מאגר המטופלים של מרפאה כפוף לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שנכנסו לתוקף ב-8.5.2018. מאגר עם מידע רפואי נמצא בדרך כלל לפחות ברמת אבטחה בינונית: נוהל כתוב, הרשאות לפי צורך, תיעוד גישה שנשמר 24 חודשים וביקורת אחת ל-24 חודשים. ומאז 14.8.2025, כשתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף, הפרה של חובות כאלה עלולה לעלות בקנס מנהלי — ברמה הבינונית 40,940 ₪ על היעדר תיעוד גישה ו-81,890 ₪ על אי-דיווח על אירוע אבטחה חמור (סכומי 2026).
באיזו רמת אבטחה נמצא המאגר שלכם
התקנות מחלקות מאגרים לרמות אבטחה, ולכל רמה חובות משלה. מאגר של מרפאה לעולם אינו "מאגר המנוהל בידי יחיד", המסלול הקל ביותר, כי מסלול זה אינו חל על "מאגר מידע הכולל מידע שבעל המאגר כפוף בשלו לחובת סודיות מקצועית". מכאן הדירוג:
| המרפאה | רמת האבטחה |
|---|---|
| עד 10 בעלי הרשאה | בסיסית |
| 11–100 בעלי הרשאה, ופחות מ-100,000 מטופלים | בינונית |
| יותר מ-100 בעלי הרשאה, או 100,000 מטופלים ומעלה | גבוהה |
מאגר עם "מידע רפואי או מידע על מצבו הנפשי של אדם" נמצא ברמה בינונית (התוספת הראשונה, פרט 1(3)(ב)), אלא אם "מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על עשרה" (פרט 2(2)) — ואז ברמה בסיסית. הרמה הגבוהה קבועה בתוספת השנייה. ספק התוכנה הוא "מחזיק", ועובדיו אינם נספרים בין בעלי ההרשאה של המרפאה.
מה התקנות דורשות
החובות שרלוונטיות למרפאה, והרמה שממנה כל אחת חלה:
| חובה | תקנה | חלה מרמה |
|---|---|---|
| מסמך הגדרות מאגר, שנבדק כל שנה עד 31.12 | 2 | בסיסית |
| נוהל אבטחת מידע כתוב | 4 | בסיסית |
| בדיקת עובדים והדרכה לפני מתן גישה | 7(א)–(ב) | בסיסית |
| הרשאות לפי צורך לדעת, ורשימת הרשאות מעודכנת | 8 | בסיסית |
| ביטול הרשאה כשתפקיד מסתיים | 9(ג) | בסיסית |
| תיעוד של כל אירוע אבטחה | 11(א)–(ב) | בסיסית |
| הגבלת מכשירים ניידים, ועדכוני תוכנה | 12, 13 | בסיסית |
| הצפנה ברשת ציבורית, והזדהות בגישה מרחוק | 14 | בסיסית |
| הסכם בכתב עם ספק חיצוני, ופיקוח עליו | 15 | בסיסית |
| הדרכה תקופתית, לפחות אחת לשנתיים | 7(ג) | בינונית |
| הזדהות: סיסמה חזקה, הגבלת ניסיונות, החלפה לפחות כל 6 חודשים, ניתוק אוטומטי | 9(ב) | בינונית |
| גישה מרחוק באמצעי פיזי שבשליטת המשתמש בלבד | 14(ג) | בינונית |
| תיעוד גישה אוטומטי, שנשמר 24 חודשים לפחות | 10 | בינונית |
| דיווח מיידי על אירוע אבטחה חמור | 11(ד) | בינונית |
| ביקורת פנימית או חיצונית אחת ל-24 חודשים | 16 | בינונית |
| גיבוי נתוני האבטחה, ונוהלי גיבוי ושחזור | 17(ב), 18(א) | בינונית |
שלוש מחובות הרמה הבינונית דורשות תשומת לב מיוחדת:
- תיעוד גישה (תקנה 10). תיעוד אוטומטי של "זהות המשתמש, התאריך והשעה של ניסיון הגישה, רכיב המערכת… סוג הגישה, היקפה, ואם הגישה אושרה או נדחתה". הוא צריך להיות מוגן מפני שינוי, להיבדק באופן שוטף עם דוח בכתב ולהישמר 24 חודשים לפחות, והמשתמשים צריכים לדעת שהוא קיים.
