תיקון 13 לחוק הגנת הפרטיות: מה זה אומר לבתים מאזנים ומרכזי שיקום

מאת דויד סיני · פורסם: 14 באוקטובר 2026

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. מאז יש לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים על הפרה של החוק ושל תקנות אבטחת המידע. בית מאזן, מרכז שיקום, מרכז גמילה או הוסטל מחזיקים בדיוק את סוג המידע שהחוק מגן עליו יותר מכל: מידע רפואי ומידע על מצבו הנפשי של אדם.

המדריך עובר על מה שהשתנה, על מה שחל על מסגרת טיפולית בפועל ועל מה כדאי לבדוק ברבעון הקרוב. כל העובדות לקוחות מהחוק, מהתקנות ומפרסומי הרשות, והמקורות מופיעים בסוף. זה לא ייעוץ משפטי. להחלטות על המסגרת שלכם שבו עם עורך דין שמתמחה בהגנת פרטיות.

מה השתנה בתיקון 13

מידע בעל רגישות מיוחדת. ההגדרה החדשה מחליפה את המונח הקודם "מידע רגיש" ומפרטת סוגי מידע, ובהם מידע רפואי ומידע על מצבו הנפשי של אדם. כמעט כל מה שנכתב בתיק מטופל בבית מאזן נכנס להגדרה.
עיצומים כספיים. הרשות רשאית להטיל עיצום כספי על הפרת החוק ועל הפרת תקנות אבטחת המידע, ומנגנון הקנסות המנהליים הישן בוטל. לפי המדריך של משרד המשפטים, הסכום תלוי בסוג ההפרה ובמספר האנשים שהמידע עליהם נפגע, והוא גבוה יותר כשהמאגר כולל מידע בעל רגישות מיוחדת.
רישום מאגרים צומצם. חובת הרישום חלה היום על גופים ציבוריים ועל סוחרי מידע שמחזיקים מידע על 10,000 איש ומעלה. רוב המסגרות הפרטיות כבר לא צריכות לרשום מאגר. מאגר שיש בו מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות.
ממונה הגנת פרטיות (DPO). חובה חדשה לחלק מהגופים. בהמשך המדריך יש פירוט.

באיזו רמת אבטחה המסגרת שלכם נמצאת

תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017 מגדירות שלוש רמות: בסיסית, בינונית וגבוהה. מאגר שיש בו מידע רפואי או מידע על מצבו הנפשי של אדם נמצא ברמה הבינונית. יש שני חריגים חשובים:

אם יש במאגר עד עשרה בעלי הרשאה, חלה הרמה הבסיסית.
אם יש בו מידע על 100,000 איש ומעלה, או יותר מ-100 בעלי הרשאה, חלה הרמה הגבוהה.

"בעל הרשאה" הוא כל אדם שיש לו גישה למידע מהמאגר או למערכות שלו. כאן מסגרות טיפוליות נוטות לטעות בספירה. לפי משרד הבריאות, בבית מאזן שוהים בו זמנית 10 עד 12 מטופלים, ולצד הצוות הרב מקצועי (פסיכיאטריה, פסיכולוגיה, עבודה סוציאלית, סיעוד, ריפוי בעיסוק, תזונה וטיפול באומנות) עובד צוות גדול של מדריכים 24/7. בית אחד עובר בקלות עשרה בעלי הרשאה. מפעיל של כמה בתים שכל הצוותים שלו עובדים על אותה מערכת יכול לעבור 100.

ברמה הבינונית חלות, בין השאר, החובות האלה:

נוהל אבטחה כתוב ומסמך הגדרות מאגר.
הזדהות ככל האפשר באמצעי פיזי שרק לעובד יש שליטה עליו, וחובה כזאת בגישה מרחוק. סיסמאות מוחלפות לפחות כל שישה חודשים.
יומן גישה אוטומטי: מי נכנס, מתי, לאיזה רכיב ואם הגישה אושרה. היומן נשמר 24 חודשים לפחות.
הדרכת צוות לפני קבלת גישה, והדרכה חוזרת לפחות פעם בשנתיים.
ביקורת אבטחה פנימית או חיצונית לפחות פעם ב-24 חודשים.

