האם מותר לקליניקה לנהל מטופלים בוואטסאפ ובמערכת CRM?

נכון ליום 20 באוקטובר 2026. המידע מבוסס על מקורות רשמיים כפי שהופיעו ביום הבדיקה, ועשוי להשתנות. לפני החלטה, בדקו את המקורות המקושרים.

התשובה הקצרה (לפי מקורות רשמיים, לא ייעוץ משפטי): הרשות להגנת הפרטיות לא אוסרת שימוש בוואטסאפ מול מטופלים, אבל ממליצה לצמצם ככל האפשר את העברת המידע הרפואי המזוהה בתוכנות כאלה (הרשות להגנת הפרטיות, מסמך מדיניות על העברת מידע רפואי באמצעים דיגיטליים). מערכת CRM שמכילה מידע רפואי היא מאגר מידע עם "מידע בעל רגישות מיוחדת" לפי תיקון 13 (הרשות להגנת הפרטיות, שאלות ותשובות על תיקון 13). הקליניקה אחראית לאבטחה שלו (שם). אם זה מותר במקרה שלכם, ובאילו תנאים, יכול לקבוע רק עורך דין או ממונה הגנת פרטיות.

בגיטומייט (Gitomate) אנחנו מקימים בוטים ומערכות CRM לעסקים קטנים, גם לקליניקות, ולכן יש לנו עניין בנושא. ריכזנו כאן מה הרשות עצמה כותבת. זו לא חוות דעת משפטית. מה שמסומן "מניסיון שלנו" או "לדעתנו" הוא הניסיון והדעה של Gitomate, ולא עובדה.

מה נחשב "מידע רפואי" לפי תיקון 13?

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025 (הרשות להגנת הפרטיות, שאלות ותשובות על תיקון 13). הוא הגדיר קבוצה של "מידע בעל רגישות מיוחדת", ובתוכה מידע על מצב בריאותי ומידע רפואי כהגדרתו בחוק זכויות החולה (שם). לדעתנו ב-Gitomate, כדאי להניח שגם פרטים שנראים פשוטים, כמו סוג הטיפול שנקבע, הם מידע כזה. שאלו את היועץ שלכם.

מה הרשות להגנת הפרטיות אומרת על וואטסאפ?

במסמך המדיניות שלה, הרשות מזכירה בשם את WhatsApp, ‏Telegram, ‏Signal ו-Gmail כתוכנות "שאינן ייעודיות" להעברת מידע רפואי. היא כותבת שהמסמך חל גם על מטפלים עצמאיים, ושהוא לא בא למנוע את השימוש, אלא לתת המלצות (הרשות להגנת הפרטיות, מסמך מדיניות). אם אין ברירה ומשתמשים בתוכנות כאלה, אלה ההמלצות העיקריות שלה (שם):

• להוריד פרטים מזהים ישירים, כמו שם, מספר תעודת זהות ותמונת פנים.
• לשלוח רק את המידע המינימלי שצריך.
• להעביר את המידע בהקדם למערכת ייעודית, ולמחוק אותו מהתוכנה.
• להימנע מגיבוי לענן פרטי.
• להעדיף הצפנה מקצה לקצה ואימות דו-שלבי.

גם בתנאים של WhatsApp יש סעיף על זה. לפי מדיניות WhatsApp Business, אסור להשתמש בוואטסאפ לטלרפואה, או לשלוח ולבקש מידע בריאותי, אם החוק שחל עליכם אוסר להעביר מידע כזה למערכות שלא עומדות בדרישות מוגברות (WhatsApp Business Messaging Policy).

מה הקליניקה צריכה לעשות לפי הרשות?

לפי מסמך המדיניות של הרשות (הרשות להגנת הפרטיות, מסמך מדיניות):

• מי אחראי. הקליניקה היא בעלת השליטה במאגר, ולכן האחריות לאבטחת המידע עליה.
• רמת אבטחה. מאגר עם מידע רפואי צריך לעמוד לפחות ברמת האבטחה הבינונית בתקנות אבטחת המידע.
• ממונה הגנת פרטיות. לפי עמדת הרשות, ארגונים שנותנים שירותי בריאות חייבים בדרך כלל למנות ממונה הגנת פרטיות.
• אירועי אבטחה. אירוע אבטחה חמור צריך לדווח לרשות.
• הערכת השפעה. הרשות ממליצה לבצע הערכת השפעה על הפרטיות לפני שמכניסים מערכת חדשה.
• סודיות. המסמך מזכיר את חובת הסודיות של מטפל לפי חוק זכויות החולה, ואת הכלל שמעבירים מידע רפואי רק בהסכמה ורק במידה הנדרשת.

