מדריך תיקון 13 למרפאה הפרטית

ב־5 באוגוסט 2024 אישרה הכנסת את חוק הגנת הפרטיות (תיקון מס׳ 13), התשפ״ד–2024, והוא נכנס לתוקף ב־14 באוגוסט 2025. לפי הרשות להגנת הפרטיות, זהו העדכון המקיף והמהותי ביותר לחוק מאז חקיקתו ב־1981 — התאמה של הדין הישראלי למציאות הדיגיטלית, לאיומי הסייבר, ולסטנדרטים האירופיים שישראל מחויבת להם במסגרת מעמד ה־Adequacy מול האיחוד האירופי.

אלה השינויים המרכזיים, בשפה של בני אדם:

• הגדרות חדשות ורחבות. ׳מידע אישי׳ הוא עכשיו כל נתון על אדם מזוהה או שניתן לזהותו, ו׳מידע בעל רגישות מיוחדת׳ החליף את ׳מידע רגיש׳ — ומידע רפואי נמצא בראש הרשימה.
• ביטול כמעט מלא של חובת רישום מאגרים במגזר הפרטי, ובמקומה חובת הודעה לרשות רק על מאגרים גדולים במיוחד (מעל 100,000 נושאי מידע רגיש).
• חובת מינוי ממונה על הגנת הפרטיות (DPO) בגופים ציבוריים ובארגונים שפעילותם מסוכנת לפרטיות — בתי חולים וקופות חולים נזכרים בחוק במפורש.
• איסורים חדשים על עיבוד מידע: אסור לעבד מידע שלא למטרת המאגר, אסור לעבד בלי הרשאה מבעל השליטה במאגר, ואסור לעבד מידע שנאסף שלא כדין.
• אכיפה מנהלית ועיצומים כספיים. לראשונה הרשות רשאית להטיל עיצומים בעצמה — במאגרים גדולים הסכומים מגיעים למיליוני שקלים להפרה.
• פיצוי ללא הוכחת נזק של עד 10,000 ₪ למטופל שזכויותיו הופרו, וביטול ההתיישנות המקוצרת: במקום שנתיים, אפשר לתבוע עד שבע שנים אחורה.
• עבירות פליליות חדשות, ובהן עיבוד מידע ממאגר בלי הרשאה — עבירה שדינה עד שלוש שנות מאסר.

השורה התחתונה: החוק עבר מכללי התנהגות שכמעט לא נאכפו — למערכת עם שיניים. וההיקף שלו לא תלוי בגודל העסק: הוא חל מהמטפל היחיד ועד בית החולים, כשהחובות מדורגות לפי גודל המאגר ורגישותו.

כי לפי ההגדרה החדשה, ׳מאגר מידע׳ הוא כל ׳אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי׳ למטרות עסק. אין רף מינימלי של כמות מטופלים. קובץ אקסל עם פרטי מטופלים, תוכנת ניהול קליניקה, תיקיית סריקות במחשב, ואפילו התכתבויות מייל שמרכזות מידע על מטופלים — כל אלה מאגר מידע לפי החוק, וכל החובות חלות עליהם.

יש כאן גם בשורה טובה: חובת הרישום ההיסטורית, שחייבה כמעט כל עסק לרשום את המאגר שלו אצל רשם מאגרי המידע, בוטלה כמעט לחלוטין למגזר הפרטי. חובת ההודעה החדשה לרשות חלה רק על מאגרים עם מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם — היקף שמרפאה פרטית טיפוסית לא מתקרבת אליו. כלומר: רוב הקליניקות הפרטיות פטורות גם מרישום וגם מהודעה.

אבל — והרשות מדגישה את זה במדריך הרשמי שלה — הפטור מרישום אינו פטור משום חובה אחרת. חובת היידוע, צמידות המטרה, זכות העיון והתיקון, ותקנות אבטחת המידע חלות על המרפאה במלואן, גם אם יש בה 80 מטופלים בלבד. ההבדל בין קליניקה קטנה לארגון גדול הוא בהיקף הדרישות ובגובה העיצומים — לא בעצם התחולה.

תיקון 13 קובע רשימה סגורה של סוגי מידע בעל רגישות מיוחדת, ותיק מטופל טיפוסי נופל בכמה קטגוריות בבת אחת:

• מידע על מצב בריאותו של אדם, כולל מידע רפואי כהגדרתו בחוק זכויות החולה — ליבת התיק הרפואי.
• הערכת אישיות שנערכה בידי גורם מקצועי — רלוונטי במיוחד לפסיכולוגים, פסיכותרפיסטים ומטפלים רגשיים.
• מידע שחלה עליו חובת סודיות שנקבעה בדין — כמעט כל מה שנאמר בחדר הטיפולים.
• מידע גנטי, מזהים ביומטריים, מידע על צנעת חיי המשפחה ונטייה מינית, מידע על עבר פלילי, מוצא, דעות פוליטיות ואמונות, נתוני שכר ופעילות פיננסית, ונתוני מיקום מסוימים.

