, התאמות בעבודה, בדיקות כשירות. תיק העובד הוא מאגר — וחלקו רגיש. חשוב: מעסיק שקיבל אישור מחלה קיבל אסמכתא להיעדרות, לא רישיון לתיק רפואי מלא (עוד על כך בהמשך).
• חדרי כושר, סטודיו ומאמנים. הצהרת בריאות לפני הרשמה, שאלוני פציעות, לעיתים נתוני דופק ומשקל — מידע על מצב גופני שנשמר במערכת המנויים.
• אפליקציות בריאות, כושר ותזונה. מחזור, שינה, צעדים, קלוריות, מצב רוח, סוכר בדם. חלק מהמידע הכי אינטימי שקיים — ולעיתים גם עובר לשרתי ענן בחו״ל.
• רפואה משלימה ואלטרנטיבית. נטורופתים, מטפלי רפלקסולוגיה, מאמני כושר שיקומי — מנהלים תיקי מטופלים עם אבחנות ומצבים רפואיים, בדרך כלל בלי תשתית אבטחה כלשהי.
• משאבי אנוש וגיוס. קורות חיים, מבדקי מיון פסיכולוגיים והצהרות על מגבלות — תיק ה-HR מערבב מידע רגיל עם פיסות מידע בעל רגישות מיוחדת.

מפת הדין: ארבע שכבות על אותו מידע

על מידע רפואי חלות במקביל כמה מערכות דין, וזהות המחזיק קובעת אילו מהן רלוונטיות. מי שמכיר רק אחת מפספס את התמונה.

שכבה 1: חוק זכויות החולה — חובת הסודיות (חלה על מטפלים)

חוק זכויות החולה, התשנ״ו-1996, חל על מטפל ומוסד רפואי — רופאים, פסיכולוגים, פיזיותרפיסטים, רופאי שיניים ועוד. סעיף 19 קובע חובת סודיות חדה: המטפל ישמור בסוד כל מידע הנוגע למטופל שהגיע אליו תוך כדי מילוי תפקידו, וסעיף 19(ב) מחייב את המטפל (ובמוסד רפואי — את המנהל) לנקוט אמצעים כדי להבטיח שהכפופים לו ישמרו על הסודיות — כלומר אבטחת מידע היא חלק מחובת הסודיות. סעיף 20 מגדיר רשימה סגורה של מצבים שבהם מותר למסור מידע רפואי לאחר: הסכמת המטופל, חובה שבדין, או העברה למטפל אחר לצורך הטיפול. שימו לב: מי שאינו ״מטפל״ — סוכן ביטוח, מעסיק, אפליקציה — לא כפוף לחוק זכויות החולה, אבל כפוף במלואו לחוק הגנת הפרטיות.

שכבה 2: חוק הגנת הפרטיות ותיקון 13 — הרגישות המיוחדת (חלה על כולם)

זו השכבה שחלה על כל מחזיק מידע רפואי, בלי קשר לשאלה אם הוא מוסד רפואי. תיקון 13 מגדיר מידע רפואי, גנטי ונפשי כמידע בעל רגישות מיוחדת, והסיווג מכפיל את העיצומים: עיבוד מידע שלא כדין נקנס ב-8 ש״ח לכל נושא מידע במאגר רגיש (לעומת 4 ש״ח במידע רגיל), עם רצפה של 200 אלף ש״ח. בדוגמה שהרשות להגנת הפרטיות מביאה במדריך המקצועי לתיקון, עיבוד ללא הרשאה במאגר רגיש של 200 אלף איש מגיע ל-1.6 מיליון ש״ח. גם חובת ההיוועצות בממונה וחובת הדיווח מוחמרות. נקודה חשובה למאגרים גדולים: מאגר שמכיל מידע בעל רגישות מיוחדת על יותר מ-100 אלף איש חייב להודיע על קיומו לרשות תוך 30 יום.

