מסמך הגדרות מאגר ורמת אבטחה: המדריך המעשי לעסק קטן

לפני שיושבים לכתוב מסמך הגדרות מאגר, כדאי קודם לעבור שלב מיפוי – להבין באמת אילו מערכות בעסק מחזיקות מידע אישי ואיפה הוא נמצא. יש לי מדריך נפרד למיפוי מידע אישי בעסק שמסביר איך עושים את זה בפועל; אם כבר עברתם עליו, המסמך הזה יהיה הרבה יותר קל למלא. לא בטוחים בכלל אם יש לכם "מאגר מידע" שמחייב את כל זה? זה נושא שהרחבתי עליו במבוא לתיקון 13.

במדריך הזה: איך יודעים לאיזו משלוש רמות האבטחה (או להקלה של "מאגר המנוהל בידי יחיד") העסק שלכם שייך – וזה לא תמיד מה שהייתם מניחים, גם אם אתם עסק של אדם אחד – ומה בדיוק חייב להיכתב במסמך הגדרות המאגר, כדי שתוכלו להחליט בעצמכם אם אתם יכולים להכין אותו לבד או שכדאי לכם עזרה.

מה זה מסמך הגדרות מאגר

מסמך הגדרות מאגר הוא מסמך פנימי שבו בעל השליטה במאגר המידע מתעד, במילים פשוטות, מה קורה עם המידע הזה: אילו סוגי מידע נאספים, למה, האם הוא עובר לגורם חיצוני או לחו"ל, מה הסיכונים ואיך מתמודדים איתם. זו לא חובה חדשה – היא קיימת בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, והיא נפרדת לגמרי מתיקון 13 (עליו עוד נדבר בהמשך).

מעבר לצד הרגולטורי, יש למסמך גם ערך ישיר לעסק עצמו: כתיבתו מחייבת אתכם לשבת ולמפות בפועל אילו נתונים אישיים (להבדיל ממידע עסקי גרידא) יש לכם, איפה הם נשמרים, ומה עושים איתם – תרגיל שרוב בעלי העסקים לא עושים עד שמישהו שואל אותם ישירות.

ויש לזה גם צד מעשי מאוד, לא רק תיאורטי – אי-הכנה או אי-עדכון של המסמך עולים כסף בפועל:

מהניסיון שלי, אם מגיעה תלונה או בדיקה מהרשות להגנת הפרטיות, מסמך הגדרות המאגר הוא בדרך כלל אחד הדברים הראשונים שמבקשים לראות – ומי שאין לו כזה מתחיל את הבירור מנקודת פתיחה גרועה.

המאמר הזה מתמקד רק בנושא הזה – איך יודעים לאיזו רמת אבטחה אתם שייכים, ומה בדיוק חייב להיות במסמך בעקבות זה. אם אתם רוצים את התמונה המלאה של כל מה שתקנות אבטחת המידע דורשות מעסק קטן (כולל מיפוי כלי העבודה שלכם, החובות כלפי ספקים חיצוניים ומה עושים אם קרה אירוע אבטחה), יש לי מדריך מקיף יותר בנושא.

קטגוריות האבטחה – ואיך יודעים לאיזו אתם שייכים

התקנות לא מטילות את אותן דרישות על כל מאגר. הן מבחינות בין כמה קטגוריות, בהתאם לסוג המידע, מספר האנשים שעליהם נשמר מידע, מספר בעלי ההרשאה, מטרת המאגר ומאפיינים נוספים. בפועל, זו חלוקה לארבע קטגוריות:

• מאגר המנוהל בידי יחיד.
• רמת אבטחה בסיסית.
• רמת אבטחה בינונית.
• רמת אבטחה גבוהה.

הסיווג חשוב כי בכל קטגוריה חלות חובות שונות – ככל שרמת האבטחה גבוהה יותר, מתווספות דרישות נוספות לגבי תיעוד, הרשאות, בקרה, אירועי אבטחה ואמצעי הגנה.

הסיווג לא תמיד שחור-לבן. לפעמים צריך לבחון כמה מאפיינים יחד ולהפעיל שיקול דעת. לכן חשוב לא רק לבחור קטגוריה, אלא גם לתעד בקצרה איך התקבלה ההחלטה – אילו סוגי מידע נשמרים, על כמה אנשים, מי יכול לגשת למידע ומהי מטרת המאגר. אם הרשות תבקש בעתיד להבין למה סיווגתם את המאגר ברמה מסוימת, כדאי שתוכלו להראות שההחלטה התקבלה אחרי בדיקה מסודרת, לא מתוך הנחה.