לסיווג הזה יש משמעות כספית מיידית: בכל מנגנוני העיצומים של התיקון, התעריף לנושא מידע מוכפל כשמדובר במאגר עם מידע בעל רגישות מיוחדת — 8 ₪ במקום 4 ₪ לאדם בהפרות עיבוד, 100 ₪ במקום 50 ₪ לאדם בהפרות יידוע, וסכומי המינימום קופצים בהתאם. מרפאה היא, כמעט בהגדרה, המקרה המחמיר של החוק.

מעבר לכסף, הסיווג משפיע גם על רמת אבטחת המידע הנדרשת לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017: מאגר שיש בו מידע רפואי מסווג ככלל לרמת אבטחה בינונית לפחות — אלא אם הוא ׳מאגר המנוהל בידי יחיד׳, ועל כך בהמשך.

אלו החובות שרלוונטיות בפועל לקליניקה פרטית, מהשכיחה למורכבת:

1. חובת יידוע מורחבת (סעיף 11). כשאתם מבקשים ממטופל פרטים — בטופס קליטה, בטלפון או באתר — חובה למסור לו: האם חלה עליו חובה חוקית למסור את המידע או שהמסירה תלויה בהסכמתו ומה תוצאת הסירוב; לאיזו מטרה המידע מבוקש; למי הוא יימסר; ושיש לו זכות לעיין במידע וזכות לבקש את תיקונו. שני הרכיבים האחרונים חדשים בתיקון 13 — רוב טופסי הקליטה הישנים לא כוללים אותם.

2. צמידות מטרה והרשאות גישה (סעיף 8). מותר לעבד מידע רק למטרה שלשמה נאסף — טיפול ומעקב רפואי. שימוש בתיק מטופל למטרה אחרת, או גישה של מי שלא הוסמך לכך (מזכירה לשעבר שהסיסמה שלה עדיין פעילה, למשל), הם הפרה עצמאית — וגם עבירה פלילית שדינה עד שלוש שנות מאסר במקרים של עיבוד ללא הרשאה.

3. זכות עיון ותיקון (סעיפים 13–14). מטופל רשאי לעיין במידע שנשמר עליו ולבקש לתקן או למחוק מידע שגוי. סירוב שלא כדין, או אי־מענה, חושפים אתכם לעיצום של 15,000 ₪ ולתביעת פיצוי ללא הוכחת נזק. צריך נוהל פשוט: מי מקבל את הבקשה, איך מפיקים עותק מהתיק, ותוך כמה זמן עונים.

4. אבטחת מידע לפי תקנות 2017. התקנות מחייבות, בין היתר, מסמך הגדרות מאגר, נוהל אבטחה, ניהול הרשאות גישה, אבטחת חיבור לרשת ותיעוד אירועי אבטחה. יש הקלה משמעותית לקטנים: ׳מאגר המנוהל בידי יחיד׳ — מאגר של יחיד (או תאגיד בבעלות יחיד) שבו לכל היותר שלושה מורשי גישה — כפוף לחובות מצומצמות ולעיצומים מופחתים. מטפל שעובד לבד או עם מזכירה אחת נכנס בדרך כלל להגדרה הזו.

5. ממונה על הגנת הפרטיות (DPO). החובה חלה על גופים ציבוריים, על סוחרי מידע, ועל מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — החוק מונה במפורש בנקים, חברות ביטוח, בתי חולים וקופות חולים. קליניקה של מטפל יחיד או שניים אינה עונה בדרך כלל על מבחן ההיקף הניכר, אבל זו הערכה שצריך לעשות ביושר מול גילוי הדעת של הרשות — במיוחד במרפאות מרובות מטפלים.

6. דיווח על אירוע אבטחה חמור. מאגרים ברמת אבטחה בינונית וגבוהה חייבים לדווח לרשות על אירוע אבטחה חמור; אי־דיווח הוא הפרה עם עיצום משמעותי. גם מי שפטור פורמלית — תיעוד פנימי של כל אירוע הוא חובה לפי התקנות, ופשוט התנהלות נכונה.

