פרטיות והגנת מידע
מתחילות בתהליך.
מדיניות פרטיות היא רק שכבה אחת. העבודה האמיתית היא להבין איזה מידע הארגון אוסף, מדוע, באילו מערכות הוא נשמר, מי מקבל אליו גישה ומה קורה לו לאורך מחזור החיים.
שלחו לי קישור לאתר או תיאור קצר של הפעילות ושל המידע שנאסף.
בדיקת מצב הפרטיות בעסקפנייה ישירה לעו״ד עמית מלדסיתיקון 13: בודקים את החובה, לא רק את הקנס
התיקון נכנס לתוקף ב-14 באוגוסט 2025 ושינה את הגדרות המידע, חובות הרישום וההודעה, חובת מינוי DPO וכלי האכיפה. בעסק דיגיטלי המשמעות היא לקשר כל תהליך לחובה שלו: איסוף בטופס, שיתוף עם ספק, שמירה במערכת או שימוש חדש במידע.
למשל, 150,000 ש"ח וכפל הסכום במאגר עם מיליון בני אדם ומעלה מופיעים בסעיף 23כו(א) לגבי ההפרות המנויות בו, ובהן הפרות מסוימות של רישום והודעה. זה אינו סכום אחיד לכל הפרת פרטיות. להפרות אחרות נקבעו מסלולים אחרים.
גם DPO אינו חובה בכל עסק. בוחנים את ארבע הקטגוריות שבסעיף 17ב1 ואת מאפייני העיבוד. ההחלטה על מינוי, מתכונת העבודה וסדר הטיפול בפערים צריכה להישען על הפעילות בפועל.
מיפוי זרימת המידע
השלב הראשון הוא לבנות תמונה אמינה של המידע: לקוחות, לידים, עובדים, משתמשים, הקלטות, מסמכים, נתוני שימוש ומידע שמגיע מצדדים שלישיים. לצד כל סוג מידע בודקים את מטרת האיסוף, המערכת שבה הוא נשמר, הרשאות הגישה, תקופת השמירה והגורמים שאליהם הוא מועבר.
המיפוי הזה הוא הבסיס לבחינת מאגרי מידע, ניסוח הודעות ומדיניות, התקשרויות עם ספקים והחלטות מוצר.
שקיפות והודעות פרטיות
המשתמש צריך לקבל מידע שמתאים למה שקורה בפועל. אם טופס לידים מזין CRM, מידע משמש לשיווק, שיחה מוקלטת או כלי AI מעבד תוכן, המסמכים והממשק צריכים להיבחן בהתאם. מסמך כללי שהועתק מעסק אחר עלול לפספס בדיוק את התהליכים שמייצרים את הסיכון.
מדיניות פרטיות לאתר ולאפליקציה ←ספקים חיצוניים הם חלק ממערך הפרטיות
ארגון כמעט אף פעם אינו מעבד מידע לבדו. ספקי אחסון, ענן, CRM, תמיכה, דיוור, אנליטיקה, סליקה ו-AI מקבלים מידע או גישה אליו. תקנות אבטחת המידע כוללות דרישות ביחס להתקשרות עם גורם חיצוני, ולכן בדיקת ספק אינה רק בדיקת מחיר ותנאי שירות.
יש להבין מה הספק מקבל, למה הוא רשאי להשתמש במידע, אילו ספקי משנה מעורבים, מה קורה בסיום ההתקשרות ומהם מנגנוני האבטחה והדיווח.
DPA והתקשרויות עם ספקים ←מידע שיוצא מישראל
שימוש בספק בינלאומי עשוי ליצור העברת מידע מחוץ לישראל. תקנות העברת מידע לחו"ל קובעות מסגרת נפרדת לבחינת ההעברה, לרבות התנאים המאפשרים אותה והתחייבויות בכתב להגנת הפרטיות. לכן מיקום הספק והשרתים אינו פרט טכני בלבד.
ממסמכים לתוכנית פרטיות
מיפוי
מידע, מערכות, מאגרים, ספקים והרשאות.
הסדרה
הודעות, מדיניות, חוזים, נהלים והחלטות מוצר.
תחזוקה
בדיקות תקופתיות, ספקים חדשים, פיצ'רים ושינויים בדין.
שאלות נפוצות
האם העסק שלי חייב לציית לחוק הגנת הפרטיות?
איסוף מידע אישי מחייב בחינה של דיני הפרטיות החלים על הפעילות. לא כל רשימת קשר היא בהכרח "מאגר מידע": ההגדרה בסעיף 3 כוללת חריגים, ובהם אוסף לשימוש אישי שאינו עסקי ובתנאים מסוימים אוסף של שמות ודרכי התקשרות בלבד. גם כשאין חובת רישום, אין להסיק שאין חובות ביחס לשימוש במידע, אבטחתו או מסירתו.
מה השתנה בתיקון 13 לחוק הגנת הפרטיות?
תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. הוא עדכן הגדרות, צמצם את חובת הרישום, הוסיף חובת הודעה על מאגרים מסוימים וחובת מינוי DPO בקטגוריות מוגדרות, והרחיב את האכיפה. אין קנס אחיד לכל הפרה: סעיף 23כו קובע מסלולים שונים לפי ההוראה שהופרה, סוג המידע והיקפו. לכן בדיקת סיכון מתחילה בזיהוי החובה הספציפית, לא בכותרת על קנס מרבי.
מה קורה אם לא מיישמים את דרישות החוק?
לרשות סמכויות פיקוח, הוראות להפסקת הפרה ועיצומים כספיים לפי המסלול והתנאים שבחוק. סעיף 15א מאפשר לבית המשפט לפסוק עד 10,000 ש"ח ללא הוכחת נזק בהפרות המנויות בו, ולא בגין כל הפרת פרטיות. בחלק מהחלופות נדרשת פנייה מוקדמת וחלוף הזמן שנקבע: למשל 30 ימים ביחס לדרישה להודעה לפי סעיף 11. יש לבחון בנפרד גם נזיקין, אחריות חוזית וסיכונים עסקיים.
האם מדיניות פרטיות מועתקת מספיקה?
לא. מדיניות פרטיות צריכה לשקף את מה שקורה בפועל: אילו טפסים אוספים מידע, לאן הוא זורם, אילו ספקים מקבלים אותו ואילו כלים מעבדים אותו, כולל CRM, אנליטיקה ו-AI. מסמך כללי שלא תואם את הפעילות אינו ממלא את חובת השקיפות ועלול להיחשב מטעה.
מה ההבדל בין בעל מאגר, מחזיק ומעבד מידע?
בעל השליטה קובע לבדו או יחד עם אחר את מטרות העיבוד. מחזיק הוא גורם חיצוני לבעל השליטה המעבד בעבורו מידע. יש למפות את הפעילות בפועל ואת ההגדרות בדין הרלוונטי; הכותרת החוזית אינה קובעת לבדה את החובות.
האם חובה למנות ממונה הגנת פרטיות (DPO)?
סעיף 17ב1 מונה ארבע קבוצות: בעל שליטה שהוא גוף ציבורי או מחזיק במאגר שלו, למעט גוף ביטחוני; בעל שליטה במאגר שמטרתו העיקרית איסוף מידע למסירתו לאחר כדרך עיסוק או בתמורה ובו מידע על יותר מ-10,000 בני אדם; בעל שליטה או מחזיק שעיסוקיו העיקריים מחייבים ניטור שוטף ושיטתי בהיקף ניכר; ובעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. מספר העובדים לבדו אינו המבחן.