זהות והרשאות
תיעוד ערוץ הבקשה ואימות זהות מידתי לפני חשיפת מידע, לצד מיפוי בעלי גישה.
אשכול מגזרי · WebLaw
ניהול פרטיות לקליניקות וארגונים עם מידע רפואי
רשומת טיפול, תיאום תורים, מסמכים, הודעות וספקי מערכת דורשים גבולות גישה ותהליך בקשות שאינו חושף מידע לאדם הלא נכון.
תרחיש: מטופל מבקש לעיין במידע בזמן שהמידע מפוזר בכמה מערכות
הבקשה מתקבלת במייל או בטלפון, אבל הרשומות עשויות להימצא במערכת טיפול, תורים, מסמכים וספקי תקשורת. צריך לאמת זהות באופן מידתי, לאתר את המידע הרלוונטי ולתעד מה נבדק ומה הוחלט.
גבולות תחולה
הגבולות הם חלק מהתוכן, לא הערת שוליים.
- מידע רפואי עשוי להיות מידע בעל רגישות מיוחדת, אך עצם היות העסק קליניקה אינו יוצר תמיד ובכל מקרה חובת מינוי DPO.
- היקף החובות תלוי בתפקיד הארגון, סוגי המידע, היקף העיבוד, המערכות, הספקים והנסיבות.
- המערכת אינה קובעת אם מותר למסור, לתקן או למחוק רשומה מסוימת ואינה מחליפה בדיקה של דיני הבריאות והחובות המקצועיות הרלוונטיות.
מוקדי העבודה
איתור מידע
קישור הבקשה למערכות ולספקים שבהם עשוי להימצא מידע, במקום להסתפק בחיפוש במערכת אחת.
החלטה מתועדת
הפרדה בין עיון, תיקון ומחיקה, תיעוד החרגות וחובות שמירה והכנת מענה לבדיקה.
שינוי מערכת
שאלון DPIA והערכה ראשונית לפני מעבר מערכת, שירות מרחוק או שימוש חדש במידע.
Workflow לבקשת מטופל
- 1פותחים בקשה עם סוג, ערוץ, מועד ותוצאת אימות הזהות.
- 2משתמשים במפת העיבוד כדי לאתר מערכות, מסמכים וספקים רלוונטיים.
- 3מתעדים בדיקה, החלטה ופעולות נדרשות בלי ליצור זכות מחיקה גורפת.
- 4עוקבים אחר המועד התפעולי ומקבלים התראת אימייל על בקשה מתקרבת או שעברה מועד.
תוצרים שנשארים בתיק
- טיקט DSR עם תיעוד אימות זהות
- מפת מערכות וספקים שנבדקו
- החלטה ופעולות טיפול מתועדות
- טיוטת מענה לבדיקה ולאישור
- DPIA ראשוני ומשימות לשינוי מערכת
מעקב בקשה בלי לחשוף נתוני מטופל
הצעד הבא בתוך האשכול
שאלות נפוצות
האם כל קליניקה חייבת למנות DPO?
לא. החובה נבחנת לפי תנאי החוק והפעילות בפועל, לרבות סוג המידע, היקף העיבוד ותפקיד הארגון.
האם בקשת מחיקה מחייבת למחוק כל רשומה?
לא בהכרח. צריך לזהות את מקור הזכות ולבדוק דיוק, שלמות, חובות שמירה, חריגים וזכויות אחרות.
האם WebLaw שולחת תשובה אוטומטית למטופל?
המערכת יכולה לנהל טיוטה ותהליך אישור. מענה מהותי אינו יוצא בלי בדיקה ואישור.
אילו התראות קיימות?
התראות אימייל תפעוליות לבקשות מתקרבות למועד או שעברו אותו. אין SLA ציבורי ואין WhatsApp.
מקורות רשמיים
- חוק הגנת הפרטיות במאגר החקיקה הלאומי
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
- גילוי הדעת הסופי של הרשות בנושא מינוי ממונה הגנת פרטיות
- הכלי הדיגיטלי של הרשות לזיהוי סיכוני פרטיות
המידע כללי. תחולה, תפקידים, חובת מינוי ופעולה במקרה מסוים דורשים בדיקה פרטנית.