ניהול מאגרי מידע הכוללים נתוני לקוחות, מתעניינים, עובדים וספקים אינו מהלך טכני בלבד, אלא חלק מרכזי באסטרטגיה העסקית של כל חברה. מאגר מידע מספק יתרונות תפעוליים ושיווקיים משמעותיים, אך במקביל חושף את הארגון לסיכונים רגולטוריים, סיכוני אבטחת מידע ולסכנת זליגת נתונים רגישים.
על פי חוק הגנת הפרטיות ותקנות אבטחת המידע, כל מאגר מחייב ניהול, תיעוד ובקרה ברמה גבוהה, בהתאם לאופי המידע שהוא מכיל. הדרישות כוללות מיפוי נתונים, בקרת הרשאות, הגדרת מטרות השימוש והטמעת אמצעי אבטחת מידע מתאימים.
אי־עמידה בדרישות עלולה לגרור עיצומים כספיים משמעותיים, אחריות אישית של נושאי משרה, פגיעה במוניטין ואף איום ממשי על יציבות החברה.
מהו מאגר מידע על פי החוק?
חוק הגנת הפרטיות, סעיף 7, מגדיר מאגר מידע כ–"אוסף נתונים על בני אדם, המוחזק במחשב ואשר מיועד לעיבוד ממוחשב". מדובר בהגדרה רחבה מאוד, כך שבפועל כמעט כל ארגון שמנהל מידע דיגיטלי על אנשים – מחזיק במאגר מידע כלשהו.
דוגמאות למאגרי מידע שונים ומגוונים:
- קובץ אקסל שבו נשמרת רשימת לקוחות או מתעניינים שפנו אלינו דרך האתר או בכלל.
- מערכת CRM המשמשת לניהול תהליכי מכירה ושיווק
- מערכות ממוחשבות הכוללות הקלטות שיחות עם מתעניינים או לקוחות.
- מערכות אחסון הכוללות סרטוני וידאו שנשמרו ממצלמות אבטחה.
- מערכת משאבי אנוש (HR) המאגדת נתוני עובדים או מועמדים לעבודה.
מה נחשב ל"מידע אישי"? במאגר מידע
מידע אישי הוא כל פרט מזהה של אדם המאפשר לזהותו באופן ישיר, לדוגמה:
נתוני זיהוי בסיסיים שם מלא, מספר תעודת זהות, כתובת, טלפון, דוא"ל.
נתוני שימוש בעולם הדיגיטלי: כתובת IP , נתוני גלישה, נתוני מיקום.
החוק מפריד בין ניהול מאגר מידע הכולל מידע אישי למאגר מידע הכל מידע בעל רגישות מיוחדת (מידע רגיש).
להלן דוגמה לנושאים שעלולים לכלול מידע רגיש:
נתונים פיננסיים: פרטי חשבון בנק, פרטי כרטיס אשראי, היסטוריית רכישות '.
נתונים רגישים (כהגדרתם בחוק): מצב בריאותי, נתונים גנטיים, השקפות דתיות או פוליטיות, עבר פלילי, נתוני מיקום בזמן אמת ועוד.
יש לקחת בחשבון שגם אם לעיתים המידע נראה פשוט ובסיסי, יתכן מצב של מידע רגיש המציג בצורה מצומצמת את תכונותיו או פרטיו האישיים של המשתמש. עצם היכולת לזהות אדם באמצעות אותו מידע הופכת אותו למידע אישי.
חובת תיעוד המידע אודות הנתונים המופיעים במאגר מידע
על פי תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), לכל בעל שליטה במאגר מידע קיימת חובה משפטית ורגולטורית להכין ולנהל מסמך הגדרות מאגר מידע מקיף הכולל מידע ממוקד המותאם אישית לאופי המאגר ולפרטים המופיעים בו. מסמך זה הוא הרבה מעבר לטופס ביורוקרטי; הוא מהווה את הבסיס האסטרטגי והמשפטי לכל מערך הגנת הפרטיות בארגון.
מעבר לכך שמסמך ההגדרות הינו מסמך עסקי ממוקד ומתומצת, ניתן לראות בו גם כמסמך המקטין את הסיכון להיחשף לסוגיה משפטית או לקנסות מנהלים כבדים.
