אירוע אבטחה או פרצת מידע בעסק? מה חובה לעשות מבחינת הפרטיות, ומתי

חושבים שקרה משהו לא תקין באתר או במערכת שלכם, ויש בתמונה מידע של לקוחות? אתם לא צריכים להיות בטוחים במאה אחוז כדי שזה יהיה רלוונטי – החוק מדבר על "חשש" לפגיעה במידע, לא רק על אירוע שכבר אושר וסגור.

המאמר הזה מתמקד בכוונה בצד אחד בלבד, אבל קריטי: מה חובה לעשות מבחינת הפרטיות, ומתי. הוא לא עוסק באיך מנקים את האתר, איך משחזרים גיבוי, או איך סוגרים את הפרצה הטכנית – זה נושא נפרד שאפשר לקרוא עליו במדריך המעשי כשהאתר נפרץ. כאן אני עובר על מה שקובע אם יש לכם חובת דיווח על פרצת מידע, למי מדווחים, ומה באמת מחייב אתכם לפי החוק לעומת מה שרק מומלץ.

מה אומר החוק בפועל: מתי מספיק לתעד, ומתי חייבים לדווח

תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, היא הבסיס לכל מה שבא אחריה. היא מחייבת את בעל השליטה במאגר המידע לתעד כל מקרה שמתגלה ומעלה חשש לפגיעה בשלמות המידע, לשימוש במידע ללא הרשאה או לחריגה מהרשאה. במילים פשוטות – אתם לא צריכים לחכות לוודאות מוחלטת שמשהו רע קרה. מקרה שמעלה חשש כזה כבר נכנס בגדר התקנה, ומחייב תיעוד.

מכאן התהליך מתפצל לשתי שאלות נפרדות:

1. האם יש חובת תיעוד פנימי? כמעט תמיד כן, כאשר מתגלה מקרה שמעלה חשש – ראו בהמשך המאמר.
2. האם יש חובת דיווח חיצוני לרשות? רק אם מדובר ב"אירוע אבטחה חמור" בפועל, והמאגר שלכם ברמת אבטחה בינונית או גבוהה.

איך יודעים לאיזו רמת אבטחה המאגר שלכם שייך, ומה זה אומר על החובות שלכם? כתבתי על זה בהרחבה במדריך לתקנות אבטחת מידע ורמות האבטחה – המאמר הזה ממשיך משם, ולא חוזר על כל הפירוט.

מה עושים קודם, מבחינת הפרטיות

שלושה דברים כדאי לעשות מיד, בלי קשר לצד הטכני:

• תעדו את מה שאתן יודעות עכשיו, גם אם זה רק חשש – מתי הבחנתן בבעיה, איך, ומה בדיוק נראה לא תקין. אל תחכו "עד שיהיה ברור הכול" – התיעוד הראשוני יכול וצריך להתבסס על מה שידוע כרגע.
• בררו לאיזו רמת אבטחה המאגר שלכם שייך – זו הנקודה שקובעת אם יש חובת דיווח חיצוני. אם לא בדקתם את זה מראש, זה הזמן.
• אם יש אצלכם ממונה על הגנת הפרטיות – ערבו אותו/אותה מיד; זה בדיוק התפקיד שקיים בשביל זה. אם אין לכם DPO, זה סימן נוסף לבדוק אם אתם חייבים למנות אחד.

הצד הטכני – שינוי סיסמאות, שחזור מגיבוי, ניקוי האתר, מעורבות המשטרה – הוא נושא בפני עצמו, ולא הפוקוס של המאמר הזה. כתבתי עליו בנפרד במדריך מה עושים כשהאתר שלכם נפרץ, שם הפוקוס הוא בדיוק בצעדים הטכניים והמעשיים. הפוקוס כאן הוא במה שהחוק דורש מכם בתור מי שאחראי על המידע.

גיליתם אירוע אבטחה חמור? למי מדווחים, איך, ותוך כמה זמן

הדיווח על אירוע אבטחה חמור מוגש לרשות להגנת הפרטיות, דרך הטופס הרשמי באתר Gov.il. לצד הטופס המקוון, לרשות יש גם ערוצי פנייה נוספים (טלפון, מייל) למקרים שדורשים בירור – מומלץ לבדוק את הפרטים העדכניים ישירות בעמוד השירות, כי ערוצי הפנייה משתנים מדי פעם.

לגבי התזמון: בישראל אין חלון זמן קבוע של 72 שעות, כמו זה שמוכר מה-GDPR האירופי. תקנות אבטחת המידע קובעות שיש לדווח על אירוע אבטחה חמור באופן מיידי. במילים פשוטות: משמתברר שהאירוע עונה להגדרת "אירוע אבטחה חמור", אין להמתין להשלמת כל הבדיקות לפני הדיווח, ולא נכון להמתין אוטומטית עד שתהיה תמונה מלאה.

