בתי חולים, קופות חולים, חברות פארמה, מכוני מחקר וחברות מד-טק נדרשים היום לא רק לטיפול רפואי מקצועי – אלא גם לניהול פרטיות מוקפד, שקוף ומתועד.
מאמר זה הוא השלישי בסדרה העוסקת בהשפעות תיקון 13 על אחריות ארגונית וביטוחית. לאחר שדנו בביטוח סייבר ובאחריות דירקטורים – כעת נצלול לתוך השדה המורכב של הגנת פרטיות בעולם הרפואה.
מידע רפואי = מידע רגיש במיוחד לפי תיקון 13
תיקון 13 לחוק הגנת הפרטיות מגדיר במפורש מידע רפואי, גנטי וביומטרי כ"מידע רגיש במיוחד". משמעות ההגדרה הזו היא שהאופן שבו מידע זה נאסף, נשמר, מעובד או מועבר – כפוף לסטנדרטים גבוהים יותר ולפיקוח משמעותי מצד הרשות להגנת הפרטיות.
בין הדרישות שמוחלות על גופים רפואיים ומדעיים:
- מינוי ממונה על הגנת פרטיות (DPO)
- נוהל אבטחת מידע מעודכן ופעיל
- חובת יידוע מדויקת ושקופה לנבדקים ולמטופלים
- חובת דיווח לרשות במקרה של מאגר הכולל מידע רגיש על יותר מ-100,000 איש
- אחריות של הנהלה ודירקטוריון לניהול הסיכונים
אילו גופים נמצאים בקו החזית?
בין אם מדובר במוסד ציבורי או גוף עסקי, האחריות נמדדת לפי היקף וסוג המידע, לא לפי הגדרה משפטית. אלה חלק מהגופים שחשופים במיוחד:
בתי חולים, מרפאות וקופות חולים
המידע הרפואי שבידיהם כולל תיקים רפואיים, תוצאות בדיקות, מידע גנטי ומידע על מצבים פסיכולוגיים. דליפה או עיבוד לא תקין עלולים לחשוף את הגוף לתביעה ייצוגית או קנס רגולטורי.
חברות פארמה ומד-טק
המידע נאסף במסגרת פיתוח תרופות, ניסויים קליניים או שימוש במכשור רפואי. במקרים רבים מעורבים גם חוקרים, נותני חסות (Sponsors) וחברות CRO.
מכוני מחקר רפואי ואקדמי
איסוף ועיבוד מידע במסגרת מחקר עלול להיתפס כהפרה אם לא התקבל אישור מודע, אם לא מונו בעלי תפקידים מתאימים או אם האבטחה לקויה.
חברות טכנולוגיה רפואית ודיגיטלית (HealthTech, Remote Health, Telemedicine)
חברות שמפעילות אפליקציות רפואיות או מערכות ניטור דיגיטליות – לעיתים ללא מודעות לכך שהן כפופות לרגולציית פרטיות ברמה הגבוהה ביותר.
תרחישים שממחישים את הסיכון
- דליפת תיקים רפואיים מהענן: מערכת רפואית בשירות SaaS נפרצה, וכתוצאה מכך דלפו נתונים על טיפולים, אבחנות ופרטי מטופלים.
- אפליקציה רפואית שאוספת מידע ללא יידוע: המשתמש לא מקבל הסבר מספק, ונתוניו מועברים לספקים חיצוניים. מדובר בהפרה ברורה לפי תיקון 13.
- מחקר קליני שמנוהל על ידי CRO ישראלי ללא תיעוד מתאים של הסכמה או תיעוד של אחריות פרטיות – המידע דולף והחברה נחקרת.
בכל אחד מהמקרים האלה – הרגולטור עשוי להטיל קנסות, הנפגעים עלולים לתבוע פיצוי, והמוניטין הארגוני נפגע.
נקודות למחשבה: איך נכון להיערך?
גופי רפואה, פארמה ומחקר נדרשים לשלב כוחות: משפט, פרטיות, טכנולוגיה והנהלה. אך גם שאלות של ביטוח וניהול סיכונים הן חלק בלתי נפרד מהתמונה.
ניסיון שנצבר בליווי גופים מתחום מדעי החיים מראה כי היערכות טובה כוללת בין היתר:
- התאמת ביטוח סייבר כך שיכלול מידע רגיש וסנקציות רגולטוריות
- ביטוח אחריות מקצועית לרשלנות בהליכי ניסוי או טיפול
- ביטוח מוצר למערכות ומכשור רפואי
- בחינה חוזרת של תהליכי עיבוד מידע והסכמות מול מטופלים ונבדקים
למידע נוסף על ביטוחים ייעודיים לעולם הבריאות, ניתן לעיין גם בדפי ההסבר באתר שלנו.
סיכום: פרטיות בבריאות היא לא רק חובה חוקית – היא מחויבות מקצועית
תיקון 13 משנה את יחסי הכוחות בין גוף מטפל למידע לבין נושא המידע. האחריות ברורה, הרף גבוה, והפיקוח מתהדק. ביטוח לא מחליף אחריות, אבל הוא חלק חשוב משרשרת הניהול.
אם אתם עוסקים במידע רפואי – זה הזמן לבחון לעומק את השאלה: האם אנחנו באמת מוכנים?
במאמר הבא בסדרה נעסוק בעולם היועצים – DPO, יועצי פרטיות, עורכי דין ומיישמי רגולציה. איך נראה הסיכון המקצועי שלהם בעידן של חקיקה מחמירה? ואילו ביטוחים עומדים מאחוריהם?