רוב מי ששואל "צריך לרשום מאגר?" מקבל מהר מדי תשובה קצרה, וכשהוא פותח את הטופס מגלה שהוא לא יודע לתאר את המאגר עצמו. המאמר הזה לא עונה אם אתם חייבים לרשום, כי זו שאלה משפטית שתלויה בנוסח העדכני של החוק ובפרטי המקרה. הוא עוזר להגיע לשיחה עם עורך דין מוכנים: מה להביא, מה לשאול, ובאילו מלכודות הארגונים נוטים ליפול.
המאמר כללי ואינו ייעוץ משפטי. פרטים משפטיים כדאי לבדוק מול עורך דין.
מה נחשב מאגר מידע בהקשר הזה
בשפה פשוטה, מאגר מידע הוא אוסף של מידע אישי שמנוהל באופן מובנה, כך שאפשר לאתר מידע על אדם מסוים. טבלת לקוחות ב-CRM, רשימת עובדים במערכת שכר, או רישום מנויים לניוזלטר הם דוגמאות. ההגדרה המדויקת, והחריגים שלה, מופיעים בחוק. אם יש לכם ספק האם אוסף מסוים הוא מאגר, זו שאלה ראשונה לעורך הדין.
למה "צריך לרשום?" היא לא שאלה של כן או לא
התשובה תלויה בכמה גורמים יחד: סוג המידע, היקף האנשים, מטרת האיסוף, ואיך המידע נאסף ומשמש. בנוסף, ההסדרים סביב רישום ודיווח עודכנו בתיקון 13, ולכן מדריכים ישנים באינטרנט עלולים להיות לא רלוונטיים. לפני שמסתמכים על מקור כלשהו, כולל מאמר זה, כדאי לוודא שהוא משקף את הנוסח העדכני.
גם כשאין חובת רישום, ייתכנו חובות אחרות על מי שמחזיק מידע אישי, למשל בנושא אבטחה, מסמכים ונהלים. אי-רישום אינו אומר שאין מה לעשות.
מה להכין לפני השיחה: מיפוי המאגרים
לכל אוסף מידע אישי בארגון, כדאי להכין שורה אחת עם הפרטים הבאים:
- שם המאגר והמערכת שמחזיקה אותו.
- מטרת האיסוף: למה אספתם את המידע.
- סוגי המידע: שם, טלפון, כתובת, תעודת זהות, מידע פיננסי, בריאותי וכדומה.
- מקור המידע: מהאדם עצמו, מצד שלישי, מאתר.
- כמה אנשים בערך נכללים, ואילו קבוצות (לקוחות, עובדים, מועמדים).
- מי בארגון ניגש, ואילו ספקים חיצוניים ניגשים או מאחסנים.
- איפה המידע נשמר, ובפרט אם מחוץ לישראל.
- כמה זמן המידע נשמר ומה קורה בסופו.
המיפוי הזה שימושי גם אם בסוף לא תירשמו. הוא בסיס לכל עבודת פרטיות אחרת: מדיניות, בקשות של נושאי מידע, ספקים ואירועי אבטחה.
עשר שאלות להביא לעורך דין
- לפי הנוסח העדכני של החוק, האם חלה עלינו חובת רישום, ועל אילו מאגרים?
- מי אצלנו נחשב "בעל המאגר", ומי הוא מי שמעבד מידע מטעמנו?
- האם יש חובות נוספות גם אם אין חובת רישום?
- האם המידע שאנחנו מחזיקים נחשב רגיש, ומה משתנה בגלל זה?
- איזו רמת אבטחה נדרשת לכל מאגר, ומה נדרש כדי להוכיח אותה?
- איך מתייחסים למידע שמאוחסן אצל ספק ענן או מחוץ לישראל?
- מה צריך לכתוב במדיניות הפרטיות ובהודעה לנושאי המידע?
- מה נדרש אם נשנה את המאגר, למשל נוסיף סוג מידע או מטרה חדשה?
- מי אצלנו צריך לחתום או לאשר, ומה התיעוד שכדאי לשמור?
- מה ההשלכות של טעות או איחור, ומה אפשר לתקן בדיעבד?
רישום אינו סוף הדרך
רישום, אם נדרש, הוא פעולה אחת. מה שקורה אחריה חשוב באותה מידה: עדכון כשהמאגר משתנה, נהלי אבטחה שאפשר להראות, מינוי אחראי, הרשאות גישה מוגדרות, ותהליך לטיפול בבקשות של אנשים. ארגונים רבים מגלים שהטופס הגיש את עצמו, אבל הנהלים נשארו בחוץ.
טעויות נפוצות
- להניח שהספק (ענן, CRM, שכר) אחראי על הכול. השימוש בספק לא מעביר אליו את האחריות שלכם.
- לתאר את המאגר כללי מדי ("מידע על לקוחות") בלי להבחין בין סוגי מידע ומטרות.
- לא לעדכן אחרי שינוי: מערכת חדשה, מטרה חדשה או ספק חדש.
- לשמור מידע ללא הגבלת זמן "ליתר ביטחון".
- לטפל בנושא כפרויקט חד-פעמי במקום כתהליך שוטף.