- ביקורת (תקנה 16). אחת ל-24 חודשים, פנימית או חיצונית, בידי גורם מוסמך שאינו הממונה על האבטחה.
- אירוע אבטחה חמור (תקנה 11(ד)). מדווחים לרשות מיד, יחד עם הצעדים שננקטו; לפי החוק המתוקן, הדיווח מוגש ל"ראש הרשות". לפי עמדת רשות הגנת הפרטיות, סיכום טיפול שנשלח בטעות לגורם חיצוני לא מורשה הוא "אירוע אבטחה חמור".
גם חוזר 9/2019 של משרד הבריאות קובע ש"חל איסור מוחלט על גישה לרשומת מטופל ללא הרשאה או שלא לצורך טיפול בו" (על חובת התיעוד הרפואי). לעומת זאת, מרפאה טיפוסית אינה חייבת למנות ממונה על אבטחת מידע: לפי סעיף 17ב לחוק הגנת הפרטיות, החובה חלה על בעל שליטה או מחזיק של חמישה מאגרים החייבים ברישום או בהודעה, על גוף ציבורי ועל בנק, חברת ביטוח או חברת דירוג אשראי. האחריות לאבטחת המידע מוטלת גם על בעל השליטה במאגר וגם על המחזיק (סעיף 17(א)).
ספק התוכנה הוא "מחזיק": מה צריך להיות בהסכם
תיקון 13 מגדיר "מחזיק" כ"גורם חיצוני לבעל השליטה… המעבד בעבורו מידע". ספק תוכנה בענן (SaaS) שמחזיק את רשומות המרפאה הוא מחזיק, ותקנה 15 חלה על ההתקשרות איתו בכל רמת אבטחה:
- הערכת סיכונים לפני ההתקשרות.
- הסכם בכתב: אילו נתונים ולאילו מטרות, אילו מערכות, החזרה או השמדה בסיום, סודיות של עובדי הספק, קבלני משנה, דוח שנתי על עמידה בהסכם והודעה על אירועי אבטחה.
- פיקוח שוטף לאורך ההתקשרות.
החובה אינה חלה בהתקשרות עם יחיד. והרשות בודקת את זה בפועל: בביקורת על 23 גופים שמפעילים כ-300 מכונים ומעבדות רפואיות, שדווחה ב-11.5.2020, נמצאו הסכמי מיקור חוץ שאינם עומדים בדרישות והיעדר סינון של עובדים חדשים (מעריב). בתחום הניתוחים הקוסמטיים דווחה ב-12.3.2024 רמת עמידה נמוכה (אייס). שאלות לספק לפני החתימה — במדריך לבחירת תוכנה לניהול מרפאה.
תיקון 13: מה השתנה ב-14.8.2025
תיקון 13 לחוק הגנת הפרטיות התקבל ב-5.8.2024, פורסם בספר החוקים 3287 ב-14.8.2024, ונכנס לתוקף שנה מיום פרסומו, ב-14.8.2025 (סעיף 74(א)). שלושה שינויים נוגעים ישירות למרפאות.
מידע רפואי הוא "מידע בעל רגישות מיוחדת". ההגדרה כוללת "מידע אישי המתייחס למצב בריאותו של אדם, ובכלל זה מידע רפואי כהגדרתו בחוק זכויות החולה".
רישום מאגרים צומצם. לפי סעיף 8א, רק מאגרים של סוחרי מידע (מעל 10,000 איש) וגופים ציבוריים חייבים ברישום. מאגר אחר עם מידע ברגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות תוך 30 יום, בצירוף מסמך הגדרות המאגר ופרטי הממונה על הגנת הפרטיות. כך שרוב המרפאות הפרטיות כבר אינן נרשמות; רישום קיים נשאר, אלא אם הבעלים מבקשים להסיר אותו (סעיף 76).
ממונה על הגנת הפרטיות (DPO). סעיף 17ב1 מחייב מינוי בגופים ציבוריים ובמחזיקים שלהם, אצל סוחרי מידע (מעל 10,000 איש), בגופים שמנטרים אנשים באופן שיטתי בהיקף משמעותי, ואצל בעל שליטה או מחזיק "שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר" — החוק מזכיר בנק, מבטח, בית חולים כללי וקופת חולים. הממונה יכול להיות חיצוני, הוא כפוף למנכ"ל, ואסור שיהיה בניגוד עניינים (סעיף 17ב3).
