הרשות להגנת הפרטיות (להלן: "הרשות") פרסמה ביום 5 במרץ 2024, מסמך מדיניות בקשר להגנה על פרטיות מטופלים בהעברת מידע רפואי באמצעים דיגיטליים (להלן: "מסמך המדיניות").
מסמך המדיניות פורסם לאור תופעה שהתפתחה בשנים האחרונות במסגרתה גורמים המעניקים שירותי בריאות וטיפול רפואי (להלן: "גורמי רפואה") מעבירים, בין היתר, כחלק מהתקשרותם עם מטופלים וגורמי רפואה אחרים, מידע רפואי על אודות מטופלים באמצעות מכשירים דיגיטאליים (טלפונים חכמים, מחשבי כף יד, מחשבים ניידים) ובאמצעות תוכנות שאינן ייעודיות להעברת מידע רפואי (כגון Signal ;Telegram ;Gmail ;WhatsApp) והדבר עלול לפגוע בפרטיות מטופלים. מסמך המדיניות מתייחס להעברת מידע רפואי באמצעות (א) תוכנות ייעודיות להעברת מידע רפואי המותקנות במכשירים דיגיטליים אישיים-פרטיים של גורמי רפואה (להלן: "מכשירים פרטיים"); (ב) תוכנות לא ייעודיות המותקנות במכשירים דיגיטליים שבבעלות הארגון או המוסד הרפואי, ושנמצאים בשימוש, לרבות שימוש אישי, של גורמי רפואה (להלן: "מכשירים מוסדיים"); וכן (ג) תוכנות לא ייעודיות המותקנות במכשירים פרטיים של גורמי הרפואה. למשל, רופאת עור, שבמסגרת מתן טיפול רפואי, עשויה להעביר ממצאי בדיקות ותיעוד ויזואלי של גוף המטופל דרך ה-WhatsApp על מנת להתייעץ עם עמיתה.
מידע רפואי הוא מידע רגיש המצוי בליבת הפרטיות. משכך יש לאבטח מידע זה כנדרש ולצמצם, ככל האפשר, את חשיפתו. מסמך המדיניות מציג מספר סיכונים שונים הכרוכים בשימוש בתוכנות לא ייעודיות ובמכשירים פרטיים לצורך העברת מידע אישי, כגון אפשרות של דליפת נתונים, חשיפה בשוגג של המידע עקב טעות אנוש, גניבה אפשרית של מידע רגיש, וסיכון לשימוש לרעה על-ידי חברות מסחריות המספקות תשתיות להעברת מידע.
הרשות להגנת הפרטיות לא קבעה באופן מוחלט כי אין להעביר מידע רפואי באמצעות מכשירים דיגיטליים פרטיים או באמצעות תוכנות לא ייעודיות, אולם במסגרת מסמך המדיניות הרשות סיפקה המלצות בנושא זה וזאת בראי הגנת פרטיות המטופלים, ובכלל זה המליצה, בין היתר:
א. לצמצם את השימוש בתוכנות לא ייעודיות – על גורמי רפואה לצמצם, ככל האפשר, את השימוש של עובדיהם בתוכנות שאינן מיועדות להעברת מידע רפואי מזוהה, ולהימנע משמירת מידע כזה במכשירים פרטיים.
