ביום בהיר בשנת 2016 צלצל הטלפון בביתה של לימור (שם בדוי), עובדת בכירה במוסד לביטוח לאומי. על הקו היתה נציגה מחברת סיעוד, שאמרה לה: “שוחחתי כעת עם אביך על הניתוח האורתופדי שהוא עומד לעבור במפרק הירך. סיפרתי לו שעל פי חוק, מגיעות לו 4 שעות סיעוד על חשבון המדינה, ושאנחנו נשמח להעניק לו את איש הסיעוד המתאים לצרכיו. אביך ביקש שנסגור איתך את הפרטים. תרצו שנבוא ביום חמישי?”.

לימור הופתעה מאד. הניתוח נדחה מספר פעמים, בני המשפחה טרם עודכנו על המועד הזה. מהיכן ידעה חברת הסיעוד על עצם הניתוח? וכיצד ידעה על המועד העדכני? ומהיכן היה לה את הטלפון של אביה? לימור הודתה למתקשרת, ביקשה את שמה הפרטי, וסיימה את השיחה.

לאחר עשר דקות צלצל שוב הסלולרי. על הקו היתה מתאמת אדיבה אחרת, שהציעה הצעה זהה, הפעם מחברת סיעוד אחרת. חושיה של לימור התחדדו.

בטלפון השלישי היא הבינה שמישהו מסר את פרטיו של אביה, כולל שמו וגילו, את פרטי הניתוח אותו הוא עומד לעבור, המועד, המקום, וסוג הניתוח, לשלוש חברות סיעוד. לפחות.

היא העלתה את הדברים על הכתב, מסרה אותם למנהל שלה במוסד לביטוח לאומי, וזה שיגר את התלונה ישירות ליחידת החקירות הפליליות ברשות להגנת הפרטיות.

מדוע הוא שלח את התלונה לרשות להגנת הפרטיות?

הרשות להגנת הפרטיות שהינה חלק ממשרד המשפטים, היא רשות אכיפה ואסדרה, שתפקידה להגן על פרטיות המידע האישי במרחב הדיגיטאלי. הרשות פועלת לאכיפת הוראות חוק הגנת הפרטיות[1] המנחות כיצד יש לאסוף ולנהל מידע אישי במאגרים פרטיים וציבוריים כאחד.

הרשות מנסחת הנחיות, מקדמת הליכי חקיקה, ומשמשת כתובת לגופים שונים הנעזרים בה בפרויקטים שכרוך בהם ניהול רב של מידע אישי.

הרשות מקדישה מאמץ מיוחד לביצוע  פעילות אכיפה כנגד מי שלא הקפיד על שמירת הוראות החוק, ובמסגרת סמכויותיה היא מבצעת פעילויות אכיפה פליליות ומנהליות.

במסגרת פעילות האכיפה המנהלית מטפלת הרשות בעשרות הפרות של החוק בשנה, לרבות אירועי אבטחת מידע, שימוש במאגרי מידע בלתי חוקיים, איסוף מידע בלא הסכמה, העברתו לגופים אחרים ללא הרשאה, הפרת זכויות העיון ועוד.

כמו כן הרשות מפעילה מערך של פיקוח רוחב (Audit) לביצוע ביקורות מגזריות, לאיתור כשלים ענפיים הדורשים התערבות, ולקבלת תמונת מצב בנוגע לסוגיות  של פרטיות.

פעילות האכיפה הפלילית  לעומת זאת, היא חקירה פלילית לכל דבר, אשר בסופה כתב אישום וגזר דין. פעילות זו מתמקדת במי שהפקיר את המידע הרגיש שמופקד בידיו, ובאלו שסחרו במידע זה ועושים בו שימוש, על אף שיודעים שהוא הושג בניגוד לחוק ובלי הסכמתם של האנשים נשואי המידע. צוות החוקרים הפליליים של מחלקת אכיפה מורכב מעורכי דין ומומחי מחשבים שהוכשרו והוסמכו לכך.[2]

נפתחה חקירה פלילית

התלונה של לימור הצביעה על חשד לעבירה פלילית לפי חוק הגנת הפרטיות, של שימוש במידע אישי בניגוד למטרה בשבילה נמסר המידע. זוהי עבירה מסוג פשע והעונש בגינה הוא עד חמש שנות מאסר.

