מתי HIPAA חל על חברה ישראלית?
כשאתם מעבדים PHI עבור גוף בריאות אמריקאי — אתם Business Associate, וה-HIPAA מגיע אליכם דרך החוזה. מיקום החברה בישראל לא פוטר: הלקוח האמריקאי מחויב להחתים אתכם על BAA ולוודא שאתם עומדים בדרישות.
- בתחולה, כנראה: מוצר דיגיטל-הלת' שמשרת בתי חולים או מבטחים בארה"ב; מיקור חוץ של פיתוח, תמיכה או אנליטיקה שנוגעים בנתוני מטופלים; שירותי תמלול או עיבוד מסמכים רפואיים ללקוח אמריקאי.
- מחוץ לתחולה, כנראה: אפליקציית בריאות שמוכרת ישירות לצרכנים בלי קשר לגוף בריאות אמריקאי — אם כי חוקי פרטיות אחרים עדיין חלים, בישראל למשל חוק הגנת הפרטיות.
מה נחשב PHI ולמה זה רחב ממה שחושבים?
PHI (Protected Health Information) הוא כל מידע בריאות שניתן לקשר לאדם מזוהה — והקישור הוא החלק הרחב: שם, כתובת, תאריכים, טלפון, אימייל, מספרי מזהים ואפילו תמונה, כשהם מופיעים בהקשר רפואי, הופכים את כל הרשומה ל-PHI. גם מייל פנימי שמזכיר מטופל בשמו הוא PHI.
איך עושים de-identification לפי HIPAA?
ה-Privacy Rule מכיר בשתי שיטות להפוך PHI למידע שאינו מוגבל: Safe Harbor ו-Expert Determination. מידע שעבר de-identification כדין אינו PHI — ומותר להשתמש בו בלי מגבלות החוק.
| שיטה | מה עושים | מתי מתאימה |
|---|---|---|
| Safe Harbor | מסירים 18 קטגוריות מזהים — שמות, מיקומים מפורטים, תאריכים ברמת היום, טלפונים, אימיילים, מספרי זיהוי, תמונות ועוד — ומוודאים שאין ידיעה ממשית שאפשר לזהות מחדש | התהליך הפשוט והנפוץ; מתאים לעבודה שוטפת על מסמכים |
| Expert Determination | מומחה סטטיסטי קובע ומתעד שהסיכון לזיהוי מחדש נמוך מאוד | כשצריך לשמר שדות שה-Safe Harbor מוחק, למשל למחקר |
מה הקשר בין HIPAA לשימוש ב-AI?
הזנת PHI לכלי AI חיצוני היא חשיפה של PHI לספק — מהלך שמחייב BAA עם אותו ספק ועמידה בכל שרשרת הדרישות. רוב כלי ה-AI הצרכניים אינם חותמים BAA, ולכן הדבקת מסמך רפואי מזוהה בהם היא הפרה. הפתרון המעשי: de-identification לפני ההזנה, כפי שהרחבנו במדריך על AI ברפואה וסודיות.
- זהו את כל המזהים במסמך — ישירים ועקיפים, כולל תאריכים ומספרי מקרה.
- החליפו אותם בטוקנים עקביים (אנונימיזציה עקבית שומרת על המסמך שמיש קלינית).
- נקו metadata — שדה מחבר, הערות ושינויים עוקבים מכילים לא פעם שמות.
- ודאו שהתהליך רץ מקומית — כך המסמך המקורי לא נחשף לספק נוסף בדרך.