איפה נמצא המידע של העסק שלכם? מדריך למיפוי מידע אישי ומחזור החיים שלו

תיקון 13 לחוק הגנת הפרטיות חיזק את חובות הציות, התיעוד והאכיפה החלות על עסקים שמעבדים מידע אישי. החוק אמנם לא מחייב מסמך שנקרא במפורש "מיפוי מידע", אבל בפועל קשה מאוד לבדוק אילו חובות חלות על העסק שלכם בלי להבין אילו סוגי מידע הוא מעבד, באילו מערכות, לאילו מטרות, ועם אילו גורמים חיצוניים. במאמר הזה אני מסביר מה זה מיפוי מידע אישי, איפה בעסק קטן בדרך כלל נמצא מידע כזה, ואיך המידע "חי" מרגע שהוא נאסף ועד שהוא נמחק. בסוף המאמר תוכלו לשבת עם דף ריק, או עדיף – עם הטבלה שנמצאת כאן, ולהתחיל למפות בעצמכם.

המאמר הזה הוא חלק מהמדריך המלא להיערכות לתיקון 13.

מה זה בעצם "מיפוי מידע אישי", ולמה זה כל כך מהותי

מיפוי מידע אישי הוא בפשטות תהליך שבו אתם עוברים על העסק שלכם ושואלים שאלה אחת, שוב ושוב: "איזה מידע על בני אדם אני שומר/ת כאן, ולמה?"

השאלה "למה" נוגעת קודם כול לעיקרון שנקרא צמידות מטרה: לא משתמשים במידע למטרה שונה מזו שלשמה הוא נאסף מלכתחילה. לצדו עומד עיקרון מעשי נוסף – צמצום מידע: לבדוק אם אתם אוספים ושומרים יותר מידע ממה שבאמת נדרש למטרות העסק. שני העקרונות קשורים, אבל הם לא אותו דבר – האחד עוסק בשימוש הנכון במידע שכבר יש לכם, והשני בשאלה אם בכלל צריך לאסוף ולהחזיק את כל מה שאתם אוספים. יחד הם דרך פשוטה לצמצם סיכון – פחות מידע מיותר, פחות מה שיכול לדלוף או להיפגע.

בפועל זה נראה כך: אם אתם אוספים פרטי לקוח כדי לשלוח לו דיוור שיווקי, האם אתם באמת צריכים את מספר תעודת הזהות שלו או את תאריך הלידה המדויק? אם המטרה היא רק לדעת שהוא מעל גיל 18, או לסווג אותו לקבוצת גיל לצורכי אנליטיקה, לרוב מספיקה שנת לידה בלבד, או אפילו טווח גילאים כללי – בלי צורך בתאריך מלא. כשעוברים על טבלת המיפוי ושואלים את שאלת ה"למה" הזו לגבי כל שדה מידע, מגלים שאפשר לצמצם הרבה יותר ממה שנדמה בהתחלה.

חשוב להבהיר: הצורך למפות ולשמור על מידע אישי לא נולד עם תיקון 13 – הוא קיים מכוח חוק הגנת הפרטיות עצמו, שרק חוזק וחודד על ידי התיקון. מהניסיון שלי, בעלי עסקים נתקעים בדיוק בנקודה הזו: הם שומעים "צריך למפות" ולא יודעים איפה להתחיל, ובלי מיפוי כל שיחה על עמידה בדרישות החוק – כולל תיקון 13 – נשארת תיאורטית.

יש עוד סיבה מעשית למיפוי: לפי חוק הגנת הפרטיות, אדם רשאי לבקש לעיין במידע האישי שיש לכם עליו, ובמקרים מתאימים גם לבקש לתקן מידע שגוי – ובלי מיפוי מסודר, אתם פשוט לא יכולים להשיב על בקשה כזו כמו שצריך. (חשוב לדייק: החוק הישראלי אינו מעניק כיום זכות כללית למחיקת כל מידע לפי דרישה, בשונה מ"זכות להישכח" רחבה כמו באירופה. כתבתי על זה בהרחבה בזכויות המשתמשים מול העסק שלכם – פוסט נפרד).

איפה בעסק קטן בדרך כלל נמצא מידע אישי

הפתעה נפוצה שאני רואה אצל לקוחות שאני מלווה: יש הרבה יותר מקומות ממה שחשבתם. הנה טבלה שאפשר להעתיק ולמלא בעצמכם, כדוגמה למיפוי ראשוני.

