שאלות נפוצות בנושא פרטיות

הרשות להגנת הפרטיות, שפועלת במשרד המשפטים. היא אחראית על אכיפת החוק, כולל הדרישות של תיקון 13.

מידע רגיש הוא מידע אישי מהותי, כמו מידע רפואי, פרטי אשראי או פרטים ביומטריים. ההבחנה מה נחשב רגיש יכולה להיות מורכבת, ולעיתים קרובות היא דורשת ניתוח מקצועי של המידע שאתם מחזיקים.

בישיבות קצרות וממוקדות: מה משתנה במערכות, מי מקבל גישה, ואילו בקרות חסרות. אנחנו מתרגמים דרישות פרטיות לשפה שה-IT יכול ליישם, בלי לעקוף את הצוות הפנימי.

אנחנו מכינים את ההסכם ואת נספח האבטחה על בסיס מיפוי הספקים, ומעבירים אותם לבדיקת היועץ המשפטי של הארגון. כך ההסכם מדויק גם בצד הטכני וגם בצד המשפטי. הבדיקה המשפטית הסופית נשארת אצל היועץ המשפטי שלכם.

עוברים מערכת-מערכת (CRM, שכר, דיוור, טפסים באתר), רושמים איזה מידע אישי יושב איפה ומי ניגש אליו, ורק אז מחליטים על רישום, הודעה או תיעוד.

ברוב הארגונים יש כמה מאגרים מרכזיים:

• לקוחות: פרטים אישיים ופרטי התקשרות, היסטוריית רכישות ופניות שירות.
• מתעניינים: לידים ואנשים שפנו לעסק ועוד לא הפכו ללקוחות.
• עובדים ומועמדים: מידע על עובדים פעילים, עובדים לשעבר ומועמדים בתהליכי מיון.
• ספקים: ספקים, קבלנים ונותני שירות. מידע על חברה בע״מ לא מוגן ישירות בחוק, אבל מידע על עוסק מורשה או על איש קשר כן.
• מצלמות אבטחה: מאגר רגיש שמחייב הגבלת גישה, תקופת שמירה מוגדרת ויידוע של עובדים ומבקרים.

הצעד הראשון הוא מיפוי מסודר של כל המאגרים ושל סוגי המידע שבהם.

תיקון 13 צמצם את חובת הרישום. היום לא כל מאגר מידע חייב ברישום, אלא רק סוגים מסוימים שנקבעו בצו, למשל מאגרים עם מידע רגיש, מאגרי דיוור ישיר בהיקף רחב ומאגרים של גופים ציבוריים. ההתמקדות עברה למאגרים שהסיכון בהם לפרטיות גבוה.

כדי לדעת אם המאגר שלכם חייב ברישום, צריך לבחון את סוגי המידע שבו ואת ההיקף שלו.

הרשות יכולה להטיל עיצומים כספיים על הפרות, למשל על אי מינוי ממונה כשיש חובה, על אי הודעה על מאגר או על הפרת תקנות אבטחת המידע. הסכום תלוי בסוג ההפרה ובמספר האנשים במאגר, ומתעדכן כל שנה לפי המדד. במקרים מסוימים הרשות יכולה להסתפק בהתראה מינהלית במקום עיצום. בנוסף, אדם שנפגע יכול לתבוע בבית משפט, ובחלק מההפרות גם פיצוי בלי הוכחת נזק.

עוגיות חיוניות שהאתר לא עובד בלעדיהן, כמו סל קניות או התחברות. עוגיות של אנליטיקה, הקלטת התנהגות ופרסום מפעילים רק אחרי שהגולש הסכים.

במקום נגיש מכל עמוד (בדרך כלל בפוטר), וגם ליד כל טופס שבו נאסף מידע אישי.

לרוב כן. מתחילים ממה שקיים, מאתרים פערים (חסימה, סירוב, תיעוד, נגישות) ומתקנים אותם בעצמנו באתר. אם אין מערכת הסכמות, מתקינים ומגדירים באנר שמתאים לארגון שלכם.

כן. לא כל ארגון חייב במינוי, וכתבתי על זה בהרחבה במאמר שקישרתי למעלה. ארגון שלא חייב יכול לקבל את אותו ליווי, בלי המינוי הפורמלי, ולהיות מוכן אם החובה תחול עליו בהמשך.

כן. זה הבסיס. בודקים מה נטען בפועל לפני לחיצה, לא רק מה כתוב בבאנר.

כן. גודל העסק לא קובע לבד. עסק קטן שמנהל מאגר רחב עם מידע אישי או רגיש צריך לעמוד בדרישות התיקון, לשמור על שקיפות מול האנשים שהמידע עליהם נשמר, ולהגן על המידע הזה.