חובת הדיווח חלה גם כשגורם אחר – משטרת ישראל, מערך הסייבר הלאומי, או רגולטור במגזר ספציפי – מודיע לכם על אירוע שקשור למאגר שלכם.

מה כולל הדיווח בפועל

הדיווח הראשוני לא צריך להיות מושלם – הוא צריך לצאת מהר. תארו את מה שידוע: סוג האירוע, ההיקף המשוער, הפעולות שכבר ננקטו. אם מתגלים פרטים נוספים אחרי הדיווח הראשוני – זה בסדר, וזה חלק צפוי מהתהליך. לרוב, גורם מטעם הרשות יחזור אליכן לבירור נוסף לאחר הגשת הדיווח.

האם חובה להודיע גם ללקוחות?

זו השאלה שהכי הרבה בעלי עסקים שואלים אותי, וגם כאן יש בלבול אמיתי ברשת.

המשמעות המעשית: גם בלי חובה גורפת שחלה מראש על כל אירוע, אתם לא בהכרח בשליטה מלאה על ההחלטה אם להודיע ללקוחות. אם דיווחתם על אירוע חמור, הרשות יכולה לחייב אתכם להודיע לנפגעים כחלק מהטיפול באירוע. מעבר לזה, אם יש סיכוי סביר שהלקוחות שלכם עלולים להיפגע בפועל – למשל דליפת סיסמאות, פרטי כרטיס אשראי, או מידע אחר בעל רגישות מיוחדת – עדכון יזום שלהם הוא לרוב צעד נבון מבחינה עסקית ואתית, גם בלי הוראה מפורשת מהרשות.

מה תיקון 13 בעצם שינה כאן

שלוש טעויות נפוצות

"יש לי 72 שעות לדווח, כמו ב-GDPR." לא מדויק. בישראל תקנות אבטחת המידע דורשות דיווח מיידי על אירוע אבטחה חמור, בלי חלון זמן קבוע.

"אני חייב להודיע ללקוחות בגלל החוק." לא מדויק. אין חובה אוטומטית כזו, אבל הרשות עשויה להורות על כך בעקבות דיווח על אירוע חמור, ועשויות לחול חובות נוספות מכוח דין אחר.

"אם אין לי אתר גדול, זה לא חל עליי." לא בהכרח. רמת האבטחה נקבעת לפי מאפייני המאגר, סוג והיקף המידע, ומספר בעלי ההרשאה – לא לפי גודל האתר או מחזור העסק.

לבסוף: התיעוד – איפה ואיך

התיעוד הוא לא רק "נחמד שיהיה". לפי תקנה 11(א), מוטלת עליכם אחריות לתעד כל מקרה שמתגלה ומעלה חשש לפגיעה בשלמות המידע, לשימוש במידע ללא הרשאה או לחריגה מהרשאה – גם אם בסופו של דבר מתברר שאין חובת דיווח חיצוני לרשות.

תיעוד שימושי כולל: מתי גיליתם את האירוע, איך, מה בדיוק קרה (ככל הידוע), אילו פעולות ננקטו, ואיך זה נסגר. חשוב להבחין: מסמך הגדרות המאגר שלכם, אם יש לכם כזה, הוא לא יומן אירועים – אירוע אבטחה הוא כן טריגר טוב לבדוק אם המסמך צריך עדכון, אבל עדיף לנהל רישום אירועי אבטחה נפרד ומסודר לתיעוד השוטף. במאגרים ברמת אבטחה בסיסית, בינונית או גבוהה, התקנות מחייבות לשמור את התיעוד הרלוונטי באופן מאובטח למשך 24 חודשים.

אם האירוע חשף גם פער במדיניות הפרטיות שלכן – למשל שהיא לא תיארה נכון את האופן שבו המידע נשמר או עם מי הוא משותף – שווה לעדכן גם אותה. אני מריץ לפעמים מדיניות פרטיות קיימת דרך Privacy Score – כלי חינמי שפיתחתי, שבודק אותה ומחזיר ציון ונקודות לשיפור. הוא לא מחליף בדיקה משפטית, אבל הוא דרך מהירה לראות אם יש בה חורים בולטים.

סיכום

אם יש לכם חשש שקרה אירוע אבטחה: תעדו מה שאתם יודעים, בררו לאיזו רמת אבטחה המאגר שלכם שייך, ואם מדובר באירוע חמור – דווחו לרשות מיד, בלי לחכות לתמונה מלאה ובלי לחשוב שיש לכם חלון זמן קבוע לנצל. החובה החוקית עצמה לא חדשה, אבל תיקון 13 הפך את ההתעלמות ממנה לבחירה יקרה יותר. אם אתן לא בטוחות אם המאגר שלכן בכלל חייב בדיווח, או רוצות לבנות מראש נוהל סדור לפני שמשהו קורה – זה בדיוק סוג הדבר שכדאי לבדוק לפני האירוע, לא באמצעו.