תיקון 13 לחוק הגנת הפרטיות: מה קליניקת אסתטיקה חייבת לעשות

עודכן: ספטמבר 2026

הכל כאן מבוסס על שני מסמכים שקראנו בעצמנו: המדריך המקצועי של הרשות להגנת הפרטיות לתיקון 13 (מאי 2025) ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017.

מה השתנה בתיקון 13 ומתי זה נכנס לתוקף?

התיקון בתוקף מ-14 באוגוסט 2025. לפי המדריך, אלה השינויים שנוגעים לקליניקה:

• „מידע אישי” הוא עכשיו כל נתון על אדם מזוהה או שניתן לזהותו, כולל נתון על מצבו הפיזי או הבריאותי. „מידע בעל רגישות מיוחדת” כולל במפורש מידע על מצב בריאותו של אדם, מידע רפואי לפי חוק זכויות החולה, מזהה ביומטרי ומידע שחלה עליו חובת סודיות לפי דין.
• במקום „בעל מאגר” יש „בעל שליטה”: מי שקובע את מטרות העיבוד, כלומר הקליניקה עצמה. ספק התוכנה שמעבד מידע בשבילכם הוא „מחזיק”. החובה למנות מנהל מאגר בגופים פרטיים בוטלה והחובות עברו לארגון.
• הרשות מטילה עיצום כספי ישירות, בלי בית משפט. עיצום על המחזיק מגיע גם לבעל השליטה ואם לא פעל להפסקת ההפרה אפשר לחייב אותו באותו סכום.
• פיצוי עד 10,000 ש״ח בלי הוכחת נזק, למשל על איסוף מידע בלי ההודעה הנדרשת. ההתיישנות עלתה משנתיים לשבע שנים.
• נוספה עבירה פלילית של עיבוד מידע ממאגר בלי הרשאה של בעל השליטה, עם עונש של עד שלוש שנות מאסר. עובד שפותח תיק של מטופל שלא לצורך העבודה נכנס לסעיף הזה.

האם הקליניקה חייבת לרשום מאגר מידע?

כמעט בוודאות לא. לפי המדריך, חובת הרישום במגזר הפרטי בוטלה כמעט לחלוטין ונשארה רק לגופים ציבוריים ולמי שסוחר במידע על 10,000 אנשים ומעלה. במקום זה נוספה חובת הודעה לרשות, בתוך 30 יום, למי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 איש. קליניקה לא מגיעה לשם.

מאגר שנרשם בעבר נשאר רשום עד שמבקשים למחוק אותו. ופטור מרישום אינו פטור משום חובה אחרת: הרשות מדגישה שכל החובות ממשיכות לחול במלואן.

האם הקליניקה שלכם חייבת ממונה הגנת פרטיות?

ברוב הקליניקות לא, אבל התשובה לא חדה. החוק מחייב מינוי ממונה (DPO) בגופים ציבוריים, אצל סוחרי מידע, אצל מי שעיסוקו מחייב ניטור שיטתי של אנשים ואצל בעל שליטה או מחזיק „שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר”. החוק מונה במפורש בנקים, חברות ביטוח, בתי חולים וקופות חולים. מה זה „היקף ניכר” לקליניקה עם כמה אלפי תיקים? המדריך לא מכמת. הרשות פרסמה טיוטת גילוי דעת בנושא ובעמוד תיקון 13 באתר govextra נכתב ששאלון לבדיקה עצמית „צפוי להתפרסם בקרוב”. עד אז זו שאלה לעורך דין, לא לספק תוכנה.

ממונה אבטחת מידע (תפקיד אחר, סעיף 17ב) נדרש מגופים ציבוריים, מבנקים וחברות ביטוח וממי שמחזיק חמישה מאגרים החייבים ברישום או בהודעה. קליניקה לא שם. מה שכן: מישהו בקליניקה צריך להיות הבעלים של הנושא, כי החובות הבאות לא מבצעות את עצמן.

איזו רמת אבטחה חלה על קליניקה עם מידע רפואי?

