רגולציית HIPAA: המדריך לחברות ישראליות – ממה מתחילים ואיך עומדים בדרישות

חברת הלת'-טק ישראלית חותמת על עסקה ראשונה עם בית חולים אמריקאי – ומגלה בפגישת ה-Onboarding שלפני שנשלח בייט אחד של מידע, היא נדרשת לחתום על BAA, להציג ניתוח סיכונים מתועד ולהוכיח עמידה ב-HIPAA. הרגולציה האמריקאית להגנת מידע רפואי אינה חלה רק על בתי חולים בארה"ב: היא מגיעה בשרשרת החוזית עד לכל ספק ישראלי שנוגע במידע של מטופלים אמריקאים – עם אחריות משפטית ישירה וקנסות שנאכפים בפועל. הנה מה שצריך לדעת, ואיך זה מתחבר לחובות שכבר חלות עליכם לפי הדין הישראלי.

מה זה HIPAA ועל מי הוא חל

HIPAA – Health Insurance Portability and Accountability Act – הוא חוק פדרלי אמריקאי משנת 1996, שהפך עם השנים למסגרת הרגולטורית המרכזית להגנת מידע רפואי בארה"ב. כללי הפרטיות והאבטחה שמכוחו מעוגנים בתקנות הפדרליות, בעיקר ב-45 CFR Part 164^[1], והאכיפה מופקדת בידי משרד הבריאות האמריקאי (HHS) באמצעות ה-OCR – Office for Civil Rights.

החוק חל ישירות על שלושה סוגי גופים, המכונים Covered Entities: ספקי שירותי בריאות שמעבירים מידע רפואי באופן אלקטרוני (בתי חולים, מרפאות, רופאים), תוכניות ביטוח בריאות, ומסלקות מידע רפואי (Clearinghouses). אבל התחולה לא נעצרת שם – ומאז תיקוני HITECH והכללים המשלימים, היא מתרחבת בשרשרת: כל גורם שמקבל, מאחסן או מעבד מידע רפואי מוגן עבור Covered Entity – ספק תוכנה, שירות ענן, מעבדת אנליטיקה, מוקד שירות – הוא Business Associate, החייב בעצמו בעמידה בדרישות האבטחה ונושא באחריות משפטית ישירה להפרות. לנקודה הזו נגיע בהרחבה בהמשך, כי היא בדיוק המקום שבו HIPAA פוגש חברות ישראליות.

PHI ו-ePHI – מה נחשב מידע מוגן

המידע שהחוק מגן עליו נקרא PHI – Protected Health Information: כל מידע על מצב בריאותי, טיפול רפואי או תשלום עבור טיפול, שניתן לקשר לאדם מזוהה. הצירוף הזה רחב מכפי שנדמה: לא רק תיק רפואי, אלא גם תור שנקבע, חשבונית על טיפול, צילום, הקלטת שיחה עם מוקד רפואי – כל פריט כזה, יחד עם מזהה אישי, הוא PHI. התקנות מונות רשימה של 18 מזהים – שם, כתובת, תאריכים, מספרי טלפון, כתובת דוא"ל, מספרי ביטוח, נתונים ביומטריים, תמונות פנים ואפילו כתובת IP – שהסרתם המלאה נדרשת כדי שמידע ייחשב לא-מזוהה ויֵצא מתחולת החוק.

ePHI הוא אותו מידע בצורה אלקטרונית – והוא המוקד של ה-Security Rule, שחל על כל ePHI שהגוף יוצר, מקבל, מאחסן או משדר. המבחן אינו איפה המידע יושב אלא מה הוא: קובץ אקסל עם רשימת מטופלים בתיבת מייל, גיבוי ישן בענן ולוג של מערכת CRM הם ePHI לכל דבר – גם אם איש לא חושב עליהם כ"מערכת רפואית". חלק גדול מהפרות ה-HIPAA המתועדות מתחיל בדיוק במקומות האלה: עותקים של מידע שנשכחו מחוץ למערכות המנוהלות.

שלושת הכללים: Privacy, Security, Breach Notification

ה-Privacy Rule קובע מי רשאי להשתמש במידע ולמסור אותו, ולאילו מטרות: טיפול, תשלום ותפעול מותרים ללא הסכמה נפרדת, וכמעט כל שימוש אחר דורש הרשאה מפורשת מהמטופל. הכלל מעגן גם את עקרון ה-Minimum Necessary – להשתמש ולחשוף רק את המינימום הנדרש למשימה – ואת זכויות המטופל לקבל עותק של המידע שלו ולבקש תיקונים.