שכבה 3: תקנות אבטחת מידע — רמת האבטחה (חלה על כולם)

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, קובעות את החובות התפעוליות לפי רמת האבטחה של המאגר. מידע רפואי ומידע על מצב נפשי מופיעים במפורש בתוספת הראשונה לתקנות, ולכן נקודת המוצא של כל מאגר בריאות היא רמת אבטחה בינונית לפחות — ומאגרים גדולים (100 אלף נושאי מידע ומעלה, או יותר מ-100 בעלי הרשאה) עולים לרמה גבוהה. כדי לדעת בדיוק לאיזו רמה שייך המאגר שלכם — ואילו חובות זה גורר — ראו את המדריך לרמות האבטחה בתקנות. הפרות תקנות האבטחה מדורגות בעצמן: 20–80 אלף ש״ח למאגר בינוני, ו-80–320 אלף ש״ח למאגר ברמה גבוהה, כשאי-דיווח על אירוע אבטחה חמור יושב במדרגה העליונה.

שכבה 4: חוק מידע גנטי — קטגוריה בפני עצמה

מידע גנטי ראוי להתייחסות נפרדת. חוק מידע גנטי, התשס״א-2000, מסדיר בנפרד בדיקות גנטיות, שמירת דגימות DNA והשימוש בתוצאות — לצד סיווגו כמידע בעל רגישות מיוחדת בחוק הגנת הפרטיות. מי שעוסק בבדיקות גנטיות (וגם מכוני בדיקות גנטיות נכללו במבצע הפיקוח של הרשות מדצמבר 2025) חשוף למשטר כפול. הרחבנו על כך במאמר ייעודי — מידע גנטי וביומטרי לפי תיקון 13.

מעגלי החובה: מה כל מחזיק רשאי לאסוף ולעשות

אחד המקומות שבהם ארגונים נכשלים הוא בלבול בין ״יש לי גישה למידע״ ל״מותר לי לעשות בו מה שאני רוצה״. עקרון-העל בתיקון 13 הוא הגבלה למטרה: מותר לאסוף ולעבד מידע רק למטרה שלשמה נמסר, ובהיקף המינימלי הדרוש. המשמעות שונה מהותית לפי סוג המחזיק:

האקוסיסטם הישראלי: דיגיטציה, מאגר לאומי ושימוש משני

מערכת הבריאות הישראלית היא מהמתקדמות בעולם בדיגיטציה: קופות החולים ניהלו רשומה רפואית ממוחשבת שנים לפני מדינות רבות, ולכל מבוטח יש היסטוריה רפואית מקוונת רציפה. היתרון הרפואי עצום — אבל הוא גם יוצר ריכוזי מידע עצומים שהם יעד מפתה. במקביל מתנהל בישראל דיון ציבורי ורגולטורי על שימוש משני במידע בריאות: שימוש בנתונים שנאספו לצורך טיפול גם למחקר, לפיתוח כלי AI רפואיים ולתובנות מערכתיות. הרעיון של מאגר בריאות לאומי לצורכי מחקר עורר מחלוקת ציבורית סביב שאלות של הסכמה, אנונימיזציה ובעלות על המידע. הרלוונטיות אליכם: אם אתם ארגון שרוצה לעשות במידע בריאות שימוש מעבר למטרה שלשמה נאסף — זהו תחום רגיש שדורש בסיס משפטי מובהק, ולרוב הסכמה מפורשת ונפרדת.

וואטסאפ, טלמדיסין והמציאות בשטח

הפער הכי גדול בין הדין למציאות נמצא בערוץ הכי נוח: תשובת מעבדה שנשלחת לוואטסאפ, צילום ״לפני-אחרי״ אצל הקוסמטיקאית, סיכום פגישה בצ׳אט. במרץ 2025 פרסמה הרשות להגנת הפרטיות מסמך מדיניות ייעודי בנושא הגנה על פרטיות מטופלים בהעברת מידע רפואי באמצעים דיגיטליים — והוא חד למדי. הרשות ממליצה להימנע משימוש באפליקציות כלליות שאינן ייעודיות (וואטסאפ, ג׳ימייל, טלגרם וסיגנל) להעברת מידע רפואי; להעדיף מערכות סגורות עם הצפנה מקצה-לקצה; לצמצם מזהים ישירים (שם, ת״ז, תמונת פנים) ולהעביר רק את המינימום הרפואי הדרוש; ולהגן על המכשירים עצמם — לכל הפחות באמצעות מערכת ניהול מכשירים (MDM), אימות רב-שלבי והימנעות מרשתות Wi-Fi פתוחות.

