אם שמעתם על תיקון 13 ועל "חובת רישום מאגר מידע" ולא ברור לכם אם זה חל עליכם – אתם לא לבד. זה אחד הנושאים שיוצרים הכי הרבה בלבול, בין השאר כי חלק מהמידע שמסתובב באינטרנט עדיין מתאר את הכללים הישנים, מלפני שהחוק השתנה.

במאמר הזה אני עובר על הכלל העדכני, נכון לאחרי כניסת תיקון 13 לתוקף באוגוסט 2025: מי באמת חייב לרשום מאגר מידע היום, איך זה שונה מ"הודעה" לרשות (שני דברים נפרדים), ומה קורה אם רשמתם מאגר בעבר, לפי הכללים הישנים.

מה השתנה בתיקון 13 בנושא רישום מאגרי מידע

לפני תיקון 13, חובת הרישום הייתה רחבה יחסית וחלה על מגוון סוגי מאגרים – למשל מאגרים שכללו מידע בעל רגישות מיוחדת, מאגרים עם מידע על יותר מ-10,000 איש שלא נאסף ישירות מבעליו, מאגרים ששימשו לדיוור ישיר, ומאגרים של גופים ציבוריים. זו הסיבה שיועצים וכתבות רבות עדיין מתארים רשימה ארוכה של קריטריונים לרישום – זה היה נכון, לפני 14.8.2025.

מתי חובה לרשום מאגר מידע היום

לפי הכללים הנוכחיים, כפי שהם מופיעים בעמוד השירות הרשמי של הרשות להגנת הפרטיות לבקשת רישום מאגר מידע, חובת רישום חלה רק בשני מקרים:

מאגר שמטרתו העיקרית איסוף מידע לשם מסירתו לאחר

אם המאגר שלכם נועד בעיקרו לאיסוף מידע אישי לשם מסירתו לאחר, כדרך עיסוק או בתמורה, וגם יש בו מידע על יותר מ-10,000 איש – אתם חייבים ברישום, לפי סעיף 8א לחוק. מדובר בעיקר בעסקים שהמוצר שלהם הוא המידע עצמו – למשל חברות שמוכרות רשימות תפוצה או מידע על לקוחות פוטנציאליים לצדדים שלישיים.

חשוב לשים לב: עצם מתן הגישה למידע לספק שמעבד אותו עבורכם (כמו ספק אחסון או ספק דיוור) אינה הופכת כשלעצמה את מטרתו העיקרית של המאגר לאיסוף מידע לשם מסירתו לאחר – זה עדיין שימוש במידע לצורך הפעילות שלכם. נניח שיש לכם חנות ווקומרס עם רשימת לקוחות של 15,000 איש, שמנוהלת אצל ספק דיוור חיצוני – זה כשלעצמו לא הופך אתכם לחייבים ברישום, כי המטרה העיקרית של המאגר היא ניהול הלקוחות שלכם, לא איסוף מידע כדי למסור אותו לאחרים.

מאגר שבבעלות גוף ציבורי

אם בעל השליטה במאגר המידע הוא גוף ציבורי (במובן שהחוק מגדיר), חלה חובת רישום – למעט מאגר שמכיל רק מידע על עובדי הגוף עצמו.

עבור רוב בעלי העסקים הפרטיים שקוראים את המאמר הזה, הקטגוריה הזו פשוט לא רלוונטית.

רישום מול הודעה: שני דברים שונים

זה המקום שבו הכי הרבה אנשים מתבלבלים. תיקון 13 יצר חובה נוספת, נפרדת מרישום – הודעה לרשות להגנת הפרטיות.

לפי עמוד השירות הרשמי של הרשות בנושא חובת ההודעה, חובת ההודעה חלה כאשר במאגר יש מידע בעל רגישות מיוחדת (מונח מוגדר בחוק, הכולל כמה קטגוריות – בהן מידע רפואי, גנטי וביומטרי, מידע על עבר פלילי, דעות פוליטיות ואמונות דתיות, נתוני שכר ופעילות פיננסית וסוגי מידע נוספים המנויים בחוק) על יותר מ-100,000 איש – ובעל המאגר לא כפוף ממילא לחובת הרישום.

ההודעה, בניגוד לרישום, לא כפופה לאישור של הרשות – היא צריכה להימסר בתוך 30 יום מהמועד שבו מספר האנשים שיש על אודותיהם מידע בעל רגישות מיוחדת עבר את 100,000. במסגרת ההודעה נמסרים, בין היתר, פרטי בעל השליטה במאגר ודרכי ההתקשרות עמו, פרטי הממונה על הגנת הפרטיות (DPO), שתפקידו לסייע לארגון לקיים את דיני הגנת הפרטיות ולפקח על יישומם, אם קיימת חובה למנותו לפי החוק, וכן העתק ממסמך הגדרות המאגר.

לרוב העסקים הקטנים, גם חובת ההודעה הזו לא רלוונטית – כי מדובר בסף גבוה של 100,000 בעלי מידע רגיש במיוחד, לא 100,000 לקוחות רגילים.

כבר רשמתם מאגר מידע בעבר? מה המצב עכשיו

אם רשמתם מאגר מידע לפני שתיקון 13 נכנס לתוקף, לפי הכללים הישנים, הוא נשאר רשום גם היום – גם אם לפי הכללים החדשים לא הייתם חייבים ברישום מלכתחילה. מחיקה מהרישום לא קורית אוטומטית; כשמאגר אינו חייב עוד ברישום, ניתן לפנות לרשות בבקשה למחיקת הרישום, בהתאם להליך הקבוע בסעיף 10 לחוק – הליך שכולל אימות הבקשה בתצהיר, לא רק פנייה חופשית.

מהניסיון שלי, זו נקודה שמבלבלת בעלי עסקים – "אם כבר לא חייבים, אז למה המאגר עדיין רשום?" התשובה היא שהרישום הקיים לא נמחק אוטומטית רק משום שהמאגר כבר אינו חייב ברישום לפי הכללים החדשים. אם המאגר אינו חייב עוד ברישום, ניתן להודיע על כך לרשות בהתאם לסעיף 10, בצירוף תצהיר, ואז הרישום יימחק בהתאם להליך הקבוע בחוק. אם אתם לא בטוחים אם המאגר שלכם עדיין רשום, אפשר לבדוק ולעדכן פרטים דרך עמוד עדכון מאגר מידע של הרשות.

חשוב גם להבחין בין רישום מאגר מידע לבין מסמך הגדרות מאגר – שני נושאים נפרדים לגמרי, שגם הם נוטים להתבלבל. גם אם אינכם חייבים ברישום, אם אתם מנהלים מאגר מידע כהגדרתו בחוק, עדיין עשויות לחול עליכם תקנות אבטחת המידע, ובכלל זה החובה להכין מסמך הגדרות מאגר ובדיקת רמת אבטחה לפי תקנה 2 – חובה שמקורה בתקנות נפרדות, לא בחובת הרישום שעליה מדבר המאמר הזה.

בדיקה עצמית: האם צריך רישום או הודעה

לפני שעונות על השאלה, כדאי לדעת בערך כמה אנשים המידע עליהם נשמר אצלכן, ואיזה סוג מידע זה – אם לא עשיתן את התרגיל הזה, יש לי מדריך נפרד למיפוי מידע אישי בעסק שמסביר איך עושות את זה בפועל.

אחרי שיש לכן תמונה, אפשר לעבור על הרשימה הבאה:

• האם המטרה העיקרית של המאגר שלכן היא איסוף מידע לשם מסירתו לאחר, כדרך עיסוק או בתמורה – ויש בו מידע על יותר מ-10,000 איש? אם כן, כנראה שאתן חייבות ברישום.
• האם אתן גוף ציבורי, והמאגר לא כולל רק מידע על עובדים? אם כן, כנראה שאתן חייבות ברישום.
• האם יש לכן מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, ואתן לא כפופות לחובת רישום? אם כן, כנראה שאתן חייבות בהודעה.
• אם התשובה לכל השאלות למעלה היא לא – לרוב זה בדיוק המצב של עסקים קטנים רבים – אין לכן היום חובת רישום או הודעה, אבל חובות אחרות (תיעוד, אבטחת מידע, הודעה לפי סעיף 11 בעת איסוף מידע) עדיין עומדות בעינן.

איך נרשמים בפועל, אם כן צריך

אם הגעתם למסקנה שאתם כן חייבים ברישום, התהליך מתבצע דרך טופס בקשה לרישום מאגר מידע באתר הרשות להגנת הפרטיות, ללא עלות. הטופס דורש פרטי בעל השליטה במאגר, פרטי ממונה על הגנת הפרטיות אם מונה, מאפייני המאגר (שם, כמות נושאי המידע, מטרות, סוגי המידע), ומקורות המידע. לפי הרשות, ראש הרשות בוחן את הבקשה ורושם את המאגר במרשם מאגרי המידע בתוך עד 60 יום ממועד קבלת המידע המלא – ואם חלפה התקופה הזו בלי הודעת סירוב או השהיה, המאגר נחשב כאילו נרשם.

סיכום

אם עברתם על הבדיקה העצמית למעלה ויצא לכם "לא" בכל השאלות – אצל עסקים קטנים רבים התשובה אכן תהיה שאין כיום חובת רישום או הודעה, אבל צריך לבדוק את מאפייני המאגר ולא להסתמך על גודל העסק בלבד. זה גם לא אומר שאין לכם חובות אחרות לגבי המידע שאתם מחזיקים, רק שהרישום הספציפי הזה כנראה לא אחת מהן. אם אתם עדיין לא בטוחים לאיזו קטגוריה אתם שייכים, או אם המסקנה שלכם הייתה "כן" – הכי בטוח לא לנחש.

The post האם אתם צריכים לרשום מאגר מידע? המדריך המעשי לעסקים אחרי תיקון 13 appeared first on Mindful Web Nerd.

"אם לא תעמדו בתיקון 13, אתם חשופים לקנסות" – שמעתם את המשפט הזה, וכנראה גם לא ידעתם בדיוק כמה זה אומר בשקלים. זו לא שאלה תיאורטית יותר: ביולי 2026 הרשות להגנת הפרטיות הטילה קנס אמיתי, על עסק אמיתי, בגלל הפרה קונקרטית. במאמר הזה אני מפרק את זה לשלושה סוגי חשיפה נפרדים – עיצום כספי, תביעה אזרחית ואחריות פלילית – מראה מה קרה בפועל במקרה הראשון מסוגו, ונותן לכם תמונה כנה – לא מפחידה ולא מרגיעה מדי – על כמה מזה באמת רלוונטי לעסק בגודל שלכם.

קנסות תיקון 13: שלושה סוגי חשיפה שכדאי להכיר

חוק הגנת הפרטיות קיים עוד משנת 1981, אבל עד תיקון 13 – שנכנס לתוקף באוגוסט 2025 – לרשות להגנת הפרטיות היו כלי אכיפה מוגבלים יחסית. התיקון לא יצר את כל חובות הגנת הפרטיות מהיסוד; רבות מהן היו קיימות קודם, אבל הוא הרחיב מאוד את כלי האכיפה וגם הוסיף וחידד הסדרים וחובות מסוימים. היום יש שלושה סוגי חשיפה נפרדים שכדאי להכיר, כי הם לא אותו דבר.

עיצום כספי – הקנס שהמדינה יכולה להטיל

עיצום כספי הוא קנס מנהלי שהרשות להגנת הפרטיות יכולה להטיל בעצמה, בלי להוכיח נזק בפועל ובלי הליך פלילי ארוך. הכסף הולך למדינה, לא ללקוח שנפגע. גובה העיצום מתחיל מהסכום שקובע החוק להפרה הספציפית, ולעיתים הוא משתנה גם לפי מאפייני המאגר ורמת האבטחה שלו, כפי שנקבעת בתקנות אבטחת מידע. לדוגמה, הפרת חובת הדיווח המיידי על אירוע אבטחה חמור עומדת על 80,000 ש"ח ברמת אבטחה בינונית, ו-320,000 ש"ח ברמת אבטחה גבוהה – זה הסכום הבסיסי, לפני הפחתות.

לאחר מכן עשויים לחול מנגנוני הפחתה ותקרות בהתאם לנסיבות. החוק קובע הסדרים ייעודיים ל"עסק זעיר" (מחזור עסקאות עד 4 מיליון ש"ח) ול"עסק קטן" (מעל 4 ועד 10 מיליון ש"ח), עם תקרות נמוכות יותר לפי קבוצת ההפרה. יש גם מנגנון שקושר את הסכום למחזור העסקאות של העסק: אם הסכום שיוצא מהחישוב וההפחתות עולה על 5% ממחזור העסקאות של המפר, ראש הרשות, לבקשת המפר ובהתקיים התנאים שבחוק, יפחית את הסכום ל-5% ממחזור העסקאות. כלומר, אי אפשר להסיק את הסכום הסופי רק מהסכום הבסיסי שמופיע לצד ההפרה – שווה לבדוק את המנגנון המלא מול עורך דין אם הסכום הספציפי משמעותי לעסק שלכם.

עוד דבר שכדאי לדעת: עיצום כספי הוא לא הדבר היחיד שהרשות יכולה להוציא. בנסיבות המתאימות הקבועות בדין – כשיש יסוד סביר להניח שהייתה הפרה ומתקיימות נסיבות שקבע שר המשפטים – ראש הרשות רשאי למסור התראה מינהלית במקום להטיל עיצום כספי. זה כלי נפרד ופחות דרסטי, שהחוק מסמיך להשתמש בו בנסיבות שנקבעו בדין.

פיצוי ללא הוכחת נזק – כשלקוח או גולש תובעים אתכם ישירות

זה כלי שונה לגמרי מעיצום כספי: כאן מדובר בתביעה שמגיש אדם פרטי – לקוח, גולש, כל מי שהמידע שלו נפגע – ולא ביוזמת הרשות. בניגוד לעיצום הכספי, הכסף כאן הולך לתובע, לא למדינה.

חשוב להבין שיש כאן בעצם שני מסלולים, לא אחד: הזכות האזרחית לתבוע בגין פגיעה בפרטיות (למשל פרסום מידע פרטי בלי הסכמה, שימוש לא ראוי בתמונה או בפרטים אישיים) קיימת בחוק הגנת הפרטיות עוד מראשיתו, והיא לא המצאה של תיקון 13. גם האפשרות שבית המשפט יפסוק פיצוי בלי שהתובע צריך להוכיח נזק ממשי, בגין פגיעה כזו, כבר הייתה קיימת בחוק עוד לפני תיקון 13. מה שתיקון 13 הוסיף הוא מסלול נפרד של פיצויים לדוגמה, בגין הפרות ספציפיות שקשורות לניהול מאגר המידע עצמו, בנסיבות ובתנאים שהחוק מונה – למשל הפרות מסוימות של חובת היידוע או של זכויות העיון והתיקון.

לגבי הסכומים, חשוב לא לערבב בין שני המסלולים. במסלול החדש שהוסיף תיקון 13, בית המשפט רשאי לפסוק עד 10,000 ש"ח ללא הוכחת נזק בגין ההפרות הספציפיות שהחוק מונה. במסלול הוותיק של פגיעה בפרטיות לפי פרק א' קיימת תקרה נפרדת שמתעדכנת בהתאם למדד. לכן כשאתם רואים מספרים שונים בפרסומים על "פיצוי ללא הוכחת נזק", הם לא בהכרח סותרים זה את זה, אלא עשויים להתייחס למסלולים שונים.

אחריות פלילית – הכלי הכבד ביותר, ונדיר

תיקון 13 קבע כמה עבירות פליליות חדשות וספציפיות – למשל עיבוד מידע אישי ממאגר בלי הרשאה מבעל השליטה במאגר (עונש מאסר של עד שלוש שנים), ומסירת פרטים כוזבים בכוונה להטעות מישהו בעת איסוף מידע ממנו. חשוב לדייק כאן: לא בכל העבירות מופיעה בחוק אותה דרישת כוונה מפורשת. למשל, בעבירה של מסירת פרטים כוזבים החוק דורש במפורש כוונה להטעות, בעוד שבעבירה של עיבוד מידע ללא הרשאה אין בסעיף דרישת כוונה מפורשת באותו נוסח. בכל מקרה, אלה עבירות פליליות ספציפיות, והן נפרדות מהמסלול המינהלי של עיצומים כספיים – זה לא הכלי שמשמש נגד עסק שפספס דדליין לדיווח או עשה טעות בתום לב.