ברמה הגבוהה מתווספים סקר סיכונים ומבדקי חדירות, כל אחד לפחות פעם ב-18 חודשים.

האם אתם צריכים ממונה הגנת פרטיות

סעיף 17ב1 לחוק מחייב מינוי ממונה בכמה מצבים. שניים מהם רלוונטיים למסגרות טיפוליות:

גוף ציבורי, או מי שמחזיק מאגר בשביל גוף ציבורי. מסגרת שמעבדת מידע עבור משרד הבריאות, קופת חולים או משרד ממשלתי אחר צריכה לבדוק אם היא "מחזיק" במאגר של גוף ציבורי. לפי גילוי הדעת של הרשות, גם מחזיק כזה חייב במינוי.
עיסוק עיקרי שכולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. בגילוי הדעת הסופי מיולי 2026 הרשות קבעה שאין סף מספרי. בודקים, בין השאר, את מספר האנשים, את שיעורם באוכלוסייה, את כמות המידע וסוגיו, את משך העיבוד ותדירותו, את משך השמירה ואת הפריסה הגאוגרפית.

במסגרת טיפולית, התיעוד הקליני הוא חלק מפעילות הליבה. לכן ארגון שמפעיל כמה מסגרות, או מסגרת אחת עם תחלופה גבוהה של מטופלים, צריך לבחון את השאלה ברצינות ולתעד את ההחלטה, גם אם התשובה היא שלא חייבים. לפי החוק, ממונה שמונה כפוף ישירות להנהלה.

אירוע אבטחה: מה עושים ומתי

תקנה 11 מחייבת לתעד כל אירוע שמעלה חשש לשימוש במידע בלי הרשאה או לפגיעה בשלמותו. ברמה הבינונית דנים באירועים לפחות פעם בשנה, וברמה הגבוהה לפחות פעם ברבעון.

באירוע אבטחה חמור מודיעים לרשות להגנת הפרטיות באופן מיידי ומדווחים על הצעדים שננקטו. ברמה הבינונית, אירוע חמור הוא שימוש בלי הרשאה בחלק מהותי מהמאגר. ברמה הגבוהה, כל שימוש בלי הרשאה נחשב חמור. לרשות יש טופס מקוון לדיווח.

דוגמה מהשטח: מדריך שמצלם מסך של תיק מטופל ושולח אותו לקבוצת וואטסאפ של המשמרת. זה אירוע שצריך לתעד ולטפל בו, וזו גם הסיבה שכדאי שהצוות יוכל להעביר מידע בתוך המערכת ולא דרך הטלפון הפרטי.

ספקים, כולל ספק המערכת

כל ספק שמקבל גישה למידע נכנס לתקנה 15: ספק תיק המטופל, שירות הענן, ספק התמלול או ה-AI, מערכת שיחות הווידאו וחברת ה-IT. לפני ההתקשרות בודקים את הסיכונים. בהסכם כותבים איזה מידע הספק רשאי לעבד ולאיזו מטרה, איך הוא מאבטח אותו, איך המידע חוזר אליכם ונמחק אצלו בסיום, ושהוא מדווח לכם פעם בשנה לפחות ומודיע על כל אירוע אבטחה.

שאלה אחת שכדאי לשאול כל ספק AI: מה בדיוק יוצא מהמערכת כשהוא מתמלל או מסכם מפגש, והאם שם המטופל ומספר הזהות שלו יוצאים איתו.

מה לעשות ברבעון הקרוב

ספרו את בעלי ההרשאה בכל המערכות, כולל מדריכים, מתנדבים וספקים, וקבעו את רמת האבטחה.
בדקו עם עורך דין אם אתם חייבים בממונה הגנת פרטיות, ותעדו את ההחלטה.
עברו על ההרשאות: כל תפקיד רואה רק את מה שהוא צריך, ועובד שסיים מאבד גישה באותו יום.
ודאו שיש יומן גישה אוטומטי ושמישהו קורא אותו באופן קבוע.
אספו את ההסכמים עם הספקים והשלימו את מה שחסר לפי תקנה 15.
כתבו נוהל קצר לאירוע אבטחה, עם שם האחראי ומספר הטלפון שלו.