עוד שני דברים מהרשות שחשובים לקליניקה קטנה:

• ההקלות ל"מאגר שמנהל יחיד" לא חלות על מי שחייב בסודיות מקצועית, כמו פסיכיאטר (הרשות להגנת הפרטיות, מאגר שמנוהל בידי יחיד).
• מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש צריך לדווח עליו לרשות תוך 30 יום (הרשות להגנת הפרטיות, חובת הודעה).

מה האחריות של ספק הבוט וה-CRM?

• גם הספק אחראי. לפי חוק הגנת הפרטיות, גם בעל השליטה במאגר וגם מי שמחזיק אותו בשבילו אחראים לאבטחה (הרשות להגנת הפרטיות, מסמך מדיניות).
• הסכם בכתב. לפי תקנה 15 בתקנות אבטחת המידע, בעל המאגר צריך לחתום על הסכם עם מי שמחזיק את המאגר בשבילו (הרשות להגנת הפרטיות, שאלות ותשובות על תקנות אבטחת מידע).
• העברה לחו"ל. אם המידע נשמר מחוץ לישראל, יש כללים נפרדים להעברת מידע לחו"ל (הרשות להגנת הפרטיות, העברת מידע לחו"ל).
• Meta. ב-Cloud API של וואטסאפ, Meta מתארת את עצמה כמעבדת מידע מטעם העסק. היא כותבת שהיא שומרת הודעות עד 30 יום (Meta, Cloud API Data Privacy & Security).

מה כדאי לשאול את הספק לפני שמכניסים מידע של מטופלים?

ההמלצה שלנו ב-Gitomate. שאלו כל ספק, גם אותנו:

1. איפה המידע נשמר, ובאיזו מדינה?
2. מי אצלכם יכול לראות את המידע של המטופלים?
3. תחתמו איתי על הסכם לפי תקנה 15?
4. מה קורה למידע אם אני עוזב?
5. מה אתם עושים, ותוך כמה זמן אתם מודיעים לי, אם יש אירוע אבטחה?

אפשר להשתמש בבוט בלי להעביר בו מידע רפואי?

הרשות ממליצה לשלוח רק את המידע המינימלי שצריך (הרשות להגנת הפרטיות, מסמך מדיניות). מניסיון שלנו ב-Gitomate, בוט יכול לקבוע, להזיז ולבטל תור, ולשלוח תזכורת, בלי לשאול על מצב בריאותי ובלי לכתוב בהודעה את סוג הטיפול. שאלות על הטיפול עצמו אפשר להעביר לאדם בצוות. זה הניסיון שלנו, ולא קביעה שזה מספיק כדי לעמוד בחוק.

טיפ מגיל (ניסיון אישי, לא עובדה מגובה): אל תכניסו מידע רפואי ל-CRM או לצ'אט. תשאירו אותו במערכת המאובטחת של הקליניקה, תעבירו רק את מה שהאוטומציה צריכה (כמו פרטי התור), ואם צריך לשלוח סיכום רפואי, תשלחו לינק למערכת המאובטחת שדורשת הזדהות.

הדעה של גיל

דעה אישית וניסיון אישי של גיל זריפא, הבעלים של Gitomate. זו לא עובדה מגובה במקור, ולא ייעוץ.

כשאנחנו עובדים עם קליניקות, אנחנו לא שומרים שום מידע רפואי ב-CRM. גם לא כשיש למערכת אימות דו-שלבי. אימות דו-שלבי הוא בעיניי דרישה בסיסית לכל מערכת, ולא סיבה להכניס אליה מידע רפואי.