המקרה של קופת חולים מאוחדת: מה קרה ולמה זה חשוב

הרשות עצמה פרסמה שהטילה את העיצום הזה, וב-Globes ובכלכליסט אפשר למצוא את התמונה המלאה: מבוטחת גילתה שהיא יכולה לצפות בתיק הרפואי של אחותה החורגת, ודיווחה על כך. מאוחדת ידעה על התקלה כבר בנובמבר 2025, אבל דיווחה עליה לרשות רק בינואר 2026 – אחרי שהשלימה בדיקות פנימיות. התקלה עצמה תוקנה עד סוף ינואר 2026. יו"ר הרשות להגנת הפרטיות, עו"ד גלעד סממה, אמר שהמקרה נועד להעביר מסר ברור לגבי האכיפה שאחרי תיקון 13. מאוחדת, מצידה, טוענת שהיא זו שיזמה את הדיווח ברגע שהתמונה הייתה ברורה, שדיווח מיידי לעיתים לא ריאלי בפועל, ושוקלת לערער על ההחלטה.

מה שמעניין אותי כאן זה לא רק סכום הקנס, אלא מה עומד מאחוריו: הרשות הבהירה שחובת הדיווח המיידי על אירוע אבטחה חמור קמה כבר עם היוודע דבר האירוע – לא אחרי שמשלימים את כל הבדיקות הפנימיות. הרחבתי על החובה הזו ועל מה נחשב "אירוע אבטחה חמור" במאמר נפרד, אבל הנקודה החשובה כאן היא ש"בואו נבין קודם מה בדיוק קרה" – ההיגיון האינטואיטיבי הכי נפוץ – הוא בדיוק מה שהחוק לא מאפשר יותר.

כמה מזה באמת רלוונטי לעסק כמו שלכם?

התשובה הכנה: זה תלוי, וכדאי להיזהר גם ממי שמפחיד אתכם וגם ממי שאומר לכם שזה לא נוגע אליכם בכלל.

יחד עם זאת, כדאי לדייק לגבי החובה שבגללה נקנסה מאוחדת: חובת הדיווח המיידי על אירוע אבטחה חמור לא חלה על כל עסק באופן גורף. היא נקבעת לפי סיווג רמת האבטחה של המאגר – היא רלוונטית למאגרים שחלה עליהם רמת אבטחה בינונית או גבוהה, לא לפי גודל העסק. גם עסק קטן יכול להיות בעל מאגר ברמת אבטחה בינונית או גבוהה, בהתאם לסוג ולהיקף המידע שהוא מחזיק – אז זה לא משהו שכדאי להניח לגביו, אלא לבדוק. אם יש לכם אתר עם טופס הרשמה, חנות ווקומרס עם פרטי לקוחות, או כל מערכת שבה שמור מידע אישי, שווה לבדוק לאיזו רמת אבטחה המאגר שלכם משויך, ואם היא בינונית או גבוהה – לדעת שגילוי של תקלה מחייב דיווח מהיר, לא לחכות "עד שנבין הכל".

לגבי חובת מינוי ממונה על הגנת הפרטיות (DPO – תפקיד שנועד לסייע לארגון לקיים את דיני הגנת הפרטיות ולפקח על יישומם): זו לא חובה גורפת. היא תלויה בסוג הארגון ובהיקף ובסוג המידע שהוא מעבד. ריכזתי מדריך מלא על ממונה הגנת הפרטיות (DPO) – שווה לבדוק את זה ספציפית לעסק שלכם, לא להניח.

נקודה נוספת שכדאי לקחת בחשבון: הרשות אינה פועלת רק בעקבות תלונות או אירועי אבטחה. ב-2026 היא החלה בפיקוחי רוחב חדשים, ובין המגזרים שנבחרו נמצאות גם חברות סחר אונליין. פיקוח רוחב הוא הליך יזום לבחינת העמידה בחוק ובתקנות, ולא כל פיקוח מסתיים בעיצום. אבל לבעל חנות אונליין כבר פחות נכון להניח שהאכיפה נוגעת רק לארגונים גדולים במיוחד.

אם עוד לא בדקתם את מדיניות הפרטיות שלכם, שווה להריץ אותה ב-Privacy Score – כלי חינמי שפיתחתי שמנתח מדיניות פרטיות ומחזיר ציון ונקודות לשיפור. הוא לא בודק את כל מה שקשור לתיקון 13 ולא מחליף בדיקה מקצועית, אבל זו נקודת פתיחה מהירה.

מעבר לקנס עצמו: העלות שלא רואים בכותרות

הכתבות על עיצומים כספיים מתמקדות בסכום הקנס, וזה הגיוני – זה המספר שקל לצטט. אבל מהניסיון שלי בליווי עסקים, הקנס עצמו הוא לרוב לא העלות היחידה, ולפעמים אפילו לא העלות הגדולה ביותר. כשמתגלה תקלה – בין אם היא מובילה לעיצום ובין אם לא – יש בדרך כלל גם עבודת תיקון טכנית, זמן ניהולי שיורד על ליווי הבירור, ולעיתים ליווי מקצועי (משפטי או טכני) כדי לוודא שהבעיה נסגרה כמו שצריך. אני לא הולך להמציא לכם מספר שקלים לעלויות האלה – הן משתנות מאוד בין עסק לעסק – אבל שווה להביא אותן בחשבון כשחושבים על "כמה זה עולה", לא רק את שורת העיצום עצמה.

שלושה דברים שכדאי לבדוק החודש

1. האם יש לכם תהליך ברור למקרה של אירוע אבטחה? לא צריך מסמך משפטי מפואר – מספיק לדעת מי מקבל את ההודעה הראשונה, ומה קורה בשעות הראשונות. המקרה של מאוחדת מראה בדיוק למה "לחכות שנבין הכל לפני שמדווחים" הוא טעות יקרה.
2. מתי בפעם האחרונה בדקתן מי בכלל יש לו גישה למידע הרגיש באתר או בחנות שלכן? הרבה פעמים זו לא כוונה רעה – זו הרשאה ישנה שאף אחד לא ביטל.
3. האם יש לכם מסמך הגדרות מאגר מעודכן? זה המסמך שמרכז מה יש במאגר שלכם, למה המידע משמש, מי מעורב בעיבוד שלו ומהם הסיכונים העיקריים. לצד זה כדאי גם לבדוק בנפרד איזו רמת אבטחה חלה על המאגר – בלי המסמך הזה קשה להראות שבדקתם את מה שהחוק דורש, גם אם בפועל אתם בסדר.

סיכום ומה לעשות עכשיו

הקנסות של תיקון 13 כבר לא תיאורטיים – יש תקדים אמיתי, על עסק גדול ומוכר, בגלל הפרה קונקרטית של חובת דיווח. עסקים קטנים אינם פטורים ממנגנוני האכיפה, אבל החשיפה בפועל תלויה מאוד בסוג המאגר, רמת האבטחה, סוג המידע וההפרה – למשל חובת הדיווח המיידי על אירוע אבטחה חמור תלויה בסיווג רמת האבטחה של המאגר שלכם, לא בגודל העסק. אבל הציפייה הכללית לנהל מידע אישי באחריות כן רלוונטית לכולם. אם קראתן עד כאן ולא בטוחות איפה אתן עומדות – זה בדיוק המקום להתחיל לברר, לא להניח.

The post קנסות בתיקון 13: כמה זה באמת עולה לעסק שלא עומד בחוק appeared first on Mindful Web Nerd.

שמעתם על תיקון 13, שמעתם גם על GDPR, ומישהו בדרך אמר לכם שזה בערך אותו דבר. זה לא בדיוק נכון – וגם לא לגמרי לא נכון. תיקון 13 קירב את חוק הגנת הפרטיות הישראלי הרבה יותר ל-GDPR האירופי, אבל הוא לא הופך אתכם אוטומטית ל"תואמי GDPR". ומצד שני, לא כל עסק ישראלי בכלל צריך להתעסק עם GDPR – לרוב מדובר בשאלה שלא רלוונטית בפועל, אבל שווה לבדוק את זה בעצמכם ולא להניח.

במאמר הזה אני עובר על מה שבאמת קורה כשמסתכלים על שני החוקים יחד: איך הם דומים ואיך הם שונים, מה הדין הישראלי הקיים – חוק הגנת הפרטיות, תיקון 13 ותקנות אבטחת המידע ביחד – כבר סגר לכם, מה GDPR עדיין עשוי לדרוש (ורק אם הוא בכלל חל עליכם), ואיך בודקים בחמש דקות אם זה נוגע לעסק שלכם או שאתם יכולים להירגע.

תיקון 13 ו-GDPR: קרובים, לא זהים

ה-GDPR (General Data Protection Regulation) הוא התקנה האירופית להגנת מידע אישי, בתוקף באיחוד האירופי מאז 2018. חוק הגנת הפרטיות הישראלי קיים עוד הרבה קודם לכן, ותיקון 13 – שאושר בכנסת באוגוסט 2024 ונכנס לתוקף באוגוסט 2025 – הוא העדכון המשמעותי ביותר שהחוק עבר מאז שנחקק. חלק גדול מהמטרה של תיקון 13 היה לצמצם את הפער בין הרגולציה הישראלית לרגולציה האירופית, ולכן קל להבין למה אנשים מתבלבלים בין השניים ומניחים שמדובר בגרסה ישראלית של אותו החוק.

יש נקודות דמיון אמיתיות אחרי תיקון 13. שני החוקים מכירים כיום בקטגוריה של מידע בעל רגישות מיוחדת (כמו מידע רפואי, ביומטרי, גנטי או פלילי) ודורשים לגביה זהירות מוגברת ואמצעי אבטחה חזקים יותר. שניהם מטילים חובת מינוי ממונה על הגנת הפרטיות (DPO) – אם כי על קבוצות שונות של ארגונים, לפי קריטריונים שונים. ושניהם הרחיבו משמעותית את סמכויות האכיפה של הרגולטור המקומי, כולל האפשרות להטיל עיצומים כספיים בלי להזדקק להליך פלילי מלא.

אבל יש גם הבדלים אמיתיים שלא נעלמים רק כי תיקון 13 נכנס לתוקף:

• הבסיס המשפטי לעיבוד מידע. ה-GDPR בנוי סביב שישה בסיסים משפטיים מוגדרים לעיבוד מידע, ובהם הסכמה, חובה משפטית ו"אינטרס לגיטימי". הדין הישראלי אינו בנוי סביב אותה רשימה של שישה בסיסים, ולכן אי אפשר פשוט לקחת את הבסיס שבחרתם לפי GDPR ולהניח שהוא עובד באותה צורה גם בישראל – וההפך.
• זכות המחיקה. ב-GDPR יש "זכות להישכח" רחבה יחסית, שמאפשרת במקרים רבים לדרוש מחיקת מידע גם כשהוא מדויק ועדכני. בחוק הישראלי הזכות מוגבלת בעיקר למידע שגוי, לא מעודכן או לא שלם – אין זכות מחיקה גורפת כמו ב-GDPR, וחשוב לא להציג את זה ככזו כלפי לקוחות שלכם, כי זו הבטחה שהחוק הישראלי עדיין לא נותן.
• האכיפה. הרשות להגנת הפרטיות קיבלה בתיקון 13 סמכות להטיל עיצומים כספיים משמעותיים, בהתאם לחומרת ההפרה, היקפה ומספר האנשים שנפגעו. הסכומים המדויקים תלויים בנסיבות הספציפיות, ומקורות שונים שבדקתי לצורך המאמר הזה לא תמיד מסכימים ביניהם על התקרות המדויקות. אם זה רלוונטי לעסק שלכם באופן ממשי, שווה לבדוק את הסכומים מול הנוסח הרשמי של החוק או מול הרשות להגנת הפרטיות עצמה, ולא להסתמך על מספר שראיתם במאמר כלשהו – כולל הזה.

מה זה בכלל "נאותות" (adequacy) – והאם זה משנה לי משהו

בפועל, הסטטוס הזה אומר שמידע אישי יכול לזרום מהאיחוד האירופי לישראל בלי שהעסק צריך להוסיף מנגנוני הגנה חוזיים נוספים (כמו סעיפים חוזיים סטנדרטיים) לכל העברה כזו. זה נוח, למשל, אם אתן מקבלות רשימת לקוחות מספק אירופי, מפעילות מרכז שירות שמקבל פניות ממדינה באיחוד, או אם חברה אירופית שולחת אליכן מידע כחלק משיתוף פעולה עסקי או מיקור חוץ.

אבל – וזו הנקודה שהכי הרבה בעלי עסקים מפספסים – סטטוס הנאותות עוזר בכיוון אחד בלבד: מהאיחוד אליכם. הוא לא אומר כלום על מה שקורה כשאתם, העסק הישראלי, פונים ישירות ללקוחות באיחוד האירופי, מוכרים להם מוצרים או שירותים, או עוקבים אחרי ההתנהגות שלהם באינטרנט. במקרה הזה, GDPR יכול לחול עליכם ישירות, בלי שום קשר לסטטוס הנאותות ובלי קשר לזה שאתם עומדים בתיקון 13 בצורה מופתית.

הדין הישראלי כבר מכסה חלק מהעבודה – הנה מה שאולי כבר עשיתם

אם כבר עשיתם עבודה מסודרת כדי לעמוד בחוק הגנת הפרטיות, בתיקון 13 ובתקנות הגנת הפרטיות (אבטחת מידע) – אתם כבר במקום טוב יחסית מול GDPR, ולא מתחילים מאפס, גם אם הוא כן חל עליכם. חשוב לדייק כאן: חלק מהדברים האלה הם דרישות ותיקות של חוק הגנת הפרטיות ושל תקנות אבטחת המידע (התשע"ז-2017), לא המצאה של תיקון 13 עצמו – תיקון 13 הרחיב ושינה חלקים משמעותיים בחוק, אבל הוא לא "חבילת ה-compliance" השלמה. כמה דוגמאות למה שכבר עשוי להיות אצלכם, ואיך זה מתקשר לצד האירופי:

• אם מיפיתם את המידע האישי שאתם אוספים ושומרים (מי המידע, איפה הוא נשמר, למי הוא מועבר) – כבר עשיתם חלק משמעותי מעבודת הבסיס שנדרשת גם לצורך "רישום פעילויות עיבוד" (Records of Processing Activities, או ROPA) לפי ה-GDPR, במקרים שבהם חובת הרישום הזו בכלל חלה (יש לה חריגים מסוימים לארגונים קטנים). פירטתי על זה במדריך מיפוי מידע אישי.
• אם יש לכם מסמך הגדרות מאגר עדכני והערכתם את רמת האבטחה הנדרשת – כבר ביצעתם עבודת תשתית שימושית גם מול חלק מדרישות האבטחה וניהול הסיכונים של ה-GDPR, גם אם זה לא זהה למושג הרחב יותר של "הגנת מידע בעיצוב ומברירת מחדל" (Data Protection by Design and by Default, לפי סעיף 25 ל-GDPR). הרחבתי על זה במדריך מסמך הגדרות מאגר.
• אם מיניתם ממונה על הגנת הפרטיות כשהחוק הישראלי מחייב זאת – יש לכם כבר תפקיד וגורם אחראי בארגון, שגם GDPR דורש (אם כי עם קריטריונים שונים לגבי מי בדיוק חייב במינוי). כתבתי מדריך נפרד על זה: ממונה על הגנת הפרטיות (DPO).
• אם עדכנתם את מדיניות הפרטיות שלכם כך שהיא באמת משקפת מה אתם אוספים ולמה – זה חופף לדרישת השקיפות שגם GDPR מציב במרכז.

