המהפכה בבריאות צומחת בלי מעטפת חוקית

אל מול המהפכה שקורמת עור וגידים כיום בישראל בתחום הבריאות הדיגיטלית, נראה כי המסגרת הנורמטיבית והמעטפת החקיקתית בתחום הבריאות הדיגיטלית עדיין לוקה בחסר ואינה מדביקה את קצב ההתפתחות המהיר של התחום. לא בכדי נאמר בעבר על-ידי המשנה לשעבר לנשיא ביהמ"ש העליון, ד"ר מישאל חשין ז"ל: "המשפט והטכנולוגיה הם יצורים שונים, שבאים מעולמות שונים - והם הפכים... המשפט מפגר אחר הטכנולוגיה, לעתים במרחק ובזמן רבים מאוד".

בעוד שהחקיקה בארה"ב הנוגעת לבריאות דיגיטלית היא בת יותר מ-20 שנה, החקיקה באירופה ובישראל התעדכנה לאחרונה, בעיקר לשם חיזוק ההגנה על פרטיות מידע רפואי. בישראל טרם נחקקה חקיקה ראשית כוללת ופרטנית, המאסדרת את תחום הבריאות הדיגיטלית, לפיו יוכלו לפעול באופן אחיד ומוסדר ארגוני הבריאות, גופי מחקר/חברות הזנק/חוקרים, בבואם לעשות שימוש במידע בריאות או במסגרת שיתופי-פעולה.

בישראל, בהתאם לחוק הגנת הפרטיות תשמ"א-1981, אין לנהל או להחזיק מאגר מידע הכולל "מידע רגיש", אלא אם המאגר נרשם ועומד בתנאי החוק והתקנות. לאחרונה הותקנו תקנות הגנת הפרטיות (אבטחת מידע) התשע"ז-2017, הנוגעות לאבטחת מידע במאגרים. תקנות אלה חלות באופן גורף ומחייב על כל מאגר מידע המוגדר בחוק, במגזר הציבורי והפרטי, בין אם מאגר המידע רשום או לאו. במסגרתן נקבע, בין היתר, כי מאגרי מידע הכוללים "מידע רפואי או מידע על מצבו הנפשי של אדם" הם מאגרי מידע עליהם חלה חובת אבטחה מוגברת.

החלל החקיקתי האמור מתמלא חלקית על-ידי חוזרים של משרד הבריאות שפורסמו השנה, המתווים את השימוש המחקרי במידע רפואי ושיתופי-פעולה עם ארגונים חיצוניים למערכת הבריאות. נהלים אלה, ביחד עם דיני הגנת הפרטיות, עשויים להוות נקודת המוצא לבחינה האסדרה הכוללת בתחום הבריאות דיגיטלית.

לפני כ-20 שנה נחקק בארה"ב Health Insurance Portability and Accountability Act או HIPAA, שביסס את הסטנדרט והדרישות להגנה על מידע אישי/רפואי. הוא חל על כל מטפל רפואי/ספק שירותי רפואה שעושה שימוש אלקטרוני במידע בריאות.

באירופה החקיקה התעדכנה לאחרונה, והיא מקיפה ומדויקת יותר מבישראל. לאחרונה נכנסה לתוקפה אסדרה כוללת להגנה על מידע, במסגרת ה-GDPR. ההוראות נחקקו בעיקר על מנת ליצור הרמוניזציה בחוקי פרטיות מידע באירופה וחיזוק ההגנה על פרטיות המידע. ה-GDPR מסדיר "שימוש" בכל "מידע אישי" הנוגע לפרט באירופה, שחל על כל העושים שימוש במידע אישי אודות תושבי האיחוד האירופי, בין אם הארגון העושה שימוש במידע מצוי באירופה או לאו. מטרת ה-GDPR להגן על מידע אישי, ללא קשר לסוג הטכנולוגיה בה נעשה שימוש ויצירת שקיפות גדולה יותר כלפי נושאי המידע, תוך הטלת חובות מוגברות על גורמים המעבדים מידע רגיש כגון "מידע הקשור לבריאות".

החקיקה העדכנית בישראל אמנם מספקת מעטפת רגולטורית מסוימת בתחום הגנת הפרטיות ואבטחת המידע, אך אינה עוסקת בסוגיות משפטיות אחרות, מתחום הקניין הרוחני או האתיקה, המתעוררות לרוב בשיתוף-פעולה בין ארגני בריאות וארגונים חיצוניים לו. למשל, שאלות מורכבות עולות באשר לבעלות על מידע הבריאות ותוצרי המחקר במידע כזה, התמורה שניתן לקבל בגין גישה למידע, האופן בו יתאפשר לגורמים הנעברים שימוש נוסף במידע וכיוצא בזה. כל אלה אינם מוסדרים בחקיקה או בכלל, והדבר יוצר אי-ודאות הן במגזר הפרטי והן הציבורי.

ברקת הוא שותף בכיר, ובן דורי-אלקן היא שותפה בגילת, ברקת ושות' מקבוצת ריינהולד-כהן