את המידע הרפואי אנחנו משאירים במערכות המאובטחות של הקליניקה, אלה שכן עומדות בתקנות המלאות של אבטחת מידע. מהן אנחנו מעבירים ל-CRM רק את המידע שהאוטומציה צריכה כדי לעבוד, ושחסר במערכות של הקליניקה. למשל פרטי התור ותעודת זהות. כל פרט שהאוטומציה לא צריכה, לא עובר.

סיכומים רפואיים לא נשלחים אצלנו בתוך הצ'אט. אם צריך לשלוח אותם, שולחים רק לינק למערכת המאובטחת של הקליניקה, ושם המטופל צריך להזדהות כדי לראות אותם.

למה זה חשוב לי? כי ככה המידע הרגיש נשאר במקום שבנוי לשמור עליו. הבוט וה-CRM עושים את העבודה של התורים והתזכורות, והם לא צריכים לדעת מה מצבו הבריאותי של המטופל כדי לעשות אותה. ככל שעובר פחות מידע, יש פחות מה לחשוף.

זו הדרך שבה אני עובד, ולא קביעה שזה מספיק כדי לעמוד בחוק. כל קליניקה צריכה לבדוק את זה עם עורך דין או עם ממונה הגנת פרטיות.

שאלות נפוצות

Gitomate עומדת בדרישות של חוק הגנת הפרטיות?

אנחנו לא מצהירים על זה בכתבה. העמידה בחוק תלויה גם במה שהקליניקה שומרת, במי שמקבל גישה ובהגדרות שלכם. אם אתם צריכים לבדוק אותנו, שאלו אותנו את השאלות שלמעלה, ובקשו מעורך דין או מממונה הגנת פרטיות לבדוק את התשובות.

הרשות אוסרת לקבוע תורים בוואטסאפ?

לא מצאנו איסור כזה במסמך שלה. היא כותבת שהמסמך לא בא למנוע שימוש בתוכנות כאלה, וממליצה לצמצם את המידע הרפואי המזוהה שעובר בהן (הרשות להגנת הפרטיות, מסמך מדיניות).

החובות חלות גם על מטפל עצמאי?

מסמך המדיניות של הרשות חל גם על מטפלים עצמאיים (הרשות להגנת הפרטיות, מסמך מדיניות).

Meta Business Agent מתאים לקליניקה?

לפי התיעוד של Meta, עסקים בתחום הבריאות לא זכאים לו (Meta Business Agent, Overview).

רוצים בוט לקביעת תורים שלא שואל על מידע רפואי?

אצלנו ב-Gitomate, מקימים בשבילכם CRM על GoHighLevel ובוט או סוכן AI על ה-API הרשמי של וואטסאפ (WhatsApp Cloud API של Meta), לעסקים קטנים בכל תחום. מניסיון שלנו, הבוט עובד עם Google Calendar ועם היומן של GoHighLevel, ומעביר את השיחה לאדם כשצריך. מניסיון שלנו ב-Gitomate: ל-HighLevel אין ממשק רשמי בעברית (עברית לא מופיעה ברשימת השפות שלה, HighLevel, Internationalization). את העברית ואת הכתיבה מימין לשמאל אנחנו פותרים בקוד מותאם שגיל כתב. מתחילים בבוט ניסיון, כדי לראות איך הוא עונה ללקוחות שלכם לפני שמחליטים.

שלחו הודעה לגיל בוואטסאפ: ‎+66 82 160 5903, כתבו ל-Gitomateautomation@gmail.com, או היכנסו ל-gitomate.ai.

