מדריך
תיקון 13 לחוק הגנת הפרטיות: מה מרפאה פרטית חייבת לדעת
ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות — הרפורמה המקיפה ביותר בדיני הפרטיות בישראל מאז 1981. מידע רפואי מוגדר בחוק כ"מידע בעל רגישות מיוחדת", ולכן כל מרפאה פרטית — מקליניקה של רופא יחיד ועד רשת מרפאות — נמצאת בליבת השינוי, עם רשות אכיפה שקיבלה שיניים אמיתיות. העמוד הזה הוא הכוונה מעשית לבעלי מרפאות, לא ייעוץ משפטי.
עודכן לאחרונה: 2026-08-11
מה השתנה בתיקון 13?
התיקון אושר בכנסת ב-2024 ונכנס לתוקף ב-14.8.2025, לאחר שנת היערכות. הוא מקרב את הדין הישראלי לסטנדרט האירופי (GDPR) ומשנה את מרכז הכובד: פחות בירוקרטיית רישום — הרבה יותר אחריות שוטפת ואכיפה.
- הגדרות חדשות: הקטגוריה "מידע רגיש" הוחלפה ב"מידע בעל רגישות מיוחדת" — והיא כוללת במפורש מידע רפואי, גנטי וביומטרי, לצד מידע על צנעת החיים, מיקום, נתונים כספיים ועוד. נוספו גם המונחים "בעל שליטה במאגר" ו"מחזיק", בדומה ל-Controller ו-Processor באירופה.
- חובת מינוי ממונה הגנת פרטיות (DPO): לראשונה בישראל, גופים מסוימים חייבים למנות ממונה — פירוט בהמשך.
- צמצום חובת הרישום: רישום מאגרים נדרש בעיקר מגופים ציבוריים ומגופים שסוחרים במידע. במקום זאת נקבעה חובת הודעה לרשות למי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם.
- סמכויות אכיפה חדשות לרשות להגנת הפרטיות: עיצומים כספיים מנהליים, סמכויות חקירה ופיקוח, וסמכות להורות על הפסקת עיבוד מידע שלא כדין.
- אכיפה בפועל: הרשות כבר הטילה עיצומים לפי התיקון — בהם עיצום של כ-256 אלף ש"ח על קופת חולים מאוחדת בגין אי-דיווח מיידי על אירוע אבטחה חמור — ולפי פרסומים היא מנהלת למעלה מ-100 תיקי אכיפה.
למה דווקא מרפאות חשופות במיוחד?
מאגר המטופלים של כל מרפאה — תיקים, אבחנות, טיפולים, צילומים — הוא מעצם טיבו מאגר של מידע בעל רגישות מיוחדת. המשמעות: דרישות האבטחה גבוהות יותר, רף הדיווח מחמיר יותר, וגם עיצום כספי מחושב בחומרה רבה יותר כשמדובר במידע רפואי.
ובמציאות של מרפאות רבות בישראל, הפער בין הדרישה לשטח גדול: קובץ אקסל עם רשימת מטופלים על מחשב הקבלה, תמונות ותוצאות שנשלחות ב-WhatsApp מהטלפון הפרטי, סיסמה אחת משותפת לכל הצוות, ומחיקות או שינויים שאף אחד לא יכול לשחזר מי ביצע. אף אחד לא עשה זאת מרוע — כך פשוט עבדו שנים. אבל תחת תיקון 13, כשלרשות יש סמכויות אכיפה ממשיות, אלה בדיוק הנקודות שהופכות לסיכון עסקי אמיתי.
החובות המרכזיות של מרפאה פרטית
ממונה הגנת פרטיות (DPO)
חובת המינוי חלה, בין היתר, על מי שעיקר פעילותו היא עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר — החוק מונה כדוגמאות בתי חולים וקופות חולים. לפי הנחיית הרשות, ל"היקף ניכר" אין סף מספרי אחיד: הוא נבחן לפי מספר המטופלים, כמות המידע וסוגיו, תדירות העיבוד ומשך השמירה. מרפאה פרטית צריכה לבחון את מצבה באופן פרטני — רצוי עם ליווי משפטי.
מסמכי חובה לפי תקנות אבטחת מידע
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 חלות על כל מאגר, גם הקטן ביותר: מסמך הגדרות מאגר, נוהל אבטחה, מיפוי מערכות — ובמאגרים ברמת אבטחה בינונית ומעלה גם ביקורת תקופתית. מאגר עם מידע רפואי מסווג בדרך כלל לפחות לרמת אבטחה בינונית, אלא אם מדובר במאגר קטן במיוחד המנוהל בידי יחיד.
