אתר האינטרנט והפלטפורמה הדיגיטלית

האתר הוא חלון הראווה של העמותה, ודרכו מתבצע גיוס הכספים והקשר עם הציבור. לכן, הוא המקום הראשון שחשוף לביקורת או לאכיפה משפטית מצד המשתמשים או הרשות להגנת הפרטריות

מדיניות פרטיות (Privacy Policy)

כל אתר אינטרנט של עמותה שאוסף מידע (אפילו טופס "צור קשר" או הרשמה לניוזלטר), חייב לכלול מסמך מדיניות פרטיות מותאם אישית.

• חובת היידוע: החוק מחייב ליידע את המשתמש איזה מידע נאסף עליו, מה השימוש שייעשה בו, ולמי המידע מועבר (למשל, העברת פרטי אשראי לחברת הסליקה).
• איסור על העתקות: העתקת מדיניות פרטיות גנרית מאתר אחר היא סיכון משפטי. המסמך חייב לשקף בדיוק את זרימת המידע בעמותה שלכם.

מנגנון איסוף מידע: ידני מול טכנולוגי

החוק מבחין בין שני סוגי איסוף מידע באתר אינטרנט:

טיפ קידום אתר לעמותה: דף מדיניות הפרטיות והטמעת באנר העוגיות משפרים את מדדי האמינות של האתר בעיני גוגל, מה שמקדם את האתר בתוצאות החיפוש.

בתוך העמותה / ארגון (מאגרי מידע, עובדים וניהול הפרטיות)

הניהול הפנימי של המידע בעמותה דורש עמידה ברגולציה קפדנית, במיוחד כשמדובר במידע רגיש.

מה נחשב "מאגר מידע" בעמותה?

כל קובץ דיגיטלי המכיל נתונים על אנשים (שמות, טלפונים, מיילים) נחשב מאגר מידע. זה כולל מערכות CRM, מערכות דיוור, ואפילו קובץ Excel פשוט השמור על שולחן העבודה של עובדי העמותה.

העמותה מחזיקה לרוב מספר מאגרים: מאגר עובדים, מאגר תורמים, מאגר ספקים ומאגר מוטבים (מקבלי השירות).

סיווג המידע וחובת רישום המאגר (לפי תיקון 13)

• מידע בסיסי: שמות, כתובות, טלפונים.
• מידע רגיש: נתונים פיננסיים (היסטוריית תרומות, אשראי), מצב בריאותי/רפואי של מוטבים, נתונים על קטינים, מצב משפחתי וכו'.

מתי חובה לרשום את המאגר ברשם מאגרי המידע?

אם מאגר המידע של העמותה (לא משנה אם הוא רגיש או בסיסי) מכיל מעל 100,000 רשומות, חלה חובת רישום חוקית אצל הרשם. במקרים של מאגרים קטנים יותר אך בעלי רמת רגישות גבוהה (כמו מידע רפואי רחב), יש לבחון את חובת הרישום או החלת רמת אבטחה מוגברת בהתייעצות עם מומחה.

מסמך הגדרות מאגר (חובה בכל סוגי מאגרי המידע)

כל עמותה חייבת להחזיק מסמך הגדרות מאגר מידע. זהו מסמך פנימי המשמש כ"תעודת הזהות" של המידע בעמותה.

להלן חלק מהנושאים שצריכים להיות רשומים במסמך הגדרת מאגר:

• מי אחראי על הניהול השותף של מאגר המידע?
• אילו נתונים נשמרים בו?
• כמה רשומות יש בו?
• באיזה מנגנוני אבטחה משתמשים לצורך אבטחת המידע שבמאגר?
• למי בעמותה יש הרשאת גישה למידע (צמצום הרשאות לפי הצורך בלבד)?
• יש לעדכן את המסמך לפחות פעם בשנה או בכל שינוי שמבוצע במאגר עצמו.