ב-14.7.2026 פרסמה הרשות חוות דעת סופית על מינוי ממונים. לפי עדכון של משרד עורכי הדין גורניצקי מ-16.7.2026: אין רף מספרי, וכל מקרה נבחן לגופו; אצל מחזיק, ההיקף נספר על פני המאגרים של כל לקוחותיו (בדוגמה שהובאה, 1,000 מאגרים של 100 נושאי מידע כל אחד הם היקף ניכר); רק אדם, ולא חברה, יכול לשמש ממונה; מנהל ה-IT נמצא בדרך כלל בניגוד עניינים; ומינוי וולונטרי מומלץ. אם מרפאה פרטית מסוימת או רשת מוקדים מגיעה ל"היקף ניכר" — זה עדיין לא הוכרע. מרפאת יחיד כנראה לא; רשתות גדולות וספקי SaaS — ייתכן שכן.
הקנסות: הסכומים של 2026
הקנסות המנהליים קבועים בסעיף 23כו ובתוספות השלישית עד החמישית, לפי רמת האבטחה. הסכומים מתעדכנים בכל 1 בינואר, והעדכון הראשון היה ב-2026. ההפרות הרלוונטיות ביותר למרפאה:
| הפרה | רמה בסיסית | רמה בינונית (2026) |
|---|---|---|
| אין נוהל אבטחת מידע | 2,000 ₪ | 40,940 ₪ |
| אין הסכם עם ספק חיצוני, או אין פיקוח עליו | 4,000 ₪ | 81,890 ₪ |
| אין מנגנון תיעוד גישה | החובה לא חלה | 40,940 ₪ |
| לא דווח אירוע אבטחה חמור | החובה לא חלה | 81,890 ₪ |
ברמה הגבוהה הסכומים ל-2026 הם 163,780 ₪ על היעדר תיעוד גישה, ו-327,560 ₪ על אי-דיווח על אירוע חמור או על היעדר הסכם עם ספק. עוד שני קנסות (2026): 15,350 ₪ על סירוב לאפשר לאדם לעיין במידע עליו; ועל עיבוד מעבר למטרה או בלי הרשאה, 4 ₪ לכל אדם (8 ₪ למידע ברגישות מיוחדת), ולא פחות מ-204,720 ₪.
לעסקים קטנים נקבעו תקרות (התוספת החמישית, סכומי 2026): ל"עסק זעיר", עם מחזור של עד 4 מיליון ₪, 20,470 ₪ או 51,180 ₪ לפי סוג ההפרה; ל"עסק קטן", עם מחזור של 4–10 מיליון ₪, 40,940 ₪ או 102,360 ₪. לבקשת המפר, הקנס מוגבל ל-5% מהמחזור, ויש הפחתות — למשל 30% למי שהפסיק את ההפרה ודיווח עליה בעצמו.
ומעבר לקנס: מפקחים רשאים לדרוש מסמכים והעתקי חומר מחשב ולהיכנס לחצרים (סעיף 23י), ובית משפט רשאי לפסוק פיצוי לדוגמה של עד 10,000 ₪ בלי הוכחת נזק (סעיף 15א), למשל על סירוב לבקשת עיון.
ענן: חוזר 2/2021 והמלצות הרשות
חוזר המנהל הכללי 2/2021, "שימוש במחשוב ענן במערכת הבריאות" (21.2.2021), חל על "ארגון בריאות" — "מרפאה, קופת חולים או בית חולים". לא מצאנו חוזר שהחליף אותו. עיקריו:
- אין חובה גורפת לאחסן בישראל. "ככלל, ניתן לעשות שימוש במחשוב ענן הנמצא במדינה שעומדת בדרישות תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001". התקנות דורשות הגנה "שאינה פחותה" מזו שבישראל או אחד החריגים שבהן, ותמיד התחייבות בכתב של המקבל. נספח ב' לחוזר מונה צווים של בתי משפט זרים כסיכון.
- הצפנה. "על המידע של הארגון להיות מוצפן (לפחות בפרוטוקול AES256) בעת העברתו בתקשורת וכן כאשר הוא מאוחסן במערכת שאינה לשימושו הבלעדי של הארגון (Multi-Tenancy)". עדיף שהמפתחות יהיו בידי הארגון.
