חוק זכויות החולה למטפל העצמאי: מה באמת נדרש מרשומה דיגיטלית

מייל שמגיע ביום שלישי בצהריים: "היי, אני צריכה את התיק שלי בשביל רופאה תעסוקתית. אפשר העתק?". ובראש שלכם רצות שלוש שאלות בבת אחת: מה בדיוק אני חייב למסור? מה עם ההערות שכתבתי לעצמי? ואיך אני בכלל מפיק את זה מתוך אקסל, וורד ומחברת?

פתחתם קליניקה כדי לטפל, אבל חוק זכויות החולה רואה בכם גם מנהלי רשומה רפואית, על כל המשתמע. המדריך הזה מתרגם את הדרישות לשפה של קליניקה של אדם אחד: מה החוק אומר, מה זה מחייב בפועל מהמערכת שלכם, ואיך נראה ציות סביר בלי עורך דין צמוד.

מה החוק דורש, בלי משפטית

חובת התיעוד (סעיף 17)

החוק קובע שמטפל מתעד את מהלך הטיפול ברשומה רפואית: פרטים מזהים שלכם ושל המטופל, מידע על הטיפול שניתן, העבר הרלוונטי כפי שנמסר, הערכת המצב והוראות להמשך. העיקרון קל לזכור: מה שלא נכתב, מבחינת הרשומה לא קרה. ובאותו סעיף מסתתרת נקודה חשובה למטפלים: תרשומת אישית שלכם אינה חלק מהרשומה הרפואית. נחזור אליה בהמשך, כי היא קריטית.

חובת השמירה

אתם אחראים לניהול שוטף של הרשומה ולשמירתה לאורך זמן. תקנות שמירת הרשומות קובעות תקופות לפי סוג הרשומה, כשלרשומות מרפאה מקובלת שמירה של שבע שנים לפחות מהרישום האחרון, ולקטינים יותר. המשמעות המעשית: תיקייה במחשב נייד בלי גיבוי היא לא "שמירה". היא הימור.

זכות המטופל לעיין ולקבל העתק

מטופל זכאי לקבל מידע רפואי מהרשומה שלו, כולל העתק (סעיף 18 לחוק). "אלה הרשימות שלי" היא לא עילת סירוב. קיימים חריגים צרים שמחייבים הליך מסודר, אבל ברירת המחדל ברורה: המטופל מבקש, אתם מפיקים.

רגע, זה בכלל חל עליי?

פסיכולוגים נמצאים במפורש בהגדרת "מטפל" בחוק, ומקצועות בריאות מוסדרים, פיזיותרפיה ותזונה למשל, כפופים לחובות תיעוד דומות. מאמנים ומטפלים שאינם מקצוע בריאות מוגדר אינם בהכרח כפופים לחוק עצמו, אבל הסטנדרט הזה הוא הרף המקצועי הנכון לכל מי שמנהל תהליך אישי ורגיש, וגם הדרך הפשוטה לבנות אמון.

מהחוק אל המקלדת: ארבעה מבחנים לרשומה דיגיטלית

קובץ וורד עם תאריך הוא לא רשומה רפואית ראויה. אלה ארבעת המבחנים שמפרידים בין "רשמתי משהו" לבין רשומה שעומדת בדרישות:

1. נעילה וחתימה

סיכום שסיימתם צריך להינעל ולהיחתם. רשומה שאפשר לשכתב בשקט שנה אחורה שווה מעט מאוד ביום שבו תצטרכו להסתמך עליה, מול מטופל, מול ועדה או מול בית משפט. הנעילה מגינה קודם כל עליכם.

2. תיקונים מתועדים

טעויות קורות, והחוק לא דורש שלמות. הוא דורש שקיפות. טעות מתקנים בתוספת מסומנת: מה תוקן, מתי, על ידי מי, כשהנוסח המקורי נשמר. מחיקה נקייה של העבר היא בדיוק מה שרשומה אמינה לא עושה.

3. יומן ביקורת

מי פתח את התיק, מי צפה, מי שינה ומתי. יומן ביקורת נשמע ביורוקרטי עד הפעם הראשונה שתצטרכו להוכיח שלא נגעתם ברשומה אחרי אירוע. אז הוא הופך לעד הכי טוב שלכם.