מי בעל המאגר ומי מעבד אותו
אחת השאלות המבלבלות ביותר היא מי נחשב אחראי על המאגר. כשחברה משתמשת במערכת של ספק, ייתכן שהיא זו שקובעת למה המידע נאסף ואיך משתמשים בו, והספק רק מאחסן ומעבד בשמה. ייתכן גם מצב הפוך, או מצב שבו שני הצדדים קובעים חלקים שונים. ההגדרות והאחריות נגזרות מהחוק ומהחוזה, ולכן זו שאלה שחשוב לשאול עורך דין ולא להסיק מהרגשה.
מבחינה מעשית, כדאי שיהיה לכם בכתב: מי קובע את המטרה, מי מחזיק את המידע בפועל, ומה הספק רשאי לעשות איתו. אם ההסכם עם הספק שותק בנושא, זו נקודה לתיקון.
רמת האבטחה: למה זה חלק מהשיחה
גם אם הרישום עצמו פשוט, כל מאגר מגיע עם שאלה של רמת אבטחה. הגורמים שמשפיעים נוגעים בדרך כלל לסוג המידע, להיקפו, למספר בעלי הגישה ולרגישות הפגיעה האפשרית. כל רמה מביאה איתה דרישות לגבי הרשאות, תיעוד, גיבוי, ניטור והדרכה. הדרישות הספציפיות כדאי לברר מול עורך דין ומומחה אבטחה, ולא להסתמך על רשימה כללית.
לכן טוב שמנהל האבטחה, או מי שמחליף אותו, ישתתף בשיחה כבר מההתחלה. כך תדעו אם מה שהוגדר על הנייר אפשרי בפועל.
התיעוד שכדאי לשמור
- מיפוי המאגרים בגרסה מתוארכת, וגרסאות קודמות.
- כל ההחלטות לגבי שינוי: מי אישר, מתי ולמה.
- הסכמי עיבוד עם ספקים וסקירה תקופתית שלהם.
- נוהל אבטחה והוכחה שהוא מיושם, כמו רשימת הרשאות וגיבויים.
- תיעוד הדרכות לעובדים שניגשים למאגר.
- פניות של אנשים לגבי המידע שלהם, ואיך טופלו.
לא צריך לבנות ארכיב ענק. מספיק תיקייה מסודרת שבה כל מסמך מתוארך ומוגדר לו בעלים. כשמגיעה שאלה מלקוח, משקיע או רשות, תחסכו ימים.
דוגמה כללית להכנת מיפוי
נניח חברת שירותים עם שלוש מערכות: CRM של לקוחות, מערכת שכר ואתר עם טופס יצירת קשר. במיפוי תופיע שורה לכל מערכת. ב-CRM: שמות, טלפונים ומיילים של לקוחות עסקיים, נאספים מהם ישירות לצורך מתן שירות, נגישים לצוות מכירות ותמיכה, מאוחסנים אצל ספק ענן, ונשמרים כל עוד הלקוח פעיל. בשכר: מידע על עובדים, כולל פרטי בנק, נגיש להנהלת חשבונות בלבד. באתר: פניות מהציבור, שנשלחות למייל ומנוהלות בגיליון.
כבר בשלב הזה צצות שאלות שימושיות: האם הגיליון של הפניות מוגן? כמה זמן שומרים פניות שלא התקדמו? האם יש הסכם עם ספק הענן? המיפוי אינו רק טופס לרשם, אלא כלי עבודה שמגלה פערים.
רשימת בדיקה קצרה לפני השיחה עם עורך הדין
- יש מיפוי של כל אוסף מידע אישי, גם אם חלקי.
- ידוע מי בארגון אחראי על הנושא ומי מוסמך להחליט.
- נאספו ההסכמים עם הספקים המרכזיים.
- יש גרסה עדכנית של מדיניות הפרטיות ותנאי השימוש.
- ידוע אם המידע מועבר או מאוחסן מחוץ לישראל.
- נאספו תיעודים על אירועי אבטחה קודמים או פניות מרשות.
שאלות נפוצות
האם מאמר זה מחליף ייעוץ משפטי לגבי חובת רישום?
לא. הוא מכין אתכם לשיחה עם עורך דין. נוסח החוק והחריגים משתנים, ולכן את המסקנה כדאי לבדוק מול עורך דין.
האם מיפוי המאגרים שימושי גם אם לא נדרש רישום?
כן. המיפוי הוא בסיס לעבודה על מדיניות פרטיות, ספקים, בקשות של נושאי מידע ואירועי אבטחה.
מי מגיש את הרישום?
השאלה מי רשאי ומי צריך לחתום תלויה בפרטי הארגון ובדין. כדאי לבדוק מול עורך דין.
רוצים לדבר על המצב אצלכם?
שיחת ייעוץ ראשונית ללא עלות. נשמח להבין את הארגון ולהציע צעד הבא, בלי התחייבות.
הדרכה ותרגול לעובדים, ב-PhishingU
אנו עובדים עם PhishingU, חברה קשורה שמספקת סימולציית פישינג להפעלה עצמית והדרכת מודעות לעובדים. אפשר להריץ מבדק פישינג לעובדים בעצמכם, ואפשר להזמין הדרכה להעלאת המודעות של העובדים לאיומי סייבר. גילוי נאות: SYBER ו-PhishingU ישויות קשורות (ראו עמוד אודות).
מאמרים קשורים
מי חייב לרשום, רמות אבטחה ותהליך הרישום.
חברה קטנה מול תיקון 13: שבעה צעדים מעשיים בסדר הגיוני, ממיפוי המידע ועד תהליך לבקשות ולאירועי אבטחה, כולל סריקה חינמית של האתר.