ואכן, בעקבות התלונה פתחה הרשות חקירה פלילית מסועפת שנמשכה מספר חודשים. החקירה כללה צווי חיפוש, תפיסת מחשבים רבים ובכלל זה שרתים, תיבות מייל, מכונות צילום, טלפונים סלולריים, וחקירתם באמצעות כלים פורנזיים מתקדמים. בנוסף כללה החקירה חיפושים בבתי החשודים ובמשרדי חברות הסיעוד החשודות, חקירת חשודים וגביית הודעות מעשרות עדים נוספים.

בין היתר, נחקרו רשומות קופות החולים והלוגים (תיעוד הפעולות) של מי שנכנס אליהן, הוצלב מידע ממחברת יומן הטיפולים של הרופא המטפל, תיבות המייל בחברות הסיעוד ויומני הפגישות הדיגיטליים של המעורבים, מוינו תצלומי המסמכים ששמורים במחשב שבתוך מכונת הסריקה ונותחה רשימת המאושפזים היומית שמודפסת ותלויה בחדרי האחיות של בית החולים.

החקירה חשפה כי חברות סיעוד וחברה למתן שירותי חירום שילמו עבור מידע על חולים, באופן שיטתי, על פני כשנתיים. את המידע הם קנו משני סוחרי מידע, אשר השיגו את הרשימות והמידע הרפואי הרגיש מעובדים שונים ממערכת הבריאות. המידע כלל את המחלה ממנה סבלו, המחלקה בה אושפזו ומועד הניתוח וכן את פרטי הקשר שלהם ושל קרובי משפחתם.

בנוגע לעובדי המערכת הרפואית, חשפה החקירה כי אחת מהם היתה עובדת סוציאלית אשר בנוסף לעבודתה החשובה, העבירה באופן קבוע שמות לאישה אותה הכירה מתחום הסיעוד שנאשמה כסוחרת המידע המרכזית בתיק. נאשם אחר, אח בחדר מיון, נהג לצלם מדבקות של חולי חדר המיון אשר מופיע עליהן מידע רגיש רב, ולהעביר את הצילום למתווכים בעבירת מכירת המידע. נאשם נוסף עבד במחלקה אדמיניסטרטיבית של אחת מקופות החולים, ונהג לשלוף דו”חות אודות מנותחים ממאגר המידע של הקופה ולשלוח טבלה מסודרת ומרוכזת עם פרטיהם לחברת סיעוד.

באופן זה נמכרו פרטיהם של כאלפיים מאושפזים, מרביתם חולי לב או קשישים המיועדים לעבור ניתוח אורתופדי.

הפרשה כמעט והסתיימה, נגד כל המעורבים הוגשו כתבי אישום. הנאשמים שעבדו במערכת הבריאות פוטרו ממשרותיהם, ובימים אלה עומד להיגזר דינו של הנאשם האחרון בפרשה, המתווך בסחר במידע.

הסיבות לעליית תופעת הסחר במידע הרפואי מגוונות:

התפיסה לפיה המידע הרפואי עלינו מוחזק אצל קופות החולים ובתי החולים כבר איננה נכונה. מידע רפואי נאגר כיום במקומות רבים, ציבוריים ופרטיים, כגון קליניקות פרטיות, מחשבי בתי המרקחת שקולטים את המרשמים שמציגים הקונים, חברות הביטוח, משרדי עורכי דין, חברות רפואת החירום הפרטיות, שירותי אמבולנסים ולחצני מצוקה, חברות הסיעוד, מחלקות הרווחה והחינוך ברשויות המקומיות, קרנות ועמותות, מחקרים באוניברסיטה ובמכוני מחקר, חברות התרופות והציוד הרפואי ואפילו באפליקציות חינמיות או בתשלום שנועדו לסייע לאדם לטפל בבריאותו.

במקביל, היקף המידע הרגיש המופק מכל פגישה ובדיקה רפואית גדל, הוזלו אמצעי האחסון הן במדיה הפיזית והן בשירותי הענן והפכו לנגישים גם כלי עיבוד המידע ודרכי השימוש בו דבר אשר מקנה יכולות חשובות לכל מוסד רפואי לבצע ניתוחים ומעקבים אחרי מטופליו, אך במקביל גם מהווה אוצר יקר ערך לכל מי שיכול לשים ידיו על המידע.