חשוב גם להבחין בין "יש לי מדיניות פרטיות" לבין "אני עומד בחוק" – זו טעות נפוצה שפירטתי עליה במאמר מדיניות פרטיות זה לא עמידה בחוק. אחרי שעדכנתם או כתבתם מדיניות פרטיות, שווה גם להריץ אותה ב-Privacy Score – כלי חינמי שפיתחתי שבודק אותה ומחזיר ציון ונקודות לשיפור. חשוב להגיד את זה בבירור: הכלי מזהה פערים בולטים במדיניות עצמה, אבל הוא לא בודק עמידה ב-GDPR ולא מחליף בדיקה משפטית מקצועית.

מה GDPR עדיין עשוי לדרוש מעבר לדין הישראלי (אם הוא חל עליכם)

אם בדקתם (בסעיף הבא) וגיליתם ש-GDPR באמת רלוונטי לעסק שלכם, הנה כמה דברים שהוא עשוי לדרוש מעבר למה שכבר נדרש מכם לפי הדין הישראלי:

• בסיס משפטי רחב יותר לעיבוד מידע, כולל האפשרות להסתמך על "אינטרס לגיטימי" – אבל גם צורך לזהות בסיס משפטי מתאים לכל פעילות עיבוד בנפרד, ובמקרים הרלוונטיים גם להיות מסוגלים לתעד ולהצדיק את הבחירה, ולא רק להצהיר עליה באופן כללי במדיניות הפרטיות.
• זכות מחיקה רחבה יותר מזו שקיימת בחוק הישראלי, עם פחות תנאים מצטברים, ותהליך ברור למימוש שלה מול הלקוח.
• נציג באיחוד האירופי (EU representative). אם אין לכם נוכחות פיזית באיחוד האירופי אבל אתם פונים באופן שיטתי ללקוחות שם, GDPR עשוי לדרוש מכם למנות נציג רשמי באיחוד – גורם או חברה שאפשר לפנות אליהם במקום אליכם ישירות, לצורכי רגולציה. יש חריגים לעיבוד מזדמן ובסיכון נמוך, אז זו נקודה שכדאי לבדוק לגופה מול איש מקצוע ולא להניח לכיוון כזה או אחר.
• כללים להעברת מידע מחוץ לאזור הכלכלי האירופי, אם אתם מעבירים מידע של אנשים שנמצאים באיחוד האירופי לספקים או שירותים במדינות שאין לגביהן החלטת נאותות – שם עשויים להידרש מנגנוני העברה מתאימים לפי כללי ה-GDPR. ישראל עצמה, כפי שראינו למעלה, כן נהנית מהחלטת נאותות של האיחוד, כך שהעברת מידע אליה נמצאת במצב שונה לגמרי ממדינות שאין לגביהן החלטה כזו.
• סנקציות גבוהות משמעותית מהתקרות שמוכרות מהחוק הישראלי, כפי שציינתי למעלה.

הרשימה הזו לא ממצה, והיא גם לא מיועדת להפחיד – היא מיועדת לתת תמונה ריאלית של הפער, כדי שתדעו אם שווה לכם להשקיע זמן בבדיקה מעמיקה יותר, או שאתם יכולים לנשום לרווחה ולהמשיך הלאה.

בדיקה של חמש דקות: האם GDPR חל על העסק שלכם

GDPR חל על עסק מחוץ לאיחוד האירופי בעיקר בשני מקרים: אם יש לכם נוכחות ממשית באיחוד (למשל סניף, משרד או פעילות עסקית קבועה אחרת באיחוד), או אם אתם "פונים" לאנשים שנמצאים באיחוד האירופי – כלומר מציעים להם מוצרים או שירותים, או עוקבים אחרי ההתנהגות שלהם באינטרנט (למשל דרך עוגיות מעקב ופרסום ממוקד). חשוב לדייק: החוק לא מסתכל דווקא על אזרחות או תושבות, אלא על אנשים שנמצאים באיחוד האירופי במסגרת הפעילות הרלוונטית – אבל בשביל עסק קטן, ברוב המקרים הפרקטיים זה בכל זאת מתבטא בעיקר בלקוחות שאתם משווקים או מוכרים להם באירופה. התנאי השני (הפנייה) הוא זה שהכי הרבה עסקים ישראליים קטנים מפספסים, כי הם לא חושבים על עצמם כ"פונים לאירופה" גם כשהם בפועל כן.

הסימנים שמצביעים על "פנייה" לאנשים שנמצאים באיחוד האירופי

עברו על הרשימה ובדקו כמה מהסימנים האלה מתקיימים אצלכן, ולא רק תיאורטית:

• האתר שלכם מציג תוכן, מבצעים או שיווק שמכוונים במפורש למדינות באיחוד האירופי, ולא רק זמינים להם בצירוף מקרים.
• אתם מציגים מחירים באירו, או מאפשרים תשלום בו כאופציה קבועה באתר.
• יש לכם גרסת אתר בשפה אירופית (לא רק אנגלית כללית), שנועדה ללקוחות שם.
• אתם שולחים בפועל מוצרים או מספקים שירות ללקוחות באיחוד האירופי על בסיס קבוע, לא רק ללקוחות שמזדמנים לאתר במקרה.
• אתם מריצים קמפיינים ממומנים שמכוונים ספציפית לקהלים במדינות באיחוד האירופי.
• יש לכם תמיכת לקוחות בשפה אירופית, או אזכור מפורש של מדינות אירופיות כשוק יעד בחומרי השיווק שלכם.

אם רוב הסימנים האלה לא מתקיימים אצלכם – למשל, יש לכם לקוח אירופי מקרי פעם בשנה שמצא אתכם בגוגל ושילם בשקלים – כנראה שאתם לא בגדר "פנייה" לפי ה-GDPR, וזה לא הופך אתכם אוטומטית לחייבים בו. ההבחנה הזו חשובה: GDPR לא נועד לתפוס כל עסק שיש לו איזשהו מבקר מאירופה באתר, אלא עסקים שבאמת מכוונים לשוק הזה באופן מודע.

דוגמאות מהשטח: מתי זה כן קורה בפועל

כדי להמחיש את זה יותר קונקרטית – כמה סוגי עסקים שבהם השאלה הזו באמת עולה:

• חנות ווקומרס שמוכרת תכשיטים בעבודת יד, עם משלוחים קבועים לגרמניה וצרפת, מחירים באירו כאופציה, ופרסום ממומן שמכוון במפורש לקהלים אירופיים – כאן הסימנים ברורים, ושווה לבדוק ברצינות.
• פרילנסרית שמוכרת קורס דיגיטלי, שרוב הלקוחות שלה ישראלים אבל מדי פעם מישהו מחו"ל נרשם דרך המלצה – כאן, אם אין מיקוד שיווקי לאירופה, הסיכוי ש-GDPR חל בפועל נמוך משמעותית.
• סטודיו לעיצוב שעובד עם לקוח קבוע בהולנד, מנהל עבורו פרויקטים ומחזיק פרטי קשר של אנשי הקשר שלו – כאן כבר יש קשר עסקי מכוון ומתמשך עם גורם באיחוד, ולכן שווה לבדוק אילו פעילויות עיבוד נכנסות לתחולת ה-GDPR, גם אם מדובר בלקוח אחד.
• עמותה ישראלית שמגייסת תרומות, כולל מתורמים באירופה, דרך טופס תרומה באתר – גיוס תרומות נחשב הצעת שירות, ואם יש מיקוד לתורמים אירופיים, כדאי לבדוק את זה כמו כל עסק אחר.

מתי כדאי לבדוק את זה ברצינות מול עורך דין

אם זיהיתם כמה סימנים – למשל אתם מפעילים חנות עם משלוחים סדירים לאירופה, מפעילים דרופשיפינג ללקוחות אירופיים, מספקים שירותי תיירות או בריאות מרחוק ללקוחות מאירופה, או שאתם עמותה שמגייסת תרומות מתורמים אירופיים – זה הזמן לעצור ולבדוק את זה ברצינות מול עורך דין שמכיר את שני התחומים. זו קביעה משפטית שתלויה בעובדות הספציפיות של העסק שלכם, ואני לא מספק ייעוץ משפטי – התפקיד שלי הוא לעזור לכם להבין את התמונה ולבנות את התשתית הטכנית סביבה, לא לקבוע עבורכם קביעה משפטית סופית.

מה עם CCPA וחוקים אמריקאיים אחרים?

בשונה מ-GDPR, לארצות הברית אין חוק פדרלי מקיף להגנת פרטיות. יש חוקים ברמת המדינה – הבולט שבהם הוא ה-CCPA של קליפורניה – שחלים בעיקר על עסקים עם היקף פעילות משמעותי כלפי תושבי אותה מדינה ספציפית, לפי קריטריונים של מחזור, כמות המידע המעובד או אחוז ההכנסות ממכירת מידע. עבור רוב העסקים הישראלים הקטנים, זו שאלה שרלוונטית הרבה פחות מ-GDPR, ובדרך כלל עולה רק אם יש לכם פעילות מכוונת ומשמעותית כלפי תושבי קליפורניה או מדינה אמריקאית אחרת עם חוק דומה. אם זה המצב שלכם, זו בדיקה נפרדת שכדאי לעשות בפני עצמה – היא לא "נכללת" אוטומטית בבדיקת ה-GDPR שעברנו עליה למעלה, כי מדובר בחוק שונה עם קריטריונים שונים.

סיכום

תיקון 13 וה-GDPR קרובים יותר ממה שהיו פעם, אבל הם לא אותו חוק, וההנחה ש"עמדתי באחד אז עמדתי גם בשני" עלולה להטעות אתכם לשני הכיוונים – גם להערכת יתר של החשיפה שלכם, וגם להערכת חסר שלה. הצעד המעשי הוא לא לנחש: תעברו על הבדיקה העצמית למעלה, ואם אתן עדיין לא בטוחות איפה אתן עומדות – מוזמנות לדבר איתי.

The post תיקון 13 מול GDPR: איך שני חוקי הפרטיות מתחברים – ומה זה אומר לעסק שלכם appeared first on Mindful Web Nerd.

חושבים שקרה משהו לא תקין באתר או במערכת שלכם, ויש בתמונה מידע של לקוחות? אתם לא צריכים להיות בטוחים במאה אחוז כדי שזה יהיה רלוונטי – החוק מדבר על "חשש" לפגיעה במידע, לא רק על אירוע שכבר אושר וסגור.

המאמר הזה מתמקד בכוונה בצד אחד בלבד, אבל קריטי: מה חובה לעשות מבחינת הפרטיות, ומתי. הוא לא עוסק באיך מנקים את האתר, איך משחזרים גיבוי, או איך סוגרים את הפרצה הטכנית – זה נושא נפרד שאפשר לקרוא עליו במדריך המעשי כשהאתר נפרץ. כאן אני עובר על מה שקובע אם יש לכם חובת דיווח על פרצת מידע, למי מדווחים, ומה באמת מחייב אתכם לפי החוק לעומת מה שרק מומלץ.

מה אומר החוק בפועל: מתי מספיק לתעד, ומתי חייבים לדווח

תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, היא הבסיס לכל מה שבא אחריה. היא מחייבת את בעל השליטה במאגר המידע לתעד כל מקרה שמתגלה ומעלה חשש לפגיעה בשלמות המידע, לשימוש במידע ללא הרשאה או לחריגה מהרשאה. במילים פשוטות – אתם לא צריכים לחכות לוודאות מוחלטת שמשהו רע קרה. מקרה שמעלה חשש כזה כבר נכנס בגדר התקנה, ומחייב תיעוד.

מכאן התהליך מתפצל לשתי שאלות נפרדות:

1. האם יש חובת תיעוד פנימי? כמעט תמיד כן, כאשר מתגלה מקרה שמעלה חשש – ראו בהמשך המאמר.
2. האם יש חובת דיווח חיצוני לרשות? רק אם מדובר ב"אירוע אבטחה חמור" בפועל, והמאגר שלכם ברמת אבטחה בינונית או גבוהה.

איך יודעים לאיזו רמת אבטחה המאגר שלכם שייך, ומה זה אומר על החובות שלכם? כתבתי על זה בהרחבה במדריך לתקנות אבטחת מידע ורמות האבטחה – המאמר הזה ממשיך משם, ולא חוזר על כל הפירוט.

מה עושים קודם, מבחינת הפרטיות

שלושה דברים כדאי לעשות מיד, בלי קשר לצד הטכני:

• תעדו את מה שאתן יודעות עכשיו, גם אם זה רק חשש – מתי הבחנתן בבעיה, איך, ומה בדיוק נראה לא תקין. אל תחכו "עד שיהיה ברור הכול" – התיעוד הראשוני יכול וצריך להתבסס על מה שידוע כרגע.
• בררו לאיזו רמת אבטחה המאגר שלכם שייך – זו הנקודה שקובעת אם יש חובת דיווח חיצוני. אם לא בדקתם את זה מראש, זה הזמן.
• אם יש אצלכם ממונה על הגנת הפרטיות – ערבו אותו/אותה מיד; זה בדיוק התפקיד שקיים בשביל זה. אם אין לכם DPO, זה סימן נוסף לבדוק אם אתם חייבים למנות אחד.

הצד הטכני – שינוי סיסמאות, שחזור מגיבוי, ניקוי האתר, מעורבות המשטרה – הוא נושא בפני עצמו, ולא הפוקוס של המאמר הזה. כתבתי עליו בנפרד במדריך מה עושים כשהאתר שלכם נפרץ, שם הפוקוס הוא בדיוק בצעדים הטכניים והמעשיים. הפוקוס כאן הוא במה שהחוק דורש מכם בתור מי שאחראי על המידע.

גיליתם אירוע אבטחה חמור? למי מדווחים, איך, ותוך כמה זמן

הדיווח על אירוע אבטחה חמור מוגש לרשות להגנת הפרטיות, דרך הטופס הרשמי באתר Gov.il. לצד הטופס המקוון, לרשות יש גם ערוצי פנייה נוספים (טלפון, מייל) למקרים שדורשים בירור – מומלץ לבדוק את הפרטים העדכניים ישירות בעמוד השירות, כי ערוצי הפנייה משתנים מדי פעם.

לגבי התזמון: בישראל אין חלון זמן קבוע של 72 שעות, כמו זה שמוכר מה-GDPR האירופי. תקנות אבטחת המידע קובעות שיש לדווח על אירוע אבטחה חמור באופן מיידי. במילים פשוטות: משמתברר שהאירוע עונה להגדרת "אירוע אבטחה חמור", אין להמתין להשלמת כל הבדיקות לפני הדיווח, ולא נכון להמתין אוטומטית עד שתהיה תמונה מלאה.

חובת הדיווח חלה גם כשגורם אחר – משטרת ישראל, מערך הסייבר הלאומי, או רגולטור במגזר ספציפי – מודיע לכם על אירוע שקשור למאגר שלכם.

מה כולל הדיווח בפועל

הדיווח הראשוני לא צריך להיות מושלם – הוא צריך לצאת מהר. תארו את מה שידוע: סוג האירוע, ההיקף המשוער, הפעולות שכבר ננקטו. אם מתגלים פרטים נוספים אחרי הדיווח הראשוני – זה בסדר, וזה חלק צפוי מהתהליך. לרוב, גורם מטעם הרשות יחזור אליכן לבירור נוסף לאחר הגשת הדיווח.

האם חובה להודיע גם ללקוחות?

זו השאלה שהכי הרבה בעלי עסקים שואלים אותי, וגם כאן יש בלבול אמיתי ברשת.

המשמעות המעשית: גם בלי חובה גורפת שחלה מראש על כל אירוע, אתם לא בהכרח בשליטה מלאה על ההחלטה אם להודיע ללקוחות. אם דיווחתם על אירוע חמור, הרשות יכולה לחייב אתכם להודיע לנפגעים כחלק מהטיפול באירוע. מעבר לזה, אם יש סיכוי סביר שהלקוחות שלכם עלולים להיפגע בפועל – למשל דליפת סיסמאות, פרטי כרטיס אשראי, או מידע אחר בעל רגישות מיוחדת – עדכון יזום שלהם הוא לרוב צעד נבון מבחינה עסקית ואתית, גם בלי הוראה מפורשת מהרשות.

