האם עלי למנות ממונה הגנת פרטיות לקליניקה שלי?

אם שמעת על חוק הגנת הפרטיות, ייתכן שתהית האם נדרשת למנות ממונה הגנת הפרטיות (המוכר גם בשם DPO). במאמר זה נסביר מה זה "ממונה הגנת הפרטיות", מתי מומלץ למנות אותו, ומתי זו חובה על פי החוק.

מה זה ממונה הגנת פרטיות ומה הוא עושה בקליניקה?

ממונה הגנת הפרטיות הוא האחראי בקליניקה על כל מה שקשור לאופן שבו נאסף, מאוחסן ומשמש המידע. בין הדברים שהוא אחראי עליהם:

• גיבוש נהלי פרטיות: מה מותר לצוות לעשות עם מידע רפואי, ולמי יש גישה אליו.

• הדרכת הצוות: וידוא שהמנהל האדמיניסטרטיבי, האחות ושאר הצוות יודעים מה מותר ומה אסור.

• ניהול תקריות אבטחה: אם קרה משהו - דיווח לרשות ולמטופלים במועד.

• טיפול בפניות מטופלים: מטופל שרוצה לדעת איזה מידע נשמר עליו, לעיין ברשומה או לדרוש למחוק מידע.

• ממשק עם הרשות: איש הקשר מול הרשות להגנת הפרטיות במקרה הצורך.

בקצרה - זה מישהו שמוודא שהמידע של המטופלים מוגן, ושהקליניקה לא נחשפת לסיכונים מיותרים בגלל טעויות בניהול המידע.

מי חייב למנות ממונה לפי החוק?

החוק קובע שמי שעיסוקו העיקרי כולל עיבוד מידע רפואי בהיקף ניכר - חייב למנות ממונה. ספקי שירותי בריאות ורפואה נכללים בהגדרה זו לפי עמדת הרשות להגנת הפרטיות, שכן עיבוד מידע רפואי על מטופלים הוא עיסוקם העיקרי. בתי חולים וקופות חולים מוזכרים בחוק עצמו כדוגמאות מפורשות.

אבל כאן מתחילות הדקויות: מה זה בדיוק "היקף ניכר"?

מה זה "היקף ניכר" - ואיך זה נוגע לקליניקה שלי?

אין מספר קסם. החוק לא קובע שמעל 500 מטופלים חלה חובה ומתחת לכך - לא. במקום זאת, בוחנים את מכלול הנסיבות:

• מספר המטופלים: כמה אנשים יש להם מידע שמור אצלך.

• היקף הגישה: כמה אנשים בצוות ניגשים למידע ולשם מה.

• טיב המידע: האבחנות, הטיפולים, תוצאות בדיקות - כולן מידע בעל רגישות גבוהה.

• תדירות העיבוד: קליניקה שרואה 30 מטופלים ביום מעבדת מידע בתדירות גבוהה יותר.

בפנייה ישירה לרשות להגנת הפרטיות לגבי קליניקות ספציפיות להן פחות מ-1000 מטופלים כל אחת, התשובה הייתה שאין חובה למנות ממונה, בהתאם למכלול הנסיבות.

אם יש לך קליניקה עצמאית עם כמה מאות מטופלים ועובדת אחת - רוב הסיכויים שאת בצד הפטור מחובה חוקית. אם הקליניקה שלך גדולה יותר, מעסיקה מספר עובדים עם גישה למידע רפואי, או שהמספרים צפויים לגדול - כדאי לבדוק את המצב הספציפי שלך.

אין לי חובה חוקית - למה בכל זאת כדאי לשקול מינוי?

הרשות להגנת הפרטיות ממליצה על מינוי ממונה גם כשאין חובה חוקית, ומגדירה זאת "פרקטיקה ראויה ומומלצת" לכל גוף שמחזיק מידע אישי. הסיבות פרקטיות לחלוטין:

• הוכחת מאמץ: אם אי-פעם תהיה תלונה של מטופל או בדיקה של הרשות, עצם המינוי מוכיח שנקטת צעדים פעילים להגנה על המידע - לא ישבת ולא עשית כלום.

• מניעת טעויות יקרות: טעויות בניהול מידע רפואי מתגלות בדרך כלל מאוחר מדי. ממונה שבודק את ההליכים מראש חוסך עלויות גבוהות של תיקון, ולעתים של ייצוג משפטי.

