הגנת הפרטיות בעמותות פועלת לפי אותו חוק שחל על כל ארגון שמעבד מידע אישי. עמותות ומלכ"רים לא פטורים, ואחרי תיקון 13, שנכנס לתוקף ב-14.8.2025, לרשות להגנת הפרטיות יש סמכויות אכיפה רחבות יותר. בפועל, עמותה צריכה לטפל בשלוש זירות: האתר (מדיניות פרטיות ועוגיות), המידע בתוך הארגון (מאגרים, הרשאות, עובדים ומתנדבים) והספקים (הסכמי עיבוד מידע).
"אנחנו עמותה קטנה, זה לא חל עלינו." אני שומע את זה הרבה. ואז אנחנו עוברים יחד על המידע: רשימת תורמים עם פרטי אשראי, מתנדבים, מוטבים, לפעמים מידע רפואי או סוציאלי. לעמותה יש לפעמים מידע רגיש יותר מלעסק ממוצע.
הזירה הראשונה: האתר
- מדיניות פרטיות שנכתבה לעמותה שלכם: איזה מידע נאסף, למה, למי הוא מועבר, ואיך פונים בנושא. לא העתקה מאתר אחר.
- טפסים: בכל טופס תרומה, התנדבות או ניוזלטר, אומרים מה מטרת האיסוף, במקום ובזמן שבו המידע נמסר.
- עוגיות ומעקב: כלי מדידה ופיקסלים של רשתות אוספים מידע בלי שהגולש מזין אותו. צריך לגלות את זה, ולנהל הסכמה.
- רכיבי צד שלישי: כפתור וואטסאפ, צ'אט או טופס חיצוני אוספים מידע ישירות. בדקו מה הספק עושה איתו.
הזירה השנייה: בתוך העמותה
| נושא | מה צריך | הערה |
|---|---|---|
| מיפוי מאגרים | רשימה של כל המקומות שבהם יש מידע על אנשים: מערכת תורמים, אקסלים, CRM, מערכת שכר | בדרך כלל יש יותר מאגרים ממה שחושבים |
| מסמך הגדרות מאגר | מסמך פנימי לכל מאגר: מה נשמר בו, למה, מי אחראי, מי מורשה גישה, ואיך הוא מאובטח | נדרש לפי תקנות אבטחת המידע. כדאי לעבור עליו לפחות פעם בשנה |
| רמת אבטחה | לפי תקנות אבטחת המידע, לפי סוג המידע, מספר האנשים ומספר בעלי ההרשאה | מידע רגיש מעלה את הרמה הנדרשת |
| הרשאות | כל עובד ומתנדב רואה רק את מה שהוא צריך | החוליה החלשה היא בדרך כלל גישה רחבה מדי |
| עובדים ומתנדבים | סעיפי סודיות, הדרכה, ונוהל לצילום ופרסום | לפני פרסום תמונה של מוטב או מתנדב, מקבלים הסכמה |
| אירוע אבטחה | נוהל: מה עושים כשיש דליפה או פריצה, ומי מדווח | אירוע חמור מחייב דיווח לרשות לפי התקנות |
רוצים לסדר את הפרטיות בעמותה?
נמפה את המאגרים, נבדוק את האתר והספקים, ונבנה איתכם תוכנית עבודה מסודרת.
רישום מאגר ומינוי DPO: מה השתנה בתיקון 13
- רישום מאגרים צומצם מאוד. החובה נשארה בעיקר לגופים ציבוריים ולסוחרי מידע. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש מחייב הודעה לרשות תוך 30 יום (סעיף 8א(ב)).
- ממונה הגנת פרטיות (DPO) חובה לפי סעיף 17ב1 לארבעה סוגי גופים: גוף ציבורי, סוחר מידע עם מאגר של יותר מ-10,000 איש, מי שעיסוקו העיקרי כולל ניטור שיטתי של אנשים בהיקף ניכר, ומי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר.