לכל שורה בטבלה, לפני כל שאלה אחרת, שאלו כמה שאלות בסיס: אילו סוגי מידע נאספים כאן בדיוק? האם כל המידע שנאסף באמת הכרחי? כמה זמן המידע נשמר? למי המידע מועבר? האם יש ביניהם מידע בעל רגישות מיוחדת (בריאות, נתוני שכר או פעילות פיננסית, ביומטריה ועוד)? והאם יש שם מידע על קטינים? התשובות לשאלות האלה עוזרות לכם להעריך את רמת הזהירות הנדרשת בכל מקום, ומהוות בסיס טוב לבדיקה מקצועית מדויקת יותר של רמת האבטחה הנדרשת בפועל.

איפה	דוגמאות למידע שנמצא שם	שאלות שכדאי לשאול
האתר והחנות האונליין	נתוני אנליטיקס, הזמנות והיסטוריית הזמנות, טפסי יצירת קשר, הרשמה לניוזלטר, פרטי משלוח, שאלונים	האם כלי המעקב/אנליטיקס באתר (כמו גוגל אנליטיקס או פיקסל פרסומי) משתפים נתונים עם צדדים שלישיים?
מערכת ניהול לקוחות (CRM) או קובץ אקסל	שם, טלפון, היסטוריית רכישות, הערות אישיות על לקוחות	מי בעסק ניגש לקובץ? האם הוא מגובה ומאובטח בסיסמה?
כלי דיוור וניוזלטרים	כתובות מייל, סטטיסטיקות פתיחה, תחומי עניין	האם הדיוור נשלח בהתאם לדרישות חוק הספאם, לרבות הסכמה או חריג חוקי מתאים ומנגנון הסרה?
וואטסאפ עסקי ותקשורת יומיומית	מספרי טלפון, שיחות עם לקוחות, לפעמים תמונות או מסמכים	למי יש גישה לטלפון או לחשבון העסקי, ומה קורה אם מישהו עוזב את העסק?
מערכת סליקה וחשבוניות	פרטי תשלום, כתובות למשלוח, פרטי חשבון	האם יש חוזה או הסכם מול ספק הסליקה שמסדיר את השימוש במידע?
ניירת פיזית	חוזים חתומים, קורות חיים, טפסים ישנים במגירה	האם הניירת נסרקה או צולמה בשלב כלשהו? ניירת פיזית בלבד לא בהכרח נחשבת "מאגר מידע" לפי החוק, אבל עדיין עשויות לחול עליה חובות פרטיות וסודיות מכוח הוראות אחרות – ובכל מקרה שווה לדעת איפה היא נשמרת
ספקים וגורמים חיצוניים	מעצבים, מנהלי חשבונות, סוכנויות שיווק שיש להם גישה למידע	האם יש להם הרשאה מוגבלת בזמן ובהיקף?

זה לא רשימה סגורה – כל עסק שונה. אבל אם תעברו על השורות האלה אחת אחת, סביר להניח שתגלו לפחות מקום אחד או שניים שלא חשבתם עליהם קודם.

המלצה נוספת שאני נותן ללקוחות שלי: הכינו רשימה נפרדת של כל השירותים הדיגיטליים שהעסק שלכם משתמש בהם – כלי אוטומציה (כמו Make או Zapier), כלי AI, שירותי ענן, תוספים ואינטגרציות. לכל שירות כזה בדקו שאלה אחת פשוטה: האם עובר דרכו מידע אישי של לקוחות, משתמשים או לקוחות פוטנציאליים? הרשימה הזו לרוב חושפת עוד כמה מקומות שהמידע "עובר דרכם" בלי שחשבתם עליהם כ"מקום שמירה" בכלל.

מה זה מחזור החיים של מידע אישי

מידע אישי לא נשאר סטטי – הוא "חי" תקופה מסוימת בעסק שלכם ועובר כמה שלבים. אחת הדרכים הפשוטות והנפוצות לתאר את מחזור החיים הזה היא באמצעות חמישה שלבים עיקריים, שעוזרים לחשוב על זה גם בעסק קטן. חשוב לזכור שזו מסגרת הסבר ולא חלוקה משפטית אחידה ומחייבת – בפועל השלבים יכולים לחפוף זה לזה, להשתנות מעסק לעסק, ואפילו לא להתרחש כולם:

איסוף – הרגע שבו מידע נכנס אליכם, למשל לקוח ממלא טופס יצירת קשר.

שימוש – למה אתם בכלל צריכים את המידע הזה? כדי לענות לפנייה, לשלוח הצעת מחיר, לספק שירות שהוזמן.

אחסון – איפה המידע נשמר בזמן שהוא "מחכה" – בתיבת המייל, במערכת ה-CRM, בקובץ אקסל.

שיתוף – האם המידע עובר לגורם נוסף? חברת סליקה, שירות דיוור, מעצב שמקבל גישה למערכת.