חובת מינוי ממונה הגנת פרטיות (DPO) בעמותה

מתי עמותה מחויבת למנות ממונה הגנת פרטיות (DPO) מוסמך (פנימי או במיקור חוץ)?

1. העמותה מנהלת 5 מאגרי מידע ומעלה המחויבים ברישום.
2. העמותה מעבדת מידע רגיש בהיקף נרחב (למשל: עמותות בריאות, עמותות סיוע לנפגעי תקיפה, או גופים שמחזיקים מידע אישי ורפואי מורכב על עשרות אלפי מוטבים).

הדרכות עובדים והגנת פרטיות במשאבי אנוש

העובדים והמתנדבים הם לעיתים קרובות החוליה החלשה באבטחת המידע.

• חוזי העסקה: יש לשלב סעיפי שמירה על פרטיות ואבטחת מידע בחוזי העבודה ובמכתבי ההתנדבות.
• נוהל צילום ומדיה: חל איסור לצלם עובדים, מתנדבים או מוטבים ולהעלות לרשתות החברתיות של העמותה ללא אישור והחתמה על טופס אישור פרסום המידע בצורה מפורשת.
• חובת דיווח על אירוע אבטחה: במקרה של פריצה, דלף מידע או אובדן גישה למאגר (כגון עובד שעזב ולקח איתו קובץ עם מידע של משתמשים), חלה חובת דיווח מיידית לרשות להגנת הפרטיות.

מחוץ לארגון (ספקי משנה ורכיבי צד ג')

העמותה אינה פועלת בחלל ריק. היא משתמשת בשירותים חיצוניים, והאחריות המשפטית על המידע נשארת שלה, גם אם הספק פישל והרכיבים שלו אינם עומדים בדרישות חוק הגנת הפרטיות.

הסכמי אבטחת מידע ופרטיות (Data Processing Agreement – DPA)

בכל התקשרות עם ספק חיצוני שנחשף למידע של העמותה, חובה לחתום על נספח DPA. הנספח מגדיר מה מותר ואסור לספק לעשות עם המידע, ומטיל עליו את האחריות במקרה של זליגת מידע לגורמים שאינם מורשים.

רכיבים דיגיטליים ותוספי צד ג' באתר

עמותות רבות מטמיעות באתר תוספים חיצוניים כדי להקל על הקשר עם הגולשים:

• כפתורי WhatsApp וצ'אטבוטים (Chatbots): רכיבים אלו אוספים מידע ישיר מהגולש (שם, טלפון, מהות הפנייה).
• החובה המשפטית: יש לוודא מול חברת הצ'אטבוט/התוסף שהם עומדים בתנאי חוק הגנת הפרטיות הישראלי, ולקבל מהם אישור חתום בכתב. בנוסף, יש לציין במדיניות הפרטיות של האתר כי השימוש ברכיבים אלו מעביר מידע לחברות צד ג' (כמו במקרה של רכיב וואטסאפ השייך לחברת Meta).

צ'קליסט מעשי למנהל העמותה

להלן צ'יקליסט מסודר שתוכלו להשתמש בו לצורך מיפוי ראשוני של הסוגיות הדורשות התייחסות מסודרת בהתאם לחוק הגנת הפרטיות:

1. [ ] סריקת מאגרי מידע: מיפוי כל קבצי האקסל ומערכות ה-CRM בעמותה (כמה רשומות יש והאם המידע רגיש).
2. [ ] עדכון האתר בהתאם לדרישות הפרטיות: כתיבת מדיניות פרטיות מותאמת והטמעת באנר עוגיות חוקי.
3. [ ] בדיקת ספקי צד ג' (כולל קבלני משנה): החתמת חברות הסליקה, הדיוור והתוספים על הסכמי DPA.
4. [ ] הגנת פנים (מצד העובדים): החתמת עובדים על סעיפי פרטיות וניסוח מסמך הגדרות מאגר.