הבהרה משפטית

• מידע כללי בלבד. הכתבה נכתבה על ידי Gitomate (גיטומייט), שמוכרת שירותי CRM, בוטים וסוכני AI לוואטסאפ, ולכן יש לה עניין מסחרי בנושא. המידע בה כללי, ומבוסס על מקורות ציבוריים באינטרנט כפי שהופיעו ביום הכתיבה. הוא נכון ליום 20 באוקטובר 2026.
• לא ייעוץ ואין תוקף משפטי. המידע אינו ייעוץ משפטי, אינו ייעוץ מס ואינו ייעוץ מקצועי מכל סוג. אין לו תוקף משפטי, והוא לא תחליף לבדיקה של עורך דין, רואה חשבון או איש מקצוע אחר שמכיר את העסק שלכם.
• המידע יכול להשתנות. Meta, ‏WhatsApp, ‏HighLevel, ‏Google והמחוקק יכולים לשנות מחירים, כללים, תנאים וחוקים בכל זמן. לפני כל החלטה, בדקו את המקורות הרשמיים המקושרים בכתבה, בנוסח העדכני שלהם. הנוסח המקורי של כל מקור הוא הקובע.
• אין אחריות. Gitomate לא אחראית לכל פעולה, החלטה, נזק או הפסד שנובעים מהסתמכות על המידע בכתבה. כל החלטה על סמך המידע היא באחריות הקורא בלבד.
• אין קשר לחברות שמוזכרות. Gitomate היא עסק עצמאי. היא לא חלק מ-Meta, ‏WhatsApp, ‏HighLevel או Google, לא מדברת בשמן, והן לא אישרו את הכתבה. השמות שלהן הם סימנים מסחריים של בעליהם, ומוזכרים רק כדי לתאר את השירותים.
• ציטוטים, דעות וניסיון. ציטוטים מובאים בתרגום חופשי שלנו, עם קישור למקור. מה שמסומן "לדעתנו", "מניסיון שלנו" או "הדעה של גיל" הוא דעה או ניסיון של Gitomate ושל גיל, ולא עובדה מגובה במקור. דוגמאות וחישובים הם המחשה בלבד, ולא הצעת מחיר.
• הודעות שיווק. העסק ששולח הודעה שיווקית אחראי לקבל הסכמה כנדרש בסעיף 30א לחוק התקשורת ובמדיניות של WhatsApp.
• פרטיות. מידע על מצב בריאות הוא "מידע בעל רגישות מיוחדת" לפי חוק הגנת הפרטיות (תיקון 13). בעל המאגר אחראי לאבטחה שלו. מידע נוסף באתר הרשות להגנת הפרטיות.
• אין הצהרת עמידה בחוק. הכתבה לא אומרת ש-Gitomate, ‏GoHighLevel, ‏WhatsApp או Meta עומדות בדרישות חוק הגנת הפרטיות, התקנות או חוק זכויות החולה, ולא מבטיחה שהשימוש שלכם בהן חוקי. היא גם לא אומרת שהמידע במערכת שמור בצורה מאובטחת. אם זה מותר במקרה שלכם, ובאילו תנאים, יכולים לקבוע רק עורך דין או ממונה הגנת פרטיות.

עודכן לאחרונה: 20 באוקטובר 2026.

מקורות

• הרשות להגנת הפרטיות, מסמך מדיניות: הגנה על פרטיות מטופלים בהעברת מידע רפואי באמצעים דיגיטליים (14.2.2024, עודכן אחרי תיקון 13): https://www.gov.il/he/pages/medical_information_share
• הרשות להגנת הפרטיות, מסמך המדיניות כקובץ PDF (נוסח אחרי תיקון 13): https://www.gov.il/BlobFolder/policy/medical_information_share/he/personalinfo_digital_medicalTikon13.pdf
• הרשות להגנת הפרטיות, שאלות ותשובות על תיקון 13: https://www.gov.il/he/pages/tikun13_qa
• הרשות להגנת הפרטיות, מאגר שמנוהל בידי יחיד: https://www.gov.il/he/pages/management_by_an_individual
• הרשות להגנת הפרטיות, חובת הודעה על מאגר מידע: https://www.gov.il/he/service/notice-obligation
• הרשות להגנת הפרטיות, שאלות ותשובות על תקנות אבטחת מידע: https://www.gov.il/he/pages/data_security_fqa
• הרשות להגנת הפרטיות, העברת מידע לחו"ל: https://www.gov.il/he/pages/information_transfer
• WhatsApp Business Messaging Policy: https://business.whatsapp.com/policy
• Meta, Cloud API Data Privacy & Security: https://developers.facebook.com/documentation/business-messaging/whatsapp/data-privacy-and-security
• Meta for Developers, Meta Business Agent Overview: https://developers.facebook.com/documentation/meta-business-agent/overview