עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
דוחות שנתיים, תלושי שכר, פרטי חשבונות בנק וצילומי תעודות זהות. אני מכין למשרדי רואי חשבון ויועצי מס מסמכי פרטיות שמתאימים למידע הזה.
לפי תיקון 13 לחוק הגנת הפרטיות, נתוני שכר ופעילות פיננסית הם מידע בעל רגישות מיוחדת. משרד רואי חשבון או יועצי מס מחזיק מידע כזה על לקוחות רבים, ולפעמים גם על העובדים של הלקוחות. כאן אני מסביר מה זה מחייב, מתי המשרד הוא "מחזיק" ואיך זה משפיע על חובת מינוי ממונה הגנת פרטיות.
רשימת המידע בעל הרגישות המיוחדת בחוק הגנת הפרטיות כוללת מידע על נתוני שכר של אדם ועל פעילותו הפיננסית. זה רוב מה שעובר במשרד: דוחות שנתיים, תלושי שכר, דפי בנק, הצהרות הון ומידע על חובות. לפעמים יש גם מסמכים רפואיים שמוגשים לצורך הטבת מס, או מידע משפחתי בתיקי ירושה וגירושין.
הסיווג משפיע על החובות ועל העיצומים. למשל, על איסוף מידע בלי הודעה כנדרש העיצום הוא 100 ש״ח לכל אדם כשמדובר במידע בעל רגישות מיוחדת, לעומת 50 ש״ח במידע אחר, ולא פחות מ-30,000 ש״ח להפרה. הסקירה המלאה של החוק נמצאת בעמוד תיקון 13 לחוק הגנת הפרטיות.
לפי תקנה 1א(3) לתקנות רואי חשבון (התנהגות שאינה הולמת את כבוד המקצוע), התשכ״ה-1965, רואה חשבון שמגלה בלי הסכמת הלקוח דבר שהגיע לידיעתו במהלך שירות מקצועי ויש לו קשר ענייני לשירות, נוהג בהתנהגות שאינה הולמת את המקצוע. החריגים: כשהוא חייב לגלות לפי דין, או כשהגילוי נדרש למילוי תפקידו.
ליועץ מס מייצג יש חובה מפורשת בחוק. סעיף 15 לחוק הסדרת העיסוק בייצוג על ידי יועצי מס, התשס״ה-2005 מחייב אותו לשמור בסוד ידיעות ומסמכים שהלקוח מסר, ולנקוט אמצעים סבירים כדי שגם העובדים במשרד ישמרו עליהם.
לחובת הסודיות יש השלכה על אבטחת המידע. תקנות אבטחת מידע מוציאות מהמסלול המקל של "מאגר המנוהל בידי יחיד" מאגר שיש בו מידע שבעל המאגר חייב לגביו בסודיות מקצועית לפי דין או לפי כללי אתיקה. כך שגם רואה חשבון שעובד לבד עם מזכירה אחת לא נכנס למסלול הזה.
בעל שליטה במאגר הוא מי שקובע את מטרות העיבוד. מחזיק הוא גורם חיצוני שמעבד מידע בשביל בעל השליטה. אותו משרד יכול להיות גם וגם.
כשהמשרד מכין דוח שנתי ללקוח פרטי, הוא בדרך כלל בעל השליטה בתיק הלקוח. כשהמשרד מפיק תלושי שכר לעובדים של חברה, הוא מעבד מידע על העובדים בשביל החברה, ולכן הוא מחזיק במאגר שלה. ככזה, אסור לו לעבד את המידע בלי הרשאה של החברה או בחריגה ממנה (סעיף 8(ג)), הוא אחראי לאבטחת המידע (סעיף 17(א)) ואסור לו לגלות את המידע אלא לצורך העבודה (סעיף 16).
עיצום שהוטל על מחזיק נשלח בהודעה גם לבעל השליטה, ואם בעל השליטה לא פעל להפסקת ההפרה, אפשר להטיל עליו את העיצום. לכן גם ללקוח העסקי יש עניין בהסכם מסודר עם המשרד: הסכם עיבוד מידע.