ה-Security Rule הוא הצד ההנדסי: הוא מגדיר את אמצעי ההגנה הנדרשים על ePHI, בשלוש קטגוריות בקרות שנפרט בסעיף הבא. זהו הכלל שמולו נבחנת התשתית הטכנולוגית והארגונית – והוא שמחייב, בין השאר, ניתוח סיכונים מתועד.

ה-Breach Notification Rule קובע מה קורה כשההגנה נכשלת: על אירוע שחשף PHI לא מאובטח יש להודיע לנפגעים ללא דיחוי בלתי סביר ולא יאוחר מ-60 יום; אירוע שנוגע ל-500 אנשים או יותר מחייב דיווח ל-HHS באותו פרק זמן ולעיתים גם לתקשורת, ואירועים קטנים יותר מדווחים ל-HHS בריכוז שנתי. נטל ההוכחה הפוך ממה שנדמה: אירוע נחשב Breach ברירת מחדל, אלא אם הארגון מוכיח בהערכת סיכון מתועדת שההסתברות לחשיפת המידע נמוכה.

Security Rule: הבקרות המנהליות, הפיזיות והטכניות

בקרות מנהליות (Administrative Safeguards) הן הלב של הכלל, ובראשן הדרישה המפורשת ל-Risk Analysis: זיהוי והערכה מתועדים של הסיכונים והחולשות ביחס לכל ה-ePHI בארגון, כבסיס לתוכנית ניהול סיכונים. לצידה: מינוי אחראי אבטחה, נהלי הרשאות וסיום העסקה, הדרכות עובדים, תוכנית המשכיות והתאוששות, והערכה תקופתית (Evaluation) של מערך האבטחה כולו – טכנית ולא-טכנית – שחוזרת על עצמה בכל שינוי מהותי.

בקרות פיזיות (Physical Safeguards) מסדירות את הגישה למתקנים ולציוד: בקרת כניסה לחדרי שרתים ומשרדים, מדיניות עמדות עבודה, וניהול מחזור החיים של מדיה והתקנים – מהקצאה ועד השמדה מאובטחת. בעידן הענן, חלק מהבקרות האלה עובר לספק התשתית – אבל האחריות לוודא שהן קיימות נשארת אצלכם, דרך ההסכמים והביקורות.

בקרות טכניות (Technical Safeguards) הן חמש משפחות: בקרת גישה (זיהוי ייחודי לכל משתמש, ניתוק אוטומטי, הצפנה), בקרות תיעוד (Audit Controls – רישום פעילות במערכות שמכילות ePHI), שלמות המידע (מנגנונים שמוודאים שמידע לא שונה או הושמד שלא כדין), אימות זהות, ואבטחת תעבורה – הגנה על ePHI בזמן שידור ברשת. חלק מהמפרטים מוגדרים כ-Required וחלק כ-Addressable – כלומר ניתנים ליישום חלופי מנומק, אך לא לוויתור שקוף: החלטה שלא ליישם מפרט Addressable חייבת להיות מתועדת ומבוססת על ניתוח הסיכונים. המדריך המעשי המקובל ליישום כל אלה הוא NIST SP 800-66^[2].

Business Associate – למה זה נוגע לחברות ישראליות

כאן ההקשר הישראלי הופך מעניין תיאורטי לשאלה עסקית. חברה ישראלית שמפתחת מערכת ניהול מרפאות ללקוחות אמריקאיים, פלטפורמת טלה-רפואה, שירות תמלול רפואי מבוסס AI, או אפילו שירותי אחסון וגיבוי לגוף בריאות אמריקאי – היא Business Associate במלוא מובן המילה. גיאוגרפיה אינה מקלט: החובות נוצרות מכוח החוזה ומכוח התקנות, וה-OCR אוכף גם מול שרשרת הספקים.

המשמעות המעשית מתחילה ב-BAA – Business Associate Agreement: הסכם מחייב שה-Covered Entity חייב להחתים כל ספק כזה, והוא תנאי סף לעסקה. ה-BAA קובע אילו שימושים במידע מותרים, מחייב יישום מלא של ה-Security Rule, מסדיר דיווח על אירועי אבטחה ללקוח, ומחייב להחתים באותם תנאים גם קבלני משנה – כך שהשרשרת ממשיכה גם מכם והלאה, לספקי הענן ולכל שירות צד שלישי שנוגע במידע. מאז תיקוני HITECH, ה-Business Associate נושא באחריות ישירה מול הרגולטור האמריקאי – קנסות והליכי אכיפה חלים עליו עצמו, לא רק על הלקוח ששכר אותו.