- הסכם. "ארגון בריאות לא יעשה שימוש במחשוב ענן אלא אם נחתם הסכם התקשרות… וכל עוד ההסכם… בתוקף." ההסכם מסדיר חלוקת אחריות, אמצעי אבטחה, זכות ביקורת (גם על קבלני משנה), דיווח על אירועים, יציאה, החזרת המידע ומחיקתו, והמשכיות עסקית. לארגון צריכה להיות "בעלות מלאה על המידע", ואת הספק בוחנים מחדש לפחות אחת לשנתיים.
- דיווח. על כל שימוש חדש בענן מדווחים לממונה אבטחת המידע במשרד הבריאות (infosec@moh.gov.il) תוך 30 יום מהחתימה, ואת תיעוד האישור שומרים 7 שנים לפחות מסיום השימוש.
- ממשל. מדיניות ענן שאישרה ההנהלה, ועדת ענן של 3 חברים לפחות ובחינה מתועדת לפני המעבר. איך דרישת הוועדה חלה על מרפאת יחיד — לא ברור.
המלצות רשות הגנת הפרטיות (5.3.2024)
במסמך "הגנה על פרטיות מטופלים בהעברת מידע רפואי באמצעים דיגיטליים" נתנה הרשות כמה המלצות מעשיות:
- לא לשמור מידע על מטופלים בגיבוי ענן שאינו ייעודי, כמו "Google Drive או Dropbox".
- להעביר את המידע למערכות ייעודיות ולמחוק אותו מהמכשירים.
- ניהול מכשירים ניידים (MDM), סיסמאות חזקות ואימות דו-שלבי.
- החלפת סיסמאות לפחות כל 6 חודשים, ונעילה אוטומטית אחרי 30 שניות.
רשימת בדיקה למרפאה
- ספרו בעלי הרשאה (בלי עובדי הספק) ומטופלים, וקבעו את רמת האבטחה. בספק — עבדו לפי דרישות הרמה הבינונית.
- כתבו מסמך הגדרות מאגר (בדיקה שנתית עד 31.12) ונוהל אבטחת מידע, כולל טיפול באירועים ובמכשירים ניידים.
- נהלו רשימת הרשאות לפי צורך לדעת, ובטלו הרשאה כשתפקיד מסתיים.
- הדריכו כל עובד לפני שהוא מקבל גישה, וברמה הבינונית — לפחות אחת לשנתיים.
- ברמה הבינונית: ודאו שיש תיעוד גישה שנשמר 24 חודשים, ושמישהו בודק אותו ומתעד בכתב.
- חתמו עם ספק התוכנה על הסכם לפי תקנה 15, ואם הוא בענן — גם לפי חוזר 2/2021.
- על שימוש חדש בענן, דווחו למשרד הבריאות תוך 30 יום מהחתימה.
- הכינו נוהל לאירוע אבטחה חמור, כולל סיכום טיפול שנשלח לנמען שגוי.
- ברמה הבינונית: קבעו ביקורת אחת ל-24 חודשים, בידי מי שאינו הממונה על האבטחה.
- אל תשמרו מידע על מטופלים ב-Google Drive או ב-Dropbox.
איך זה נראה ב-QCare
QCare רצה ב-Microsoft Azure באזור Israel Central, והגיבויים נשמרים בישראל. התקשורת מוצפנת (HTTPS בלבד, TLS 1.2 ומעלה), מסדי הנתונים והקבצים מוצפנים באחסון, וכל מרפאה מקבלת מסד נתונים נפרד. ההרשאות נאכפות בשרת לפי תפקיד ומדיניות המרפאה — מזכירה, למשל, לא מקבלת את סיבת הביקור והאבחנה ברשימות — והמרפאה יכולה להפעיל "אימות דו-שלבי בכניסה" עם קוד ב-SMS. כל שינוי וכל צפייה במידע רפואי נרשמים ביומן ביקורת, וגם פעולה של צוות QCare בתוך מרפאה נרשמת שם כפעולה של הספק. מסמך הגדרות המאגר, הנוהל, ההדרכה והביקורת נשארים בידי המרפאה עצמה. הפירוט באבטחת המידע ב-QCare.
המידע במאמר הוא כללי, נכון למועד הכתיבה, ואינו ייעוץ משפטי. לשאלות על המקרה שלכם — פנו לעורך דין או לגורם המוסמך.