סעיף 21 לחוק ניוד מידע רפואי, התשפ״ד–2024, הוראות לעניין הגנת מידע.

(א)השר, בהסכמת שר המשפטים, רשאי לקבוע הוראות לעניין הגנה על פרטיות, אבטחת מידע, ניהול סיכונים והגנת סייבר, אופן פעולת הממשק והשימוש בו וחובות זיהוי ותיעוד, שיחולו על מקור מידע ועל מקבל מידע לעניין קבלת מידע רפואי, השימוש בו, שמירתו, מחיקתו והעברתו לפי חוק זה, וכן הוראות בעניינים האמורים שיחולו על המערכת לניהול הרשאות גישה.

(ב)המנהל יקבע בנוהל הוראות בעניינים המנויים בסעיף קטן (א), אולם במקרה של סתירה בין הוראות המנהל להוראות שנקבעו לפי סעיף קטן (א), יגברו ההוראות לפי אותו סעיף קטן.

(ג)בלי לגרוע מהוראות כל דין –

(1)הממונה כהגדרתו בסעיף 17, מקור מידע ומקבל מידע ידאגו לקיומם של מנגנונים נאותים ומתקדמים להגנה על מערכת לניהול הרשאות גישה ועל הממשק והמערכות התומכות אותו, לפי העניין, על פרטיות האדם שעל אודותיו יש מידע בהם, אבטחת מידע, ניהול סיכונים והגנת הסייבר, ובכלל זה יקבלו מידע לפי חוק זה, יחזיקו בו ויעבירו אותו בדרך שתבטיח הגנה מפני דליפת מידע וגישה לא מורשית אליו, וכן הגנה מפני העברה, חשיפה, מחיקה, שימוש, שינוי או העתקה בלא רשות כדין או בניגוד להוראות לפי חוק זה;

(2)אירע אירוע אבטחה חמור כמשמעותו בהוראות לפי סעיף 36 לחוק הגנת הפרטיות או אירע פגם בהעברת המידע, יודיע על כך מקור מידע או מקבל מידע, לפי העניין, מייד למנהל ויפעל לתיקון הפגם; ואולם, פטור שניתן לפי הסעיף האמור לגבי חובת הדיווח הקבועה באותן הוראות, יחול גם על חובה לפי סעיף זה; בפסקה זו, ”פגם בהעברת המידע“ – פגם באבטחת המידע בעת שימוש בממשק להעברת מידע לפי חוק זה שהוביל לחשיפה של מידע על אודות אדם או לפגיעה בזמינות או ברציפות של הממשק או של מידע כאמור בניגוד להוראות חוק זה.

(ד)במקרה של סתירה בין ההוראות שנקבעו לפי סעיף זה וסעיפים 5 ו־8, לעניין אבטחת מידע והגנת הסייבר, להוראות שנקבעו לגבי חיל הרפואה בפקודות הצבא או לפיהן או להנחיות המקצועיות שנתן הקצין המוסמך או מי שהוא הסמיך לכך, לגבי המוסד לביטוח לאומי, לפי סעיף 10 לחוק להסדרת הביטחון בגופים ציבוריים, התשנ״ח–1998, יגברו פקודות הצבא וההוראות לפיהן או ההנחיות המקצועיות, לפי העניין, ובלבד שלא תפחת רמת ההגנה על המידע.