ולצד כל זה, אל תשכחו את הדין המקומי: מאגר עם מידע רפואי הוא מידע רגיש גם לפי התקנות הישראליות, כך שחברה ישראלית שמחזיקה נתוני מטופלים חיה תחת שתי מסגרות במקביל. ליווי מקצועי בתחום הגנת הפרטיות וציות מתחיל בדיוק במיפוי הזה – אילו חובות נובעות מכל מסגרת, ואיך עומדים בשתיהן בלי לבנות שני מערכים נפרדים.

HIPAA מול תקנות הגנת הפרטיות הישראליות

ההשוואה חשובה לא רק להתמצאות – היא מראה כמה חפיפה יש בפועל בין שתי המסגרות, וכמה עבודה אחת משרתת את שתיהן. הבסיס הישראלי הוא תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017^[3], שסקרנו בהרחבה במדריך המלא על תקנות הגנת הפרטיות הישראליות:

השורה התחתונה מהטבלה: מי שבנה מערך אבטחה שעומד בתקנות הישראליות ברמה גבוהה כבר מחזיק את רוב אבני הבניין של HIPAA – ולהפך. הפערים האמיתיים הם בשכבה החוזית (BAA), בנהלי הדיווח ובתיעוד בפורמט שהרגולטור האמריקאי מצפה לו.

איפה מבדק חדירה וסקר סיכונים נכנסים

שתי המסגרות נפגשות בדיוק באותה נקודה מעשית. ה-Risk Analysis של HIPAA וחובת סקר הסיכונים הישראלית הם במהותם אותו תהליך – מיפוי שיטתי של הנכסים, האיומים והפערים – וסקר סיכוני סייבר שמתוכנן נכון מפיק תוצר אחד שעונה על שתי הדרישות: מפת סיכונים מתועדת, מתועדפת ומתוארכת, שהיא המסמך הראשון שגם ה-OCR וגם הרשות להגנת הפרטיות מבקשים.

ומה לגבי מבדקי חדירות? HIPAA אינו נוקב במילים "Penetration Test", אבל בפועל אי אפשר לעמוד בדרישת ה-Evaluation התקופתית בלי בדיקה טכנית של ההגנות – וה-BAA-ים של לקוחות אמריקאיים גדולים כבר דורשים מבדק תקופתי במפורש, לצד שאלוני אבטחה שנשענים על תוצאותיו. מבדק חדירות לארגון שממוקד במערכות שנוגעות ב-ePHI סוגר בבת אחת שלוש דרישות: ההוכחה הטכנית ל-HIPAA, החובה המפורשת של תקנה 5(ד) הישראלית למאגרים ברמה גבוהה, והדרישה החוזית של הלקוח. עבור חברה ישראלית שמוכרת לשוק הבריאות האמריקאי, דוח מבדק עדכני הוא לא רק מסמך ציות – הוא כלי מכירה שמקצר תהליכי Vendor Assessment בחודשים. איך קובעים את הקצב הנכון בין המבדקים – במדריך שלנו על כל כמה זמן צריך לבצע מבדק חדירות.

איפה ארגונים נכשלים

1. אין Risk Analysis מתועד – או שהוא חלקי. זו ההפרה שחוזרת שוב ושוב בהסדרי האכיפה של ה-OCR: ארגונים שמיישמים בקרות טכניות אבל מעולם לא ביצעו ניתוח סיכונים שיטתי על כל ה-ePHI שלהם, כולל מערכות צד, גיבויים וסביבות פיתוח. בלי המסמך הזה, כל השאר לא ייחשב.

2. ePHI מחוץ למפה. המערכת המרכזית מאובטחת היטב – אבל עותקים חיים בתיבות מייל, בקבצים משותפים, בסביבות בדיקה עם נתוני אמת ובמכשירים ניידים לא מוצפנים. אובדן מחשב נייד לא מוצפן הוא אחד התרחישים הקלאסיים בדיווחי ההפרות.

3. Addressable מתפרש כ"רשות". מפרט Addressable שלא יושם בלי החלטה מתועדת ומבוססת סיכון הוא הפרה – לא בחירה לגיטימית. הצפנה היא הדוגמה הבולטת: היא Addressable פורמלית, אבל ויתור עליה כמעט בלתי אפשרי להצדקה.