הבינונית, ברוב המקרים. התוספת הראשונה לתקנות אבטחת מידע קובעת שמאגר הכולל „מידע רפואי או מידע על מצבו הנפשי של אדם” נמצא ברמת האבטחה הבינונית. הצהרת בריאות, תיעוד הזרקה ותמונה של אזור מטופל הם מידע כזה. רמה גבוהה חלה רק כשיש במאגר 100,000 איש ומעלה או יותר מ-100 מורשי גישה וזו רשת, לא קליניקה.

יוצא מן הכלל אחד: „מאגר המנוהל בידי יחיד”, יחיד או חברה בבעלות יחיד שרק היחיד ולכל היותר שני מורשי גישה נוספים משתמשים במאגר. עליו חלות תקנות בודדות. אבל ההגדרה מוציאה ממנה מאגר שיש בו מידע על 10,000 אנשים ומעלה ומאגר „הכולל מידע שבעל המאגר כפוף בשלו לחובת סודיות מקצועית לפי דין או לפי עקרונות של אתיקה מקצועית”. רופא כפוף לחובת סודיות כזו. לכן קליניקה של רופא אחד עם מזכירה נמצאת ברמה הבינונית, לא בפטור של יחיד. קוסמטיקאית שעובדת לבד, בלי עובדים, יכולה להיכנס להגדרת יחיד ושאלת הסודיות המקצועית שלה היא שאלה לעורך דין.

דוגמה: קליניקה עם רופאה, שתי אחיות ופקידת קבלה. ארבעה מורשי גישה, מידע רפואי, רופאה עם חובת סודיות. רמה בינונית משלושה כיוונים.

מה רמה בינונית דורשת מקליניקה בפועל?

לפי תקנה 21, על מאגר ברמה הבינונית חלות כמעט כל התקנות, חוץ מסקר סיכונים ומבדקי חדירה שנדרשים רק ברמה הגבוהה. בשפת קליניקה:

• מסמך הגדרות מאגר: איזה מידע נאסף, למה, מי ניגש, מי הספקים, מה הסיכונים. נבדק אחת לשנה.
• נוהל אבטחת מידע כתוב, כולל מה עושים באירוע אבטחה.
• הרשאות גישה לפי תפקיד וביטול הרשאה מיד כשעובד עוזב. הקבלה לא צריכה לראות תיעוד קליני.
• זיהוי משתמשים: אם זה סיסמאות, החלפה לפחות אחת לשישה חודשים וניתוק אוטומטי אחרי חוסר פעילות.
• מנגנון תיעוד אוטומטי של גישה: מי, מתי, לאיזה רכיב והאם אושר. הנתונים נשמרים 24 חודשים לפחות ויש נוהל לבדוק אותם.
• הדרכת עובדים לפני שמקבלים גישה ואחת לשנתיים לפחות.
• תיעוד כל אירוע אבטחה ודיון שנתי באירועים.
• הסכם כתוב עם כל ספק שניגש למידע.
• ביקורת אבטחת מידע אחת ל-24 חודשים לפחות, על ידי גורם מוסמך שאינו ממונה האבטחה של המאגר.
• נהלי גיבוי ושחזור והצפנה של מידע שמועתק להתקן נייד.

העיצומים ברמה הבינונית, לפי המדריך: 20,000 ש״ח על הפרות כמו הגנת מערכות והדרכה, 40,000 ש״ח על מסמך הגדרות, נוהל, הרשאות ותיעוד גישה ו-80,000 ש״ח על אי דיווח על אירוע חמור ועל אי פיקוח על ספק. ברמה הבסיסית ובמאגר של יחיד: 1,000 עד 2,000 ש״ח להפרה ו-4,000 ש״ח על פיקוח על ספק. הרשות רשאית להפחית עד 70%, למשל 30% למי שהפסיק את ההפרה ודיווח מיוזמתו. לעסקים זעירים (מחזור עד 4 מיליון ש״ח) וקטנים (עד 10 מיליון) יש תקרות ובכל מקרה לא יותר מ-5% מהמחזור השנתי.