מסמך המדיניות פורסם לאור תופעה שהתפתחה בשנים האחרונות במסגרתה גורמים המעניקים שירותי בריאות וטיפול רפואי (להלן: "גורמי רפואה") מעבירים, בין היתר, כחלק מהתקשרותם עם מטופלים וגורמי רפואה אחרים, מידע רפואי על אודות מטופלים באמצעות מכשירים דיגיטאליים (טלפונים חכמים, מחשבי כף יד, מחשבים ניידים) ובאמצעות תוכנות שאינן ייעודיות להעברת מידע רפואי (כגון Signal ;Telegram ;Gmail ;WhatsApp) והדבר עלול לפגוע בפרטיות מטופלים. מסמך המדיניות מתייחס להעברת מידע רפואי באמצעות (א) תוכנות ייעודיות להעברת מידע רפואי המותקנות במכשירים דיגיטליים אישיים-פרטיים של גורמי רפואה (להלן: "מכשירים פרטיים"); (ב) תוכנות לא ייעודיות המותקנות במכשירים דיגיטליים שבבעלות הארגון או המוסד הרפואי, ושנמצאים בשימוש, לרבות שימוש אישי, של גורמי רפואה (להלן: "מכשירים מוסדיים"); וכן (ג) תוכנות לא ייעודיות המותקנות במכשירים פרטיים של גורמי הרפואה. למשל, רופאת עור, שבמסגרת מתן טיפול רפואי, עשויה להעביר ממצאי בדיקות ותיעוד ויזואלי של גוף המטופל דרך ה-WhatsApp על מנת להתייעץ עם עמיתה.
מידע רפואי הוא מידע רגיש המצוי בליבת הפרטיות. משכך יש לאבטח מידע זה כנדרש ולצמצם, ככל האפשר, את חשיפתו. מסמך המדיניות מציג מספר סיכונים שונים הכרוכים בשימוש בתוכנות לא ייעודיות ובמכשירים פרטיים לצורך העברת מידע אישי, כגון אפשרות של דליפת נתונים, חשיפה בשוגג של המידע עקב טעות אנוש, גניבה אפשרית של מידע רגיש, וסיכון לשימוש לרעה על-ידי חברות מסחריות המספקות תשתיות להעברת מידע.
הרשות להגנת הפרטיות לא קבעה באופן מוחלט כי אין להעביר מידע רפואי באמצעות מכשירים דיגיטליים פרטיים או באמצעות תוכנות לא ייעודיות, אולם במסגרת מסמך המדיניות הרשות סיפקה המלצות בנושא זה וזאת בראי הגנת פרטיות המטופלים, ובכלל זה המליצה, בין היתר:
א. לצמצם את השימוש בתוכנות לא ייעודיות – על גורמי רפואה לצמצם, ככל האפשר, את השימוש של עובדיהם בתוכנות שאינן מיועדות להעברת מידע רפואי מזוהה, ולהימנע משמירת מידע כזה במכשירים פרטיים.
ב. לשמור על חיסיון זהות המטופל\ת – גם כאשר אין כל אפשרות אחרת אלא להעביר מידע רפואי באמצעים אלו, יש לעשות כל מאמץ להשמיט סוגי מידע אשר עלולים, באמצעים סבירים, להביא לזיהוי המטופל, לרבות שם, מס' תעודת זהות, תמונת פנים או תמונה אחרת המאפשרת לזהות את נושא המידע.
ג. לוודא אבטחה נאותה –
- הרשות הבהירה כי ככל שארגון או מוסד המספק שירותי בריאות ורפואה מאשר לגורמי הרפואה להשתמש במכשירים דיגיטליים (פרטיים או מוסדיים) ובתוכנות שאינן ייעודיות לצורך העברת מידע על אודות מטופלים, הדבר מטיל על הארגון חובות ספציפיות לוודא כי מידע שכזה אינו מועבר בניגוד להוראות הדין ואינו נחשף לגורמים שאינם רלוונטיים.