מה תיקון 13 בעצם שינה כאן

שלוש טעויות נפוצות

"יש לי 72 שעות לדווח, כמו ב-GDPR." לא מדויק. בישראל תקנות אבטחת המידע דורשות דיווח מיידי על אירוע אבטחה חמור, בלי חלון זמן קבוע.

"אני חייב להודיע ללקוחות בגלל החוק." לא מדויק. אין חובה אוטומטית כזו, אבל הרשות עשויה להורות על כך בעקבות דיווח על אירוע חמור, ועשויות לחול חובות נוספות מכוח דין אחר.

"אם אין לי אתר גדול, זה לא חל עליי." לא בהכרח. רמת האבטחה נקבעת לפי מאפייני המאגר, סוג והיקף המידע, ומספר בעלי ההרשאה – לא לפי גודל האתר או מחזור העסק.

לבסוף: התיעוד – איפה ואיך

התיעוד הוא לא רק "נחמד שיהיה". לפי תקנה 11(א), מוטלת עליכם אחריות לתעד כל מקרה שמתגלה ומעלה חשש לפגיעה בשלמות המידע, לשימוש במידע ללא הרשאה או לחריגה מהרשאה – גם אם בסופו של דבר מתברר שאין חובת דיווח חיצוני לרשות.

תיעוד שימושי כולל: מתי גיליתם את האירוע, איך, מה בדיוק קרה (ככל הידוע), אילו פעולות ננקטו, ואיך זה נסגר. חשוב להבחין: מסמך הגדרות המאגר שלכם, אם יש לכם כזה, הוא לא יומן אירועים – אירוע אבטחה הוא כן טריגר טוב לבדוק אם המסמך צריך עדכון, אבל עדיף לנהל רישום אירועי אבטחה נפרד ומסודר לתיעוד השוטף. במאגרים ברמת אבטחה בסיסית, בינונית או גבוהה, התקנות מחייבות לשמור את התיעוד הרלוונטי באופן מאובטח למשך 24 חודשים.

אם האירוע חשף גם פער במדיניות הפרטיות שלכן – למשל שהיא לא תיארה נכון את האופן שבו המידע נשמר או עם מי הוא משותף – שווה לעדכן גם אותה. אני מריץ לפעמים מדיניות פרטיות קיימת דרך Privacy Score – כלי חינמי שפיתחתי, שבודק אותה ומחזיר ציון ונקודות לשיפור. הוא לא מחליף בדיקה משפטית, אבל הוא דרך מהירה לראות אם יש בה חורים בולטים.

סיכום

אם יש לכם חשש שקרה אירוע אבטחה: תעדו מה שאתם יודעים, בררו לאיזו רמת אבטחה המאגר שלכם שייך, ואם מדובר באירוע חמור – דווחו לרשות מיד, בלי לחכות לתמונה מלאה ובלי לחשוב שיש לכם חלון זמן קבוע לנצל. החובה החוקית עצמה לא חדשה, אבל תיקון 13 הפך את ההתעלמות ממנה לבחירה יקרה יותר. אם אתן לא בטוחות אם המאגר שלכן בכלל חייב בדיווח, או רוצות לבנות מראש נוהל סדור לפני שמשהו קורה – זה בדיוק סוג הדבר שכדאי לבדוק לפני האירוע, לא באמצעו.

The post אירוע אבטחה או פרצת מידע בעסק? מה חובה לעשות מבחינת הפרטיות, ומתי appeared first on Mindful Web Nerd.

אם יש לכם טופס הרשמה לניוזלטר באתר – בפוטר, בפופ-אפ, או בעמוד נפרד – כנראה שמעתם שצריך "לעדכן אותו בגלל תיקון 13" בלי לדעת בדיוק מה זה אומר. הרבה מדריכים מזכירים את זה במשפט אחד ועוברים הלאה. אבל האמת היא שהטופס הקטן הזה כפוף לשני חוקים נפרדים לגמרי – וההבדל ביניהם משנה מה בדיוק אתם צריכים לכתוב ולסמן. בפוסט הזה אני מסביר מה כל חוק דורש בפועל, איך נראה טופס תקין, ומה עושים אם יש לכם כבר רשימת תפוצה ישנה בלי הסכמה מסודרת.

שני חוקים, לא אחד – למה זה חשוב

הבלבול הכי נפוץ שאני נתקל בו: בעלי עסקים חושבים שאם הם "עומדים בתיקון 13" – יש להם מדיניות פרטיות, הם עדכנו את הטפסים באתר – אז הניוזלטר שלהם בטוח תקין. זה לא מדויק. אבל כדאי לדייק גם בכיוון ההפוך: רשימת תפוצה שמכילה רק פרטי קשר בסיסיים (שם, מען ודרכי התקשרות) אינה בהכרח "מאגר מידע" כהגדרתו לאחר תיקון 13 – יש לכך חריג מוגדר בחוק, למאגר של עד 100,000 בני אדם שלא מלמד כשלעצמו מידע אישי נוסף עליהם. בפועל, ברוב העסקים הקטנים שאני נתקל בהם יש מידע נוסף על אותם אנשי קשר – במערכת CRM, בחנות, ברשימת לקוחות – ואז כן מדובר במאגר מידע, כפי שהסברתי במדריך המבוא לתיקון 13. כדאי לבדוק את התמונה המלאה של המידע שיש לכם על אנשי הקשר, ולא להסתכל רק על טופס הניוזלטר בבידוד.

אבל ברגע שהמטרה של האיסוף היא לשלוח למישהו דיוור שיווקי, נכנס לתמונה חוק שני, ותיק בהרבה מתיקון 13: סעיף 30א לחוק התקשורת (בזק ושידורים), התשמ"ב-1982 – מה שמכונה בשם העממי "חוק הספאם", ומכאן והלאה במאמר אתייחס אליו כך. החוק הזה לא נובע מתיקון 13 ולא נוצר בגללו, וקיים כבר שנים. הוא חל במקביל לחוק הגנת הפרטיות, ומטפל בשאלה שונה: לא "האם מותר לכם להחזיק את המידע", אלא "האם מותר לכם לשלוח למישהו הודעת שיווק".

מה חוק הגנת הפרטיות דורש מהטופס שלכם

חובת היידוע הספציפית לפי סעיף 11, שמפורטת בהמשך, רלוונטית כאשר המידע נאסף לשם עיבודו במאגר מידע כהגדרתו בחוק – כפי שהסברתי למעלה. גם אם אין לכם מאגר מידע במובן הזה, החלק הבא, על חוק הספאם, עדיין חל.

היידוע – מה חייבים לומר לפני שלוקחים את המייל

לפי סעיף 11, כשאתם אוספים מידע אישי ישירות מאדם – כולל דרך טופס באתר – אתם אמורים ליידע אותו: האם קיימת חובה חוקית למסור את המידע או שהמסירה תלויה ברצון ובהסכמה, ומה תוצאת הסירוב; מה מטרת האיסוף; מי בעל השליטה במאגר ואיך אפשר ליצור איתו קשר; למי המידע עשוי להימסר ולאילו מטרות; והאם יש זכות לעיין במידע ולבקש לתקן אותו. זו רשימה ארוכה יותר ממה שרוב בעלי העסקים מניחים – תיקון 13 לא המציא את סעיף 11, אבל הבהיר והרחיב את הפרטים הנדרשים בו. מדיניות פרטיות עדכנית היא הכרחית, אבל היא לא תמיד מספיקה – טופס הניוזלטר צריך את היידוע שלו, לא רק הפניה למדיניות.

בטופס ניוזלטר, משפט קצר ליד הטופס – למשל "נשתמש בכתובת המייל שלכם כדי לשלוח עדכונים ותכנים, ולא נעביר אותה לצד שלישי" – הוא ניסוח תמציתי שמסביר את מטרת האיסוף בלבד, לא מילוי מלא של כל הפרטים שסעיף 11 דורש. הפנייה לקבלת המידע צריכה להיות מלווה בהודעה הכוללת את כל הפרטים, וגילוי הדעת של הרשות מדגיש שהמידע צריך להיות נגיש וברור, לא קבור בתוך מדיניות פרטיות ארוכה שאף אחד לא קורא. פתרון מעשי: יידוע קצר ליד הטופס, עם הפניה למידע המלא במדיניות הפרטיות – ובלבד שהפרטים נגישים וברורים כחלק מתהליך מסירת המידע, לא רק "קיימים איפשהו באתר". בכל מקרה, ברוב הטפסים הקטנים שאני נתקל בהם, אפילו המשפט הקצר הזה פשוט לא קיים.

ההסכמה – מה השתנה אחרי גילוי הדעת של הרשות

לצד היידוע עומד עקרון ההסכמה. בפברואר 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת בנושא הסכמה: הסכמה צריכה להיות מדעת (המשתמש מבין למה הוא מסכים), מרצון חופשי, וספציפית – ברורה ובלתי-מסומנת-מראש, במיוחד כשמדובר בשימוש שאינו הכרחי לשירות עצמו (כמו הוספה לרשימת דיוור).

ההבחנה המעשית היא בין שני סוגי טפסים. בטופס שמטרתו היחידה היא הרשמה לניוזלטר ("הירשמו לעדכונים שלנו" + שדה מייל + כפתור הרשמה), עצם מילוי הפרטים והלחיצה על הכפתור, אחרי יידוע ברור, יכולה לשמש הסכמה אקטיבית – בלי checkbox נוסף. לעומת זאת, בטופס שירות, רכישה או יצירת קשר, שבו רוצים בנוסף לצרף את הפונה לרשימת דיוור, צריך checkbox נפרד ולא-מסומן מראש: ההרשמה לניוזלטר היא שם שימוש נוסף שאינו הכרחי לשירות המבוקש, ולכן טעונה הסכמה נפרדת משלה. זו לא סעיף חוק שמנוסח בדיוק כך, אלא יישום מעשי של עקרון ההסכמה הספציפית שגילוי הדעת מחזק.

מה חוק הספאם דורש – ומתי הוא בכלל חל

כאשר הניוזלטר שלכם (או כל הודעה אחרת) מהווה "דבר פרסומת" כהגדרתו בחוק – כלומר יש בו תוכן שמטרתו לעודד רכישה או שימוש במוצר/שירות, לא רק מבצעים מפורשים – חלות עליו הוראות חוק הספאם, בין אם נשלח באימייל, SMS או פקס. לא כל הודעה שנקראת "ניוזלטר" היא בהכרח דבר פרסומת – זה תלוי בתוכן ובמטרה שלה, לא רק בכותרת.

הסכמה מפורשת מראש

הכלל הבסיסי: אסור לשלוח דבר פרסומת בלי הסכמה מפורשת מראש של הנמען, בכתב או בהקלטה. יש חריג מוגדר ל"לקוח קיים", ושלושת התנאים שלו צריכים להתקיים יחד: הפרטים נמסרו במסגרת רכישה או משא ומתן לרכישה; הודעתם לנמען שהפרטים שמסר ישמשו למשלוח דברי פרסומת, ונתתם לו הזדמנות לסרב; והפרסומת היא על מוצר או שירות מסוג דומה. זה חריג צר עם שלושה תנאים מצטברים, לא היתר גורף לכל מי שאי-פעם קנה אצלכם משהו.

מה חייב להופיע בכל הודעת דיוור

מעבר לטופס ההרשמה, גם ההודעה השיווקית עצמה כפופה לדרישות. בהודעת אימייל שהיא "דבר פרסומת" יש לציין באופן ברור את שם המפרסם, כתובתו ודרכי יצירת הקשר עמו, ואת זכות הנמען להפסיק את הדיוור ואת הדרך הפשוטה והזמינה לעשות זאת. בנוסף, לפי סעיף 30א(ה)(1)(א) לחוק הספאם, המילה "פרסומת" צריכה להופיע בתחילת שורת הנושא של ההודעה.

מנגנון הסרה – ומה קורה אחרי שמישהו לוחץ עליו

כל הודעת דיוור חייבת לכלול מנגנון סירוב פשוט וזמין – נמען רשאי בכל עת לחזור בו מהסכמתו ולמסור הודעת סירוב, ולאחר מכן יש להפסיק לשלוח לו דברי פרסומת. החוק לא קובע כאן "כמה ימי עסקים" להתארגנות, ולכן כדאי שמנגנון ההסרה ייכנס לתוקף ללא דיחוי – החוק אף מחמיר במיוחד כשנשלחת פרסומת לאחר שכבר ניתנה הודעת סירוב. שימו לב גם: הסרה מרשימת דיוור אינה בהכרח זהה למחיקת המידע לגמרי ממאגר הלקוחות שלכם (שאלה שנשאלת לפי חוק הגנת הפרטיות בנפרד) – אלה שני דברים שונים.

ככה נראה טופס תקין – דוגמת לפני/אחרי

לפני (טופס טיפוסי שאני נתקל בו): טופס יצירת קשר או הזמנה, ולידו checkbox קטן שכבר מסומן: "✓ אני מסכימ/ה לתנאים ולקבלת עדכונים". בלי הסבר, בלי אפשרות לבחור בנפרד, ובלי הבחנה בין ההסכמה לשירות עצמו לבין ההסכמה לדיוור.

אחרי – טופס ניוזלטר עצמאי: משפט קצר שמסביר את מטרת האיסוף ("נשתמש בכתובת שלכם רק כדי לשלוח עדכונים מהאתר, ולא נעביר אותה הלאה"), שדה לכתובת מייל, וכפתור "הרשמה לניוזלטר" ברור. כשזו כל מטרת הטופס, הלחיצה על הכפתור עצמו – אחרי היידוע – יכולה לשמש כהסכמה אקטיבית, בלי checkbox נוסף.

אחרי – טופס שירות/רכישה עם אפשרות הרשמה לניוזלטר: הטופס הרגיל (יצירת קשר, הזמנה) נשאר כפי שהוא, ובנוסף לו checkbox נפרד ולא מסומן מראש: "אני רוצה לקבל גם עדכונים ותכנים במייל", עם קישור למדיניות הפרטיות – נפרד מכל checkbox אחר, כמו אישור תנאי השימוש או ביצוע ההזמנה.

השינוי לא דורש פיתוח מורכב – ברוב הפלטפורמות (וורדפרס, מערכות דיוור כמו Mailchimp או ActiveTrail) זו שאלה של הגדרות טופס, לא קוד חדש.

יש לי כבר רשימת תפוצה ישנה בלי הסכמה מסודרת – מה עכשיו?

זו השאלה שהכי הרבה בעלי עסקים שואלים אותי, ולרוב מתוך חשש מוגזם. קודם כל – לא צריך למחוק את כל הרשימה. בדקו אם אנשים ברשימה עונים על שלושת התנאים המצטברים של חריג הלקוח הקיים שתיארתי למעלה: הם מסרו לכם פרטים במסגרת רכישה או משא ומתן לרכישה, הודעתם להם שהפרטים ישמשו למשלוח דברי פרסומת ונתתם להם הזדמנות לסרב, ומדובר במוצר/שירות מסוג דומה. אם שלושת התנאים מתקיימים – אתן יכולות להמשיך לשלוח להם דיוור על מוצרים/שירותים דומים, בלי הסכמה חדשה.

מי שלא עונה על התנאים האלה – למשל אנשים שהצטרפו ל"רשימת תפוצה כללית" בלי שברור מה בדיוק הם אישרו – לא כדאי פשוט להמשיך לשלוח להם דיוור כרגיל. גם "קמפיין אישור מחדש" (הודעה אחת שמבקשת מהם לאשר שהם רוצים להישאר ברשימה) טעון זהירות: אם אין בסיס חוקי לשלוח לאותם אנשים דבר פרסומת מלכתחילה, גם הודעת האישור מחדש עצמה עשויה להיחשב הודעת דיוור שטעונה בדיקה נפרדת לפי חוק הספאם. הדרך הנכונה היא בדיקה פרטנית – רצוי בליווי מקצועי – של הבסיס המשפטי לפנייה, ולא הנחה אוטומטית ש"שולחים הודעה אחת ורואים מי מגיב" זה בטוח.

