מהי אבטחת מידע רפואי? אבטחת מידע רפואי, עוסקת בהגנה על חיסיון המידע, אמינותו ושלמותו במטרה לנקוט בפעולות המתאימות וכך לוודא כי לא תתרחש זליגה של מידע רפואי על מטופלים ו/או יבוצעו שימוש או העתקה של מסדי נתונים על מטופלים, באמצעות גורמים שאינם מורשים לכך. בישראל, אבטחת מידע רפואי מבוצעת על סמך החוק להגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), תשע”ז-2017. כמובן שאבטחת מידע רפואי נאכפת גם במדינות אחרות כגון ארה”ב ואירופה, ומכוסה ע”י דרישות הרגולציה של ה- HIPAA וה- GDPR בהתאמה. על כן, חברות ישראליות אשר פעילות בשווקים אלה, בנוסף לעמידה בתקנות בחוק להגנה על פרטיות, אמורות לעמוד בהצלחה גם בדרישות הרגולטוריות המקבילות במדינות היעד. על מי חלות תקנות להגנה על פרטיות? התקנות בחוק להגנה על פרטיות בכלל ועל חיסיון מידע רפואי של מטופלים בפרט, חלות על המשק בישראל בכללותו, ובין היתר גם על חברות תרופות, מכשור רפואי, מוסדות רפואה ומרפאות, חברות מתחום הבריאות הדיגיטלית, התוכנה הרפואית ואפליקציות סלולאריות רפואיות ואחרות, אשר עושות שימוש ו/או אוגרות מידע רפואי ו/או מנהלות מאגרי מידע על מטופליהן או לקוחותיהן. כאמור, ישראל אינה המדינה היחידה אשר חוקקה תקנות בנושא הגנה על פרטיות וחיסיון מידע רפואי וניתן להוסיף ולומר כי היא יחסית “משתרכת מאחור” ביחס לדרישות ה- HIPAA וה- SOC2 בארה”ב וה- GDPR באירופה ובמיוחד לאחר יישום תקנות לשעת חירום אשר אושרו כחלק מההתמודדות עם משבר הקורונה העולמי שהתרחש בשנת 2020. מהן התקנות הרלוונטיות לכל אחד ממאגרי המידע? עבור כל סוג מאגר המידע, קיימת רמת אבטחה אשר מתאימה לו ונקבעת לפי קריטריונים מוגדרים. לכל רמת אבטחה, קיימות תקנות בחוק אשר מחייבות את בעל מאגר המידע ליישם אותן בהתאם. החלוקה לסוגי מאגרי מידע, מאפיינים ורמות אבטחה לפי החוק להגנה על הפרטיות ואבטחת מידע בישראל, תחולק לפי רמות האבטחה הבאות: רמת אבטחה בסיסית: תקנות 1-3 רמת אבטחה בינונית: תקנות 1-4 רמת אבטחה גבוהה: תקנות 1-20 מאגר המנוהל ע”י יחיד: תקנות 1-2 אילו רמות אבטחה קיימות בחוק להגנה על פרטיות בישראל? כאמור, לפי החוק להגנה על הפרטיות ואבטחת מידע בישראל, קיימות שלוש רמות אבטחה מרכזיות של מאגרי מידע, כאשר כל רמה מייצגת רמת סיכון שונה וממנה נגזרת רמת אבטחה ופעילויות שיש ליישמן בהתאם. לשם המחשה, מפתיע לגלות כי רמת אבטחה בינונית (בכפוף לעמידה בקריטריונים נוספים), עשויה לכלול גם סוגי מידע הקשורים במישרין או בעקיפין לתחומי הבריאות וה- Well Being כגון: מידע רפואי מידע גנטי מידע ביומטרי מידע על הרגלי צריכה כאשר ניגשים לבחון מהי רמת האבטחה אליה בעל מאגר המידע נדרש, מלבד סוג המידע הנאגר, חשוב גם להתמקד במטרה לשמה מאגר המידע קיים, למה הוא משמש, מהו גודלו ומי חשוף אליו. לדוגמא, ישנם מאגרי מידע רפואי הכוללים מידע על מצבו הנפשי של אדם ומידע ביומטרי. אם מידע זה, כולל רק מידע על מועסקים או ספקים של הבעלים של מאגר המידע, ואם הוא משמש למטרות ניהול העסק, ובהנחה שמידע זה אינו כולל את מידע על צנעת חייו של אדם, מידע גנטי, מידע ביומטרי (למעט מידע על תמונות פנים), תתכן דרישה לעמידה ברמת אבטחה בסיסית ובלבד שגודל מאגר המידע אינו עולה על עשרה אנשים. רמת האבטחה הגבוהה הנדרשת על פי החוק להגנה על הפרטיות במדינת ישראל, תדרש עבור מאגרי מידע שחלה עליהם רמת אבטחה בינונית ואשר מכילים מידע על יותר מ- 100,000 אנשים או במקרים בהם מספר בעלי ההרשאה למידע זה, עולה על 100.