- ככלל, על גורמי רפואה לפעול בנושא בהתאם להנחיות מעסיקיהם. במצב בו מעסיקים מפרסמים הנחיות פנימיות בנושא, על גורמי הרפואה הפועלים במסגרתם לפעול בהתאם להנחיות אלו. הרשות חזרה והזכירה כי העברת מידע רגיש ממאגרי מידע של ארגון על-ידי עובד הארגון אל מחוצה לו, ללא אישור או הרשאה מטעם הארגון, עשויה בנסיבות מסוימות להיחשב אירוע אבטחה חמור, המחייב בעלי מאגרים לדווח לרשות באופן מיידי על קרות האירוע ודרכי הטיפול, וזאת בהתאם לקבוע בהוראות חוק הגנת הפרטיות והתקנות שהותקנו מכוחו. כך לדוגמה, שליחה בטעות של מסמך סיכום טיפול הכולל פרטים אישיים על אודות מטופל לאדם מחוץ לארגון שאינו מורשה לקבל את המסמך, ייחשב אירוע אבטחה חמור. אירוע אבטחה חמור יכול להתרחש גם בעת גניבה או אובדן של מכשיר הטלפון של המטפל, אשר החזיק בו מידע רפואי רגיש על אודות מטופלים.
- לפיכך, יש להשתמש באמצעי אבטחה למכשירים ולתוכנות בהם נעשה שימוש להעברת מידע רפואי, כגון שימוש בסיסמת כניסה חזקה ומורכבת למכשירים, אימות דו-שלבי, זיהוי ביומטרי וכו'. מומלץ גם להימנע מלהעניק לגורמים שונים גישה למכשירים הפרטיים בהם נשמר ונעשה שימוש במידע על אודות מטופלים.
- על גורמי רפואה להתנות שימוש עובדיהם בתוכנות לא ייעודיות להעברת מידע רפואי בהתקנת תוכנות להגנה על מידע ולמניעת חדירה למכשירים, כגון תוכנות חומת אש ואנטי-וירוס.
- יש להימנע ככלל משימוש ברשתות Wi-Fi פתוחות ולעבוד באמצעות הרשת הסלולרית או באמצעות רשת ווירטואלית פרטית (VPN).
- אין להשאיר את מכשיר הקצה ללא השגחה. כמו כן, יש לדווח מידית לבעלי המאגר על כל חשש לחדירה למכשיר, העתקה או דליפה של מידע, או על דבר אחר שאינו שיגרתי העלול להצביע על בעיה של אבטחת המידע.
ד. העברה מהירה לתוכנות ייעודיות – בהתאם לעיקרון צמצום מידע עודף, מומלץ שבעת שימוש במכשירים דיגיטליים (פרטיים או מוסדיים) ובתוכנות לא ייעודיות להעברת מידע, יישמר ויועבר אך ורק המידע הרפואי המינימלי הנדרש למטרת שמירתו והעברתו. לאחר השגת המטרה לשמה נשמר המידע במכשיר (לדוגמה, אם מידע נשמר בטלפון חכם לצורך התייעצות מקצועית שהסתיימה) מומלץ להעביר את המידע, בהקדם האפשרי, לשמירה במערכות הרפואיות הייעודיות שנועדו לכך, והכל בהתאם להנחיות משרד הבריאות והמוסד הרפואי ולאחר מכן, מומלץ למחוק בהקדם האפשרי את המידע, הן מזיכרון המכשיר והן מזיכרון התוכנה הלא ייעודיות שבה הוא הועבר. כמו כן יש לוודא שהמידע לא נשמר בשירותי גיבוי ענן פרטיים ושאינם ייעודים כגון Google Drive או Dropbox.
ה. ככלל, העברת מידע רפואי על אודות מטופל צריכה להיעשות בהתאם להוראות סעיף 20 לחוק זכויות החולה. העברת מידע שלא על-פי הוראות הסעיף עלולה לפגוע בזכויות המטופל, לרבות בפרטיותו. העברת מידע אודות מטופל שלא על-פי הוראות חוק זכויות החולה, או מכוח הסמכה בדין אחר, חייבת להיעשות בהסכמת מטופל.