מאגר המנוהל בידי יחיד

מאגר שמנהל עצמאי או תאגיד בבעלות יחיד, כאשר רק בעל העסק ולכל היותר שני בעלי הרשאה נוספים רשאים להשתמש במידע – אלא אם מתקיים אחד מאלה:

• המטרה העיקרית של המאגר היא איסוף מידע כדי למסור אותו לאחר כדרך עיסוק (כולל שירותי דיוור ישיר).
• יש במאגר מידע על 10,000 איש ומעלה.
• המאגר כולל מידע שכפוף לחובת סודיות מקצועית לפי דין או אתיקה מקצועית.

האם ספקים חיצוניים נספרים כבעלי הרשאה?

לא תמיד.

מי שקיבל גישה ישירה מכם – למשל מנהל אתר פרילנסר או מנהלת חשבונות עצמאית – עשוי להיספר כבעל הרשאה נוסף, כלומר נכנס לתוך המכסה של "לכל היותר שני בעלי הרשאה נוספים". לעומת זאת, חברה חיצונית שמעבדת עבורכם מידע (כמו ספק אחסון או ספק דיוור), וכן עובדים שקיבלו גישה מכוחה, לא נספרים בהכרח באותה צורה. לכן לא נכון לספור אוטומטית כל ספק חיצוני כ"איש נוסף", וגם לא להתעלם מכולם – צריך לבדוק מי העניק את ההרשאה ובאיזה מעמד הספק פועל.

זה שיש במאגר מידע בעל רגישות מיוחדת לא פוסל אתכם אוטומטית מ"מאגר המנוהל בידי יחיד" – שלושת התנאים למעלה הם מה שקובע, לא סוג המידע בפני עצמו.

לכן, גם עצמאי שעובד לבדו עשוי שלא להיחשב "מאגר המנוהל בידי יחיד" – למשל אם הוא מחזיק מידע הכפוף לחובת סודיות מקצועית, או אם מספר האנשים במאגר עובר את הסף שנקבע.

מי שרוצה את זה מהמקור הרשמי יכול לקרוא את מדריך הרשות לעצמאים ולעסקים קטנים (PDF), שמסביר בדיוק את הקטגוריה הזו והחובות שחלות עליה.

אם אתם עומדים בהגדרה הזו, חלה עליכם קבוצה מצומצמת בהרבה של תקנות – לא כל התקנות מתבטלות, אבל רוב הדרישות המכבידות (כמו נוהל אבטחה מפורט, ביקורות תקופתיות, מנגנון תיעוד גישה) לא חלות. עדיין תצטרכו מסמך הגדרות מאגר, אבל בהיקף הרבה יותר קל לניהול.

אם אתם לא נכנסים לפטור הזה, השלב הבא הוא לזהות לאיזו משלוש רמות האבטחה המאגר שלכם שייך – לפי מבחן מדויק מהתקנות, לא לפי תחושת בטן.

רמה בסיסית

זו ברירת המחדל: כל מאגר מידע שלא נכנס לרשימות של הרמה הבינונית או הגבוהה (ושאינו מאגר המנוהל בידי יחיד) נמצא ברמה הבסיסית. עדיין חלות עליו חובות אבטחה אמיתיות, אבל הן פחות מכבידות.

רמה בינונית

הרמה הזו חלה, בין היתר, על מאגרים שהמטרה העיקרית שלהם היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר לאחרים (להבדיל מדיוור עצמי ללקוחות שלכם), מאגרים בבעלות גוף ציבורי, וכן מאגרים שכוללים "מידע רגיש" מסוגים ספציפיים – כמו מידע על צנעת חייו האישיים של אדם, מידע רפואי או נפשי, מידע גנטי, דעות פוליטיות או אמונה דתית, עבר פלילי, מידע ביומטרי, או מידע כלכלי מפורט (חובות, מצב כלכלי, יכולת החזר).

חשוב לדעת: אם המאגר נכנס לרמה הבינונית בגלל סוג המידע שבו (ולא מסיבה אחרת), יש שני חריגים נפרדים, וכל אחד מהם לבדו מספיק כדי להחזיר את המאגר לרמה הבסיסית. הראשון: אם המידע הרגיש נוגע רק לעובדים או לספקים שלכם וסוגי המידע מוגבלים (בלי מידע על צנעת חייו האישיים, דעות פוליטיות, אמונה דתית או ביומטריה שאינה תמונת פנים), ומשמש רק לניהול העסק. השני, ונפרד לגמרי מהראשון: אם מספר בעלי ההרשאה במאגר לא עולה על עשרה – בלי קשר לסוג המידע. החריגים האלה אינם מבטלים סיבה אחרת שבגללה המאגר עשוי להיחשב ברמה בינונית, למשל אם מטרתו העיקרית היא מסירת מידע לאחר כדרך עיסוק, או אם הוא בבעלות גוף ציבורי.