רשימת בדיקה: 6 דברים לבדוק בטופס הניוזלטר שלכם עוד השבוע

1. הסכמה אקטיבית – אם יש checkbox להרשמה לניוזלטר, האם הוא מגיע ריק ולא מסומן מראש? (בטופס ניוזלטר עצמאי, לחיצה ברורה על כפתור ההרשמה יכולה להספיק בלי checkbox נוסף)
2. הפרדה – אם הטופס משולב עם שירות, רכישה או יצירת קשר, האם ה-checkbox של הדיוור נפרד מכל checkbox אחר בטופס?
3. יידוע – האם יש משפט קצר שמסביר למה נאספת הכתובת ומה נעשה איתה?
4. מיפוי המידע – האם אתן יודעות בדיוק אילו נתונים הטופס אוסף ולאן הם עוברים (ראו מיפוי המידע שהעסק שלכם אוסף להרחבה)?
5. פרטי שולח – האם הודעות הדיוור שלכם כוללות שם המפרסם, כתובתו ודרכי יצירת קשר, והמילה "פרסומת" בתחילת שורת הנושא?
6. מנגנון הסרה – האם יש קישור הסרה פעיל, ויש לכם תהליך מסודר שמפסיק את הדיוור ללא דיחוי לאחר בקשת הסרה?

סיכום

טופס הרשמה לניוזלטר נראה כמו הפריט הכי פשוט באתר – אבל הוא כפוף לשני חוקים נפרדים. השינוי הנדרש בדרך כלל לא מורכב טכנית: הסכמה אקטיבית (כפתור הרשמה ברור בטופס עצמאי, או checkbox נפרד ולא-מסומן בטופס משולב), משפט יידוע קצר, ומנגנון הסרה שעובד. אם יש לכם רשימה ישנה שלא בטוחים לגביה – עדיף לבדוק את זה עכשיו, בליווי מקצועי אם צריך, מאשר לגלות בדיעבד שהיא לא תקינה.

The post טופס הרשמה לניוזלטר: איך לעדכן אותו לפי תיקון 13 (וגם לפי חוק שני שרוב האתרים שוכחים) appeared first on Mindful Web Nerd.

יש לכם מדיניות פרטיות באתר. עורך דין כתב אותה, או שהורדתם תבנית ועדכנתם אותה. היא שם, בתחתית האתר, מקושרת מהפוטר. ומהרגע הזה, רוב בעלי העסקים שאני פוגש מניחים דבר אחד: "סגרתי את הנושא של פרטיות."

זו בדיוק הטעות שהמאמר הזה עוסק בה. מדיניות פרטיות היא מסמך אחד מתוך מכלול חובות – לא תעודת ביטוח שמכסה את כל השאר. עד סוף המאמר תבינו למה, ותדעו אילו שאלות לשאול כדי לבדוק איפה העסק שלכם באמת עומד.

למה "יש לי מדיניות פרטיות" זו לא תשובה מספיקה

הטעות הזו נפוצה כל כך כי היא הגיונית על פניה. יש מסמך, המסמך פורסם, המסמך "מכסה" את הנושא – אז למה לא?

הבעיה היא שמדיניות פרטיות היא תיאור, לא מנגנון. תפקידה לומר לגולשים בשפה ברורה מה נאסף מהם, לשם מה, למי מועבר, ומה זכויותיהם. זו חובת יידוע חשובה, ובעקבות תיקון 13 לחוק הגנת הפרטיות (שנכנס לתוקף באוגוסט 2025) היא אף התרחבה. אבל מסמך שמתאר תהליך לא דואג לכך שהתהליך המתואר בו אכן קיים, מתועד ומאובטח כנדרש.

זה קצת כמו תעודת כשרות שתלויה בקיר בלי שמישהו בדק את המטבח. המסמך יכול להיות מנוסח בצורה מושלמת – ועדיין לא לשקף שום דבר ממה שקורה בפועל מאחורי הקלעים. אם הצהרתם במדיניות שאתם לא מעבירים מידע לצדדים שלישיים, אבל בפועל השתלתם פיקסל שיווקי שכן מעביר – יש פער. והפער הזה יכול להיות משמעותי לא פחות מהניסוח של המסמך עצמו.

בפרויקטים שאני מלווה אני נתקל בפער הזה כל הזמן, ולרוב לא מתוך כוונה להסתיר משהו. בעל עסק מוסיף טופס יצירת קשר, מחבר תוסף דיוור, מתקין כלי אנליטיקס – כל אחד מהצעדים האלה סביר לגמרי בפני עצמו, ואף אחד מהם לא "מתעדכן" אוטומטית במדיניות שנכתבה שנתיים קודם. התוצאה: מדיניות שמתארת עסק שכבר לא קיים.

חוק הגנת הפרטיות מקנה לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים על הפרות שונות, בהיקף שתלוי בין היתר בסוג ההפרה ובגודל המאגר. אני לא מביא את זה כדי להפחיד – זה פשוט חלק מהתמונה המלאה, וכדאי לדעת שהיא קיימת.

אז מה עוד עמידה בחוק דורשת בפועל?

לפי חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, עסקים שמנהלים מאגרי מידע אישי עשויים להידרש לשורה של פעולות שמדיניות הפרטיות לא יוצרת בעצמה:

• לדעת בדיוק אילו מאגרי מידע יש להם ומה יש בהם
• לתעד את זה במסמך פנימי ייעודי
• לסווג את רמת האבטחה הנדרשת ולעמוד בה
• לבחון מראש את הסיכונים בעבודה עם ספקים חיצוניים שמקבלים גישה למידע, ולהסדיר את זה בהסכם מתאים – ולא רק לחתום עליו, אלא גם לפקח על הספק בפועל
• לתת לעובדים שנחשפים למידע הדרכה על מה מותר ומה אסור

רבות מהדרישות האלה הן חובות משפטיות, בהתאם לסוג המאגר, המידע ונסיבות הפעילות של העסק.

שלושה מושגי יסוד בפרקטיקה של ניהול פרטיות עסקית

צמידות מטרה

מידע שנאסף למטרה אחת לא אמור לשמש למטרה אחרת בלי בסיס מתאים – הסכמה תקפה, או הסמכה אחרת בדין. אם לקוח מסר מייל כדי לקבל חשבונית, אי אפשר לצרף אותו אוטומטית לרשימת תפוצה שיווקית.

מעגל חיי המידע

הדרך לחשוב על מידע לא כ"קובץ שיושב אצלי" אלא כתהליך עם שלבים: איסוף, עיבוד ושימוש, שיתוף עם ספקים, שמירה, ובסוף – מחיקה מסודרת כשהמידע כבר לא נדרש. שאלה כמו "אנחנו עדיין שומרים פרטי לקוחות מ-2018?" היא שאלה על מעגל חיי המידע.

עיצוב לפרטיות (Privacy by Design)

עיקרון שאומר ששיקולי פרטיות נבנים לתוך התהליך מראש, לא מתווספים עליו בדיעבד. בפועל: כשבונים טופס הרשמה, שואלים רק מה באמת צריך – לא כל שדה שאפשר להוסיף.

עוד נושאים שכל עסק צריך להכיר – בקצרה

הנושאים הבאים עמוקים מספיק כדי שכל אחד מהם יצדיק מדריך נפרד. הנה קיצור, ולאן להעמיק בכל אחד.

מיפוי מידע – ההתחלה, לפני כל מסמך

לפני שכותבים מדיניות פרטיות מדויקת, צריך לדעת מה בכלל קורה: אילו סוגי מידע נאספים, מאיפה, לשם מה, מי בעסק ניגש אליהם, ולאיזה ספקים הם עוברים. תהליך המיפוי הזה הוא הבסיס לכל השאר – ובלעדיו, גם מדיניות שנכתבה בקפידה עלולה פשוט לא לשקף את המציאות. כתבתי על זה מדריך מלא: מיפוי מידע אישי בעסק – כולל דוגמאות ותבנית לעבודה.

מסמך הגדרות מאגר – המסמך הפנימי שרוב העסקים לא מכירים

זהו מסמך פנימי חובה לפי תקנות הגנת הפרטיות (אבטחת מידע), שמתעד לכל מאגר מידע בעסק את מטרות השימוש, סוגי המידע, העברות מידע לחו"ל, פעולות עיבוד שנעשות באמצעות גורמים חיצוניים, וסיכוני האבטחה העיקריים. הוא שונה ממדיניות הפרטיות: מדיניות הפרטיות פונה לגולשים, מסמך הגדרות המאגר הוא מסמך עבודה פנימי. כתבתי על זה מדריך מפורט: מסמך הגדרות מאגר – איך בונים אותו נכון – כולל מה חייב להיכלל בו לפי הדין.

תקנות אבטחת מידע – החובות שחלות גם על עסקים קטנים

תקנות הגנת הפרטיות (אבטחת מידע) מבחינות בין מאגר המנוהל בידי יחיד לבין מאגרים ברמת אבטחה בסיסית, בינונית וגבוהה – ולכל קטגוריה חלות דרישות שונות בנוגע לבקרת גישה, הגנה על המערכות והמידע, תיעוד אירועים והדרכת עובדים (כולל הדרכה לפני קבלת גישה, ובחלק מהרמות גם הדרכה תקופתית חוזרת). לעסקים קטנים מסוימים שהמאגר שלהם עומד בהגדרת מאגר מנוהל בידי יחיד יש הקלות בחלק מדרישות האבטחה – ההגדרה כוללת, בין היתר, מגבלה על מספר בעלי ההרשאה, ויש לה גם מספר חריגים. הרחבתי על כך במדריך נפרד: תקנות אבטחת מידע לעסקים קטנים – כולל איך לזהות באיזו קטגוריה אתם נמצאים.

מה מדיניות הפרטיות כן עושה – ולמה היא בכל זאת חשובה

אחרי כל זה, חשוב לא לפספס את הצד השני: מדיניות פרטיות מעודכנת ומדויקת היא כלי מרכזי לעמידה בחובת היידוע לפי החוק. לאחר תיקון 13, חובת היידוע כוללת פרטים רחבים יותר – מטרות האיסוף, פרטי בעל השליטה במאגר המידע ודרכי ההתקשרות עמו, למי יימסר המידע, משמעות אי-מסירתו, וזכויות נושאי המידע ובראשן זכות העיון והזכות לבקש תיקון של מידע אישי. אבל חשוב שהיידוע יינתן גם בהקשר ובמקום שבו נאסף המידע, בהתאם לנסיבות האיסוף – לא רק כעמוד נפרד בפוטר של האתר.

אם אתן רוצות לבדוק במהירות אם המדיניות הקיימת שלכן כוללת את מה שהיא אמורה לכלול, אפשר להריץ אותה ב-PrivacyScore – כלי חינמי שפיתחתי שבודק מדיניות פרטיות ומחזיר ציון ונקודות לשיפור. זה לא תחליף לבדיקה מקצועית של כלל התהליכים בעסק – אבל זו נקודת התחלה טובה למדיניות עצמה.

שאלות שכדאי לשאול על העסק שלכם

• האם ידוע לנו בדיוק אילו סוגי מידע אנחנו אוספים ולשם מה?
• יש לנו מסמך הגדרות מאגר לכל מאגר פעיל בעסק?
• בדקנו לאיזו קטגוריית אבטחה משתייך כל מאגר ומה הדרישות שחלות עליו?
• כל ספק חיצוני שמקבל גישה למידע אישי מוסדר בהסכם מתאים?
• עובדים שנחשפים למידע יודעים מה מותר ומה אסור?
• המדיניות שפורסמה באתר משקפת את מה שבאמת קורה – או שהיא נכתבה לפני שנים ולא עודכנה מאז?

אם רוב התשובות הן "לא בטוח" – אתן לא לבד. רוב העסקים שאני פוגש מתחילים בדיוק משם.

The post מדיניות פרטיות זה לא עמידה בחוק – הנה מה שבאמת נדרש appeared first on Mindful Web Nerd.

לפני שיושבים לכתוב מסמך הגדרות מאגר, כדאי קודם לעבור שלב מיפוי – להבין באמת אילו מערכות בעסק מחזיקות מידע אישי ואיפה הוא נמצא. יש לי מדריך נפרד למיפוי מידע אישי בעסק שמסביר איך עושים את זה בפועל; אם כבר עברתם עליו, המסמך הזה יהיה הרבה יותר קל למלא. לא בטוחים בכלל אם יש לכם "מאגר מידע" שמחייב את כל זה? זה נושא שהרחבתי עליו במבוא לתיקון 13.

במדריך הזה: איך יודעים לאיזו משלוש רמות האבטחה (או להקלה של "מאגר המנוהל בידי יחיד") העסק שלכם שייך – וזה לא תמיד מה שהייתם מניחים, גם אם אתם עסק של אדם אחד – ומה בדיוק חייב להיכתב במסמך הגדרות המאגר, כדי שתוכלו להחליט בעצמכם אם אתם יכולים להכין אותו לבד או שכדאי לכם עזרה.

מה זה מסמך הגדרות מאגר

מסמך הגדרות מאגר הוא מסמך פנימי שבו בעל השליטה במאגר המידע מתעד, במילים פשוטות, מה קורה עם המידע הזה: אילו סוגי מידע נאספים, למה, האם הוא עובר לגורם חיצוני או לחו"ל, מה הסיכונים ואיך מתמודדים איתם. זו לא חובה חדשה – היא קיימת בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, והיא נפרדת לגמרי מתיקון 13 (עליו עוד נדבר בהמשך).

מעבר לצד הרגולטורי, יש למסמך גם ערך ישיר לעסק עצמו: כתיבתו מחייבת אתכם לשבת ולמפות בפועל אילו נתונים אישיים (להבדיל ממידע עסקי גרידא) יש לכם, איפה הם נשמרים, ומה עושים איתם – תרגיל שרוב בעלי העסקים לא עושים עד שמישהו שואל אותם ישירות.

ויש לזה גם צד מעשי מאוד, לא רק תיאורטי – אי-הכנה או אי-עדכון של המסמך עולים כסף בפועל:

מהניסיון שלי, אם מגיעה תלונה או בדיקה מהרשות להגנת הפרטיות, מסמך הגדרות המאגר הוא בדרך כלל אחד הדברים הראשונים שמבקשים לראות – ומי שאין לו כזה מתחיל את הבירור מנקודת פתיחה גרועה.

המאמר הזה מתמקד רק בנושא הזה – איך יודעים לאיזו רמת אבטחה אתם שייכים, ומה בדיוק חייב להיות במסמך בעקבות זה. אם אתם רוצים את התמונה המלאה של כל מה שתקנות אבטחת המידע דורשות מעסק קטן (כולל מיפוי כלי העבודה שלכם, החובות כלפי ספקים חיצוניים ומה עושים אם קרה אירוע אבטחה), יש לי מדריך מקיף יותר בנושא.

קטגוריות האבטחה – ואיך יודעים לאיזו אתם שייכים

התקנות לא מטילות את אותן דרישות על כל מאגר. הן מבחינות בין כמה קטגוריות, בהתאם לסוג המידע, מספר האנשים שעליהם נשמר מידע, מספר בעלי ההרשאה, מטרת המאגר ומאפיינים נוספים. בפועל, זו חלוקה לארבע קטגוריות:

• מאגר המנוהל בידי יחיד.
• רמת אבטחה בסיסית.
• רמת אבטחה בינונית.
• רמת אבטחה גבוהה.

הסיווג חשוב כי בכל קטגוריה חלות חובות שונות – ככל שרמת האבטחה גבוהה יותר, מתווספות דרישות נוספות לגבי תיעוד, הרשאות, בקרה, אירועי אבטחה ואמצעי הגנה.

הסיווג לא תמיד שחור-לבן. לפעמים צריך לבחון כמה מאפיינים יחד ולהפעיל שיקול דעת. לכן חשוב לא רק לבחור קטגוריה, אלא גם לתעד בקצרה איך התקבלה ההחלטה – אילו סוגי מידע נשמרים, על כמה אנשים, מי יכול לגשת למידע ומהי מטרת המאגר. אם הרשות תבקש בעתיד להבין למה סיווגתם את המאגר ברמה מסוימת, כדאי שתוכלו להראות שההחלטה התקבלה אחרי בדיקה מסודרת, לא מתוך הנחה.