בשפה מעשית: לתאם תור בוואטסאפ — בסדר. לשלוח דרכו תיק רפואי, תוצאות בדיקה או צילום מסמך עם שם ות״ז — לא. החלופות הבטוחות הן פורטל מאובטח של תוכנת הניהול, קישור מוגן בסיסמה, או מערכת טלמדיסין ייעודית — ולא הנייד הפרטי של המטפל, שמגובה ממילא לחשבון ענן אישי. וכמובן, הסכמת המטופל מראש לערוץ התקשורת. שמרנו על אותו קו במדריך הקליניקות, וזו בדיוק ההנחיה שהרשות סימנה כנמצאת על הרדאר.

בונים אפליקציית בריאות? אתם על מידע ברגישות מיוחדת מהיום הראשון

ליזמים בתחום ה-HealthTech יש נקודת פתיחה שונה מכל סטארטאפ אחר: המוצר שלכם נבנה סביב הקטגוריה הרגישה ביותר בחוק. ארבע נקודות שחייבות להיכנס לארכיטקטורה, לא להיתלות בסוף:

• איכות ההסכמה. הסכמה למידע בעל רגישות מיוחדת צריכה להיות מדעת, מפורשת וספציפית למטרה — לא סעיף קבור בתנאי שימוש. הסכמה נפרדת לכל שימוש שאינו הליבה (שיווק, מחקר, שיתוף עם צד ג׳).
• מזעור נתונים (Data Minimization). אספו רק מה שהפיצ׳ר באמת צריך. אפליקציית תזונה לא חייבת את תעודת הזהות; שאלו את עצמכם על כל שדה ״למה אנחנו שומרים את זה, וכמה זמן?״.
• רמת אבטחה נכונה. מאגר משתמשים עם מידע בריאות הוא רמה בינונית לפחות, ובקלות מטפס לגבוהה ברגע שעוברים 100 אלף משתמשים — עם כל החובות הנלוות (סקרי סיכונים, מבדקי חדירות, דיווח מיידי).
• העברה לחו״ל. אם המידע יושב על ענן מחוץ לישראל (AWS/GCP/Azure באזור זר), חלות תקנות העברת מידע לחו״ל. ראו העברת מידע אישי לחו״ל מישראל — יש לוודא בסיס העברה חוקי והסכם עיבוד מתאים מול הספק.

הצד השני: זכות המטופל לעיין ברשומה שלו

החובות הן לא רק כלפי הרשות — יש גם זכות אקטיבית של האדם שהמידע עליו. סעיף 18 לחוק זכויות החולה מקנה למטופל זכות לקבל מהמטפל או מהמוסד הרפואי מידע רפואי מהרשומה הרפואית המתייחסת אליו, לרבות העתקה. המטפל רשאי לסרב רק במקרה חריג ומנומק — כשמסירת המידע עלולה לגרום נזק חמור לבריאות המטופל או לסכן את חייו — ואז עליו להעביר את ההחלטה לוועדת האתיקה. בעד מסירת ההעתק מותר לגבות תשלום, אך התקרה מוגבלת בתקנות זכויות החולה (תשלום מרבי בעד מסירת העתק רשומה רפואית או עיון בה), התשע״ט-2019. לצד זה, תיקון 13 מחזק את זכות העיון הכללית בחוק הגנת הפרטיות — כך שלכל מחזיק מאגר חייבת להיות דרך מסודרת לענות לפניית עיון, תיקון או מחיקה.

