עו״ד שחר שוורץ · עורך דין הגנת הפרטיות · רעננה
אני מכין למשרדי עורכי דין את מה שתיקון 13 דורש מהם: הודעה ללקוחות, מיפוי מאגרים, הסכמים מול ספקים ונהלי אבטחה.
משרד עורכי דין מחזיק מידע רגיש במיוחד: מידע רפואי, כספי ומשפחתי על לקוחות, וגם מידע על צדדים שלישיים. לפי תיקון 13 לחוק הגנת הפרטיות, מידע שחלה עליו חובת סודיות לפי דין, כמו סודיות עורך דין ולקוח, הוא מידע בעל רגישות מיוחדת. בעמוד הזה אני מפרט מה זה אומר למשרד ומה צריך להכין.
תיק נזיקין כולל חוות דעת רפואיות. תיק גירושין כולל מידע על ילדים, הכנסות וחובות. תיק פלילי כולל מידע על עבר פלילי. וכמעט בכל תיק יש מידע על אנשים שאינם הלקוח: הצד שכנגד, עדים ובני משפחה. חוק הגנת הפרטיות חל על כל המידע הזה, כי הוא חל על מידע על כל אדם מזוהה, לא רק על לקוחות.
רוב סוגי המידע האלה מופיעים ברשימת המידע בעל הרגישות המיוחדת שבחוק: צנעת חיי המשפחה, מצב בריאותו של אדם, עבר פלילי, נתוני שכר ופעילות פיננסית. ויש ברשימה עוד פריט שנוגע לכל משרד: מידע שחלה עליו חובת סודיות שנקבעה בדין.
חובת הסודיות של עורך דין קבועה בדין. סעיף 90 לחוק לשכת עורכי הדין, התשכ״א-1961 קובע שעורך דין לא יגלה בהליך משפטי, בחקירה או בחיפוש דברים ומסמכים שהוחלפו בינו לבין הלקוח ויש להם קשר ענייני לשירות. כלל 19 לכללי לשכת עורכי הדין (אתיקה מקצועית), התשמ״ו-1986 מחייב לשמור בסוד כל דבר שהלקוח הביא לידיעת עורך הדין, וכלל 20 מחייב להעמיד את העובדים על חובת הסודיות שלהם.
לכן יש בסיס לראות גם במידע שנראה שגרתי, כמו התכתבות על חוזה מסחרי, מידע בעל רגישות מיוחדת כשהוא חלק מתיק לקוח. הרשות עוד לא פרסמה עמדה מפורשת על משרדי עורכי דין, ולכן נכון להיערך כך. זה משפיע על גובה העיצומים. למשל, על איסוף מידע בלי הודעה כנדרש העיצום הוא 100 ש״ח לכל אדם כשמדובר במידע כזה, ולא פחות מ-30,000 ש״ח להפרה.
לסודיות יש גם צד שמגן על המשרד. זכות העיון בחוק לא מחייבת למסור מידע בניגוד לחיסיון שנקבע לפי דין, אלא אם מי שמבקש הוא מי שהחיסיון נועד לטובתו (סעיף 13(ג1)). צד שכנגד שמבקש לעיין במידע שיש עליו במשרד לא יקבל כך חומר שחסוי לטובת הלקוח.
רוב משרדי עורכי הדין לא חייבים לרשום מאגר מידע, אבל חובות היידוע, האבטחה, העיון והתיקון חלות עליהם במלואן. הסקירה המלאה של החוק נמצאת במדריך תיקון 13 לחוק הגנת הפרטיות. בפועל, אלה הנושאים שצריך לסגור:
תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחלקות מאגרים לרמות אבטחה. במאגר שיש בו מידע רפואי, מידע על עבר פלילי או מידע על מצבו הכלכלי של אדם, וזה המצב ברוב משרדי עורכי הדין, חלה רמת אבטחה בינונית. אם יש עד עשרה בעלי הרשאה, חלה הרמה הבסיסית. מאגר כזה עם מידע על 100,000 איש ומעלה, או עם יותר מ-100 בעלי הרשאה, נמצא ברמה הגבוהה.