עקב כך התפתחו שתי דרכים עיקריות שמטרתן להגן על אותו מידע:

מן הצד האחד, התפתחותן של מערכות אבטחת מידע שמטרתן לוודא כי רק מי שמורשה לגשת למידע יעשה זאת, ולמטרה המקצועית בלבד. מעגלי האבטחה הם פיזיים ולוגיים וכוללים מנגנונים מתוחכמים, כגון – ארכיטקטורת שרתים וחומות אש, מערכות נגד דליפת מידע ורישום לוגים, מנגנוני הרשאות והזדהות באמצעות סיסמאות אישיות מתחלפות, אימות דו שלבי.

ומן הצד השני התחדד הצורך בהגנה מפני הגורם האנושי, בעל הגישה. הגנה זאת נעשית בין היתר באמצעות קביעת נהלים והנחיית מנהלים, עובדים וגורמים במיקור חוץ בעלי גישה למידע, בדבר החשיבות והחובה שבדין בשמירה על פרטיות המידע, שמטרתן לקבוע ממשל תאגידי ולסכל אירוע אבטחה.

בזירה הרפואית קיימת מודעות גבוהה במיוחד לצורך לשמירה על פרטיות החולים, שזכתה להגדרה נוספת, ייחודית, בחוק זכויות החולה התשנ”ו-1996.

מהחקירות שניהלה הרשות בתיקי מידע רפואי עולה כי הנאשמים היו ערים לחובה לשמור על החסיון הרפואי. מדוע, אם כך, הם מבצעים את העבירה בכל זאת? בדרך כלל יהיה המניע כספי ולעתים בשל יחסים מיוחדים עם האדם שמבקש מהם את המידע.

תג המחיר של הפרטיות

מידע רפואי הוא “נכס” סחיר ומבוקש מאד, והתופעה של סחר במידע רפואי מוכרת ברחבי העולם. מידע רפואי ספציפי, על אנשים ספציפיים, עשוי לסייע מאד לכל עסק שפרנסתו קשורה לעולם הרפואה יצרני מכשור רפואי, מסלולי ביטוח רפואי, לחצני מצוקה, עובדי סיעוד ועוד.

איש עסקים אשר ישיג מידע מפולח ומדויק אודות הקונים הפוטנציאלים של המוצר שלו חולים או אנשים הנזקקים לשירות פארה-רפואי, יוכל לחסוך זמן והוצאות, שכן פנייה ישירה וממוקדת לקהל הרלבנטי, תוזיל את עלויות הפרסום, השיווק והשכנוע. הוא יוכל לחסוך את עלויות שלטי החוצות והפרסומת ברדיו, ואת עלויות ההסכם עם Call Center שיבצע עבורו עשרות אלפי שיחות סרק ללקוחות לא רלבנטיים.

בפרשה שתוארה כאן, הסכומים שקיבלו העבריינים בעבור המידע היו נמוכים באופן יחסי, וחלקם אף לא קיבל כל תשלום. המתווכים קיבלו  500 תמורת כל מטופל שהפך ללקוח של חברת הסיעוד. 

בארצות הברית יש המעריכים כי שווי המידע הרפואי על חולה, הינו פי שלושה מהמידע הכלכלי אודותיו[3]  ויש המעריכים כי בעוד שוויו של מספר הביטוח הלאומי 10 סנט, ושוויו של מספר כרטיס האשראי 24 סנט, שוויו של המידע הרפואי מאות ואף אלפי דולרים[4].

הפרופיל של עבריין המידע

במרבית תיקי החקירה שניהלה הרשות, שבמרכזם הוצאת מידע ממאגר, העבריין לא היה האקר שחדר מחוץ לארגון אלא  דווקא העובד בעל הרשאות גישה, אשר מעל באמון המעסיק, ופגע בפרטיות לקוחות הארגון. עבריין המידע בדרך כלל ימסור או ימכור את המידע למתחרה מקצועי של המעביד, לחוקר פרטי, או לעסק אחר שיפיק ממנו תועלת אחרת.