מחיקה – הרגע (שהרבה עסקים פשוט מדלגים עליו) שבו כדאי לבחון אם המידע עדיין נדרש למטרה שלשמה הוא נאסף, ואם לא – לשקול צמצום, מחיקה או הגבלת השימוש בו. ברוב המקרים שראיתי, זה השלב הכי מוזנח – יש נטייה טבעית "לשמור הכול, למקרה שיהיה צריך", וזה בדיוק המקום שבו כדאי להיעצר ולשאול אם באמת צריך.

מחיקת מידע ובחינת מידע עודף: מה החוק דורש בפועל

חשוב להיות מדויקים גם לגבי משך הזמן: אין תאריך תפוגה אחיד שחל על כל סוגי המידע. משך הזמן הסביר תלוי בכמה דברים:

• המטרה שלשמה המידע נאסף – לקוח פעיל, ליד שלא הבשיל, מועמד לעבודה שלא התקבל – לכל אחד "חיי מדף" שונים.
• דרישות חוק אחרות שמחייבות שמירה – למשל דיני מס שיכולים לחייב שמירת מסמכים כספיים לתקופה מסוימת, או ראיות לצורך הליך משפטי צפוי.
• ההסכמה שניתנה – אם לקוח הסכים למסירת פרטים לתקופה או למטרה מוגדרת, זה משפיע גם על מתי צריך לבחון מחדש את השמירה.

מה שכן אפשר לעשות בפועל, בלי צורך בייעוץ משפטי לכל שורה:

1. קבעו מדיניות שמירה כללית – לכל סוג מידע בעסק (לקוחות פעילים, לידים, מועמדים לעבודה) החליטו מראש כמה זמן סביר להחזיק אותו.
2. תזמנו סקירה תקופתית – לפחות פעם בשנה, כפי שתקנות אבטחת המידע דורשות, לעבור על המאגרים ולבדוק אם יש יותר מידע ממה שצריך.
3. טפלו גם בעותקים ובמערכות משנה – לגבי גיבויים, קבעו מחזור שמירה ומחיקה סביר, הגבילו את השימוש בהם לצורכי שחזור בלבד, וודאו שמידע שהוחלט להסיר לא "חוזר" לשימוש שוטף בעקבות שחזור מגיבוי.
4. תעדו את התהליך – מועד הבחינה, ההחלטה שהתקבלה והפעולה שבוצעה, בהיקף המתאים לסוג המידע ולסיכון. זה מסייע להראות שהעסק מקיים תהליך סדור ולא רק החלטות נקודתיות.

מהניסיון שלי, זה בדיוק השלב שהכי הרבה עסקים מדלגים עליו – ויש לזה מחיר: ככל שיש יותר מידע ישן וכבר לא רלוונטי מסתובב במערכות שלכם, יש יותר מה לאבד אם קורה אירוע אבטחה.

איך עושים מיפוי בפועל – צעד אחר צעד

1. פתחו קובץ אחד (אקסל, גיליון גוגל, אפילו דף וורד) שירכז את כל המיפוי. אין צורך בתוכנה ייעודית לשלב הזה.
2. בנו טבלה עם עמודות שעונות על שאלות הבסיס שכבר הצגתי למעלה – ראו תבנית התחלתית מיד בהמשך.
3. עברו על כל אחד מהמקומות מהטבלה שבסעיף הקודם, ומלאו שורה לכל אחד.
4. בדקו מי חיצוני לעסק נוגע במידע – ספקי סליקה, שירותי דיוור, פרילנסרים עם גישה למערכות.
5. שאלו לכל שורה: "האם אני עדיין צריך/ה את זה?" – זה השלב שמוביל ישירות לשאלת המחיקה.
6. שמרו את הקובץ הזה כמסמך חי – מיפוי הוא לא פעולה חד-פעמית. כשמוסיפים כלי חדש או מערכת חדשה, חוזרים ומעדכנים.

תבנית התחלתית למיפוי (להעתיק ולהתאים)

זו תבנית בסיסית ופתוחה, לא רשימה סגורה – היא עונה על שאלות הבסיס שכבר הצגתי למעלה. לעסק עם צרכים ספציפיים (בריאות, מידע פיננסי מפורט, קטינים) כדאי להוסיף עמודות רלוונטיות; המטרה כאן היא לגרום לכם להתחיל, לא מוצר סופי.