גם עורך דין שעובד לבד לא נכנס למסלול הקל ביותר. התקנות מוציאות מהגדרת "מאגר המנוהל בידי יחיד" מאגר שיש בו מידע שבעל המאגר חייב לגביו בסודיות מקצועית לפי דין או לפי כללי אתיקה.
ברמה הבינונית צריך, בין השאר, ביקורת אבטחה לפחות אחת ל-24 חודשים ודיון שנתי באירועי אבטחה. על אירוע אבטחה חמור מדווחים לרשות להגנת הפרטיות באופן מיידי. כדי לדעת אילו אמצעים נדרשים אצלכם, אפשר להתחיל בסקר סיכונים אבטחת מידע.
החובה חלה, בין השאר, על מי שעיסוקו העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר (סעיף 17ב1(א)(4) לחוק). במשרד עורכי דין, הטיפול במידע של לקוחות הוא העיסוק עצמו. השאלה הפתוחה היא ההיקף.
לפי גילוי הדעת של הרשות מ-14 ביולי 2026 אין סף כמותי אחד. בוחנים את מספר האנשים, היקף המידע ומגוון סוגיו, משך ותדירות העיבוד ומשך השמירה. משרד עם אלפי תיקים פעילים וארכיון של שנים צריך לבדוק את השאלה לעומק. גם כשאין חובה, הרשות קוראת לשקול מינוי.
מי שממנה צריך להיזהר מניגוד עניינים. לפי הרשות, ניגוד עניינים קיים ככלל בתפקידים כמו מנהל לקוחות, מנהל כספים או מנהל מערכות מידע. במשרד קטן, השותף שמנהל את הכספים או את המחשוב ממלא בדיוק תפקיד כזה. אפשר למנות ממונה חיצוני, ועל כך בעמוד שירותי DPO.
עברו על הרשימה. כל "לא" הוא נקודה לטפל בה:
אני מתחיל בשיחה על סדר העבודה במשרד: איך נפתח תיק, איפה הוא נשמר, מי רואה אותו ומה קורה בו אחרי שהטיפול נגמר. לפי זה אני מכין:
ברוב המקרים לא. חובת הרישום נשארה על מאגרים של גופים ציבוריים ועל מאגרים שמטרתם העיקרית איסוף מידע כדי למסור אותו לאחרים, עם מידע על יותר מ-10,000 איש. אם יש במאגר מידע בעל רגישות מיוחדת על יותר מ-100,000 איש, צריך למסור הודעה לרשות בתוך 30 יום. שאר החובות חלות בכל מקרה.
כן. החוק חל על מידע אישי על כל אדם מזוהה או שניתן לזהות אותו, לא רק על לקוחות. מידע על הצד שכנגד, על עדים ועל בני משפחה נמצא במאגרי המשרד וכפוף לחובות האבטחה.
המשרד נשאר בעל השליטה במאגר. ספק הענן הוא מחזיק, וגם הוא אחראי לאבטחת המידע (סעיף 17(א)), אבל זה לא מוריד את האחריות מהמשרד. לכן צריך הסכם עם הספק לפי תקנה 15 ובקרה על עמידתו בו.
לפי סעיף 90א לחוק לשכת עורכי הדין, שבע שנים מסיום הטיפול או מסיום ההליכים. לצוואות, לשטרות, למסמכי מקרקעין (25 שנה) ולעסקאות שחל עליהן דין זר יש כללים אחרים, ועורך הדין והלקוח יכולים להסכים בכתב על תקופה אחרת. בתום התקופה מותר לבער את החומר, תוך שמירה על אבטחת המידע ופרטיות הלקוח.
גם כשמדובר במתמחים, נותנים הרשאה לפי התפקיד בלבד, מדריכים על אבטחת מידע ומעמידים על חובת הסודיות. התקנות דורשות לנהל הרשאות גישה, להדריך את בעלי ההרשאה ולבטל הרשאה כשאדם מסיים את תפקידו.
ספרו לי כמה אנשים עובדים במשרד, באילו מערכות אתם משתמשים ובאילו תחומים אתם מטפלים, ואגיד לכם מה חסר. נייד 050-582-5872, משרד 09-766-8569.
