שאלות נפוצות בנושא פרטיות

הרשות להגנת הפרטיות, שפועלת במשרד המשפטים. היא אחראית על אכיפת החוק, כולל הדרישות של תיקון 13.

מידע רגיש הוא מידע אישי מהותי, כמו מידע רפואי, פרטי אשראי או פרטים ביומטריים. ההבחנה מה נחשב רגיש יכולה להיות מורכבת, ולעיתים קרובות היא דורשת ניתוח מקצועי של המידע שאתם מחזיקים.

אנחנו מכינים את ההסכם ואת נספח האבטחה על בסיס מיפוי הספקים, ומעבירים אותם לבדיקת היועץ המשפטי של הארגון. כך ההסכם מדויק גם בצד הטכני וגם בצד המשפטי. אני בוגר תואר במשפטים ו-DPO מוסמך, לא עורך דין, ולכן הבדיקה המשפטית הסופית נשארת אצלכם.

ברוב הארגונים יש כמה מאגרים מרכזיים:

• לקוחות: פרטים אישיים ופרטי התקשרות, היסטוריית רכישות ופניות שירות.
• מתעניינים: לידים ואנשים שפנו לעסק ועוד לא הפכו ללקוחות.
• עובדים ומועמדים: מידע על עובדים פעילים, עובדים לשעבר ומועמדים בתהליכי מיון.
• ספקים: ספקים, קבלנים ונותני שירות. מידע על חברה בע״מ לא מוגן ישירות בחוק, אבל מידע על עוסק מורשה או על איש קשר כן.
• מצלמות אבטחה: מאגר רגיש שמחייב הגבלת גישה, תקופת שמירה מוגדרת ויידוע של עובדים ומבקרים.

הצעד הראשון הוא מיפוי מסודר של כל המאגרים ושל סוגי המידע שבהם.

תיקון 13 צמצם את חובת הרישום. היום לא כל מאגר מידע חייב ברישום, אלא רק סוגים מסוימים שנקבעו בצו, למשל מאגרים עם מידע רגיש, מאגרי דיוור ישיר בהיקף רחב ומאגרים של גופים ציבוריים. ההתמקדות עברה למאגרים שהסיכון בהם לפרטיות גבוה.

כדי לדעת אם המאגר שלכם חייב ברישום, צריך לבחון את סוגי המידע שבו ואת ההיקף שלו.

כן. לא כל ארגון חייב במינוי, וכתבתי על זה בהרחבה במאמר מי מחויב למנות ממונה הגנת פרטיות. ארגון שלא חייב יכול לקבל את אותו ליווי, בלי המינוי הפורמלי, ולהיות מוכן אם החובה תחול עליו בהמשך.

כן. גודל העסק לא קובע לבד. עסק קטן שמנהל מאגר רחב עם מידע אישי או רגיש צריך לעמוד בדרישות התיקון, לשמור על שקיפות מול האנשים שהמידע עליהם נשמר, ולהגן על המידע הזה.

לא. מדיניות הפרטיות מסבירה לגולשים וללקוחות איזה מידע אתם אוספים, באמצעים טכנולוגיים או ידניים, ומה אתם עושים איתו. הסכם DPA הוא חוזה בינכם לבין ספק שמקבל גישה למידע הזה. ארגון צריך את שניהם, ולכן אנחנו מטפלים גם במדיניות פרטיות לאתר כשירות נפרד.

אני ממליץ לעדכן את הנהלים פעם בשנה, וגם בכל שינוי משמעותי במבנה הארגוני או במערכות המידע של הארגון.

אין תדירות אחת שמתאימה לכולם. אנחנו קובעים אותה לפי היקף המידע, רמת הרגישות שלו ומספר המערכות והספקים בארגון. בנוסף לביקורת הקבועה, כל שינוי מהותי מקבל בדיקה משלו.

זה תלוי במספר הספקים ובמורכבות שלהם, ולכן אין תשובה אחת. אנחנו מתחילים בספקים שמעבדים את המידע הרגיש ביותר או מקבלים את הגישה הרחבה ביותר, וממשיכים משם. כך הסיכון הגדול נסגר ראשון.

תיקון 13 נכנס לתוקף ב-14.08.2025. המטרה המרכזית שלו היא לחזק את סמכויות האכיפה של הרשות להגנת הפרטיות, ולקבוע חובות דיווח וענישה מחמירות יותר.