הכותרות דיברו על ׳קנסות של מיליונים׳, וזה נכון — למאגרי ענק. המנגנון בנוי כמכפלה: תעריף לכל נושא מידע, כפול מספר האנשים במאגר, עם רצפות מינימום. במדריך הרשמי הרשות נותנת דוגמה: עיבוד בחריגה מהרשאה במאגר רגיש של 200,000 איש — עיצום של 1.6 מיליון ₪. מרפאה פרטית לא שם, אבל סכומי המינימום דווקא כן רלוונטיים אליה: 200,000 ₪ מינימום בהפרות עיבוד שלא כדין, 30,000 ₪ מינימום בהפרות יידוע במידע רגיש, ו־15,000 ₪ על פגיעה בזכות העיון.

מנגד, החוק בנה מדרגות הגנה לעסקים קטנים: הרשות רשאית להפחית עיצום עד 70% בנסיבות מקלות (הפרה ראשונה, הפסקה יזומה ודיווח, פעולות מתקנות); לעסקים זעירים (מחזור עד 4 מיליון ₪) וקטנים (4–10 מיליון ₪) נקבעו תקרות ייעודיות; ובכל מקרה עיצום כולל לא יעלה על 5% מהמחזור השנתי. בהפרות של תקנות אבטחת מידע, מאגר המנוהל בידי יחיד חשוף לעיצומים של 1,000–2,000 ₪ בלבד לרוב ההפרות — לעומת עשרות ומאות אלפים במאגרים גדולים.

אבל החשיפה שהכי כדאי לקחת ברצינות היא דווקא האזרחית: פיצוי של עד 10,000 ₪ ללא הוכחת נזק, לכל מטופל, על הפרות כמו אי־מתן זכות עיון, אי־תיקון מידע שהוסכם לתקנו, או איסוף מידע בלי הודעת יידוע כדין. תקופת ההתיישנות התארכה משנתיים לשבע שנים. מטופל לא מרוצה עם עורך דין הוא תרחיש הרבה יותר סביר למרפאה קטנה מביקורת פתע של הרשות — והתיקון נתן לו עילה נוחה ומחיר נמוך לתביעה.

אפשר לעבור על הרשימה הזו בשבוע עבודה אחד. רובה לא דורשת ייעוץ חיצוני:

• 1. מפו את המידע. כתבו רשימה: איפה יושב כל פרט על מטופלים — תוכנת ניהול, אקסל, מייל, וואטסאפ, סריקות, ניירת, ענן. אי אפשר להגן על מה שלא יודעים שקיים.
• 2. צמצמו. מחקו מידע שאינו נדרש עוד לטיפול ולחובות שמירת רשומות, והסירו מטופס הקליטה שדות שאתם לא באמת צריכים. פחות מידע = פחות חשיפה.
• 3. עדכנו את טופס הקליטה לפי חובת היידוע המורחבת: מטרת האיסוף, למי יימסר המידע, האם המסירה חובה או בהסכמה ומה תוצאת סירוב, וציון זכות העיון וזכות התיקון.
• 4. הכינו מסמך הגדרות מאגר (דרישת תקנה 2 לתקנות אבטחת מידע): מה יש במאגר, למה הוא משמש, מי מורשה לגשת, ומהם הסיכונים העיקריים. עמוד־שניים מספיקים לקליניקה קטנה.
• 5. כתבו נוהל אבטחה קצר: איך נכנסים למערכת, מה עושים כשעוזב עובד, איך מגבים, ומה עושים באירוע חריג.
• 6. הצפינו ונעלו. הצפנת דיסק מלאה למחשב (BitLocker ב־Windows), סיסמה חזקה וייחודית, נעילת מסך אוטומטית, ועדכוני מערכת הפעלה שוטפים.
• 7. סדרו הרשאות גישה. לכל מי שניגש לתיקים — משתמש משלו. בטלו מיד הרשאות של מי שסיים לעבוד אצלכם. עד שלושה מורשי גישה — אתם כנראה ׳מאגר המנוהל בידי יחיד׳, עם חובות מופחתות.
• 8. גבו באופן מוצפן, ושמרו עותק גיבוי במקום נפרד מהמחשב עצמו. בדקו אחת לתקופה שהשחזור באמת עובד.
• 9. קבעו נוהל עיון ותיקון: מי מטפל בבקשת מטופל לעיין בתיקו, איך מפיקים עותק, ואיך מתעדים את המענה. אל תשאירו את זה לאלתור ברגע האמת.
• 10. בדקו את הספקים. אם התיקים בענן — הספק הוא ׳מחזיק׳ לפי החוק: ודאו הסכם עיבוד, בררו איפה השרתים, וזכרו שחובת הבקרה על גורם חיצוני מוטלת עליכם. אם התוכנה מקומית — ודאו שהיא מצפינה ומגבה. בחירת תוכנה היא החלטת פרטיות, לא רק החלטת נוחות — הרחבנו על זה במדריך לבחירת תוכנה לניהול קליניקה.
• 11. בדקו חובות מינוי ודיווח: האם אתם קרובים למבחן ׳היקף ניכר׳ שמחייב ממונה הגנת פרטיות? האם המאגר שלכם ברמת אבטחה בינונית שמחייבת דיווח על אירוע חמור? במקרה גבולי — שאלו עורך דין, או פנו לרשות לחוות דעת מקדמית (מנגנון חדש של תיקון 13).
• 12. תעדו הכול והדריכו. שמרו תיעוד של הצעדים שעשיתם ושל אירועי אבטחה, וקבעו ריענון שנתי קצר לעצמכם ולצוות. בבוא ביקורת או תביעה, תיעוד של היערכות סבירה שווה הרבה.

