עדכון לקוחות | רגולציה חדשה בתחום השימוש במידע רפואי לצרכים מחקריים ומסחריים

לקוחות וידידים נכבדים, בישראל מתועד מדי יום מידע רפואי בהיקפים גדולים, והודות ליתרונות משמעותיים הקיימים במערכת הבריאות הישראלית, מידע זה מקושר לאורך כל שרשרת הטיפול הרפואי. בשנים האחרונות, עם התקדמות טכנולוגיית המידע וכלי האנליזה בתחום ה'ביג דאטה', נוצרו הזדמנויות להפקת ערך ותובנות משמעותיות ממידע  זה. משרד הבריאות פרסם לאחרונה שני חוזרי מנכ"ל המסדירים שימושים של גורמים מחקריים ומסחריים במידע בריאות המצוי אצל מוסדות בריאות בארץ. כפי שמצוין בחוזרי המנכ"ל, משרד הבריאות מעודד את מוסדות הרפואה להרחיב את השימוש במשאב זה על מנת לשפר ולייעל את הטיפול הרפואי, בין היתר באמצעות שיתוף המידע עם גורמים מחקריים באקדמיה ובתעשייה, לרבות חברות סטרט-אפ בתחום. חוזרים אלה מסדירים לראשונה את נושא השימוש במידע בריאות לצרכי מחקר ומסחור. החוזרים מצריכים הן היערכות של ארגוני הבריאות והן תשומת לב של חברות המתקשרות בהסכמים עם ארגוני בריאות שבמסגרתם מידע בריאות מועבר לחברות אלה. חוזרי המנכ"ל נועדו להגדיר כללים לשימוש "משני" במידע בריאות ולשיתופי פעולה המערבים שימוש משני במידע בריאות, עד להשלמת פעילות משרד הבריאות לגיבוש רגולציה בנושא. שימוש משני הוא שימוש במידע בריאות לכל שימוש שאיננו לצורך טיפול רפואי, למשל שימוש מחקרי, בין אם ציבורי ובין אם מסחרי. חוזרי המנכ"ל חלים על כל "ארגון בריאות", הגדרה רחבה אשר כוללת בין היתר כל מטפל, מוסד רפואי, נותן שירותים, קופות חולים, בתי חולים, בית מרקחת, ארגוני פינוי והצלה (כגון מגן דוד אדום) וכל גורם אחר המחזיק מידע רפואי מזוהה עקב אחריותו לטיפול במטופלים, בין אם הוא ציבורי או פרטי.

חוזר מנכ"ל מס' 1/2018 "שימושים משניים במידע בריאות"

עקרון מרכזי בחוזרי המנכ"ל הוא נושא ההתממה  (de-identification) של מידע בריאות. ברירת המחדל היא כי שימוש משני במידע בריאות יעשה ב"מידע מותמם", קרי מידע שעבר תהליך להפחתת הסיכון לזיהוי הפרט מתוך מידע בריאות. הפחתת סיכון לזיהוי הפרט נעשית בין היתר באמצעות אגרגציה, הפחתת דיוק הנתונים באמצעות שימוש בטווח במקום בערך ייחודי, השמטת פרטים, קידוד והצפנה. בחלוף 180 ימים מפרסום החוזר על כל ארגון בריאות לבצע התממה באמצעים ובטכנולוגיה שייקבעו על בסיס חוות דעת גורמי המקצוע שלו ובהתאם למיטב שיקול דעתם המקצועי. בחלוף שנה מפרסום החוזר על כל ארגון בריאות להעביר את מנגנון ההתממה שבו ייעשה שימוש לבדיקתו של סטטיסטיקאי, שיאשר בכתב טרם השימוש המשני במידע, כי המידע הותמם ברמה שאינה מאפשרת זיהוי מחדש של פרטים באמצעות שימוש באמצעים ובמשאבים סבירים הזמינים לציבור הרחב. משרד הבריאות עתיד לקבוע כללים או אמצעים טכנולוגיים מינימאליים מקובלים לביצוע התממה על מנת ליצור אחידות בתחום. חוזר המנכ"ל קובע עוד כי כל שיתוף במידע בריאות לשימוש משני ייבחן על ידי ארגון הבריאות באופן פרטני, וייעשה בהתאם לנהלי והנחיות אבטחת מידע שיגדיר ארגון הבריאות, בכפוף לדין ולהנחיות משרד הבריאות. שימוש משני במידע בריאות למטרות מחקר ייעשה באישור ועדת הלסינקי, אשר תכלול חבר בעל ידע בסטטיסטיקה לצורך הערכת רמת הסיכון לזיהוי המידע. יש לשים לב שהחובה לכלול חבר בעל ידע בסטטיסטיקה נכנסת לתוקף באופן מיידי. כמו כן, הבקשה לאישור המחקר תועבר לעיון הממונה על הגנת הפרטיות או על אבטחת המידע בארגון, אשר יביע את דעתו בנושא. אישור הוועדה יינתן רק לאחר קבלת אישור הממונה על הפרטיות או אבטחת המידע בארגון. החוזר קובע כי ככלל לצורך שימוש משני במידע בריאות יש להימנע מהוצאת מידע אל מחוץ לשליטת ארגון הבריאות. גם במסגרת מחקר שאושר בוועדת הלסינקי, יש לאפשר ככל הניתן גישה למידע בסביבה מאובטחת בתוך הארגון. הוצאת מידע בריאות, לרבות מידע מותמם, משליטת הארגון לצרכי מחקר, תתבצע ברמת אבטחה שאינה פחותה מזו הקבועה בנהלי משרד הבריאות, והיא טעונה אישור מנומק של ועדת הלסינקי ושל הגורם המוסמך בארגון על כך שהדבר הכרחי עבור אותו שימוש מסוים.