לרוב העמותות אין חובה למנות DPO. אבל עמותה שעוסקת בבריאות, ברווחה או בסיוע, ומעבדת הרבה מידע רגיש כחלק מהפעילות שלה, צריכה לבדוק את זה ברצינות. "היקף ניכר" לא מוגדר במספר, והרשות בוחנת אותו לפי הנסיבות. גם כשאין חובה, הרשות ממליצה לשקול מינוי. מה הממונה עושה בפועל, כתבתי במאמר שמירה על מאגר מידע.
הזירה השלישית: הספקים
חברת סליקה, מערכת דיוור, מי שמנהל את האתר, הנהלת חשבונות. כל ספק שנחשף למידע של העמותה מעבד אותו בשבילכם, והאחריות עדיין שלכם. לכן חותמים איתם על הסכם עיבוד מידע, שמגדיר מה מותר להם לעשות במידע, איך הוא מאובטח, ומה קורה בסוף ההתקשרות. מה צריך להיות בהסכם, פירטתי במדריך על הסכם DPA לעיבוד מידע.
צ'קליסט: 10 צעדים למנהל העמותה
- מיפוי כל המקומות שבהם נשמר מידע.
- מסמך הגדרות לכל מאגר.
- הסכם עיבוד מידע עם כל ספק.
- מדיניות פרטיות מעודכנת וניהול עוגיות באתר.
- בדיקה של רכיבי צד שלישי באתר.
- סעיפי סודיות לעובדים ולמתנדבים.
- הסכמה לפני פרסום תמונות.
- צמצום הרשאות לפי הצורך.
- נוהל לאירועי אבטחה.
- בדיקה אם חלה עליכם חובה למנות DPO.
שורה תחתונה
הגנת פרטיות בעמותה היא לא פרויקט משפטי גדול. היא סדר: לדעת איפה המידע, מי רואה אותו, ומי עוד מחזיק בו. רוצים ליווי בזה? אני מלווה עמותות ומלכ"רים, כממונה מוסמך, בעמוד שירותי DPO.
שאלות נפוצות על הגנת הפרטיות בעמותות
האם חוק הגנת הפרטיות חל על עמותות?
כן. החוק חל על כל מי שמעבד מידע אישי, כולל עמותות ומלכ"רים. אין פטור בגלל מעמד ללא כוונת רווח.
עמותה חייבת למנות DPO?
רק אם היא בקבוצות שבסעיף 17ב1: גוף ציבורי, סוחר מידע, ניטור שיטתי בהיקף ניכר, או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר כעיסוק עיקרי. עמותות בתחומי בריאות ורווחה צריכות לבדוק את זה.
צריך לרשום את מאגר התורמים?
בדרך כלל לא, אחרי תיקון 13. אבל אם יש במאגר מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, צריך להודיע לרשות תוך 30 יום.
מה זה מסמך הגדרות מאגר?
מסמך פנימי שמתאר כל מאגר: מה נשמר, למה, מי אחראי, מי מורשה, ואיך הוא מאובטח. הוא נדרש לפי תקנות אבטחת המידע.
צריך הסכם עם ספק הדיוור או הסליקה?
כן. כל ספק שמעבד מידע בשבילכם צריך הסכם שמגדיר מה מותר לו לעשות במידע ואיך הוא מאובטח.
המידע במאמר זה נועד לידע כללי בלבד ואינו מהווה ייעוץ משפטי. בכל עניין או סוגיה משפטית יש להתייעץ עם עורך דין.
מומחה להנגשת אתרי אינטרנט וקצין הגנת פרטיות מוסמך (DPO). מעל 9 שנות ניסיון בליווי ארגונים לעמידה בתקנות הנגישות, ת"י 5568 ובחוק הגנת הפרטיות.
חושבים שהאתר שלכם חשוף?
אל תישארו עם התחושה. שלחו כתובת אתר ונחזור אליכם עם תמונת מצב ראשונית, בלי התחייבות.