כן. אפשר לנווט במקלדת, לראות פוקוס ברור, ולתפעל עם קורא מסך - אחרת פתרתם פרטיות ושברתם נגישות.

לא. מדיניות הפרטיות מסבירה לגולשים וללקוחות איזה מידע אתם אוספים, באמצעים טכנולוגיים או ידניים, ומה אתם עושים איתו. הסכם DPA הוא חוזה בינכם לבין ספק שמקבל גישה למידע הזה. ארגון צריך את שניהם, ולכן אנחנו מטפלים גם במדיניות פרטיות לאתר כשירות נפרד.

לא. המדיניות חייבת לשקף טפסים, עוגיות, דיוור, סליקה, אנליטיקה וספקים אצלכם בפועל.

תלוי בסוג הגוף, ברגישות המידע ובמספר האנשים. גוף ציבורי וסוחר מידע עם יותר מ-10,000 איש נרשמים. מאגר עם מידע בעל רגישות מיוחדת על יותר מ-100,000 איש מחייב הודעה. השאר לא נרשמים, אבל חייבים בתיעוד ובאבטחה.

מאגר שהיה רשום ממשיך להופיע במרשם, אלא אם תבקשו למחוק אותו. אבל אם הוא עומד בתנאי חובת ההודעה החדשה, הרישום הישן לא פוטר אתכם מההודעה.

אני ממליץ לעדכן את הנהלים פעם בשנה, וגם בכל שינוי משמעותי במבנה הארגוני או במערכות המידע של הארגון.

אין תדירות אחת שמתאימה לכולם. אנחנו קובעים אותה לפי היקף המידע, רמת הרגישות שלו ומספר המערכות והספקים בארגון. בנוסף לביקורת הקבועה, כל שינוי מהותי מקבל בדיקה משלו.

זה תלוי במספר הספקים ובמורכבות שלהם, ולכן אין תשובה אחת. אנחנו מתחילים בספקים שמעבדים את המידע הרגיש ביותר או מקבלים את הגישה הרחבה ביותר, וממשיכים משם. כך הסיכון הגדול נסגר ראשון.

תיקון 13 נכנס לתוקף ב-14.08.2025. המטרה המרכזית שלו היא לחזק את סמכויות האכיפה של הרשות להגנת הפרטיות, ולקבוע חובות דיווח וענישה מחמירות יותר.

בין השאר, התיקון משנה את חובת הרישום של מאגרי מידע ומחייב לדווח על דליפת מידע.

מנהלים את התיעוד, בודקים אם נדרש דיווח לרשות, ומיישרים קו מול ההנהלה והספקים הרלוונטיים - לפי נוהל שהוגדר מראש, לא מאולתר ברגע האמת.

לעיין במידע האישי שנשמר עליו, ואם המידע לא נכון, לא שלם, לא ברור או לא מעודכן, לבקש לתקן או למחוק אותו. המדיניות צריכה להסביר למי פונים ואיך.

האתר הוא נקודת המגע עם המשתמש: טפסים, עוגיות וניוזלטר חייבים לשקף מטרות איסוף, זהות בעל השליטה, והעברות לספקים. מדיניות מעודכנת היא חלק מהיערכות המעשית לתיקון.

זה מסמך פנימי שממפה איך הארגון אוסף מידע אישי, משתמש בו, מנטר אותו ושומר אותו במערכות ובשרתים שלו.

המסמך עוזר לזהות סיכונים מראש, למנוע פגיעה בפרטיות של המשתמשים, ולהיות מוכנים לביקורת של הרשות להגנת הפרטיות. כך גם אפשר להראות שהארגון עומד בדרישות החוק.

לפי תיקון 13, צריך לדווח לרשות להגנת הפרטיות על דליפה או זליגה של מידע ממאגרי הארגון. במצבים מסוימים צריך לדווח גם לאנשים שהמידע שלהם נחשף.

לכן כדאי שבארגון יהיה נוהל מוכן מראש: מי מזהה את האירוע, מי מחליט ומי מדווח.

זמינות לשאלות שעולות בשגרה, ביקורת פרטיות תקופתית, בדיקה של כל מערכת או ספק חדשים לפני שהם מתחילים לעבוד עם המידע, וטיפול מול הרשות כשיש אירוע. חלק גדול מהעבודה הוא בדיקת הסכמי DPA מול ספקים חדשים, כי שם מתחילות רוב ההפתעות.