מנגנוני פיקוח, אכיפה וניהול סיכונים בעמותה

תיקון 13 משנה את חוקי המשחק לא רק בהגדרות, אלא בעיקר בדרכי האכיפה של המדינה ובאפשרויות התביעה העומדות בפני אנשים פרטיים.

אפשרויות האכיפה: אזרחי מול מנהלי

החשיפה המשפטית של העמותה והמנהלים בה מחולקת לשני ערוצים מקבילים:

• אכיפה מנהלית (מטעם המדינה): הרשות להגנת הפרטיות פועלת כגוף רגולטורי בעל סמכויות חקירה ופיקוח. היא רשאית להטיל סנקציות וקנסות מנהליים משמעותיים על עמותות שאינן עומדות בהוראות החוק (עד 50,000 ש"ח לכל הפרה בודדת, ללא צורך בהוכחת נזק).

• אכיפה אזרחית (תובעים פרטיים): כל אדם (תורם, מתנדב או מוטב) שפרטיותו נפגעה או שמידע לגביו דלף, רשאי להגיש תביעה משפטית אישית או להצטרף לתובענה ייצוגית נגד העמותה.

משמעות מעשית למנהלים: מנהלי עמותות מחויבים להבין כי ניהול לא תקין של מידע אינו רק "עניין טכני", אלא סיכון כלכלי ותדמיתי ישיר שעלול לשתק את פעילות הארגון.

סיכום: הצעדים הראשונים שלכם בניהול הסיכון

חוק הגנת הפרטיות ותיקון 13 דורשים מעמותות ומלכ"רים לעבור למצב של ניהול סיכונים אקטיבי. עמידה בהוראות החוק אינה רק הגנה מפני קנסות או תביעות, אלא מהווה תעודת יושר דיגיטלית המגבירה את אמון התורמים, המתנדבים והציבור הרחב בארגון שלכם.

• הפקת טיוטת מדיניות פרטיות לאתר העמותה
• ניסוח הסכם DPA להחתמת ספקי משנה
• יצירת תבנית פנימית למסמך הגדרות מאגר מידע

חלק רביעי: מילון מונחים שימושי לעמותות ומלכ"רים (הגנת הפרטיות)

בעלים של מאגר מידע (Data Controller)

הגוף שמחליט על מטרות עיבוד המידע האישי וקובע את הדרכים לניהולו.

• בעולם העמותות: העמותה עצמה היא הבעלים של המאגר. גם אם אתם משתמשים בתוכנת CRM חיצונית או שחברה אחרת מנהלת עבורכם את האתר, האחריות המשפטית העליונה על המידע, על מטרותיו ועל אבטחתו נשארת תמיד של הוועד המנהל והנהלת העמותה.

מחזיק במאגר מידע / מעבד (Data Processor)

גוף חיצוני שמחזיק או מעבד את המידע עבור העמותה ובהוראתה, מבלי לקבוע את מטרות המאגר.

• בעולם העמותות: כל ספקי המשנה שלכם. חברות דיוור, פלטפורמות תרומות או משרדי רואי חשבון חיצוניים המנהלים את השכר. גופים אלו מחויבים לחתום מולכם על הסכם DPA.

ממונה הגנת פרטיות (DPO – Data Protection Officer)

איש מקצוע (פנימי או חיצוני) שתפקידו לייעץ להנהלת העמותה, לפקח על עמידה בהוראות חוק הגנת הפרטיות, להוות איש קשר מול הרשות להגנת הפרטיות, ולוודא כי העובדים והמתנדבים מונחים כראוי בכל הנוגע לשמירה על המידע. יש לוודא שהיועץ עבר הסמכה מסודרת ואכן מעודכן בסוגיות המשפטיות העדכניות ביותר.