העובד שעושה שימוש בהרשאות שלו וגונב מידע מהארגון, נמצא לעתים בתקופה קשה של מצוקה כלכלית, ועל פי רוב הוא אינו חש מחוייב לערכי הארגון – בשל היותו מתוסכל על שלא קיבל קידום או משכורת כפי שציפה לה, ואם בשל כך שהוא רואה סביבו העדר הקפדה על כללים. בוודאי שכשקל לשלוף את המידע ולהוציא אותו מהארגון מבלי להיתפס, העובד גם לא חש שהוא פועל בצורה שמסכנת אותו, והוא עוצם עיניו מהאפשרות שייתפס ויועמד לדין פלילי.

עבריין המידע לרב לא ייתאמץ להסתיר את עקבותיו מאחר והוא יודע שהמידע עצמו, כשכבר ייצא ל”שוק”, לא יוכל להצביע עליו. זו, אגב, המיומנות העיקרית של חוקרי הרשות הם יודעים לאתר את השובל הדיגיטלי, העקבות לגנב המידע ולמאגר ממנו הוא נגנב.

האמנם אותם נאשמים שמכרו מידע על מאושפזים קשישים העלימו עין מהפגיעה הקשה בפרטיותם?   באיזה רגע החליט העבריין הסוחר במידע רפואי שהרווח שהוא עושה ממכירת אותו מידע מצדיק את הפגיעה שהוא מבצע? לשאלה זו אין מענה וניתן רק להעלות השערות.

סחר במידע רפואי ללא הסכמת המטופל – עבירה המצריכה תכנון

כמו בעבירות פליליות אחרות, גם בעבירות הסחר במידע, רמת התחכום והמאמץ של העבריין להגיע למידע היא אינדיקציה למוטיבציה שלו. ככל שהוא מתאמץ להתגבר על מכשולים שונים – של אבטחת מידע או הנדסת אנוש, ניתפס המעשה כפלילי יותר וחמור יותר.

אינדיקציות נוספות לתכנון העבירה יהיו גם התזמון של המעשה. חלק גדול מהעובדים שגנבו מידע אישי עשו זאת  לקראת עזיבתם את התפקיד.

כיצד עברייני מידע רפואי משיגים את המידע?

הדרכים בהן מידע רפואי נאסף ללא הסכמת החולים מגוונות. כך למשל, חברות סיעוד מעסיקות “מתאמות”, נשים המשוחחות עם אנשים מבוגרים בתור לקופת חולים או לסופרמרקט. הן מייצרות שיחה עם אותו אדם הנראה רלבנטי למוצר אותו הן מבקשות לשווק, ואם יצרו אצלו התעניינות הן יציעו לו לחתום על טופס בו הוא מוסר את מספר הטלפון שלו על מנת שייצרו עימו קשר. בפעולה זו נתן החולה את הסכמתו לכך שייפנו אליו מאותו עסק. מאחר והסכמה היא אבן יסוד באיסוף מידע אודות אדם, הרי שאם ההסכמה נעשתה תוך הבנה מלאה למשמעות שלה, ומי שאסף את המידע מגביל את עצמו להשתמש בפרטי הקשר למטרה שהוצגה בפני אותו קשיש, אין במעשה המתואר עבירה על חוק הגנת הפרטיות.

נזכיר כי בתיק החקירה המתואר המידע נאסף והועבר לצדדים שלישיים ללא ידיעת המטופל ומבלי שנתן לכך את הסכמתו.

בתיקים אחרים נאסף המידע באמצעות דפי נחיתה באינטרנט, תוך ניצול התמימות של הגולשים אשר משאירים מידע רב בטופס המקוון, מבלי לדעת כי המידע הזה לא מוזן לחברה אחת אלא נאסף למאגר מידע ונמכר למי שיסכים לשלם.

בארצות הברית המצב שונה לעת עתה. המידע הרב והאיכותי הנמצא במאגרי המידע הרפואיים משמש שם בעיקר לעבירות הונאה, מרמה וגניבת זהות המגלגלות עשרות מילוני דולרים. פריצות למאגרי מידע בתחום הביטוח הרפואי בארה”ב הן כמעט דבר שבשגרה,[5].