חוזר מנכ"ל מס' 2/2018 "שיתופי פעולה המבוססים על שימושים משניים במידע בריאות"

כל ארגון בריאות נדרש להעביר לידיעת מנכ"ל משרד הבריאות דיווח רבעוני על כל הסכם חדש המאפשר שימוש משני במידע בריאות על ידי גורם חיצוני לארגון הבריאות. החוזר קובע הנחיות המחייבות ארגוני בריאות בגיבוש הסכם המאפשר לגורם חיצוני שימוש משני במידע בריאות. על ארגון בריאות המבקש לחרוג מההוראות המפורטות בחוזר לפנות למנכ"ל משרד הבריאות. בין היתר, קובע החוזר את ההנחיות הבאות:

1. מטרות ההסכם – ההסכם יגדיר באופן ברור את מטרות השימוש במידע הבריאות ויפרט כיצד השימוש במידע הבריאות יוצר תועלת לציבור הרחב או לציבור מטופלים רלוונטי. ההסכם יאסור על שימוש במידע למטרות שלא הוגדרו בו, למטרה שאינה משרתת את קידום הטיפול הרפואי, בריאות הציבור או המחקר הרפואי, או למטרה חברתית שאינה ראויה, בדגש על אפליה בביטוח או בתעסוקה.
2. בלעדיות – ההסכם לא יבטיח בלעדיות לשימוש משני במידע בריאות לגורם כלשהו, או ימנע שיתופי פעולה אחרים הכוללים שימוש במידע בריאות הקיים בארגון, למעט בנוגע למידע בריאות שנאסף לפי בקשת הצד השני, במימונו או תוך השקעה מצדו, במסגרת שיתוף הפעולה, וגם במקרה זה תוגבל הבלעדיות לתקופה של עד 18 חודשים.
3. שמירה על פרטיות, חיסיון רפואי ואבטחת מידע – על ההסכם להגדיר אחריות לשמירה על הסודיות בעיבוד ואיסוף מידע בריאות, לרבות קביעת מנגנוני בדיקה ובקרה, אחריות לתקלות ולאירועים חריגים ושימוש באמצעים טכנולוגיים וארגוניים לאבטחת המידע. על ההסכם לכלול גם התחייבות של כל העובדים הנחשפים או עשויים להיחשף אל המידע, לשמירה על סודיות ופרטיות המידע.
4. כללים לשימוש במידע – ההסכם לא יאפשר הוצאת מידע מזוהה או מידע הניתן לזיהוי מחוץ לשליטת ארגון הבריאות בהיעדר הסכמת המטופלים או אם הדבר אינו נעשה על פי דין.
5. הוראות נוספות –