מאגר המנוהל בידי יחיד

מאגר שמנהל עצמאי או תאגיד בבעלות יחיד, כאשר רק בעל העסק ולכל היותר שני בעלי הרשאה נוספים רשאים להשתמש במידע – אלא אם מתקיים אחד מאלה:

• המטרה העיקרית של המאגר היא איסוף מידע כדי למסור אותו לאחר כדרך עיסוק (כולל שירותי דיוור ישיר).
• יש במאגר מידע על 10,000 איש ומעלה.
• המאגר כולל מידע שכפוף לחובת סודיות מקצועית לפי דין או אתיקה מקצועית.

האם ספקים חיצוניים נספרים כבעלי הרשאה?

לא תמיד.

מי שקיבל גישה ישירה מכם – למשל מנהל אתר פרילנסר או מנהלת חשבונות עצמאית – עשוי להיספר כבעל הרשאה נוסף, כלומר נכנס לתוך המכסה של "לכל היותר שני בעלי הרשאה נוספים". לעומת זאת, חברה חיצונית שמעבדת עבורכם מידע (כמו ספק אחסון או ספק דיוור), וכן עובדים שקיבלו גישה מכוחה, לא נספרים בהכרח באותה צורה. לכן לא נכון לספור אוטומטית כל ספק חיצוני כ"איש נוסף", וגם לא להתעלם מכולם – צריך לבדוק מי העניק את ההרשאה ובאיזה מעמד הספק פועל.

זה שיש במאגר מידע בעל רגישות מיוחדת לא פוסל אתכם אוטומטית מ"מאגר המנוהל בידי יחיד" – שלושת התנאים למעלה הם מה שקובע, לא סוג המידע בפני עצמו.

לכן, גם עצמאי שעובד לבדו עשוי שלא להיחשב "מאגר המנוהל בידי יחיד" – למשל אם הוא מחזיק מידע הכפוף לחובת סודיות מקצועית, או אם מספר האנשים במאגר עובר את הסף שנקבע.

מי שרוצה את זה מהמקור הרשמי יכול לקרוא את מדריך הרשות לעצמאים ולעסקים קטנים (PDF), שמסביר בדיוק את הקטגוריה הזו והחובות שחלות עליה.

אם אתם עומדים בהגדרה הזו, חלה עליכם קבוצה מצומצמת בהרבה של תקנות – לא כל התקנות מתבטלות, אבל רוב הדרישות המכבידות (כמו נוהל אבטחה מפורט, ביקורות תקופתיות, מנגנון תיעוד גישה) לא חלות. עדיין תצטרכו מסמך הגדרות מאגר, אבל בהיקף הרבה יותר קל לניהול.

אם אתם לא נכנסים לפטור הזה, השלב הבא הוא לזהות לאיזו משלוש רמות האבטחה המאגר שלכם שייך – לפי מבחן מדויק מהתקנות, לא לפי תחושת בטן.

רמה בסיסית

זו ברירת המחדל: כל מאגר מידע שלא נכנס לרשימות של הרמה הבינונית או הגבוהה (ושאינו מאגר המנוהל בידי יחיד) נמצא ברמה הבסיסית. עדיין חלות עליו חובות אבטחה אמיתיות, אבל הן פחות מכבידות.

רמה בינונית

הרמה הזו חלה, בין היתר, על מאגרים שהמטרה העיקרית שלהם היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר לאחרים (להבדיל מדיוור עצמי ללקוחות שלכם), מאגרים בבעלות גוף ציבורי, וכן מאגרים שכוללים "מידע רגיש" מסוגים ספציפיים – כמו מידע על צנעת חייו האישיים של אדם, מידע רפואי או נפשי, מידע גנטי, דעות פוליטיות או אמונה דתית, עבר פלילי, מידע ביומטרי, או מידע כלכלי מפורט (חובות, מצב כלכלי, יכולת החזר).

חשוב לדעת: אם המאגר נכנס לרמה הבינונית בגלל סוג המידע שבו (ולא מסיבה אחרת), יש שני חריגים נפרדים, וכל אחד מהם לבדו מספיק כדי להחזיר את המאגר לרמה הבסיסית. הראשון: אם המידע הרגיש נוגע רק לעובדים או לספקים שלכם וסוגי המידע מוגבלים (בלי מידע על צנעת חייו האישיים, דעות פוליטיות, אמונה דתית או ביומטריה שאינה תמונת פנים), ומשמש רק לניהול העסק. השני, ונפרד לגמרי מהראשון: אם מספר בעלי ההרשאה במאגר לא עולה על עשרה – בלי קשר לסוג המידע. החריגים האלה אינם מבטלים סיבה אחרת שבגללה המאגר עשוי להיחשב ברמה בינונית, למשל אם מטרתו העיקרית היא מסירת מידע לאחר כדרך עיסוק, או אם הוא בבעלות גוף ציבורי.

רמה גבוהה

הרמה הזו חלה ספציפית על מאגרים שהמטרה העיקרית שלהם היא איסוף מידע לצורך מסירתו לאחר, לרבות שירותי דיוור ישיר לאחרים, או שכוללים מידע רגיש מהסוגים שפירטתי למעלה – ובנוסף יש בהם מידע על 100,000 איש ומעלה, או שיש להם יותר מ-100 בעלי הרשאה. מאגר של גוף ציבורי שנכנס לרמה הבינונית רק בגלל שהוא גוף ציבורי (בלי מסירת מידע לאחר ובלי מידע רגיש) לא עולה לרמה הגבוהה בגלל היקף בלבד. רוב העסקים הקטנים לא מגיעים לרמה הגבוהה, אבל אם יש לכם מועדון לקוחות גדול או רשימת תפוצה נרחבת – שווה לבדוק את המספרים בפועל.

דוגמאות מהשטח

חנות ווקומרס קטנה: בעלת חנות בגדים שמוכרת אונליין ומחזיקה כתובות, טלפונים וכתובות משלוח של כ-3,000 לקוחות. אם המאגר אינו עומד בהגדרת "מאגר המנוהל בידי יחיד" (למשל כי יש יותר משני בעלי הרשאה, או שהיא בכל זאת מספקת שירותי דיוור ישיר לאחרים), ובהיעדר מאפיינים אחרים שמכניסים אותו לרמה בינונית – סביר שהוא יהיה ברמת אבטחה בסיסית.

מכון פילאטיס עם תיקי לקוחות: המכון שומר הערות על מגבלות בריאותיות של מתאמנים. מידע רפואי הוא מסוגי המידע שנכללים בתוספת הראשונה לתקנות, ולכן הוא מחייב בדיקה של רמת האבטחה. עם זאת, עצם קיומו של מידע רפואי לא מספיק לבדו כדי לקבוע שהמאגר ברמה בינונית – בין היתר משום שהתקנות כוללות חריגים, למשל במקרים שבהם מספר בעלי ההרשאה אינו עולה על עשרה.

סטודיו עצמאי עם עוזרת אחת: עצמאי שמנהל מאגר לקוחות, ורק הוא ועוזרת אחת רשאים להשתמש בו, עשוי להיכנס להגדרת "מאגר המנוהל בידי יחיד" – כל עוד לא מתקיים אחד משלושת החריגים שבתקנות (מסירת מידע לאחר כדרך עיסוק, 10,000+ אנשים במאגר, או מידע הכפוף לחובת סודיות מקצועית).

הדוגמאות האלה מבוססות על התבנית הכללית של המבחנים בתקנות, לא על מקרים ספציפיים שליוויתי – כל עסק צריך לבדוק את הנתונים המדויקים שלו.

מה חייב להיות רשום במסמך הגדרות המאגר

לפי התקנות, מסמך הגדרות המאגר חייב לכלול לפחות את שבעת הנושאים האלה:

1. תיאור כללי של פעולות איסוף המידע והשימוש בו.
2. תיאור מטרות השימוש במידע.
3. סוגי המידע השונים שכלולים במאגר.
4. פרטים על העברת מאגר המידע, או חלק מהותי ממנו, אל מחוץ לישראל, או על שימוש במידע מחוץ לישראל – מטרת ההעברה, מדינת היעד, אופן ההעברה וזהות הגורם שאליו מועבר המידע.
5. פעולות עיבוד מידע שנעשות באמצעות גורם חיצוני (מחזיק).
6. הסיכונים העיקריים לאבטחת המידע, ואיך מתכוונים להתמודד איתם.
7. שמות של מנהל מאגר המידע, מחזיק המאגר, והממונה על אבטחת המידע – אם מונה כזה.

לגבי סעיף 4 (העברת מאגר המידע, או שימוש בו, מחוץ לישראל): לפני שאתם עונים "לא רלוונטי" בלי לחשוב פעמיים, שווה לבדוק. הרבה מהשירותים שבעלי עסקים קטנים משתמשים בהם כל הזמן – אחסון בענן, מערכת CRM, כלי דיוור, פלטפורמת חנות – מריצים את השרתים שלהם בפועל מחוץ לישראל, גם אם זה לא מורגש ביומיום. אם אתם לא בטוחים איפה הספקים שלכם שומרים את המידע בפועל, זה בדיוק המקום לבדוק, לא להניח.

לגבי סעיף 5 (פעולות עיבוד מידע שנעשות באמצעות גורם חיצוני): "עיבוד מידע" הוא מונח רחב, ולא מוגבל לפעולה אקטיבית כמו עיבוד נתונים או ניתוח. גם אחסון של המידע וגם עצם הצפייה בו נחשבים עיבוד. זה אומר שספק אחסון, מנהלת חשבונות חיצונית שמסתכלת על נתוני הלקוחות שלכם, או תומך IT שיש לו גישה למערכת – כולם עשויים להיחשב "מחזיק" במאגר, גם אם הם לא "עושים" עם המידע שום דבר מעבר לזה שהוא עובר דרכם או נשמר אצלם.

אם המידע שלכם ברמה בסיסית ופשוט יחסית, סביר שתוכלו לכתוב מסמך כזה בעצמכם תוך שעה-שעתיים, בעזרת התבנית הזו כרשימת בדיקה. ככל שהמאגר מורכב יותר, או ברמה בינונית-גבוהה, כדאי שמישהו עם ניסיון יעבור על המסמך יחד אתכם – לא כי הוא "קשה מדי", אלא כי קל לפספס פרט שמשנה את התמונה המשפטית.

מתי ואיך מעדכנים את המסמך

מסמך הגדרות המאגר הוא לא מסמך שכותבים פעם אחת ושוכחים. לפי התקנות, בעל השליטה במאגר המידע חייב לעדכן אותו בכל פעם שיש שינוי משמעותי במה שכתוב בו, ולבחון את הצורך בעדכון לפחות אחת לשנה – עד 31 בדצמבר. כדאי לבדוק גם: האם השתנו סוגי המידע שנאספים, האם התווסף שירות חדש שמעביר מידע לחו"ל, והאם המידע שנשמר עדיין נחוץ, או שהגיע הזמן למחוק חלק ממנו.

מעבר לעדכון עצמו, כדאי לתעד גם את הבדיקה השנתית בפני עצמה – גם כשלא נדרש שום שינוי בפועל. זו לא דרישה פורמלית נפרדת, אבל רישום קצר (תאריך, מה נבדק, ולאיזו מסקנה הגעתם – כולל "אין צורך בעדכון", שזו מסקנה לגיטימית לא פחות מעדכון בפועל) הוא הדרך הפשוטה ביותר להראות, גם לעצמכם וגם לרשות אם תישאלו, שהבדיקה השנתית באמת בוצעה ולא רק "קרתה על הנייר" בדיעבד.

מסמך הגדרות מאגר ותיקון 13 – לא אותו דבר

יש הרבה בלבול סביב זה, אז כדאי להבהיר: החובה להכין מסמך הגדרות מאגר לא נובעת מתיקון 13 לחוק הגנת הפרטיות – היא קיימת כבר משנת 2017, מכוח תקנות אבטחת מידע נפרדות. תיקון 13 (שנכנס לתוקף באוגוסט 2025) עוסק בעיקר בדברים אחרים – הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות, כולל עיצומים כספיים על הפרות של תקנות אבטחת המידע (כמו אלה שהזכרתי למעלה), הגדרות חדשות כמו "מידע בעל רגישות מיוחדת", חובת מינוי ממונה על הגנת הפרטיות במקרים שנקבעו בחוק, ושינויים נוספים.

מבחינה מעשית, ההבחנה הזו פחות קריטית לרוב העסקים הקטנים: החובה להכין את המסמך קיימת בין כה וכה, וכך גם הסיכון אם היא לא מתקיימת. אם אתם רוצים להיערך לתיקון 13 באופן רחב יותר – כי הוא כן משנה דברים אחרים שיכולים להיות רלוונטיים לכם – מדריך המבוא לתיקון 13 הוא נקודת התחלה טובה.

סיכום

מסמך הגדרות מאגר הוא לא מסמך מפחיד כמו שהוא נשמע – זה בעיקר תיעוד מסודר של דברים שכבר אתם יודעים על העסק שלכם: אילו נתונים נאספים, למה, ואיך שומרים עליהם. הצעד הראשון הוא לבדוק אם אתם "מאגר המנוהל בידי יחיד", השני הוא לזהות את רמת האבטחה הנכונה, והשלישי הוא פשוט לכתוב את שבעת הסעיפים שהתקנות דורשות. במאגרים פשוטים אפשר להתמודד עם זה לבד; במאגרים מורכבים יותר, עדיף לעבור על זה עם מישהו שמכיר את התקנות.

The post מסמך הגדרות מאגר ורמת אבטחה: המדריך המעשי לעסק קטן appeared first on Mindful Web Nerd.

תיקון 13 לחוק הגנת הפרטיות חיזק את חובות הציות, התיעוד והאכיפה החלות על עסקים שמעבדים מידע אישי. החוק אמנם לא מחייב מסמך שנקרא במפורש "מיפוי מידע", אבל בפועל קשה מאוד לבדוק אילו חובות חלות על העסק שלכם בלי להבין אילו סוגי מידע הוא מעבד, באילו מערכות, לאילו מטרות, ועם אילו גורמים חיצוניים. במאמר הזה אני מסביר מה זה מיפוי מידע אישי, איפה בעסק קטן בדרך כלל נמצא מידע כזה, ואיך המידע "חי" מרגע שהוא נאסף ועד שהוא נמחק. בסוף המאמר תוכלו לשבת עם דף ריק, או עדיף – עם הטבלה שנמצאת כאן, ולהתחיל למפות בעצמכם.

המאמר הזה הוא חלק מהמדריך המלא להיערכות לתיקון 13.

מה זה בעצם "מיפוי מידע אישי", ולמה זה כל כך מהותי

מיפוי מידע אישי הוא בפשטות תהליך שבו אתם עוברים על העסק שלכם ושואלים שאלה אחת, שוב ושוב: "איזה מידע על בני אדם אני שומר/ת כאן, ולמה?"

השאלה "למה" נוגעת קודם כול לעיקרון שנקרא צמידות מטרה: לא משתמשים במידע למטרה שונה מזו שלשמה הוא נאסף מלכתחילה. לצדו עומד עיקרון מעשי נוסף – צמצום מידע: לבדוק אם אתם אוספים ושומרים יותר מידע ממה שבאמת נדרש למטרות העסק. שני העקרונות קשורים, אבל הם לא אותו דבר – האחד עוסק בשימוש הנכון במידע שכבר יש לכם, והשני בשאלה אם בכלל צריך לאסוף ולהחזיק את כל מה שאתם אוספים. יחד הם דרך פשוטה לצמצם סיכון – פחות מידע מיותר, פחות מה שיכול לדלוף או להיפגע.