בקרת גישה וניהול הרשאות
התקנות דורשות הרשאות גישה אישיות ומוגדרות לפי תפקיד, זיהוי ואימות של כל משתמש ותיעוד של גישה למאגר. סיסמה משותפת לכל הצוות — הנוהג הנפוץ במרפאות — אינה עומדת בדרישה הזו.
דיווח על אירוע אבטחה חמור
אירוע אבטחה חמור מחייב דיווח מיידי לרשות להגנת הפרטיות — בלי להמתין לסיום בדיקה פנימית. אי-דיווח הפך לעילת עיצום ממשית: לפי פרסומי הרשות, עד 80,000 ש"ח במאגר ברמת אבטחה בינונית ועד 320,000 ש"ח במאגר ברמה גבוהה — וזה בדיוק הבסיס לעיצום שהוטל על מאוחדת.
זכויות מטופלים: עיון ותיקון
לכל מטופל זכות לעיין במידע שנשמר עליו ולדרוש תיקון מידע שאינו נכון, שלם או מעודכן. מרפאה צריכה להיות מסוגלת לאתר את המידע ולהשיב לפנייה כזו בפועל — לא רק על הנייר.
הסכמה מדעת ותיעודה
עיבוד מידע אישי נשען כברירת מחדל על הסכמה מדעת: המטופל צריך לדעת איזה מידע נאסף, למה ולמי הוא עשוי להימסר. הסכמה שאי אפשר להוכיח — כאילו לא ניתנה, ולכן התיעוד שלה חשוב לא פחות מקבלתה.
צעדים מעשיים להיערכות
ממפים את המידע
רושמים היכן באמת יושב מידע על מטופלים: תוכנת הניהול, אקסלים, מיילים, WhatsApp, מגירות עם טפסים. אי אפשר להגן על מה שלא יודעים שקיים.
מכינים את מסמכי החובה
מסמך הגדרות מאגר ונוהל אבטחה מותאמים למרפאה — מי אחראי, אילו מערכות, אילו סיכונים ומה עושים באירוע. אלה הדרישות הבסיסיות של תקנות אבטחת מידע.
עוברים להרשאות אישיות
מבטלים סיסמאות משותפות. לכל איש צוות משתמש משלו, עם הרשאות לפי מה שהוא באמת צריך — למזכירה אין סיבה לראות תיעוד קליני מלא.
בוחנים את חובת מינוי הממונה
בודקים, רצוי עם עורך דין המתמחה בפרטיות, אם המרפאה חייבת בממונה הגנת פרטיות לפי מבחני ההיקף — ואם לא, שוקלים בכל זאת גורם אחראי פנימי לנושא.
קובעים נוהל דיווח לאירוע אבטחה
מגדירים מראש מה נחשב אירוע, מי מודיע לרשות ובאיזה ערוץ — כי החובה היא דיווח מיידי, ובזמן אמת אין זמן לאלתר.
מדריכים את הצוות ובוחרים כלים נכונים
רוב הדליפות מתחילות בהרגל יומיומי, לא בפריצה. מדריכים את הצוות, ומוודאים שמערכת הניהול שבה עובדים תומכת בדרישות — הרשאות, תיעוד, והפרדת מידע.
איך מערכת ניהול נכונה עוזרת
נאמר ביושר: אף תוכנה לא הופכת מרפאה ל"עומדת בתיקון 13" — הציות הוא של הארגון, לא של הכלי. אבל מערכת שנבנתה סביב עקרונות החוק סוגרת כברירת מחדל את הפערים הטכניים שהכי קשה לסגור ידנית. כך זה נראה ב-Levion:
בידוד מידע ברמת בסיס הנתונים
הפרדת הנתונים בין מרפאות נאכפת ב-Postgres RLS בתוך בסיס הנתונים עצמו, לא בקוד האפליקציה — שאילתה של מרפאה אחת פיזית לא יכולה לגעת בנתוני מרפאה אחרת.
הרשאות לפי תפקיד
לכל משתמש זהות משלו והרשאות לפי תפקידו — בסיס נדרש לדרישת בקרת הגישה וניהול ההרשאות שבתקנות אבטחת מידע.