הנזק כשזה קורה: דליפה רפואית היא הנזק המקסימלי

במידע רפואי, הנזק האמיתי הוא לא ההצפנה — הוא החשיפה. גיבוי מציל פעילות, הוא לא מחזיר סוד רפואי שדלף. שני מקרים ישראליים ממחישים: במעייני הישועה (אוגוסט 2023) סירבה ההנהלה לשלם כופר, ובתגובה פורסמו לפי הדיווחים כ-1.4 טרה-בייט של מידע רפואי רגיש, כולל מידע פסיכיאטרי; במכון מור (נובמבר 2021) הדליפה קבוצת Black Shadow לפי הדיווחים רשומות רפואיות של כ-290 אלף מטופלים — בפריצה אחת לגוף שמרכז את המידע. השאלה שנשאלה בציבור אחרי דליפות כאלה לא הייתה ״איזו קבוצה זו הייתה״ אלא ״איך נתתם לזה לקרות״. אמון של אדם שמסר מידע על גופו ונפשו לא חוזר אחרי חשיפה.

צ׳קליסט לפי סוג מחזיק — מה עושים כבר השבוע

1. מפו את המידע הרפואי אצלכם. גם אם אתם לא ״עסק רפואי״ — איפה יושבות הצהרות בריאות, אישורי מחלה, שאלוני פציעות או נתוני בריאות? מיפוי מאגרים הוא הצעד הראשון.
2. החליטו לאיזו רמת אבטחה שייך המאגר — מידע רפואי מתחיל ברמה בינונית; ספרו בעלי הרשאה ונושאי מידע.
3. צמצמו למטרה. מעסיק וסוכן ביטוח — מחקו מידע רפואי שאינו דרוש למטרה; אל תשמרו ״ליתר ביטחון״.
4. סגרו את ערוץ הוואטסאפ. אל תשלחו מסמכים רפואיים בערוצים כלליים; הפעילו ערוץ מאובטח והחתימו על הסכמה לערוץ.
5. הפעילו אימות רב-שלבי (MFA) על כל מערכת שמכילה מידע בריאות — מייל, מערכת מנויים, ענן.
6. חשבון אישי לכל עובד והרשאות לפי תפקיד; בטלו סיסמאות משותפות ויומן גישות מופעל.
7. בדקו הסכמי ספקים והעברה לחו״ל. יש הסכם עיבוד מול ספק הענן/התוכנה? היכן יושב המידע פיזית?
8. בנו נוהל תגובה ודיווח. מאגר ברמה בינונית/גבוהה חייב לדווח על אירוע אבטחה חמור לרשות באופן מיידי (טופס מקוון של משרד המשפטים) ולמערך הסייבר במוקד 119.
9. הכינו תשובה לפניית עיון. מטופל/משתמש רשאי לבקש את המידע עליו — ודאו שיש תהליך ולוח זמנים.
10. קבעו אחראי. בין אם חובת ממונה הגנת פרטיות (DPO) חלה עליכם ובין אם לא — לנושא חייבת להיות כתובת אחת.

השורה התחתונה

מידע רפואי לא שייך רק לבתי חולים. ברגע שאספתם נתון על גופו או נפשו של אדם — מבטח, מעסיק, חדר כושר, אפליקציה או מטפל משלים — אתם מחזיקים מידע בעל רגישות מיוחדת, עם עיצומים כפולים תחת תיקון 13 ולעיתים חובת סודיות עצמאית מחוק זכויות החולה. שלושת הכללים שמכסים את רוב הדרך: אספו רק את המינימום למטרה, שלחו רק בערוצים מאובטחים, ואבטחו לפי רמת האבטחה הנכונה. השאר — צ׳קליסט מסודר ואחראי אחד שמחזיק את הנושא.

*האמור במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי או מקצועי מחייב. תחולת החובות, סיווג רמת האבטחה והבסיס לעיבוד מידע רפואי תלויים בנסיבות הקונקרטיות של כל ארגון ומחייבים בחינה פרטנית.*