רשימת ספקים מסודרת, הסכם ונספח אבטחה חתומים מול כל ספק, ותיעוד שמוכן לביקורת של הרשות להגנת הפרטיות או של לקוח מוסדי. כתבתי בהרחבה על מה חייב להופיע בהסכם DPA. מי שרוצה שמישהו ימשיך לעקוב אחרי הספקים לאורך זמן יכול לשלב את זה בשירותי DPO וליווי שוטף.

ממפים אותם כחלק מהסקר. אם הם טוענים לפני הסכמה או מעבירים מידע - מתאימים את הקטגוריה והבאנר, ולעיתים גם את ההסכם מול הספק. אחרי כל הוספת פיקסל, צ'אט או מערכת שיווק סורקים מחדש.

החשיפה כפולה. הרשות להגנת הפרטיות יכולה להטיל קנסות מנהליים, ולפי תיקון 13 הגובה נקבע לפי היקף הארגון וחומרת ההפרה, ויכול להגיע לעשרות ואף מאות אלפי שקלים. במקביל יש סיכון לתביעות אזרחיות וייצוגיות, ובמקרים חמורים גם אחריות אישית של מנהלים.

גם דבר בסיסי כמו אתר בלי מדיניות פרטיות עלול להוביל לקנס, וגם לפגיעה באמון של המשתמשים ובמוניטין של העסק.

עדיף להפריד למאגר רגיש ומאגר לא רגיש כשאפשר. אם אי אפשר - בודקים מקצועית לפני שמחליטים איך לדווח.

אוסף מידע אישי שנשמר במערכות הארגון. גם אם המידע מפוזר בין מערכות שונות, מבחינת החוק זה עדיין יכול להיחשב מאגר אחד.

תיקון 13 הוא העדכון המרכזי לחוק הגנת הפרטיות משנת 1981. הוא מעדכן הגדרות, מחזק אכיפה מנהלית, מצמצם מאוד את חובת רישום המאגרים, ומחייב סוגים מסוימים של גופים למנות DPO.

מסמך שמסביר לגולשים איזה מידע נאסף, למה, עם מי הוא משותף, כמה זמן נשמר ומה הזכויות שלהם. בלי מדיניות ברורה ומעודכנת האתר חשוף לסיכון ולפגיעה באמון.

בדרך כלל ממונה הגנת הפרטיות (DPO) של הארגון, או יועץ פרטיות חיצוני. מה שחשוב הוא שמי שכותב את הנהלים מכיר את הארגון מבפנים: את הספקים, את המערכות ואת הדרך שבה המידע נאסף ונשמר במאגרים.

רק מי שהתפקיד שלו מחייב עבודה ישירה עם המידע. למשל: במאגר הלקוחות, נציגי שירות, מכירות ושיווק. במאגר העובדים, משאבי אנוש, חשב השכר ומנהלים מורשים. במאגר הספקים, רכש וכספים. ובמצלמות האבטחה, הקב״ט או מי שאחראי על הביטחון.

כל עובד צריך להיחשף רק למידע שהוא באמת צריך לעבודה. חשוב גם לקבוע מי מאשר הרשאות, מי בודק אותן ואיך מבטלים הרשאות של עובדים שעזבו או החליפו תפקיד.

הניסוח צריך להתבסס על מיפוי אמיתי של זרימות המידע. בארגונים מורכבים מומלץ ליווי מקצועי של מומחים, ולעיתים מעורבות של ממונה הגנת מידע.

החובה חלה על גופים ציבוריים, על סוחרי מידע עם יותר מ-10,000 איש במאגר, ועל ארגונים שעיסוקם העיקרי כרוך בניטור שיטתי או בעיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. גם כשאין חובה, ליווי חיצוני מומלץ לעסקים עם ספקי שיווק ומאגרים פעילים.

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. היערכות עסקית (מיפוי, מדיניות, DPA ובדיקת חובת DPO) רלוונטית גם אחרי מועד הכניסה לתוקף.

לא בלי לבדוק. ספקי ענן ומערכות גדולות עובדים בדרך כלל עם הסכם סטנדרטי שקשה לשנות. אנחנו בודקים אותו מול המיפוי שלכם: איפה המידע נשמר, מי קבלני המשנה ומה חובת הדיווח באירוע אבטחה. פער שאי אפשר לסגור בהסכם מתועד, ומקבל מענה בנהלים הפנימיים.

כן, ושם יש עוד שכבה לבדוק. העברת מידע אל מחוץ לישראל כפופה לתקנות ייעודיות, ולכן בודקים לאן המידע עובר, מי מעבד אותו שם ואילו התחייבויות הספק נותן. בארגונים גדולים זה חלק מרכזי מהעבודה, כי הרבה מערכות ענן שומרות מידע מחוץ לארץ.