4. ייצוא נכון, עם הפרדת תרשומת אישית

כשמטופל מבקש העתק, אתם צריכים להפיק רשומה קריאה ומסודרת. וכאן נכנסת ההפרדה שהחוק קובע בסעיף 17(א): תרשומת אישית של המטפל אינה חלק מהרשומה הרפואית. ההשערות שאתם מגלגלים, הערות לעצמכם, מחשבות להתייעצות, כל אלה לא נמסרים עם ההעתק.

המסקנה המערכתית חשובה: אם התרשומת האישית כתובה באותו שדה טקסט כמו הסיכום הרשמי, אין לכם דרך אמיתית להפריד. מערכת טובה מחזיקה אותן בנפרד מהיום הראשון. ב-Clinic-AI, למשל, ייצוא הרשומה הרפואית מפיק את התיק בלי התרשומות האישיות של המטפל, בלחיצה.

אבטחת מידע: הרף של 2026

חוק זכויות החולה לא עומד לבד. מאגר מטופלים הוא מידע רגיש לפי דיני הגנת הפרטיות, ותקנות אבטחת המידע חלות גם על קליניקה של מטפל אחד. ומאז שתיקון 13 לחוק הגנת הפרטיות נכנס לתוקף (אוגוסט 2025), לרשות להגנת הפרטיות יש כלי אכיפה ממשיים, כולל עיצומים כספיים. זה כבר לא נושא שנעים לדחות לשנה הבאה.

מה זה אומר בפועל:

• הצפנה. המידע מוצפן גם בשרת וגם בדרך אליו. לשם השוואה, ב-Clinic-AI כל המסד מוצפן בתקן AES-256 והתעבורה מוצפנת ב-TLS.
• גיבוי שנבדק. גיבוי אוטומטי קבוע הוא חצי עבודה. החצי השני הוא לוודא שהגיבוי באמת ניתן לשחזור. גיבוי שלא נבדק הוא תקווה, לא גיבוי.
• הרשאות ואימות. סיסמה חזקה ואימות דו-שלבי לכניסה, והרשאות לפי תפקיד אם עובדים אתכם מזכירה או מטפלים נוספים.
• הסכם עיבוד נתונים (DPA). כל ספק שנוגע במידע המטופלים שלכם, כולל ספקי AI, חותם מולכם על התחייבויות מסודרות.

צ'קליסט ציות למטפל העצמאי

עברו סעיף אחרי סעיף וסמנו ביושר:

1. כל מפגש מתועד ברשומה, סמוך למועד הפגישה
2. רשומות נחתמות וננעלות בסיום
3. תיקונים נעשים כתוספת מתועדת, לא כדריסה
4. יש יומן ביקורת שמתעד צפייה ושינוי
5. תרשומת אישית נשמרת בנפרד מהרשומה הרפואית
6. אפשר להפיק העתק רשומה למטופל בתוך ימים, לא שבועות
7. המידע מוצפן, גם באחסון וגם בתעבורה
8. יש גיבוי אוטומטי, והשחזור נבדק
9. הכניסה מוגנת באימות דו-שלבי
10. יש DPA חתום עם כל ספק רלוונטי
11. אתם יודעים כמה שנים נשמר כל תיק, וזה קורה בפועל
12. אפשר לייצא את כל המידע שלכם מהמערכת, בכל רגע

עשרה "כן" ומעלה? אתם במקום טוב. פחות מזה? התחילו מסעיפים 2, 4 ו-7. אלה שהכי קשה לאלתר בדיעבד.

ואם אתם עדיין באקסל?

אקסל כשלעצמו אינו עבירה על החוק. אבל תסתכלו על הצ'קליסט ותשאלו כמה מהסעיפים קובץ יכול לקיים: אין נעילה, אין יומן ביקורת, אין הפרדת תרשומת, וההצפנה והגיבוי כולם עליכם. לעמוד בדרישות ידנית זה אפשרי תיאורטית ומתיש מעשית. זו בדיוק העבודה שמערכת ייעודית עושה ברקע, ואם אתם משווים מערכות, בדקו את פרק האבטחה והציות לפני שאתם בכלל מגיעים לפיצ'רים. למטפלי שיקום ופיזיותרפיה, שמנהלים גם מפות גוף ומסמכים קליניים, יש עמוד ייעודי.

גילוי נאות: המאמר נכתב כדי לעשות סדר, והוא אינו ייעוץ משפטי. חוקים ותקנות מתעדכנים, ומקרים פרטיים שונים זה מזה. בשאלות קונקרטיות, במיוחד סביב מסירת מידע רגיש או סירוב מטופל, התייעצו עם עורך דין או עם הגורם המקצועי בתחומכם.