מקור / מערכת	סוג המידע שנאסף	הכרחי? (כן/לא)	כמה זמן נשמר	למי מועבר	רגישות מיוחדת? (כן/לא)	מידע על קטינים? (כן/לא)	הערות / פעולה נדרשת
דוגמה: טופס יצירת קשר באתר	שם, טלפון, מייל, תוכן הפנייה	כן	לא הוגדר עדיין	לא מועבר החוצה	לא	לא	להגדיר מדיניות שמירה ולהוסיף ל-CRM
דוגמה: מערכת CRM חיצונית (בענן)	שם, טלפון, היסטוריית רכישות, הערות על לקוחות	כן	כל עוד הלקוח פעיל, טרם הוגדר מעבר לכך	כן – לספק ה-CRM, כגורם חיצוני המעבד מידע עבור העסק ועשוי להיחשב "מחזיק" לפי החוק	לא	לא	לבדוק הסכם עיבוד מידע מול ספק ה-CRM, ולהגדיר מדיניות מחיקה ללקוחות לא פעילים

מלאו שורה לכל מקור מהטבלה הקודמת (אתר, CRM, דיוור, וואטסאפ, סליקה, ניירת, ספקים, וכל שירות דיגיטלי נוסף שזיהיתם). בסוף התהליך יהיה לכם מסמך אחד – רשימת מיפוי מידע ראשונית – שמרכז את כל מה שמצאתם, ומהווה את הבסיס לכל החלטה הבאה.

השלב הזה, ברוב המקרים, עסק קטן יכול לבצע בעצמו – זה בעיקר עבודה של תשומת לב וזמן, לא ידע משפטי. איפה שכן כדאי ליווי מקצועי זה בשלב הבא: להחליט אם המיפוי מחייב רישום מאגר, מה רמת האבטחה הנדרשת, ואיך לתרגם את הרשימה הראשונית הזו למסמך הגדרות מאגר מחייב.

חשוב להבחין: המיפוי שעשיתם עכשיו הוא לא מסמך הגדרות מאגר, ולא תחליף לו. מסמך הגדרות מאגר הוא מסמך פנימי שתקנות אבטחת המידע מחייבות להכין לגבי כל מאגר מידע הכפוף לתקנות, לרבות מאגר המנוהל בידי יחיד (אתם, כ"בעלי השליטה במאגר המידע" – המונח החוקי לגורם האחראי עליו). בין היתר הוא כולל:

• תיאור פעולות האיסוף והשימוש במידע ומטרותיהן, וסוגי המידע הכלולים במאגר
• העברה של מידע או שימוש בו מחוץ לישראל
• עיבוד באמצעות גורם חיצוני, הנקרא בחוק "מחזיק"
• הסיכונים העיקריים לפגיעה באבטחת המידע ואופן ההתמודדות איתם
• שמות בעלי התפקידים הרלוונטיים: מנהל המאגר, המחזיק והממונה על אבטחת המידע, אם מונה כזה

המיפוי הוא חומר הגלם שממנו מסמך הגדרות המאגר נבנה, אבל הוא אינו מחליף אותו. אם יש לכם מאגר מידע הכפוף לתקנות, מסמך הגדרות המאגר נדרש בנפרד, גם כאשר מדובר במאגר המנוהל בידי יחיד.

עוד טעויות נפוצות במיפוי מידע

• לדלג על "מקומות מובנים מאליהם" – וואטסאפ, קבצי אקסל ישנים, או תיבת מייל אישית שמשמשת גם לעסק.
• לשכוח ספקים חיצוניים – העברת העיבוד לספק חיצוני לא מסירה מהעסק את האחריות לבחירת הספק, להסדרת ההתקשרות ולפיקוח עליה, ולעיתים גם לספק עצמו (כ"מחזיק") יש חובות ישירות לפי החוק.
• לראות במיפוי משימה חד-פעמית – ברגע שמוסיפים כלי חדש, המפה צריכה להתעדכן.

לסיכום – מה הצעד הבא

מיפוי מידע אישי הוא לא הפרויקט המרגש ביותר בעסק, אבל הוא כן הבסיס לכל דבר אחר – החל מהחלטה אם צריך לרשום מאגר, ועד לרמת האבטחה הנדרשת ולמדיניות הפרטיות שתפרסמו באתר. אם תשבו שעה עם התבנית שבמאמר הזה ותמלאו אותה בכנות, יהיה לכם ביד מסמך אחד ברור – רשימת מיפוי מידע ראשונית – וכבר תהיו צעד משמעותי לפני רוב העסקים בגודל שלכם.

אם המיפוי מגלה שיש לכם הרבה מידע בעל רגישות מיוחדת, כמה מערכות, או ספקים חיצוניים מרובים, זה בדרך כלל הסימן שכדאי ליווי מקצועי לשלב הבא – כולל מה כולל שירות ממונה הגנת פרטיות חיצוני.