4. שרשרת ספקים בלי BAA. חברות מחתימות BAA מול הלקוח, אבל שוכחות להחתים באותם תנאים את ספקי הענן, כלי האנליטיקה וקבלני המשנה שלהן עצמן – בדיוק הכשל שמקביל לתקנה 15 הישראלית, ובדיוק מה שמתגלה ראשון בביקורת.

5. אין הוכחה טכנית שההגנות עובדות. נהלים כתובים, הדרכות בוצעו – אבל איש לא בדק בפועל אם אפשר לחדור. בלי בדיקה אקטיבית של המערכות, ה-Evaluation התקופתי נשען על הצהרות, וההפתעה מגיעה או בתקיפה אמיתית או בשאלון אבטחה של לקוח גדול.

שאלות נפוצות

האם HIPAA חל על חברות ישראליות?

כן, בעקיפין אך במלוא העוצמה. חברה ישראלית שמעבדת, מאחסנת או ניגשת למידע רפואי מזוהה עבור גוף בריאות אמריקאי היא Business Associate: היא חייבת לחתום על BAA, ליישם את דרישות ה-Security Rule, ונושאת באחריות ישירה מול הרגולטור האמריקאי – כולל חשיפה לקנסות. בפועל, לקוחות אמריקאיים לא יתקדמו לעסקה בלי BAA חתום והוכחות ציות.

מה ההבדל בין PHI ל-ePHI?

PHI הוא כל מידע רפואי שניתן לקשר לאדם מזוהה, בכל צורה – נייר, דיבור או קובץ. ePHI הוא אותו מידע בצורה אלקטרונית: מסדי נתונים, קבצים, מיילים, גיבויים ותעבורת רשת. ה-Privacy Rule חל על PHI בכל צורותיו, בעוד ה-Security Rule – עם דרישות ההצפנה, בקרות הגישה והתיעוד – מתמקד ב-ePHI.

האם HIPAA מחייב מבדק חדירות?

לא במילים מפורשות – אבל בפועל קשה לעמוד בלעדיו. ה-Security Rule מחייב Risk Analysis ו-Evaluation תקופתי טכני ולא-טכני של ההגנות, והמדריך המעשי של NIST ליישום הכלל ממליץ על בדיקות טכניות של הבקרות. בנוסף, הסכמי BAA של לקוחות גדולים דורשים כיום מבדקי חדירות תקופתיים במפורש. לחברות ישראליות עם מאגר ברמת אבטחה גבוהה, המבדק ממילא חובה לפי תקנה 5(ד) לתקנות הישראליות.

מה זה BAA ומתי חותמים עליו?

BAA – Business Associate Agreement – הוא הסכם מחייב בין גוף בריאות לספק שנוגע ב-PHI, שקובע את השימושים המותרים במידע, מחייב יישום של דרישות האבטחה, מסדיר דיווח על אירועים ומחייב להחתים גם קבלני משנה. חותמים עליו לפני שהספק מקבל גישה כלשהי למידע – זהו תנאי סף לעסקה, לא פורמליות שמשלימים אחר כך.

מה הקנסות על הפרת HIPAA?

האכיפה האזרחית מדורגת לפי רמת האשמה – מהפרה בתום לב ועד הזנחה מכוונת שלא תוקנה – עם קנסות לכל הפרה שמצטברים לתקרות שנתיות של מיליוני דולרים לכל סוג הפרה, לצד הסדרי אכיפה שכוללים תוכניות תיקון רב-שנתיות בפיקוח ה-OCR. במקרים חמורים של השגת מידע או מסירתו ביודעין קיימת גם אחריות פלילית. הסכומים המדויקים מתעדכנים מדי שנה לפי המדד האמריקאי.

מקורות שצוטטו במאמר (4)

• [1] 45 CFR Part 164 – Security and Privacy – eCFR, נוסח התקנות הפדרליות
• [2] NIST SP 800-66 Rev. 2 – Implementing the HIPAA Security Rule – NIST
• [3] תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 – נבו
• [4] 45 CFR Part 160 – General Administrative Requirements (אכיפה וקנסות) – eCFR

המאמר עודכן לאחרונה: ספטמבר 2026 ומשקף את המסגרת הרגולטורית הנוכחית בארה"ב ובישראל, כולל תיקון 13 לחוק הגנת הפרטיות. המידע המובא הוא כללי ואינו מהווה ייעוץ משפטי.