פרשנות חדשה של בית המשפט בנוגע לפרטיות מידע רפואי מקוון

בית המשפט הפדרלי בטקסס קבע לאחרונה שיש לבטל את הנחיות משרד הבריאות האמריקאי (ה-HHS) לגבי פרשנות מרחיבה של המונח "מידע רפואי אישי" לפי החוק האמריקאי לגבי ניוד ואחריות של ביטוחי בריאות (HIPAA).

עמדת ה-HHS

בהתאם לפרשנות ה-HHS, מידע שנאסף באתרים שהגישה אליהם חופשית אך עוסקים במצבים רפואיים שונים שמשויך למשתמש לא בשל רישום לאותו אתר אלא על בסיס מזהה מקוון (דוגמת כתובת IP, או clickID) נחשב למידע המוגן תחת ה-HIPPA. כלומר, כאשר אדם ניגש לאתר שאינו דורש הרשמה, ומחפש בו פרטים הנוגעים למצבו הרפואי (דוגמת מאמרים על המצב הרפואי, מפגשים וכנסים הנוגעים לו, ועוד),השילוב של נתוני החיפוש עם כתובת IP או מזהה מקוון אחר עשוי לגרום למידע הנאסף עליו להיחשב כמידע רפואי אישי. לעמדת ה-HHS, בשל העובדה שחלק מהמשתמשים מתכוונים לקבל מידע אודות מצב רפואי ממשי, שילוב נתוני הגלישה שלהם עם מזהה ייחודי מצדיק את ההגנה על המידע הזה. זאת, חרף העובדה שישנם משתמשים אחרים שעשויים להיכנס לאותו האתר בלי שהם סובלים ממצב רפואי רלוונטי אלא לצרכי מחקר או סקרנות.

פרשנות זו של ה-HHS, נועדה לתת מענה לחשש של משתמשים מאיסוף מידע רפואי אישי אודותם בידי ספקי המידע הרפואי (מנהלי האתרים) והעברתו לספקי טכנולוגיות נתונים מקוונות המשמשות לניטור המבקרים באתר. טכנולוגיות ניטור אלה משמשות להתאמת התוכן לגולשים באופן אישי כך שאלה עשויים להיתקל, למשל, בפרסומות לתרופות ולמצבים בריאותיים בעת שיטוט במרחב המקוון.

השלכות עמדת ה-HHS

הנחיית ה-HHS הובילה למצב בו בתי חולים וספקי שירותי רפואה אחרים מוגבלים בהיצע הספקים לשירותי ניתוח נתונים המסופקים בידי צד ג', לספקים העומדים בדרישות המחמירות ובפיקוח הנלווה ליישום ה-HIPPA. ההנחיה גם הגבילה את ספקי שירותי ניתוח הנתונים מלהציע שירותים לבתי החולים, ככל שלא היה ביכולתם או ברצונם לקבל על עצמם את הרגולציה של ה-HHS. לכן, ההנחיה הקשתה על תפעול הנכסים הדיגיטליים של בתי החולים ועל המעקב אחר מידע אישי רפואי שנאסף במסגרתם.

זאת ועוד, בתי חולים שהשתמשו בשירותי ניתוח נתונים של צד ג', נדרשו להתמודד מאז פרסום ההנחיה עם תביעות ייצוגיות הטוענות להעברה בלתי חוקית של מידע רפואי אישי לספקי השירות בעת תפעול האתרים שלהם.

ההליך המשפטי ומסקנותיו

לאחר פרסום ההנחיה בתי החולים פנו אל בתי המשפט וטענו כי ההנחיה דורשת מהם בחינת היבטים שאינם תלויים בהם ואינם ידועים להם, דוגמת מצבם הרפואי של הגולשים ומטרותיהם בעת הגלישה באתר.

לאחר בחינת הדברים, בית המשפט הורה על בטלות ההנחיה. בית המשפט הבהיר כי הרחבת ההגדרה של מידע רפואי אישי כך שתכלול נתונים זיהוי מקוון ונתוני גלישה באתרים שאינם דורשים הרשמה, מעניקה כוח מופרז ל-HHS ואין לאפשר אותה.

השלכות החלטת בית המשפט בטקסס

החלטת בית המשפט מחזקת משמעותית את חופש הפעולה של ספקי שירות לארגונים רפואיים בארה"ב ביחס לעיבוד נתוני גלישה באתרים. מדובר בהחלטה משמעותי לספקי השירות אשר נפגעו כלכלית מהעדר האפשרות להתקשר עם הגופים הרפואיים, וכן לבתי החולים שבאפשרותם לפעול בחופשיות במרחב זה.

ההחלטה עשויה להיבחן מחדש בידי בתי משפט נוספים והנחיות ה-HHS בנושא זה עשויות להתעדכן בהמשך.

***

מחלקת פרטיות, אבטחת מידע וסייבר בברנע ג'פה לנדה עומדת לשירותכם בכל סוגיה הנוגעת ל-HIPAA ולחוקי הגנת הפרטיות ואבטחת המידע בישראל, באירופה, בארה"ב, ובמדינות נוספות.

ד"ר אבישי קליין הוא שותף בברנע ג'פה לנדה, ועומד בראש המחלקה.

עו"ד מאשה יודשקין היא עורכת דין במחלקה.