בפועל זה נראה כך: אם אתם אוספים פרטי לקוח כדי לשלוח לו דיוור שיווקי, האם אתם באמת צריכים את מספר תעודת הזהות שלו או את תאריך הלידה המדויק? אם המטרה היא רק לדעת שהוא מעל גיל 18, או לסווג אותו לקבוצת גיל לצורכי אנליטיקה, לרוב מספיקה שנת לידה בלבד, או אפילו טווח גילאים כללי – בלי צורך בתאריך מלא. כשעוברים על טבלת המיפוי ושואלים את שאלת ה"למה" הזו לגבי כל שדה מידע, מגלים שאפשר לצמצם הרבה יותר ממה שנדמה בהתחלה.

חשוב להבהיר: הצורך למפות ולשמור על מידע אישי לא נולד עם תיקון 13 – הוא קיים מכוח חוק הגנת הפרטיות עצמו, שרק חוזק וחודד על ידי התיקון. מהניסיון שלי, בעלי עסקים נתקעים בדיוק בנקודה הזו: הם שומעים "צריך למפות" ולא יודעים איפה להתחיל, ובלי מיפוי כל שיחה על עמידה בדרישות החוק – כולל תיקון 13 – נשארת תיאורטית.

יש עוד סיבה מעשית למיפוי: לפי חוק הגנת הפרטיות, אדם רשאי לבקש לעיין במידע האישי שיש לכם עליו, ובמקרים מתאימים גם לבקש לתקן מידע שגוי – ובלי מיפוי מסודר, אתם פשוט לא יכולים להשיב על בקשה כזו כמו שצריך. (חשוב לדייק: החוק הישראלי אינו מעניק כיום זכות כללית למחיקת כל מידע לפי דרישה, בשונה מ"זכות להישכח" רחבה כמו באירופה. כתבתי על זה בהרחבה בזכויות המשתמשים מול העסק שלכם – פוסט נפרד).

איפה בעסק קטן בדרך כלל נמצא מידע אישי

הפתעה נפוצה שאני רואה אצל לקוחות שאני מלווה: יש הרבה יותר מקומות ממה שחשבתם. הנה טבלה שאפשר להעתיק ולמלא בעצמכם, כדוגמה למיפוי ראשוני.

לכל שורה בטבלה, לפני כל שאלה אחרת, שאלו כמה שאלות בסיס: אילו סוגי מידע נאספים כאן בדיוק? האם כל המידע שנאסף באמת הכרחי? כמה זמן המידע נשמר? למי המידע מועבר? האם יש ביניהם מידע בעל רגישות מיוחדת (בריאות, נתוני שכר או פעילות פיננסית, ביומטריה ועוד)? והאם יש שם מידע על קטינים? התשובות לשאלות האלה עוזרות לכם להעריך את רמת הזהירות הנדרשת בכל מקום, ומהוות בסיס טוב לבדיקה מקצועית מדויקת יותר של רמת האבטחה הנדרשת בפועל.

זה לא רשימה סגורה – כל עסק שונה. אבל אם תעברו על השורות האלה אחת אחת, סביר להניח שתגלו לפחות מקום אחד או שניים שלא חשבתם עליהם קודם.

המלצה נוספת שאני נותן ללקוחות שלי: הכינו רשימה נפרדת של כל השירותים הדיגיטליים שהעסק שלכם משתמש בהם – כלי אוטומציה (כמו Make או Zapier), כלי AI, שירותי ענן, תוספים ואינטגרציות. לכל שירות כזה בדקו שאלה אחת פשוטה: האם עובר דרכו מידע אישי של לקוחות, משתמשים או לקוחות פוטנציאליים? הרשימה הזו לרוב חושפת עוד כמה מקומות שהמידע "עובר דרכם" בלי שחשבתם עליהם כ"מקום שמירה" בכלל.

מה זה מחזור החיים של מידע אישי

מידע אישי לא נשאר סטטי – הוא "חי" תקופה מסוימת בעסק שלכם ועובר כמה שלבים. אחת הדרכים הפשוטות והנפוצות לתאר את מחזור החיים הזה היא באמצעות חמישה שלבים עיקריים, שעוזרים לחשוב על זה גם בעסק קטן. חשוב לזכור שזו מסגרת הסבר ולא חלוקה משפטית אחידה ומחייבת – בפועל השלבים יכולים לחפוף זה לזה, להשתנות מעסק לעסק, ואפילו לא להתרחש כולם:

איסוף – הרגע שבו מידע נכנס אליכם, למשל לקוח ממלא טופס יצירת קשר.

שימוש – למה אתם בכלל צריכים את המידע הזה? כדי לענות לפנייה, לשלוח הצעת מחיר, לספק שירות שהוזמן.

אחסון – איפה המידע נשמר בזמן שהוא "מחכה" – בתיבת המייל, במערכת ה-CRM, בקובץ אקסל.

שיתוף – האם המידע עובר לגורם נוסף? חברת סליקה, שירות דיוור, מעצב שמקבל גישה למערכת.

מחיקה – הרגע (שהרבה עסקים פשוט מדלגים עליו) שבו כדאי לבחון אם המידע עדיין נדרש למטרה שלשמה הוא נאסף, ואם לא – לשקול צמצום, מחיקה או הגבלת השימוש בו. ברוב המקרים שראיתי, זה השלב הכי מוזנח – יש נטייה טבעית "לשמור הכול, למקרה שיהיה צריך", וזה בדיוק המקום שבו כדאי להיעצר ולשאול אם באמת צריך.

מחיקת מידע ובחינת מידע עודף: מה החוק דורש בפועל

חשוב להיות מדויקים גם לגבי משך הזמן: אין תאריך תפוגה אחיד שחל על כל סוגי המידע. משך הזמן הסביר תלוי בכמה דברים:

• המטרה שלשמה המידע נאסף – לקוח פעיל, ליד שלא הבשיל, מועמד לעבודה שלא התקבל – לכל אחד "חיי מדף" שונים.
• דרישות חוק אחרות שמחייבות שמירה – למשל דיני מס שיכולים לחייב שמירת מסמכים כספיים לתקופה מסוימת, או ראיות לצורך הליך משפטי צפוי.
• ההסכמה שניתנה – אם לקוח הסכים למסירת פרטים לתקופה או למטרה מוגדרת, זה משפיע גם על מתי צריך לבחון מחדש את השמירה.

מה שכן אפשר לעשות בפועל, בלי צורך בייעוץ משפטי לכל שורה:

1. קבעו מדיניות שמירה כללית – לכל סוג מידע בעסק (לקוחות פעילים, לידים, מועמדים לעבודה) החליטו מראש כמה זמן סביר להחזיק אותו.
2. תזמנו סקירה תקופתית – לפחות פעם בשנה, כפי שתקנות אבטחת המידע דורשות, לעבור על המאגרים ולבדוק אם יש יותר מידע ממה שצריך.
3. טפלו גם בעותקים ובמערכות משנה – לגבי גיבויים, קבעו מחזור שמירה ומחיקה סביר, הגבילו את השימוש בהם לצורכי שחזור בלבד, וודאו שמידע שהוחלט להסיר לא "חוזר" לשימוש שוטף בעקבות שחזור מגיבוי.
4. תעדו את התהליך – מועד הבחינה, ההחלטה שהתקבלה והפעולה שבוצעה, בהיקף המתאים לסוג המידע ולסיכון. זה מסייע להראות שהעסק מקיים תהליך סדור ולא רק החלטות נקודתיות.

מהניסיון שלי, זה בדיוק השלב שהכי הרבה עסקים מדלגים עליו – ויש לזה מחיר: ככל שיש יותר מידע ישן וכבר לא רלוונטי מסתובב במערכות שלכם, יש יותר מה לאבד אם קורה אירוע אבטחה.

איך עושים מיפוי בפועל – צעד אחר צעד

1. פתחו קובץ אחד (אקסל, גיליון גוגל, אפילו דף וורד) שירכז את כל המיפוי. אין צורך בתוכנה ייעודית לשלב הזה.
2. בנו טבלה עם עמודות שעונות על שאלות הבסיס שכבר הצגתי למעלה – ראו תבנית התחלתית מיד בהמשך.
3. עברו על כל אחד מהמקומות מהטבלה שבסעיף הקודם, ומלאו שורה לכל אחד.
4. בדקו מי חיצוני לעסק נוגע במידע – ספקי סליקה, שירותי דיוור, פרילנסרים עם גישה למערכות.
5. שאלו לכל שורה: "האם אני עדיין צריך/ה את זה?" – זה השלב שמוביל ישירות לשאלת המחיקה.
6. שמרו את הקובץ הזה כמסמך חי – מיפוי הוא לא פעולה חד-פעמית. כשמוסיפים כלי חדש או מערכת חדשה, חוזרים ומעדכנים.

תבנית התחלתית למיפוי (להעתיק ולהתאים)

זו תבנית בסיסית ופתוחה, לא רשימה סגורה – היא עונה על שאלות הבסיס שכבר הצגתי למעלה. לעסק עם צרכים ספציפיים (בריאות, מידע פיננסי מפורט, קטינים) כדאי להוסיף עמודות רלוונטיות; המטרה כאן היא לגרום לכם להתחיל, לא מוצר סופי.

מלאו שורה לכל מקור מהטבלה הקודמת (אתר, CRM, דיוור, וואטסאפ, סליקה, ניירת, ספקים, וכל שירות דיגיטלי נוסף שזיהיתם). בסוף התהליך יהיה לכם מסמך אחד – רשימת מיפוי מידע ראשונית – שמרכז את כל מה שמצאתם, ומהווה את הבסיס לכל החלטה הבאה.

השלב הזה, ברוב המקרים, עסק קטן יכול לבצע בעצמו – זה בעיקר עבודה של תשומת לב וזמן, לא ידע משפטי. איפה שכן כדאי ליווי מקצועי זה בשלב הבא: להחליט אם המיפוי מחייב רישום מאגר, מה רמת האבטחה הנדרשת, ואיך לתרגם את הרשימה הראשונית הזו למסמך הגדרות מאגר מחייב.

חשוב להבחין: המיפוי שעשיתם עכשיו הוא לא מסמך הגדרות מאגר, ולא תחליף לו. מסמך הגדרות מאגר הוא מסמך פנימי שתקנות אבטחת המידע מחייבות להכין לגבי כל מאגר מידע הכפוף לתקנות, לרבות מאגר המנוהל בידי יחיד (אתם, כ"בעלי השליטה במאגר המידע" – המונח החוקי לגורם האחראי עליו). בין היתר הוא כולל:

• תיאור פעולות האיסוף והשימוש במידע ומטרותיהן, וסוגי המידע הכלולים במאגר
• העברה של מידע או שימוש בו מחוץ לישראל
• עיבוד באמצעות גורם חיצוני, הנקרא בחוק "מחזיק"
• הסיכונים העיקריים לפגיעה באבטחת המידע ואופן ההתמודדות איתם
• שמות בעלי התפקידים הרלוונטיים: מנהל המאגר, המחזיק והממונה על אבטחת המידע, אם מונה כזה

המיפוי הוא חומר הגלם שממנו מסמך הגדרות המאגר נבנה, אבל הוא אינו מחליף אותו. אם יש לכם מאגר מידע הכפוף לתקנות, מסמך הגדרות המאגר נדרש בנפרד, גם כאשר מדובר במאגר המנוהל בידי יחיד.

עוד טעויות נפוצות במיפוי מידע

• לדלג על "מקומות מובנים מאליהם" – וואטסאפ, קבצי אקסל ישנים, או תיבת מייל אישית שמשמשת גם לעסק.
• לשכוח ספקים חיצוניים – העברת העיבוד לספק חיצוני לא מסירה מהעסק את האחריות לבחירת הספק, להסדרת ההתקשרות ולפיקוח עליה, ולעיתים גם לספק עצמו (כ"מחזיק") יש חובות ישירות לפי החוק.
• לראות במיפוי משימה חד-פעמית – ברגע שמוסיפים כלי חדש, המפה צריכה להתעדכן.

לסיכום – מה הצעד הבא

מיפוי מידע אישי הוא לא הפרויקט המרגש ביותר בעסק, אבל הוא כן הבסיס לכל דבר אחר – החל מהחלטה אם צריך לרשום מאגר, ועד לרמת האבטחה הנדרשת ולמדיניות הפרטיות שתפרסמו באתר. אם תשבו שעה עם התבנית שבמאמר הזה ותמלאו אותה בכנות, יהיה לכם ביד מסמך אחד ברור – רשימת מיפוי מידע ראשונית – וכבר תהיו צעד משמעותי לפני רוב העסקים בגודל שלכם.

אם המיפוי מגלה שיש לכם הרבה מידע בעל רגישות מיוחדת, כמה מערכות, או ספקים חיצוניים מרובים, זה בדרך כלל הסימן שכדאי ליווי מקצועי לשלב הבא – כולל מה כולל שירות ממונה הגנת פרטיות חיצוני.

The post איפה נמצא המידע של העסק שלכם? מדריך למיפוי מידע אישי ומחזור החיים שלו appeared first on Mindful Web Nerd.

מישהו שהזין את הפרטים שלו באתר שלכם, קנה מוצר, או נרשם לניוזלטר – שלח לכם מייל וביקש לדעת מה שמור עליו, לתקן פרט שגוי, או למחוק את המידע. זו בקשת עיון במידע אישי לעסק (או בקשת תיקון/מחיקה מקבילה) – ואם אתם בעלי עסק, מנהלי אתר, או אחראים על שירות לקוחות, זה הזמן לדעת בדיוק מה מצופה מכם.

בקשת עיון במידע אישי לעסק: מי מטפל בה – בעל שליטה מול מחזיק

The post קיבלתם בקשת עיון, תיקון או מחיקה? כך עסק צריך לטפל בה appeared first on Mindful Web Nerd.

DPO, או בעברית ממונה על הגנת הפרטיות (מהמונח באנגלית Data Protection Officer), הוא בעל תפקיד בארגון שמסייע לו לוודא שהמידע האישי שהוא אוסף ומעבד, למשל על לקוחות, עובדים או ספקים, מנוהל בהתאם לדיני הגנת הפרטיות. מאז אוגוסט 2025, חלק מהארגונים בישראל מחויבים לראשונה למנות ממונה כזה. זו אחת החובות המרכזיות שהוסיף תיקון 13 לחוק. אם יש לכם עסק, אתם עומדים/ות בראש ארגון, או נותנות שירות לגוף שמעבד מידע של הרבה אנשים, שווה לבדוק אם החובה הזו חלה עליכן.

בסוף המאמר תדעו לענות על שלוש שאלות: האם אתם בין הגופים שחייבים במינוי, מה הממונה אמור לעשות בפועל, ומה העיצומים הכספיים הקונקרטיים שאתם מסתכנים בהם אם לא פועלים. הרשות להגנת הפרטיות פרסמה גילוי דעת רשמי בנושא מינוי ממונה (יולי 2026), והפוסט מבוסס גם עליו.

מה זה DPO ומתי הפך לחובה בישראל?

ממונה על הגנת הפרטיות (DPO) הוא בעל תפקיד שדואג לכך שהארגון פועל לפי חוק הגנת הפרטיות, ועוזר לו לעמוד בחובותיו – אבל האחריות המשפטית בפועל נשארת אצל הארגון עצמו, לא עוברת אל הממונה. בישראל, החובה למנות ממונה כזה נקבעה בתיקון 13 לחוק הגנת הפרטיות (תשפ"ד-2024), שנכנס לתוקף ב-14 באוגוסט 2025.

לפני התיקון, לא הייתה בחוק הישראלי חובה מפורשת למנות ממונה פרטיות ארגוני. תיקון 13 יצר לראשונה מחויבות מוגדרת – הן לגופים ציבוריים והן למגזר הפרטי שפעילותו כרוכה בסיכון גבוה יותר לפרטיות של אנשים.

חשוב להבהיר כבר עכשיו: לא כל עסק חייב. החובה תלויה בסוג הגוף ובאופי הפעילות שלו. עבור עסק קטן רגיל שמנהל מידע בסיסי על לקוחותיו, החובה בדרך כלל לא תחול – אבל גודל העסק לבדו אינו מכריע, במיוחד אם אתם ספק שמחזיק מידע עבור אחרים, או מפעילים שירות שמבוסס על ניטור או על מידע בעל רגישות מיוחדת.