אירוע אבטחה: מה עושים ומתי מדווחים?

מדווחים לרשות מיד, לא בתוך 72 שעות. יש מדריכים שמעתיקים את 72 השעות מהרגולציה האירופית; בתקנות הישראליות המילים הן „באופן מיידי”. ברמה הבינונית, אירוע חמור הוא שימוש בלא הרשאה בחלק מהותי מהמאגר או פגיעה בשלמות של חלק מהותי ממנו. מחשב שנגנב עם התיקים או עובד שהוריד את רשימת המטופלים, שניהם מועמדים.

הסדר שהתקנות מצפות לו: מבטלים הרשאות ונוקטים צעדים מיידיים, מתעדים את האירוע, מודיעים לרשות ומדווחים לה על הצעדים שננקטו. הרשם רשאי, אחרי התייעצות עם ראש הרשות הלאומית להגנת הסייבר, להורות לכם להודיע גם למטופלים שעלולים להיפגע.

טפסי הסכמה, הצהרות בריאות ותמונות לפני ואחרי

סעיף 11 לחוק, שהורחב בתיקון, קובע מה חייבים לומר לאדם כשאוספים ממנו מידע למאגר. חמישה פרטים: האם הוא חייב למסור את המידע או שזה תלוי בהסכמתו ומה קורה אם יסרב; לאיזו מטרה; למי המידע יימסר ולמה; שיש לו זכות לעיין במידע; ושיש לו זכות לבקש תיקון. הצהרת בריאות שלא כוללת את זה היא הפרה גם אם היא חתומה. העיצום כאן נספר לפי אנשים: 100 ש״ח לכל אדם כשמדובר במידע בעל רגישות מיוחדת ולא פחות מ-30,000 ש״ח להפרה. המדריך נותן דוגמה: פנייה ל-5,000 איש בלי ההודעה, במידע רגיש, שווה 500,000 ש״ח. הצהרת בריאות דיגיטלית פותרת את זה רק אם הנוסח שלה כולל את חמשת הפרטים.

תמונות לפני ואחרי הן מידע רפואי: הן מתעדות מצב גופני וטיפול. פרסום שלהן בסטורי הוא עיבוד למטרה אחרת מזו שלשמה נאספו וסעיף 8(ב) אוסר עיבוד מידע במאגר שלא למטרה שנקבעה לו. לכן הסכמה לשימוש שיווקי צריכה להיות נפרדת מההסכמה לטיפול, מתועדת וניתנת לביטול. „היא אמרה שזה בסדר בטלפון” אינו תיעוד. הודעות שיווק ללקוחות הן כבר חוק אחר, חוק התקשורת וכתבנו עליו מדריך נפרד.

מה לדרוש מספק התוכנה (הצ׳קליסט המורחב)

ספק התוכנה הוא „מחזיק” ואתם „בעל שליטה”. תקנה 15 מחייבת אתכם, לא אותו, לחתום הסכם כתוב שמפרט לפחות: איזה מידע הוא רשאי לעבד ולאיזו מטרה; לאילו מערכות הוא ניגש; איזה סוג עיבוד מותר; משך ההתקשרות ואיך המידע חוזר אליכם ונמחק אצלו בסיום; איך הוא מקיים את חובות האבטחה; שהעובדים שלו חתומים על סודיות; שקבלני משנה שלו כפופים לאותם תנאים; ושהוא מדווח לכם אחת לשנה לפחות על קיום חובותיו ומודיע על כל אירוע אבטחה. בלי ההסכם הזה ההפרה היא שלכם.