מסמך הגדרות מאגר מידע, חייב לכלול מידע רחב אודות מאגר המידע, לדוגמה:
- מיפוי מפורט של נתוני המאגר: המסמך מספק תמונת מצב מדויקת של כל נתון אישי המוחזק בארגון, כולל סיווגו, למשל: מידע אישי מול מידע בעל רגישות מיוחדת, מיקום אחסונו של המידע, אופן אבטחת המידע ועוד.
- הגדרת השימוש המותר במידע: מסמך הגדרות המאגר מגדיר באופן ברור את מטרות העיבוד הלגיטימיות של המידע המופיע במאגר. הגדרה זו חיונית כדי למנוע שימוש אינו תקין או זליגת מידע שאינה תואמת את ההסכמה שניתנה על ידי נושא המידע – ובכך להפחית חשיפה לתביעות או לקנסות מנהליים.
- תיעוד חשיפת המידע וכניסת המשתמשים אליו : במקרה של אירוע אבטחת מידע או ביקורת רגולטורית ע"י הרשות להגנת הפרטיות, מסמך הגדרות תקין, מאושר ועדכני הוא המסמך הראשון שהחברה תצטרך להציג לרשות להגנת הפרטיות. הוא משמש כהוכחה לניהול סיכונים, מתן הרשאות למשתמשים, ומסייע בהגנה משפטית בעת חשיפת הארגון.
- בסיס לבקרת הרשאות וגישה: המסמך מציג בבירור למי שיש הרשאות גישה למאגר, מי מחזיק במידע הקיים בו ומהן נקודות התורפה הפוטנציאליות. נושא ההרשאות והגישה למאגר הינו נושא חשוב וקריטי שלרוב מהווה הגורם המרכזי לפריצה למאגר ולחשיפת המידע לגורמים שאינם מורשים.
דוגמאות לחשיפות נפוצות בניהול מאגרי מידע:
- עובד שסיים את עבודתו בחברה אך הרשאות הגישה שלו לא בוטלו, מה שאיפשר לו להמשיך ולהיכנס למאגר המידע גם לאחר סיום העסקתו. מצב זה יוצר סיכון ממשי לזליגת מידע ואף לאחריות משפטית של הארגון.
- הענקת הרשאות ניהול מלאות למשתמשים שאינם זקוקים להן בפועל, במקום להסתפק בגישה מצומצמת וחלקית בלבד. הרחבת הרשאות שאינה נחוצה חושפת את המאגר לשימוש בלתי מורשה, טעויות אנוש או ניצול לרעה של המידע.
כל כמה זמן צריך לעדכון את מסמך הגדרות המאגר?
בקרב בעלי עסקים ונושאי משרה חוזרת על עצמה טעות קריטית: ההתייחסות למסמך הגדרות המאגר כאל מסמך חד־פעמי. לא אחת בעלי עסקים אינם מודעים לכך שהחוק מחייב עדכון שנתי, או שהם נמנעים מהשקעת משאבים כספיים בבדיקה ובהתאמה מחודשת של המסמך.
חשוב להדגיש כי מסמך ההגדרות הינו מסמך המחייב בחינה מחודשת אחת לשנה, וכן עדכון מיידי עם כל שינוי מהותי בפעילות הארגון, לדוגמה:
- מתן הרשאות חדשות לספקים או לעובדים של הארגון.
- מעבר למערכת CRM או מערכת לידים חדשה שלא נבדקה בעבר.
- התקשרות עם ספקים חיצונים חדשים שקיבלו גישה למידע.
- הרחבת היקף המידע שנאסף ונשמר במאגר המידע.
- שינוי מטרות המידע המופיע במאגר.
- שינוי מבנה החברה (כגון מכירת החברה, פיצול או התמזגות עם חברות אחרות).
- כניסה לפעילות עסקית ברמה בינלאומית והעברת המידע המופיע במאגר לחו"ל.
מיפוי מאגר מידע
השלב הראשון בהכנת מסמך הגדרות למאגר, זה מיפוי הנתונים המופיעים במאגר המידע. לרוב, התהליך כולל מיפוי נתונים מקיף כולל קבלת מידע מאיש אבטחת המידע או המנהלים הבכירים בארגון.
כחלק מתהליך המיפוי, יש לזהות את כל האפשרויות והסיכונים לזליגת המידע למשתמשים שאינם מורשים.
להלן מספר דוגמאות מרכזיות של מיפוי נתונים במאגר מידע סטנדרטי:
- בחינת כל אפשרויות איסוף המידע המתועד במאגר – איסוף מידע באמצעות טפסים מקוונים, שיווק ברשתות החברתיות, פרסום ממומן, מערכות לאיסוף לידים ועוד.