תיקון 13 לחוק הגנת הפרטיות

תיקון 13 לחוק הגנת הפרטיות הוא העדכון המקיף ביותר שבוצע לחוק הגנת הפרטיות. התיקון נכנס לתוקף באוגוסט 2025, ומטרתו להתאים את החוק הישראלי לעידן הדיגיטלי המודרני. התיקון העניק לרשות להגנת הפרטיות סמכויות פיקוח ואכיפה רחבות בהרבה, הגדיר מחדש את חובות הדיווח על אירועי אבטחה, והחמיר משמעותית את הקנסות המנהליים על גופים מפרי חוק (רלוונטי גם למלכ"רים ועמותות).

הסכם עיבוד נתונים (DPA – Data Processing Agreement)

נספח משפטי חובה המצורף לחוזה ההתקשרות בין העמותה לבין ספק חיצוני (המחזיק). המסמך מגדיר את גבולות הגזרה של הספק, אוסר עליו לעשות שימוש במידע לצרכיו האישיים (כמו שיווק או מכירה לגורם אחר), ומחייב אותו לעמוד בסטנדרטים של אבטחת מידע.

מסמך הגדרות מאגר מידע

מסמך ארגוני פנימי (חובה על פי חוק) המתאר את מאגר המידע של הארגון. המסמך כולל את מטרות המאגר, סוגי המידע הנשמרים בו (למשל: נתונים רפואיים, כרטיסי אשראי), רשימת בעלי הרשאות הגישה, והאם המידע מועבר לגורמים מחוץ לישראל. יש לעדכן מסמך זה אחת לשנה. מסמך הגדרות למאגר מידע הינו מסמך חשוב וקריטי בעת מצב של חשיפה משפטית, בחינת המאגר ע"י הרשות להגנת הפרטיות או זליגת מידע למשתמשים שאינם מורשים.

נספחים וכלים מעשיים לעמותה

טבלת ריכוז: רמות אבטחה וחובות רגולטוריות לפי היקף המאגר

כדי שלא תלכו לאיבוד, ריכזנו את חובות העמותה בהתאם למספר הרשומות ורמת רגישות המידע:

 צ'ק-ליסט מנהלים: 10 צעדים מיידיים ליישום בעמותה

הדפיסו ועברו שלב-שלב כדי לוודא שהעמותה שלכם מוגנת מפני קנסות וסנקציות של תיקון 13:

• [ ] מיפוי דיגיטלי: רישום מדויק של כל המקומות בהם נשמר מידע (מערכת תורמים, אקסלים, מחשבים של רכזים)
• [ ] הכנת מסמך הגדרות: כתיבת "תעודת זהות" פנימית לכל מאגר מידע פעיל בעמותה.
• [ ] חתימה על הסכמי DPA: מעבר על כל ספקי המשנה (סליקה, דיוור, ניהול אתר) והחתמתם על נספח אבטחת מידע.
• [ ] הסדרת האתר: כתיבת מדיניות פרטיות מעודכנת והטמעת באנר עוגיות (Cookies) חוקי.
• [ ] בדיקת תוספי צד ג':  קבלת אישור בכתב מחברות הצ'אטבוטים או תוספי הוואטסאפ המותקנים באתר.
• [ ] החתמת עובדים ומתנדבים: שילוב סעיפי שמירה על פרטיות והגבלת שימוש בוואטסאפ להעברת מידע רגיש.
• [ ] אישורי מדיה וצילום: החתמת מתנדבים ומוטבים על טפסי הסכמה לפני פרסום תמונותיהם בנכסי העמותה.
• [ ] מנגנון הרשאות: חסימת גישה למידע רגיש עבור עובדים או מתנדבים שאינם זקוקים לו לצורך עבודתם הישירה.
• [ ] נוהל אירועי אבטחה: הגדרת שרשרת דיווח פנימית וחיצונית במקרה של דלף מידע או פריצה.
• [ ] בחינת מינוי DPO: התייעצות עם מומחה מוסמך לבדיקת החובה למנות ממונה הגנת פרטיות חיצוני או פנימי לארגון.