העובדה שפשעי גניבת זהות ומכירת מאגרי על עדיין לא התרחשה בעשור האחרון בישראל נובעת ככל הנראה מכך שמדובר בכל זאת בשוק קטן, הפועל בשפה שאיננה בינלאומית, ולכן הביקוש למידע כזה נמוך יותר ולכן גם מחירו בשוק נמוך יותר.

כיצד ניתן להילחם בסוחרי המידע הרפואי

מטרת החקירה הפלילית שהרשות מנהלת הינה לחשוף את זהות העבריין ולהביאו למשפט פלילי,  ולהפסקת הפעילות שלו. פרסום פעילות האכיפה ומתן גזר דין חמור לעבריין עשויים להרתיע עבריינים נוספים.

אולם המידע שאותו עבריין כבר הצליח להפיץ, לא ייעלם ממחשביהם של מי שכבר קנו ממנו את המידע, ולמעשה יישאר שם לנצח. גם במקרים בהם הצליחה הרשות לחשוף את קוני המידע, הם בדרך כלל כבר מכרו את המידע הלאה.

כיצד אם כן ניתן למנוע את העבירות האלה מלכתחילה?

מניסיוננו עולה כי קיים צורך בשיפור משמעותי במערכות ההתראה בתוך רבים מהארגונים, לצורך איתור פעילות בלתי חוקית של עובד ומורשה גישה. זהו תהליך מורכב אשר מצריך מהארגון ללמוד בצורה יסודית את השימושים המותרים וההגיוניים שכל בעל תפקיד בארגון אמור לעשות מול מאגרי המידע של הארגון. כך, ניתן יהיה להתריע על חריגה מהשימוש הרגיל לגבי כל עובד, לפי מהות עיסוקו. כמובן, שיפור מערכות ההתראה צריך להיעשות במקביל לשמירה הקפדנית על האיזונים שלא לפגוע בפרטיות העובד.                                               

ברבים מתיקי החקירה שלנו, הארגון עצמו לא ידע על הפעילות העבריינית של העובד והדבר נחשף רק בזכות חקירת הרשות, ולאחר שהמידע כבר יצא מהארגון. כלומר, על אף שנרשמו לוגים המציינים את השימוש של העובד במערכת, לא הוגדרה התראה בדבר שימוש חורג שכזה.

העדר התראות לזיהוי חריגות בשימוש במידע, יכול להוות בפני עצמו מעבר על הוראות תקנות הגנת הפרטיות (אבטחת מידע) כאשר מדובר במאגרים של מידע רפואי. ואי-דיווח על אירוע שכזה לרשות, על פי הוראות תקנות אלה יכול להוות גם הוא הפרה של הוראות החוק.

על מנת  להקטין את הסיכון לשיתוף פעולה של העובד עם סוחרי המידע, על הארגון גם לפעול להטמעת המסר המרתיע אל מול עובדים. על העובד לדעת שאין מדובר “רק” באירוע משמעתי, אשר עלול לעלות לו במשרתו (ובמקרה של עובדי מדינה – גם בהליך של דין משמעתי מול נציבות שירות המדינה). על העובד לדעת כי השימוש במידע ממאגר כזה מהווה עבירה פלילית, והחשיפה היא לכתב אישום, הרשעה, וגזר דין שיכול להגיע לכדי מאסר ממושך.

הרשות להגנת הפרטיות פועלת מצידה להעלאת מודעות הציבור להוראות החוק ולהיותה הגורם המוסמך לטיפול בתלונות על שימוש אסור שנעשה במידע הרגיש של כל אחד מאיתנו.

הכלי העיקרי למניעה מראש של עבירות אלה הוא הגברת המודעות של הציבור למשמעות מסירת פרטים אישיים לגורמים שונים, ומשמעות החתימה על “מתן הסכמה לשימוש במידע” במגע עם משווקים, סוכנים, פעילים, עובדים ומטפלים. המודעות של הציבור תעלה ככל שהשיח בנושא יגבר, ואת השיח הזה צריכים לעודד לא רק גורמי האכיפה, אלא גם גורמי הצרכנות הנבונה, המסחר, החינוך ועוד.

בסופו של יום, זוהי המלחמה של כולנו על זכויות הפרט שלנו ושל הקרובים לנו.

(*) עו”ד אפרת חשן מנדל, ממונה (חקירות), הרשות להגנת הפרטיות