מי חייב למנות ממונה על הגנת הפרטיות?

החוק מגדיר ארבע קטגוריות של גופים החייבים במינוי:

1. גופים ציבוריים

ככלל, גוף ציבורי כהגדרתו בחוק, וכן מחזיק (ספק חיצוני שמעבד מידע בשבילו) במאגר מידע של גוף ציבורי, חייבים במינוי ממונה על הגנת הפרטיות. הכוונה היא למשרדי ממשלה, רשויות מקומיות, אוניברסיטאות ומוסדות להשכלה גבוהה, קופות חולים, ארגוני עובדים, ועוד גופים הנכללים בצו הגנת הפרטיות (קביעת גופים ציבוריים), תשמ"ו-1986.

גופים ביטחוניים (צבא, שב"כ, משטרה ועוד) – אליהם נקבע הסדר ייעודי נפרד של "מפקח פרטיות פנימי".

2. ארגונים העוסקים בסחר במידע

אם מטרתו העיקרית של מאגר המידע היא איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה – לרבות מתן שירותי דיוור ישיר – ויש במאגר מידע אישי על יותר מ-10,000 בני אדם, בעל השליטה במאגר (הארגון שקובע למה נועד המידע ואיך משתמשים בו) חייב במינוי. שימו לב: התנאי מתייחס למטרת המאגר, לא בהכרח למטרת העסק כולו.

שני התנאים חייבים להתקיים יחד. מאגר הכולל מידע על 8,000 בני אדם בלבד לא עובר, כשלעצמו, את הסף המספרי של הקטגוריה הזו – אבל זה לא אומר בהכרח שאין חובה. כדאי לבדוק אם היא חלה מכוח אחת הקטגוריות האחרות, ואם פיצול הפעילות למספר מאגרים משקף פעילויות נפרדות באמת, ולא ניסיון מלאכותי לרדת מתחת לסף.

3. ארגונים שמנטרים אנשים בשיטתיות ובהיקף ניכר

גוף שניטור שוטף ושיטתי של בני אדם – מעקב אחר התנהגות, מיקום או פעולות – הוא חלק מרכזי מהפעילות שלו, בהיקף ניכר, חייב במינוי. זה נכון גם אם הניטור עצמו הוא לא מה שהגוף מוכר ללקוחות, כל עוד הוא חלק מהותי מאיך שהוא פועל בפועל. בלשון החוק: מדובר בגוף שעיסוקיו העיקריים כוללים פעולות עיבוד מידע, או כרוכים בהן, כאשר טיבן, היקפן או מטרתן מחייבות ניטור כזה. החוק מציין במפורש כדוגמאות: חברת סלולר וספק שירות חיפוש מקוון. גם פלטפורמות פרסום דיגיטלי ושירותים טכנולוגיים מבוססי-מעקב עשויים להיכלל בקטגוריה – אבל לא אוטומטית, רק כשהניטור הוא חלק מרכזי מהעיסוק שלהם ונעשה בהיקף ניכר.

עסק קטן שמשתמש ב-Google Analytics בלבד – ככל הנראה אינו נמנה על הקטגוריה הזו. מי שמפעיל כחלק מעיסוקיו העיקריים מערכת מעקב מסחרית על קהל גדול – עשוי בהחלט להיכלל בקטגוריה, אך זה עדיין מבחן מהותי שבודק גם שיטתיות והיקף, לא רק גודל הקהל.

4. ארגונים שמעבדים מידע בעל רגישות מיוחדת בהיקף ניכר

גוף שעיבוד מידע בעל רגישות מיוחדת הוא חלק מרכזי מהפעילות שלו, בהיקף ניכר, חייב במינוי – גם אם עיבוד המידע הוא לא המוצר או השירות שהגוף מוכר בפועל, אלא רק מרכיב הכרחי בדרך שבה הוא פועל. בלשון החוק: מדובר בגוף שעיסוקיו העיקריים כוללים עיבוד כזה, או כרוכים בו. מידע בעל רגישות מיוחדת כולל, בין היתר: מידע רפואי, מידע פיננסי ונתוני שכר, מידע ביומטרי, מידע גנטי, מידע פלילי, ומידע על עמדות פוליטיות ואמונות דתיות.

החוק מציין כדוגמאות מרכזיות בקטגוריה זו: תאגידים בנקאיים, מבטחים, בתי חולים כלליים וקופות חולים.

גם הספק החיצוני עשוי להיות חייב – ודווקא כאן יש חידוש חשוב

פרט חשוב שרוב הארגונים מתעלמים ממנו: בקטגוריות 3 ו-4, החובה חלה לא רק על בעל השליטה במאגר המידע (הארגון עצמו), אלא גם על "מחזיק" – כלומר ספק חיצוני שמעבד את המידע מטעמו.

זו נקודה שחשוב שתכירו במיוחד אם אתן ספק – למשל חברת SaaS שמנתחת מידע רפואי בשביל כמה קליניקות, או ספקית תוכנה שעובדת עם כמה גופים ציבוריים במקביל. גם אם ההתקשרות הבודדת שלכן נראית שולית, סך הפעילות שלכן מול כל הלקוחות יכול להכניס אתכן לחובה.

אם אתם עסק קטן שנותן שירות לגוף גדול יותר ונוגע במידע שלו – הנהלת חשבונות, תמיכת IT, מוקד שירות – שווה גם להכיר את מה חייבים לעשות לפי תקנות אבטחת המידע, שם הרחבתי על מתי ספק כזה נחשב "מחזיק" ואילו חובות חלות עליו בכל מקרה, גם אם הוא לא חייב במינוי DPO.

מה הממונה עושה בפועל?

גילוי הדעת של הרשות מסביר שהתפקיד של הממונה הוא לוודא שהארגון עומד בדרישות החוק, ולקדם הגנה על הפרטיות גם מעבר למינימום הנדרש – מה שהרשות מכנה "תרבות פרטיות". בפועל, זה מתפרק לכמה תחומי אחריות עיקריים:

סמכות מקצועית וייעוץ להנהלה – ה-DPO הוא מוקד הידע בארגון בנושאי פרטיות, ומייעץ להנהלה בסוגיות הנוגעות לעיבוד מידע.

הכנת תכנית הדרכה ופיקוח על ביצועה – הממונה אחראי להדריך עובדים ולפקח על ביצוע ההדרכה. בארגונים רבים נכון להפוך זאת לתכנית שנתית או תקופתית, כחלק מתכנית הציות הכוללת.

תכנית בקרה שוטפת – ה-DPO מכין ומפעיל מנגנון לבקרה שוטפת על עמידה בהוראות החוק, מדווח להנהלה על ממצאים ומציע תיקונים.

מעקב אחרי אבטחת המידע – הממונה לא מחליף את ממונה אבטחת המידע, ולא אחראי במקומו – אבל צריך לוודא שקיימים מסמך הגדרות מאגר, נהלי אבטחת מידע, ותהליכי עבודה שהתקנות דורשות, ולהתריע אם יש פערים.

טיפול בפניות נושאי מידע – הממונה משמש כתובת מרכזית לפניות בנושאי עיון, תיקון מידע ושאלות על זכויות לפי החוק, ומוודא שהן מטופלות כנדרש.

איש קשר עם הרשות להגנת הפרטיות – פרטי הקשר של ה-DPO חייבים להיות גלויים לציבור, והרשות יכולה לפנות אליו ישירות.

חשוב לדעת: לפי גילוי הדעת, החוק אינו מטיל על הממונה אחריות אישית בגין הפרות של הארגון. זה תפקיד של בקרה, ייעוץ והטמעה – לא תפקיד שמעמיד את הממונה "באש" כשמשהו משתבש.

דרכי ההתקשרות עם הממונה צריכות להיות נגישות לציבור – מדיניות הפרטיות של הארגון היא מקום טבעי ונוח לפרסם אותן, אבל אפשר גם עמוד ייעודי או ערוץ פניות ציבור ברור. רוצים לבדוק אם המדיניות הקיימת שלכם כבר מציינת את זה? אפשר להריץ עליה בדיקה חינמית ב-Privacy Score – כלי שפיתחתי, שנותן ציון ורשימת ממצאים תוך כמה דקות, בלי הרשמה. הכלי יכול לבדוק אם פרטי ההתקשרות מופיעים במדיניות עצמה, אך אינו מחליף בדיקה של חובת המינוי עצמה ושל אופן יישומה בארגון.

מי יכול להיות DPO – ומי לא?

כישורים נדרשים

לפי גילוי הדעת, הממונה נדרש ל:

• ידע מעמיק בדיני הגנת הפרטיות הישראליים – החוק, הפסיקה, התקנות, הנחיות הרשות, ורגולציה מגזרית רלוונטית לתחום הפעילות של הארגון. חקיקה זרה כמו ה-GDPR (תקנת הגנת הפרטיות של האיחוד האירופי) אינה חלק מהדרישה עצמה, אבל היכרות איתה רצויה בארגונים עם פעילות בינלאומית משמעותית.
• הבנה הולמת בטכנולוגיה ואבטחת מידע – ברמה שמאפשרת ביצוע התפקיד בפועל, בלי צורך בתואר אקדמי בתחום.
• היכרות עם תחומי פעילות הארגון – כי הגנת פרטיות תלויה בהבנת ההקשר העסקי.

הרשות מדגישה שהידע הזה נרכש בדרך כלל מניסיון מעשי משמעותי, ורצוי שילווה בהכשרה בסיסית – והמומחיות צריכה להיות ניתנת להוכחה, לא רק הצהרה.

ניגוד עניינים: מבחן מהותי, לא רשימה סגורה

הממונה לא יכול לכהן בתפקיד נוסף שמעמיד אותו בחשש לניגוד עניינים – הוא לא רשאי למלא תפקיד שכולל סמכות לקבוע מדיניות עיבוד מידע, ואף לא להיות כפוף למי שממלא תפקיד כזה. גילוי הדעת מציין תפקידים בכירים שבהם ניגוד עניינים עלול להתקיים לעיתים קרובות: מנהל שיווק, מנהל כספים (CFO), ו-CTO. שני חידודים מהנוסח הסופי שכדאי לדעת:

• ביחס למנהל מערכות המידע – הרשות קובעת שניגוד עניינים מתקיים ככלל, וזה חל גם על עובדים שכפופים לו.
• ביחס לכפל תפקידים עם ממונה אבטחת מידע (CISO) – העמדה רוככה מעט לעומת הטיוטה. במקום קביעה גורפת שהתפקידים לא מתאימים, הנוסח הסופי אומר שהכפל "מעורר שאלות" ומחייב בחינה פרטנית מצד הארגון, עם נימוק מבוסס ותיעוד. כלומר: אפשר לשקול את זה, אבל לא בלי בדיקה רצינית – וכדאי לעשות אותה עם ליווי מקצועי.

ממונה שמשמש במקביל גם כיועץ משפטי של הארגון נדרש לאמצעי הפרדה ברורים בין הכובעים – למשל חתימה נפרדת ותיבת דוא"ל ייעודית לתפקיד ה-DPO.

הממונה צריך לדווח ישירות למנכ"ל, או לגורם הכפוף במישרין למנכ"ל – ועל הארגון לספק לו את התנאים והמשאבים הנדרשים לתפקיד, כולל תקציב, צוות וגישה למידע.

DPO פנימי לעומת חיצוני

החוק מאפשר להעסיק את הממונה כעובד פנימי או כנותן שירותים חיצוני – אבל בכל מקרה, רק אדם ספציפי (לא חברה) יכול להתמנות לתפקיד עצמו, גם אם הוא נעזר בצוות מסייע, ואפילו אם ההתקשרות מתבצעת דרך חברה שהוא מועסק בה. גילוי הדעת הסופי גם ריכך כאן את הניסוח לעומת הטיוטה: במקום לקבוע שהעסקה פנימית היא "אופטימלית", הוא מסתפק בכך ש"על פי רוב קיים יתרון" להעסקת עובד במשרה מלאה, מתוך הנחה שכך מתאפשרת היכרות מעמיקה יותר עם הארגון.

מהניסיון שלי, בעסקים קטנים ובינוניים ליווי חיצוני הוא הפתרון הפרקטי והנפוץ יותר – כל עוד הממונה באמת זמין ומעורב בפועל, ולא רק "שם על נייר".

DPO ≠ ממונה אבטחת מידע

זהו אחד הבלבולים הנפוצים ביותר. ממונה הגנת פרטיות וממונה אבטחת מידע (CISO) הם שני תפקידים שונים – עם דרישות ידע, מיומנות ואחריות שונות. ממונה אבטחת מידע לא בהכרח עומד בדרישת ה"ידע המעמיק בדיני הגנת הפרטיות" שהחוק דורש. כפי שציינתי למעלה, איחוד שני התפקידים לא נפסל אוטומטית – אבל הוא דורש בדיקה פרטנית, נימוק ותיעוד, ולא כדאי להחליט עליו בלי ליווי משפטי או מקצועי.

מה קורה אם לא ממנים?

אי-מינוי ממונה הגנת פרטיות כשיש חובה לכך מהווה הפרה של חוק הגנת הפרטיות, שמולה הרשות להגנת הפרטיות רשאית להטיל עיצום כספי.

נוסחת העיצום: העיצום מחושב לפי מספר בני האדם שמידע עליהם מצוי במאגר – 2 ₪ לכל אדם, או 4 ₪ אם המאגר כולל מידע בעל רגישות מיוחדת. כאשר התוצאה יוצאת נמוכה מ-20,000 ₪ (או מ-40,000 ₪ במאגר עם מידע בעל רגישות מיוחדת), ראש הרשות יכול לקבוע שהעיצום יעמוד על הסכומים האלה – זו סמכות שלו, לא מינימום אוטומטי בכל מקרה.

אי-מינוי עצמו הוא הפרה מנהלית שבגינה ניתן להטיל עיצום כספי, כפי שתיארתי למעלה. לצד זה, תיקון 13 נתן לרשות כלי אכיפה נוספים ביחס להפרות שונות של החוק – אבל אלה אינם תוצאה אוטומטית של כל מקרה של אי-מינוי כשלעצמו.

יתרון למי שכן ממנה: ארגון שחייב במינוי מכוח קטגוריית הניטור השיטתי (3) או קטגוריית המידע בעל הרגישות המיוחדת (4), ומינה בפועל ממונה לפני שנמסרה לו הודעה על כוונת חיוב – זכאי, בכפוף לתנאים הקבועים בדין, להפחתה של 10% מעיצום כספי שיוטל עליו בגין הפרות אחרות של החוק. מינוי הממונה הוא לא רק חובה – במקרים מסוימים הוא גם גורם מפחית סנקציה.

הרשות אף ממליצה לשקול מינוי ממונה וולונטרי גם בארגונים שלא חייבים בכך על פי דין – בעיקר גופים "דו-מהותיים" (גופים פרטיים שממלאים תפקידים ציבוריים) – מכיוון שהמינוי משפר ציות ומחזק את אמון הלקוחות, גם כשאין חובה פורמלית.

לסיכום

תיקון 13 הכניס לחוק הישראלי חובת מינוי ממונה הגנת פרטיות (DPO) – אך לא לכולם. אם אתם גוף ציבורי, עוסקים בסחר מידע, מנטרים אנשים בהיקף ניכר, או מעבדים (או מחזיקים עבור אחרים) מידע בעל רגישות מיוחדת בהיקף ניכר – אתם בין הגופים שהחוק מחייב. אם אתם ספקי שירות לגופים כאלה – בדקו את זה גם מהזווית של ההיקף המצטבר, לא רק מול לקוח בודד.

ה-DPO אינו עוד בעל תפקיד בירוקרטי. הוא הגורם שפועל להבטיח שהארגון עומד בדרישות החוק, שהעובדים יודעים את הכללים, ושפניות של אנשים מטופלות – ודרכי ההתקשרות איתו צריכות להיות נגישות לציבור, בדרך כלל דרך מדיניות הפרטיות של הארגון.

The post מה זה DPO (ממונה הגנת הפרטיות)? מי חייב למנות ומה קורה אם לא appeared first on Mindful Web Nerd.