תיקון 13 לא אוסר ענן ולא מחייב אחסון מקומי — הוא אדיש לארכיטקטורה. אבל הבחירה איפה יושבים תיקי המטופלים קובעת איך נראית שרשרת האחריות שלכם, ולכן שווה להבין את שני הצדדים ביושר.

אחסון בענן אומר שספק חיצוני מחזיק את המידע עבורכם — ׳מחזיק׳ במונחי החוק. היתרונות אמיתיים: ספק ענן רציני משקיע באבטחה יותר ממה שמרפאה בודדת תשקיע אי פעם, הגיבוי מובנה, והמידע שורד גם אם המחשב בקליניקה נגנב או נשרף. החסרונות גם הם אמיתיים: המידע הרגיש ביותר שלכם יושב אצל צד שלישי, אתם נדרשים להסכם עיבוד ולבקרה על הספק (חובה לפי תקנה 15 לתקנות אבטחת מידע), פריצה אחת אצל הספק חושפת בבת אחת את כל לקוחותיו, ולעיתים השרתים בחו״ל — שאלה שצריך לברר, לא להניח.

אחסון מקומי אומר שהמידע נשאר על המחשב במרפאה בלבד. היתרונות: שרשרת האחריות מתקצרת לחוליה אחת שבשליטתכם, אין מסד נתונים מרוחק שאפשר לתקוף, אין תלות בספק כדי לגשת לתיקים, ואין צד שלישי שמחזיק עותק. החסרונות: כל האחריות התפעולית עליכם — הצפנה, גיבוי, גניבה, שריפה, קשיחות שמתה. מחשב מקומי לא מוצפן וללא גיבוי הוא מסוכן יותר מענן טוב; הגישה המקומית עובדת רק כשמלווים אותה בהצפנה ובגיבוי מוצפן שנשמר בנפרד.

השורה התחתונה המאוזנת: שתי הארכיטקטורות יכולות לעמוד בדרישות, ושתיהן יכולות להיכשל. ההבדל הוא סוג העבודה — בענן אתם מנהלים ספק וחוזה; במקומי אתם מנהלים מחשב וגיבוי. ובשקיפות מלאה: אנחנו, כותבי המדריך, מפתחים את ClinicFlow — תוכנה שמיישמת את הגישה המקומית, עם הצפנה וגיבוי מוצפן מובנים. איך זה עובד בפועל אפשר לקרוא בעמודים תוכנה לניהול קליניקה תואמת תיקון 13 ותוכנה אופליין לניהול קליניקה — אבל הצ׳קליסט שלמעלה נכון לכל תוכנה שתבחרו.

כמה דברים חשוב לומר בקול רם. ראשית, התחום ממשיך לזוז: הרשות להגנת הפרטיות מפרסמת גילויי דעת והנחיות חדשות מאז כניסת התיקון לתוקף, וצפויים גם תיקוני חקיקה נוספים. מה שנכון ליולי 2026 עשוי להתעדכן — עקבו אחרי אתר הרשות (המקורות למטה).

שנית, המדריך לא נכנס לחובות מקצועיות מקבילות שחלות עליכם ממילא — חובת שמירת רשומות לפי חוק זכויות החולה, כללי אתיקה מקצועיים, וחובות סודיות ספציפיות למקצועות הטיפול. תיקון 13 מתווסף אליהן, לא מחליף אותן.

והכי חשוב: המדריך הזה אינו ייעוץ משפטי. הוא נכתב על ידי צוות ClinicFlow — חברת תוכנה, לא משרד עורכי דין — כשירות לקהילת המטפלים, על בסיס הפרסומים הרשמיים של הרשות להגנת הפרטיות. ההחלטות הרגולטוריות של המרפאה שלכם תלויות בנסיבות הספציפיות שלה: מספר מטופלים, מבנה העסקה, ספקים וסוגי מידע. לפני החלטות מהותיות — התייעצו עם עורך דין המתמחה בהגנת פרטיות, או שקלו פנייה לרשות לקבלת חוות דעת מקדמית.