חובת מינוי ממונה חלה, בין השאר, על בעל שליטה או מחזיק שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר. לפי גילוי הדעת של הרשות מ-14 ביולי 2026, עיבוד מידע כזה רק למטרות עזר, כמו העסקת העובדים של המשרד עצמו, לא מפעיל את החובה. במשרד רואי חשבון זה לא המצב: עיבוד המידע הפיננסי של הלקוחות הוא העבודה עצמה.
השאלה היא ההיקף, ואין סף כמותי אחד. אצל מחזיק בוחנים את ההיקף במצטבר, על כל המאגרים של כל הלקוחות שהוא מעבד בשבילם. הדוגמה של הרשות: מחזיק שמעבד 1,000 מאגרים, ובכל אחד מידע בעל רגישות מיוחדת על 100 אנשים בלבד, נחשב למי שמעבד מידע כזה בהיקף ניכר. משרד שמפיק תלושים ל-60 חברות עם 50 עובדים בממוצע מעבד מידע על 3,000 עובדים, עוד לפני הלקוחות הפרטיים שלו. זה החישוב שצריך לעשות.
גם כשאין חובה, הרשות קוראת לשקול מינוי. משרד שחייב במינוי ומינה ממונה בפועל עשוי לקבל הפחתה של 10% מעיצום על הפרות אחרות. עוד על החובה בעמוד ממונה הגנת הפרטיות.
אלה הנושאים שצריך לסדר במשרד:
כל סעיף שאין לו תשובה הוא משימה:
אני מתחיל במיפוי: אילו לקוחות יש למשרד, אילו שירותים הוא נותן, באילו תוכנות הוא עובד ומי מהעובדים רואה מה. לפי זה אני מכין:
לא בהכרח. החובה חלה על מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, ונתוני שכר ופעילות פיננסית הם מידע כזה. אין סף כמותי אחד, ומשרד שמעבד מידע בשביל לקוחות עסקיים נבחן לפי ההיקף המצטבר של כל המאגרים שהוא מעבד עבורם. צריך לבדוק כל משרד לפי מספר הלקוחות, סוגי המידע ותדירות העיבוד.
כן. חוק הגנת הפרטיות חל על כל מי שמעבד מידע אישי למטרות עסק, ותיק של יועץ מס כולל את אותו מידע פיננסי. בנוסף, יועץ מס מייצג חייב בסודיות לפי סעיף 15 לחוק הסדרת העיסוק בייצוג על ידי יועצי מס, וצריך לדאוג שגם העובדים שלו ישמרו עליה.
שניהם. הלקוח הוא בעל השליטה במאגר העובדים שלו, והמשרד הוא מחזיק שמעבד את המידע בשבילו. החוק מטיל אחריות לאבטחת המידע על שניהם, ועיצום שהוטל על המשרד נשלח בהודעה גם ללקוח. לכן צריך ביניהם הסכם שקובע מה המשרד רשאי לעשות במידע ואיך הוא מאובטח.
ברוב המקרים לא. חובת הרישום נשארה על גופים ציבוריים ועל מאגרים שמטרתם העיקרית מסירת מידע לאחרים. אם במאגר שאינו חייב ברישום יש מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, בעל השליטה צריך למסור הודעה לרשות בתוך 30 יום. שאר החובות חלות בכל מקרה.
מסמך שנשמר במייל או בטלפון של המשרד הוא חלק ממאגר המידע שלו, ולכן הערוצים האלה צריכים להיכלל במיפוי, בהרשאות ובנוהל האבטחה. כשהמשרד עצמו שולח מידע מהמאגר באינטרנט, התקנות דורשות שיטות הצפנה מקובלות. פורטל מאובטח להעברת מסמכים הוא דרך אחת לעמוד בזה.
ספרו לי כמה לקוחות יש למשרד, אם אתם מפיקים שכר ובאילו תוכנות אתם עובדים, ואבדוק מה חסר, כולל השאלה אם צריך ממונה. נייד 050-582-5872, משרד 09-766-8569.