ומעבר להסכם, מה שספק רציני עונה עליו בכתב:

• הצפנה של הרשומות במנוחה, לא רק בתעבורה ומי מחזיק במפתח
• הרשאות לפי תפקיד שנאכפות בשרת, לא רק מוסתרות במסך
• יומן גישה על רשומות רפואיות שנשמר 24 חודשים לפחות
• גיבוי מוצפן אוטומטי עם שחזור שנבדק בפועל, לא „יש גיבוי”
• ייצוא של כל נתוני הקליניקה בכל רגע ומחיקה בסיום ההתקשרות
• איפה השרתים, מי ספק התשתית ואילו הסמכות יש לו, עם תעודות

כך זה בנוי באמאיה: מופע ומפתח הצפנה נפרדים לכל מרפאה, הרשאות עד רמת השדה שנאכפות בשרת, יומן גישה על רשומות רפואיות, גיבוי מוצפן יומי ב-30 דורות עם אימות שחזור שבועי, ייצוא בכל רגע והסכם עיבוד מידע עם דיווח שנתי. השרתים בישראל אצל ספק תשתית המוסמך ISO 27001:2022 ו-ISO/IEC 27017:2015 ומבוקר SOC 2 Type II. אנחנו עצמנו בנויים בהלימה לתקנות אבל טרם עברנו הסמכה חיצונית ולא נכתוב „מוסמכים”. הפירוט בעמוד אבטחת המידע והסכמות ותמונות בעמוד היכולות.

חובה, מומלץ או לא נדרש: לפי גודל הקליניקה

העמודה הימנית מניחה שאין חובת סודיות מקצועית. קליניקה שגדלה מעבר לשני מורשים נוספים עוברת לעמודה האמצעית באותו יום. רשת עם כמה סניפים סופרת מורשי גישה בכל הסניפים יחד.

שאלות נפוצות

החוק חל גם על קליניקה של מטפל אחד?

כן. החוק חל על כל מי שמעבד מידע אישי למטרות עסק. מאגר שמנוהל בידי יחיד עם עד שני מורשים נוספים כפוף לפחות תקנות, אבל לא לאפס. רופא יוצא מההגדרה הזאת בגלל חובת הסודיות.

האם קליניקה חייבת למנות ממונה הגנת פרטיות?

החוק מחייב את מי שעיסוקו העיקרי כולל עיבוד מידע רגיש „בהיקף ניכר” ומונה במפורש בתי חולים וקופות חולים. המדריך לא מכמת מה זה היקף ניכר. קליניקה קטנה כנראה לא, אבל זו שאלה לעורך דין.

צריך לרשום את המאגר?

לא. במגזר הפרטי חובת הרישום נשארה רק לסוחרי מידע עם 10,000 איש ומעלה וחובת ההודעה חלה על מידע רגיש של יותר מ-100,000 איש. הפטור מרישום אינו פטור משאר החובות.

תוך כמה זמן מדווחים על דליפה?

„באופן מיידי”, כך בתקנות. אין 72 שעות בדין הישראלי. ברמה הבינונית העיצום על אי דיווח לרשות על אירוע חמור הוא 80,000 ש״ח.

מה הסיכון הכספי בפועל?

הפרת תקנות אבטחת מידע ברמה הבינונית: 20,000 עד 80,000 ש״ח להפרה. איסוף מידע רגיש בלי ההודעה של סעיף 11: 100 ש״ח לאדם ולא פחות מ-30,000 ש״ח. יש הפחתות עד 70% ותקרה של 5% מהמחזור. מעבר לכסף, דליפה היא אירוע אמון מול המטופלים.

מותר לפרסם תמונות לפני ואחרי?

רק עם הסכמה נפרדת ומתועדת לשימוש שיווקי. התמונה נאספה למטרת טיפול ופרסום הוא מטרה אחרת. הסכמה כללית בטופס הקבלה לא מספיקה.

מה קליניקה צריכה לדרוש מספק התוכנה?

הסכם כתוב לפי תקנה 15: מה מותר לו לעבד, החזרת המידע ומחיקתו בסיום, סודיות עובדים, דיווח שנתי והודעה על אירוע אבטחה. ובנוסף: הצפנה, הרשאות לפי תפקיד, יומן גישה, גיבוי עם שחזור מוכח וייצוא בכל רגע.