בין השאר, התיקון משנה את חובת הרישום של מאגרי מידע ומחייב לדווח על דליפת מידע.

זה מסמך פנימי שממפה איך הארגון אוסף מידע אישי, משתמש בו, מנטר אותו ושומר אותו במערכות ובשרתים שלו.

המסמך עוזר לזהות סיכונים מראש, למנוע פגיעה בפרטיות של המשתמשים, ולהיות מוכנים לביקורת של הרשות להגנת הפרטיות. כך גם אפשר להראות שהארגון עומד בדרישות החוק.

לפי תיקון 13, צריך לדווח לרשות להגנת הפרטיות על דליפה או זליגה של מידע ממאגרי הארגון. במצבים מסוימים צריך לדווח גם לאנשים שהמידע שלהם נחשף.

לכן כדאי שבארגון יהיה נוהל מוכן מראש: מי מזהה את האירוע, מי מחליט ומי מדווח.

זמינות לשאלות שעולות בשגרה, ביקורת פרטיות תקופתית, בדיקה של כל מערכת או ספק חדשים לפני שהם מתחילים לעבוד עם המידע, וטיפול מול הרשות כשיש אירוע. חלק גדול מהעבודה הוא בדיקת הסכמי DPA מול ספקים חדשים, כי שם מתחילות רוב ההפתעות.

רשימת ספקים מסודרת, הסכם ונספח אבטחה חתומים מול כל ספק, ותיעוד שמוכן לביקורת של הרשות להגנת הפרטיות או של לקוח מוסדי. כתבתי בהרחבה על מה חייב להופיע בהסכם DPA. מי שרוצה שמישהו ימשיך לעקוב אחרי הספקים לאורך זמן יכול לשלב את זה בשירותי DPO וליווי שוטף.

החשיפה כפולה. הרשות להגנת הפרטיות יכולה להטיל קנסות מנהליים, ולפי תיקון 13 הגובה נקבע לפי היקף הארגון וחומרת ההפרה, ויכול להגיע לעשרות ואף מאות אלפי שקלים. במקביל יש סיכון לתביעות אזרחיות וייצוגיות, ובמקרים חמורים גם אחריות אישית של מנהלים.

גם דבר בסיסי כמו אתר בלי מדיניות פרטיות עלול להוביל לקנס, וגם לפגיעה באמון של המשתמשים ובמוניטין של העסק.

בדרך כלל ממונה הגנת הפרטיות (DPO) של הארגון, או יועץ פרטיות חיצוני. מה שחשוב הוא שמי שכותב את הנהלים מכיר את הארגון מבפנים: את הספקים, את המערכות ואת הדרך שבה המידע נאסף ונשמר במאגרים.

רק מי שהתפקיד שלו מחייב עבודה ישירה עם המידע. למשל: במאגר הלקוחות, נציגי שירות, מכירות ושיווק. במאגר העובדים, משאבי אנוש, חשב השכר ומנהלים מורשים. במאגר הספקים, רכש וכספים. ובמצלמות האבטחה, הקב״ט או מי שאחראי על הביטחון.

כל עובד צריך להיחשף רק למידע שהוא באמת צריך לעבודה. חשוב גם לקבוע מי מאשר הרשאות, מי בודק אותן ואיך מבטלים הרשאות של עובדים שעזבו או החליפו תפקיד.

לא בלי לבדוק. ספקי ענן ומערכות גדולות עובדים בדרך כלל עם הסכם סטנדרטי שקשה לשנות. אנחנו בודקים אותו מול המיפוי שלכם: איפה המידע נשמר, מי קבלני המשנה ומה חובת הדיווח באירוע אבטחה. פער שאי אפשר לסגור בהסכם מתועד, ומקבל מענה בנהלים הפנימיים.

כן, ושם יש עוד שכבה לבדוק. העברת מידע אל מחוץ לישראל כפופה לתקנות ייעודיות, ולכן בודקים לאן המידע עובר, מי מעבד אותו שם ואילו התחייבויות הספק נותן. בארגונים גדולים זה חלק מרכזי מהעבודה, כי הרבה מערכות ענן שומרות מידע מחוץ לארץ.