- בדיקת הרשאות גישה לנתוני המאגר – לאיזה גורמים או ספקים חיצוניים בתוך הארגון או מחוצה לו יש גישה למידע. לאיזה מהם יש גישת צפיה, הורדה או עריכת המידע.
- איזה ספקים חיצוניים (ספקי שירות צד ג') מקבלים גישה לנתוני המאגר – לדוגמה, חברות שיווק, ספקי אחסון, ספקי ענן ועוד.
- איזה מידע נשמר ומתועד במאגר – האם מדובר בנתוני זיהוי בלבד (מידע אישי), או בנתונים רגישים הדורשים רמת אבטחה גבוהה יותר.
מיפוי כזה דורש מומחיות וידע משפטי, טכנולוגי וטכני, כולל לעיתים קרובות שימוש בתוכנות מתאימות, בכלי ניטור הכולל מדידת המידע ואופן חשיפתו.
בדיקת מאגר מידע
בדיקה מקצועית של מאגר מידע הכוללת נתונים של נשואי מידע, כוללת:
- השוואה בין המצב בפועל (מבחינת כל הנושאים שמיפינו קודם) למסמך ההגדרות הישן (במידה וקיים).
- בחינת אופן השמירה והאבטחה של הנתונים במאגר (האם המידע מוצפן, האם קיימת בקרת גישה, האם יש תיעוד של לוגים לתקופה של 24 חודשים ועוד).
- ווידוא כי המידע המופיע במסמך הגדרות המאגר הקודם אכן רלוונטי למאגר במתכונתו הנוכחי או שלחילופין יש לעדכן אותו.
- איתור פערים נוספים מול דרישות החוק העדכניות ביותר, למשל עמידה בהוראות תיקון 13 לחוק הגנת הפרטיות, איסוף מידע רגיש או בהעברות המידע לצד ג'.
רישום מאגר והודעה לרשות להגנת הפרטיות
על אף שבתיקון 13 ניתנו הקלות על אופן רישום מאגרי מידע, עדיין קיימות חובות שחשוב לשים אליהם לב:
- חובת רישום המאגר – רישום מאגרים מסוימים בעל חשיבות גבוה לדוגמה, מאגרי דיוור בהיקפים גדולים. חברות העוסקות בשיווק מסיבי וניטור נתונים משתמשים או מאגרי מידע הכוללים מידע רגיש אודות משתמשים.
- חובת הודעה על בעלות במאגר – יש להודיע לרשות להגנת הפרטיות על מאגרים שבבעלות החברה או הארגון הכוללים מידע נרחב או בעלי מידע רגיש במיוחד.
יש לבחון את סוג המידע, כמות המשתמשים ואופן השימוש במאגר טרם קבלת החלטה האם יש צורך להודיע או לרשום את המאגר מול הרשות להגנת הפרטיות.
השירותים שאנחנו מציעים
אנו מציעים מגוון רחב של שירותים בעולם הפרטיות.
בין שירותינו ניתן למצוא: בדיקת מאגר מידע, מיפוי הצרכים והכנת מסמך הגדרות מאגר.
שירותים אלה דורשים ידע מקצועי, הבנה טכנולוגית וניסיון פרקטי בעולמות אבטחת המידע והדיגיטל.
אם העסק שלך מחזיק מאגר מידע – בין אם מדובר ברשימת לקוחות קטנה או מערכת מורכבת – אנחנו נשמח ללוות אותך:
- בביצוע בדיקה ומיפוי מקיף של כלל המאגרים שלרשות החברה.
- בבדיקת עמידה בדרישות החוק הגנת הפרטיות, תקנות הפרטיות ותיקון 13.
- בהכנת מסמך הגדרות מאגר מידע מותאם אישית, שיאפשר לך לתעד את המידע בצורה מסודרת ולהכין אותך לכל פניה או ביקורת של הרשות להגנת הפרטיות.
אנו מזמינים אתכם לפנות אלינו לקבלת ייעוץ וליווי מקצועי, הכולל התאמה מלאה של פרטיות המידע בארגון בהתאם לצרכי הארגון ולמאגרי המידע שבניהולו.
מעוניינים במידע נוסף אודות מסמך הגדרות למאגר מידע?
השאירו פרטים ואנו מבטיחים לחזור אליכם בשעות הקרובות