בנוסף, במסגרת מסמך המדיניות הרשות קוראת להנהלות של ארגונים ומוסדות המספקים שירותי בריאות ורפואה לפעול להגברת המודעות של גורמי הרפואה הפועלים תחתיהם בדבר הסיכונים לפרטיות הכרוכים בשימוש במכשירים דיגיטליים פרטיים ובתוכנות לא ייעודיות להעברת מידע, וכן להנחות אותם ביחס להתנהלות נכונה בהקשר זה. בין היתר, קובע מסמך המדיניות כדלקמן:
- ראוי שארגונים ומוסדות יבחנו את מגוון התוכנות הלא ייעודיות להעברת מידע רפואי, וינחו את צוותי הרפואה הפועלים במסגרתם להשתמש רק בתוכנות שיימצאו על-ידם כראויות מבחינת אבטחת מידע, ומבחינת ההתחייבות החוזית שלהן כלפי משתמשים וזכויותיהם במידע.
- על ארגון המתיר לעובדיו להשתמש בתוכנות לא ייעודיות להעברת מידע רפואי מזוהה, לקבוע מדיניות פנים ארגונית ברורה בדבר שמירת מידע רפואי על אודות מטופלים במכשירים דיגיטליים ובדבר העברת מידע זה במערכות שאינן ייעודיות, אשר תכלול התייחסות לסוגיות השונות שפורטו במסמך המדיניות, כגון: מחיקת המידע, מדיניות שימוש בסיסמאות כניסה למכשירים, שליטה על הרשאות גישה למידע וכדומה. מומלץ כי מדיניות זו תשוקף לצוותים הרפואיים ולציבור הרחב, ככל שהדבר אפשרי.
- הרשות ממליצה להנהלות הארגונים והמוסדות לבחון אפשרות של הספקת מכשירים ייעודיים לעובדיהם, ולקדם הטמעה של מערכות "סגורות" ויעילות להעברת מידע רפואי המבטיחות רמת אבטחת מידע נאותה, ובכך לצמצם את היקף השימוש במכשירים דיגיטליים פרטיים ובתוכנות לא ייעודיות להעברת מידע רפואי. לכל הפחות, הרשות ממליצה לארגונים ולמוסדות להשתמש במערכות לניהול התקנים ניידים (Mobile Device Management) אשר מאפשרות לארגונים לפקח על פעילות המכשירים הניידים שבשימוש עובדיהם ולנהל אותה, וזאת, בין היתר, לשם יישום מדיניות אבטחת מידע.
יצוין כי החובה להגן על פרטיות מטופלים, לרבות בהקשר של שמירת מידע רפואי על אודותיהם, נובעת מחוק הגנת הפרטיות והתקנות שהותקנו מכוחו וכן מכוח הוראות דין אחרות העוסקות בזכויות מטופלים, כגון חוק זכויות החולה ומסמכים והנחיות שונות של משרד הבריאות בנושא רשומות רפואיות, שמירתן ואופן אבטחתן. למרות שהמסמך מוגדר כ"מסמך המלצות" בלבד, מבהירה הרשות כי לאור רגישותו של המידע הרפואי ופוטנציאל הנזק שעלול להיגרם כתוצאה מחשיפתו, היא לא תהסס להפעיל את הסמכויות העומדות לה על-פי דין במקרים של הפרה של הוראות חוק הגנת הפרטיות והתקנות שהותקנו מכוחו, בין השאר כמפורט במסמך ההמלצות.
לעיון במסמך המלא לחצ/י כאן.
__________________________________________________________________________________________________
הסקירה לעיל הינה בבחינת תמצית. המידע הכלול בה נמסר למטרות אינפורמטיביות בלבד ואין במידע כדי להוות ייעוץ משפטי.
__________________________________________________________________________________________________
בכל שאלה ניתן לפנות ל:
אלה טבת, ראש מחלקת קניין רוחני ופרטיות – ella.tevet@goldfarb.com
הילי כהן, ראש תחום מדעי החיים, מחלקת בינלאומי והיי-טק – hili.cohen@goldfarb.com
אופיר גולדשטיין, עורך דין, מחלקת בינלאומי והיי-טק – ofir.goldstein@goldfarb.com