• אמון המטופלים: מטופלים נותנים אמון גבוה יותר לקליניקה שמתנהלת לפי כללים מוגדרים ויודעת לענות על שאלות בנושא הפרטיות שלהם.

• מוכנות לפנייה לרשות: ממונה מנוסה יודע לנהל מול הרשות גם כשמשהו משתבש - וזה מקטין משמעותית את הנזק וההוצאות.

בסיכום, הרשות רואה במינוי ממונה אמצעי ראשון במעלה לשיפור רמת ההגנה על המידע בארגון - גם כשאין חובה ישירה בחוק.

בלי ממונה מול עם ממונה - מה ההבדל בפועל?

אם אני רוצה למנות ממונה - מה האפשרויות שלי?

ממונה הגנת פרטיות יכול להיות אדם מתוך הקליניקה או גורם חיצוני. לקליניקות קטנות ובינוניות יש שתי אפשרויות מעשיות:

אפשרות 1 - ממונה חיצוני (מיקור חוץ)

עורך דין או יועץ מומחה בתחום הגנת הפרטיות שנותן את השירות מחוץ לקליניקה. זוהי האפשרות המקובלת לקליניקות שאין להן הצדקה להעסיק עובד ייעודי לתפקיד. היתרונות הבולטים:

• מומחיות מיידית: לא צריך להכשיר אף אחד - המומחיות כבר שם.

• גמישות: התשלום הוא לפי צורך, לא משכורת חודשית.

• ללא ניגוד עניינים: לממונה החיצוני אין אינטרסים אחרים בקליניקה.

אפשרות 2 - עובד פנימי

עובד קיים בקליניקה שמקבל על עצמו גם את התפקיד הזה. זה אפשרי, אבל דורש תנאים:

• ידע מספק: הבנה של דיני הגנת הפרטיות הישראליים - לא בהכרח רקע משפטי פורמלי.

• ללא ניגוד עניינים: מנהלת קליניקה שגם אחראית על קבלת מידע מהמטופלים עלולה להיות בניגוד עניינים - צריך לבדוק את זה מראש.

• עצמאות: הממונה צריך יכולת לדווח להנהלה גם על ממצאים שאינם נוחים לשמוע.

שאלות נפוצות

יש לי מרפאה עם 300 מטופלים. האם אני חייב?

לפי התשובה שקיבלתי מהרשות להגנת הפרטיות, קליניקה בהיקף כזה לא בהכרח חייבת במינוי לפי החוק. אבל כדאי לבדוק את הנסיבות המלאות של הקליניקה שלך - כמה עובדים יש לך, מה היקף הגישה למידע, והאם המספרים צפויים לגדול.

מה קורה אם לא מיניתי ממונה ויש לי חובה חוקית?

הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים על הפרת חובות לפי חוק הגנת הפרטיות. בנוסף, בתביעות אזרחיות - אי-מינוי ממונה כשיש חובה עלול להוות ראיה לרשלנות בניהול המידע.

כמה עולה ממונה חיצוני?

העלות משתנה לפי היקף השירות והמומחיות הנדרשת. בדרך כלל מדובר בשירות שנתי או חצי-שנתי שעולה פחות ממה שיעלה תיקון נזקים לאחר תקרית אבטחת מידע או הליך מול הרשות.

יש לי תוכנת ניהול קליניקה מאובטחת. האם זה מספיק?

לא. תוכנת הניהול מגינה על מה שקורה בתוכה - לא על כל שאר הפעולות בקליניקה. האחריות המשפטית על ניהול המידע הרפואי של המטופלים מוטלת עליך, לא על ספק התוכנה.

איך מחליטים?

אם הקליניקה שלך קטנה - כנראה שאין לך חובה חוקית עכשיו. אבל "כנראה" היא לא תשובה שמספיקה אם אי-פעם תהיה תלונה. מינוי ממונה, אפילו וולונטרי, הוא צעד שמגן עליך הרבה יותר מאשר ידיעה שאין חובה ושלא עשית כלום. ההחלטה היא שלך - אבל כדאי לקבל אותה על בסיס מלא של מידע, ולא על בסיס פחד או על לא כלום.

האמור אינו ייעוץ משפטי. לייעוץ בנושא הגנת הפרטיות, ניתן לפנות לעו"ד צילה לביא, בדוא"ל tzila@tzilalaw.com