מסמך הגדרות מאגר מידע הוא המסמך שבו בעל המאגר מתאר מה יש במאגר, למה, מי ניגש אליו ומה הסיכונים. החובה להכין אותו קבועה בתקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), והיא חלה כמעט על כל עסק. גם קובץ אקסל של לקוחות, מערכת CRM או הקלטות שיחות הם מאגר מידע. ברוב העסקים שאני בודק, המסמך לא קיים, או שהוא נכתב פעם אחת ולא עודכן מאז.
מה חייב לכלול מסמך הגדרות מאגר מידע
לפי תקנה 2(א), המסמך כולל לפחות 7 עניינים:
| # | מה כותבים | שאלה שעוזרת |
|---|---|---|
| 1 | תיאור כללי של איסוף המידע והשימוש בו | מאיפה המידע מגיע: טפסים, קמפיינים, מערכת לידים? |
| 2 | מטרות השימוש במידע | לשם מה אוספים אותו? |
| 3 | סוגי המידע במאגר | רק פרטי קשר, או גם מידע בעל רגישות מיוחדת? |
| 4 | העברה לחו"ל או שימוש מחוץ לישראל | האם המידע יושב בשרת או בענן מחוץ לארץ? |
| 5 | עיבוד המידע באמצעות מחזיק | איזה ספק חיצוני מעבד את המידע בשבילכם? |
| 6 | הסיכונים העיקריים, ואיך מתמודדים איתם | מה יקרה אם המידע ידלוף? |
| 7 | שם מנהל המאגר, המחזיק והממונה על אבטחת המידע, אם מונה | מי אחראי? |
אין לכם מסמך הגדרות, או שהוא ישן?
נמפה את המאגר ונכתוב מסמך שמתאר את המצב האמיתי.
מתי מעדכנים את מסמך ההגדרות
לפי תקנה 2(ב), מעדכנים בכל שינוי משמעותי, ובוחנים את הצורך בעדכון כל שנה, עד 31 בדצמבר. ולפי תקנה 2(ג), פעם בשנה בודקים שלא שומרים במאגר יותר מידע ממה שנדרש. שינויים שמחייבים עדכון, בפועל:
- ספק חיצוני חדש שמקבל גישה, כמו חברת שיווק או ספק ענן.
- מעבר ל-CRM או למערכת לידים חדשה.
- איסוף סוג מידע חדש, או מטרה חדשה לשימוש במידע.
- העברת מידע לחו"ל.
- מיזוג, פיצול או מכירה של החברה.
2 חשיפות שאני רואה כמעט בכל בדיקה
הראשונה: עובד שעזב, והגישה שלו למאגר לא בוטלה. השנייה: הרשאות מנהל מלאות למשתמשים שצריכים רק לצפות. שתיהן מתגלות בדיוק כשממפים את המאגר כדי לכתוב את המסמך. זה עוד יתרון של המסמך: הוא מכריח אתכם להסתכל.
גם עמותה עם מאגר תורמים ומתנדבים צריכה מסמך כזה, ראו הגנת הפרטיות בעמותות. ועל הממשק בין המאגר לאתר, ראו פרטיות ונגישות אתרים. אנחנו ממפים מאגרים, כותבים את מסמך ההגדרות ומעדכנים אותו. פרטים בעמוד מאגרי מידע.
שאלות נפוצות על מסמך הגדרות מאגר מידע
קובץ אקסל של לקוחות הוא מאגר מידע?
כן. אוסף נתונים על אנשים שמוחזק במחשב לעיבוד הוא מאגר מידע.
איזו תקנה מחייבת מסמך הגדרות מאגר?
תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), 2017. היא מפרטת 7 עניינים שחייבים להופיע בו.
כל כמה זמן מעדכנים את מסמך ההגדרות?
בכל שינוי משמעותי, ובוחנים את הצורך בעדכון כל שנה עד 31 בדצמבר.
מה בודקים פעם בשנה חוץ מהמסמך?
שהמאגר לא מחזיק יותר מידע ממה שנדרש למטרותיו.
ספק שיווק חדש מחייב עדכון של המסמך?
כן. מחזיק חדש שמעבד מידע הוא שינוי משמעותי.
המידע במאמר זה נועד לידע כללי בלבד ואינו מהווה ייעוץ משפטי. בכל עניין או סוגיה משפטית יש להתייעץ עם עורך דין.
מומחה להנגשת אתרי אינטרנט וקצין הגנת פרטיות מוסמך (DPO). מעל 9 שנות ניסיון בליווי ארגונים לעמידה בתקנות הנגישות, ת"י 5568 ובחוק הגנת הפרטיות.
חושבים שהאתר שלכם חשוף?
אל תישארו עם התחושה. שלחו כתובת אתר ונחזור אליכם עם תמונת מצב ראשונית, בלי התחייבות.