יומן פעולות שאי אפשר לשכתב
כל פעולה נרשמת ביומן ביקורת בשיטת append-only: רשומות רק נוספות, לעולם לא נערכות ולא נמחקות — תיעוד שעליו אפשר להישען כשצריך לשחזר מי עשה מה ומתי.
תיעוד הסכמות
הסכמות מטופלים נרשמות עם גרסה, מקור ומועד — כך שלשאלה "האם המטופל הסכים ולמה בדיוק" יש תשובה מתועדת.
ארכוב במקום מחיקה, בלי מידע רפואי במקומות חשופים
תיקי מטופלים מועברים לארכיון ולא נמחקים, כך שהיסטוריה קלינית לא נעלמת; מידע רפואי מזהה לא מופיע בכתובות URL או בלוגים; ומנהלי הפלטפורמה של Levion חסומים מבנית מגישה לנתוני מטופלים. הסכם עיבוד מידע (DPA) נחתם מול המרפאה בעת ההטמעה.
Levion תוכננה מהיום הראשון סביב העקרונות של תיקון 13 ותקנות אבטחת מידע — אך היא כלי תומך ציות, לא תחליף לו: הנהלים, ההדרכה והאחריות המשפטית נשארים אצל המרפאה.
שאלות נפוצות על תיקון 13 למרפאות
האם כל מרפאה פרטית חייבת למנות ממונה הגנת פרטיות?
לא באופן אוטומטי. החובה חלה על גופים ציבוריים, על סוחרי מידע מעל 10,000 בני אדם, על מי שמבצע ניטור שיטתי בהיקף ניכר — ועל מי שעיקר פעילותו עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר (החוק מונה כדוגמאות בתי חולים וקופות חולים). לפי הנחיית הרשות, "היקף ניכר" נבחן לפי מכלול נסיבות ואין לו סף מספרי אחיד — ולכן מרפאה פרטית צריכה בחינה פרטנית, רצוי עם עורך דין.
מה גובה הקנסות לפי תיקון 13?
הרשות מוסמכת להטיל עיצומים כספיים מנהליים משמעותיים, שבמקרים חמורים עשויים להגיע למיליוני שקלים; הסכום תלוי בסוג ההפרה, ברמת האבטחה של המאגר ובכמות המידע. דוגמאות שפורסמו: עד 80,000 ש"ח על אי-דיווח מיידי על אירוע חמור במאגר ברמת אבטחה בינונית ועד 320,000 ש"ח ברמה גבוהה — ובפועל הוטל עיצום של כ-256 אלף ש"ח על קופת חולים מאוחדת.
האם מרפאה קטנה עדיין חייבת לרשום מאגר מידע?
ברוב המקרים כבר לא: תיקון 13 צמצם את חובת הרישום בעיקר לגופים ציבוריים ולסוחרי מידע, וקבע חובת הודעה לרשות רק למי שמחזיק מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם. אבל חשוב להבין — הפטור מרישום אינו פטור מהחוק: תקנות אבטחת מידע וכל החובות המהותיות חלות על כל מאגר, בכל גודל.
מה נחשב "אירוע אבטחה חמור" ומה עושים כשהוא קורה?
בגדול: שימוש או פגיעה במידע מהמאגר בלא הרשאה — כשההגדרה המדויקת תלויה ברמת האבטחה של המאגר. ברגע שנודע על אירוע כזה יש לדווח לרשות להגנת הפרטיות מיידית, בלי להמתין לסיום הבדיקה הפנימית. העיצום הראשון שהוטל לפי התיקון ניתן בדיוק על איחור בדיווח.
האם תוכנה יכולה לפתור את הציות לתיקון 13 לבד?
לא. תוכנה טובה סוגרת את הפערים הטכניים — הרשאות, תיעוד, בידוד מידע, ארכוב — אבל הציות כולל גם נהלים כתובים, הדרכת צוות, בחינת חובת מינוי ממונה ומענה לפניות מטופלים. מערכת נכונה מקטינה דרמטית את המאמץ; היא לא מייתרת אותו.
הבהרה: המידע בעמוד זה הוא מידע כללי בלבד, נכון למועד העדכון, ואינו מהווה ייעוץ משפטי או תחליף לו. יישום החובות תלוי בנסיבות הספציפיות של כל מרפאה — מומלץ להתייעץ עם עורך דין המתמחה בדיני הגנת הפרטיות.
רוצים לראות את זה מקרוב?
תאמו הדגמה אישית — נעבור יחד על התרחישים של המרפאה שלכם.