בעמוד הזה
מה זה HIPAA?
HIPAA (Health Insurance Portability and Accountability Act) נחקק בארה"ב ב-1996. החלקים שרלוונטיים לאבטחת מידע הם כלל הפרטיות (Privacy Rule), שקובע מי רשאי להשתמש במידע רפואי ולמה, וכלל האבטחה (Security Rule), שמגדיר בקרות מנהליות, פיזיות וטכנולוגיות להגנה על מידע רפואי אלקטרוני.
החוק חל על "גופים מכוסים" (Covered Entities) כמו בתי חולים, קופות וחברות ביטוח, ועל "שותפים עסקיים" (Business Associates) שמעבדים עבורם מידע רפואי. חברה ישראלית שמספקת תוכנה או שירות ענן לגוף כזה היא בדרך כלל שותף עסקי, וחותמת על הסכם BAA.
דוגמה מהשטח
סטארטאפ ישראלי לניטור מטופלים מרחוק. המערכת שולחת נתוני לחץ דם ודופק של מטופלים בארה"ב לענן. בית החולים האמריקאי מבקש לחתום על BAA ומצפה לראות סקר סיכונים, הצפנה של המידע, תיעוד גישה ונוהל דיווח על פריצה. בלי זה העסקה לא נסגרת.
HIPAA או GDPR?
| HIPAA | GDPR | |
|---|---|---|
| סוג המידע | מידע רפואי מזהה (PHI) | כל מידע אישי |
| על מי חל | גופי בריאות בארה"ב והספקים שלהם | מי שמעבד מידע של אנשים באיחוד |
| הסכם מול ספקים | BAA (Business Associate Agreement) | DPA (Data Processing Agreement) |
רכיבים מרכזיים
איך זה עובד
- מיפוי PHI
איפה המידע הרפואי נמצא ומי ניגש אליו.
- סקר סיכונים
זיהוי איומים ופערים מול כלל האבטחה.
- יישום בקרות
הצפנה, הרשאות, תיעוד גישה ונהלים.
- הדרכה ותיעוד
הדרכת עובדים ושמירת ראיות לעמידה בדרישות.
שאלות נפוצות
האם HIPAA חל על חברה ישראלית?
כן, אם היא מטפלת במידע רפואי מזהה של מטופלים בארה"ב עבור גוף מכוסה, בדרך כלל כשותף עסקי שחותם על BAA.
מה זה PHI?
Protected Health Information: מידע רפואי שמאפשר לזהות מטופל, כמו אבחנה, טיפול, תוצאת בדיקה או פרטי ביטוח, יחד עם פרט מזהה.
האם יש הסמכה רשמית ל-HIPAA?
לא. ממשלת ארה"ב לא מעניקה הסמכה רשמית. ארגונים מוכיחים עמידה באמצעות סקר סיכונים, תיעוד בקרות וביקורות חיצוניות.