צ'קליסט תיקון 13 למסגרות טיפוליות. 14 סעיפים בעמוד אחד, עם הפניה לסעיף או לתקנה בכל שורה. להורדת הצ'קליסט

איפה מערכת עוזרת, ואיפה לא

מערכת ניהול טובה מכסה חלק מהחובות הטכניות. מסמך הגדרות המאגר, הנהלים, ההדרכות וההחלטה על ממונה נשארים באחריות ההנהלה.

ClinicAI, המערכת שאנחנו מפתחים בזן טכנולוגיות למסגרות בריאות הנפש, נבנתה סביב החובות האלה. ההרשאות נקבעות לפי תפקיד וסוג מפגש ונאכפות בשכבת הנתונים. המידע של כל מסגרת מופרד מהמסגרות האחרות. כל כניסה, צפייה ושינוי נרשמים ביומן. המידע הרפואי נשמר מוצפן, וכשה-AI מתמלל ומסכם מפגש, שם המטופל ופרטיו המזהים לא נשלחים לספק ה-AI. ClinicAI בתהליך הסמכה, ובימים הקרובים נקבל את שלושת התקנים: ISO 27001, ISO 27799 ו-HIPAA.

רוצים לראות איך זה נראה על המבנה של הארגון שלכם? תאמו הדגמה של 30 דקות.

שאלות נפוצות

האם תיקון 13 חל גם על בית מאזן או הוסטל פרטי?

כן. חוק הגנת הפרטיות ותקנות אבטחת המידע חלים על כל מי שמחזיק מאגר מידע אישי, ציבורי או פרטי. מה שמשתנה בין מסגרות הוא רמת האבטחה, חובת הרישום והשאלה אם צריך ממונה הגנת פרטיות.

האם מסגרת טיפולית צריכה לרשום את המאגר שלה?

בדרך כלל לא, אם היא פרטית. אחרי תיקון 13 חובת הרישום חלה על גופים ציבוריים ועל סוחרי מידע. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש חייב בהודעה לרשות להגנת הפרטיות.

מתי מאגר של מסגרת טיפולית נמצא ברמת אבטחה גבוהה?

כשיש בו מידע על 100,000 איש ומעלה, או כשיש לו יותר מ-100 בעלי הרשאה. מפעיל של כמה מסגרות שכל הצוותים שלו עובדים על מערכת אחת יכול להגיע לשם.

כמה זמן צריך לשמור את יומן הגישה למערכת?

ברמת אבטחה בינונית וגבוהה, תקנה 10 מחייבת לשמור את נתוני יומן הגישה 24 חודשים לפחות, לבדוק אותם באופן שגרתי וליידע את העובדים שהיומן קיים.

האם מסגרת קטנה חייבת במינוי ממונה הגנת פרטיות?

אין סף מספרי. לפי גילוי הדעת הסופי של הרשות מיולי 2026, בודקים את מספר האנשים, את כמות המידע וסוגיו, את משך העיבוד ותדירותו ואת משך השמירה. מסגרת שמעבדת מידע עבור גוף ציבורי צריכה לבדוק גם אם היא מחזיק במאגר שלו. כדאי לקבל חוות דעת של עורך דין ולתעד את ההחלטה.

המידע במדריך הוא כללי ואינו ייעוץ משפטי. החובות תלויות בגודל המאגר, במספר בעלי ההרשאה ובסוג הגוף. לבדיקת המסגרת שלכם פנו לעורך דין שמתמחה בהגנת פרטיות.

מקורות

ClinicAI בלינקדאין: https://www.linkedin.com/company/139434654/

ClinicAI בפייסבוק: https://www.facebook.com/profile.php?id=61593106171416

הוסיפו את זן כמקור מועדף בגוגל: https://www.google.com/preferences/source?q=zentec.co.il