רמה גבוהה

הרמה הזו חלה ספציפית על מאגרים שהמטרה העיקרית שלהם היא איסוף מידע לצורך מסירתו לאחר, לרבות שירותי דיוור ישיר לאחרים, או שכוללים מידע רגיש מהסוגים שפירטתי למעלה – ובנוסף יש בהם מידע על 100,000 איש ומעלה, או שיש להם יותר מ-100 בעלי הרשאה. מאגר של גוף ציבורי שנכנס לרמה הבינונית רק בגלל שהוא גוף ציבורי (בלי מסירת מידע לאחר ובלי מידע רגיש) לא עולה לרמה הגבוהה בגלל היקף בלבד. רוב העסקים הקטנים לא מגיעים לרמה הגבוהה, אבל אם יש לכם מועדון לקוחות גדול או רשימת תפוצה נרחבת – שווה לבדוק את המספרים בפועל.

דוגמאות מהשטח

חנות ווקומרס קטנה: בעלת חנות בגדים שמוכרת אונליין ומחזיקה כתובות, טלפונים וכתובות משלוח של כ-3,000 לקוחות. אם המאגר אינו עומד בהגדרת "מאגר המנוהל בידי יחיד" (למשל כי יש יותר משני בעלי הרשאה, או שהיא בכל זאת מספקת שירותי דיוור ישיר לאחרים), ובהיעדר מאפיינים אחרים שמכניסים אותו לרמה בינונית – סביר שהוא יהיה ברמת אבטחה בסיסית.

מכון פילאטיס עם תיקי לקוחות: המכון שומר הערות על מגבלות בריאותיות של מתאמנים. מידע רפואי הוא מסוגי המידע שנכללים בתוספת הראשונה לתקנות, ולכן הוא מחייב בדיקה של רמת האבטחה. עם זאת, עצם קיומו של מידע רפואי לא מספיק לבדו כדי לקבוע שהמאגר ברמה בינונית – בין היתר משום שהתקנות כוללות חריגים, למשל במקרים שבהם מספר בעלי ההרשאה אינו עולה על עשרה.

סטודיו עצמאי עם עוזרת אחת: עצמאי שמנהל מאגר לקוחות, ורק הוא ועוזרת אחת רשאים להשתמש בו, עשוי להיכנס להגדרת "מאגר המנוהל בידי יחיד" – כל עוד לא מתקיים אחד משלושת החריגים שבתקנות (מסירת מידע לאחר כדרך עיסוק, 10,000+ אנשים במאגר, או מידע הכפוף לחובת סודיות מקצועית).

הדוגמאות האלה מבוססות על התבנית הכללית של המבחנים בתקנות, לא על מקרים ספציפיים שליוויתי – כל עסק צריך לבדוק את הנתונים המדויקים שלו.

מה חייב להיות רשום במסמך הגדרות המאגר

לפי התקנות, מסמך הגדרות המאגר חייב לכלול לפחות את שבעת הנושאים האלה:

1. תיאור כללי של פעולות איסוף המידע והשימוש בו.
2. תיאור מטרות השימוש במידע.
3. סוגי המידע השונים שכלולים במאגר.
4. פרטים על העברת מאגר המידע, או חלק מהותי ממנו, אל מחוץ לישראל, או על שימוש במידע מחוץ לישראל – מטרת ההעברה, מדינת היעד, אופן ההעברה וזהות הגורם שאליו מועבר המידע.
5. פעולות עיבוד מידע שנעשות באמצעות גורם חיצוני (מחזיק).
6. הסיכונים העיקריים לאבטחת המידע, ואיך מתכוונים להתמודד איתם.
7. שמות של מנהל מאגר המידע, מחזיק המאגר, והממונה על אבטחת המידע – אם מונה כזה.

לגבי סעיף 4 (העברת מאגר המידע, או שימוש בו, מחוץ לישראל): לפני שאתם עונים "לא רלוונטי" בלי לחשוב פעמיים, שווה לבדוק. הרבה מהשירותים שבעלי עסקים קטנים משתמשים בהם כל הזמן – אחסון בענן, מערכת CRM, כלי דיוור, פלטפורמת חנות – מריצים את השרתים שלהם בפועל מחוץ לישראל, גם אם זה לא מורגש ביומיום. אם אתם לא בטוחים איפה הספקים שלכם שומרים את המידע בפועל, זה בדיוק המקום לבדוק, לא להניח.

לגבי סעיף 5 (פעולות עיבוד מידע שנעשות באמצעות גורם חיצוני): "עיבוד מידע" הוא מונח רחב, ולא מוגבל לפעולה אקטיבית כמו עיבוד נתונים או ניתוח. גם אחסון של המידע וגם עצם הצפייה בו נחשבים עיבוד. זה אומר שספק אחסון, מנהלת חשבונות חיצונית שמסתכלת על נתוני הלקוחות שלכם, או תומך IT שיש לו גישה למערכת – כולם עשויים להיחשב "מחזיק" במאגר, גם אם הם לא "עושים" עם המידע שום דבר מעבר לזה שהוא עובר דרכם או נשמר אצלם.

אם המידע שלכם ברמה בסיסית ופשוט יחסית, סביר שתוכלו לכתוב מסמך כזה בעצמכם תוך שעה-שעתיים, בעזרת התבנית הזו כרשימת בדיקה. ככל שהמאגר מורכב יותר, או ברמה בינונית-גבוהה, כדאי שמישהו עם ניסיון יעבור על המסמך יחד אתכם – לא כי הוא "קשה מדי", אלא כי קל לפספס פרט שמשנה את התמונה המשפטית.

מתי ואיך מעדכנים את המסמך

מסמך הגדרות המאגר הוא לא מסמך שכותבים פעם אחת ושוכחים. לפי התקנות, בעל השליטה במאגר המידע חייב לעדכן אותו בכל פעם שיש שינוי משמעותי במה שכתוב בו, ולבחון את הצורך בעדכון לפחות אחת לשנה – עד 31 בדצמבר. כדאי לבדוק גם: האם השתנו סוגי המידע שנאספים, האם התווסף שירות חדש שמעביר מידע לחו"ל, והאם המידע שנשמר עדיין נחוץ, או שהגיע הזמן למחוק חלק ממנו.

מעבר לעדכון עצמו, כדאי לתעד גם את הבדיקה השנתית בפני עצמה – גם כשלא נדרש שום שינוי בפועל. זו לא דרישה פורמלית נפרדת, אבל רישום קצר (תאריך, מה נבדק, ולאיזו מסקנה הגעתם – כולל "אין צורך בעדכון", שזו מסקנה לגיטימית לא פחות מעדכון בפועל) הוא הדרך הפשוטה ביותר להראות, גם לעצמכם וגם לרשות אם תישאלו, שהבדיקה השנתית באמת בוצעה ולא רק "קרתה על הנייר" בדיעבד.

מסמך הגדרות מאגר ותיקון 13 – לא אותו דבר

יש הרבה בלבול סביב זה, אז כדאי להבהיר: החובה להכין מסמך הגדרות מאגר לא נובעת מתיקון 13 לחוק הגנת הפרטיות – היא קיימת כבר משנת 2017, מכוח תקנות אבטחת מידע נפרדות. תיקון 13 (שנכנס לתוקף באוגוסט 2025) עוסק בעיקר בדברים אחרים – הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות, כולל עיצומים כספיים על הפרות של תקנות אבטחת המידע (כמו אלה שהזכרתי למעלה), הגדרות חדשות כמו "מידע בעל רגישות מיוחדת", חובת מינוי ממונה על הגנת הפרטיות במקרים שנקבעו בחוק, ושינויים נוספים.

מבחינה מעשית, ההבחנה הזו פחות קריטית לרוב העסקים הקטנים: החובה להכין את המסמך קיימת בין כה וכה, וכך גם הסיכון אם היא לא מתקיימת. אם אתם רוצים להיערך לתיקון 13 באופן רחב יותר – כי הוא כן משנה דברים אחרים שיכולים להיות רלוונטיים לכם – מדריך המבוא לתיקון 13 הוא נקודת התחלה טובה.

סיכום

מסמך הגדרות מאגר הוא לא מסמך מפחיד כמו שהוא נשמע – זה בעיקר תיעוד מסודר של דברים שכבר אתם יודעים על העסק שלכם: אילו נתונים נאספים, למה, ואיך שומרים עליהם. הצעד הראשון הוא לבדוק אם אתם "מאגר המנוהל בידי יחיד", השני הוא לזהות את רמת האבטחה הנכונה, והשלישי הוא פשוט לכתוב את שבעת הסעיפים שהתקנות דורשות. במאגרים פשוטים אפשר להתמודד עם זה לבד; במאגרים מורכבים יותר, עדיף לעבור על זה עם מישהו שמכיר את התקנות.