הטמעת דיני הגנת הפרטיות

הטמעת דיני הגנת הפרטיות בעסק ובארגון – מה עושים בפועל?

מאת עו״ד שחר שוורץ

עסק מקבל פניות דרך האתר, מנהל מידע על לקוחות במערכת ממוחשבת, שומר מסמכי עובדים ומשתמש בשירותי ענן. לעיתים המידע עובר גם לספק המחשוב, להנהלת החשבונות או למערכת תמלול שיחות.

כל אחת מהפעולות האלה מצריכה בחינה: איזה מידע נאסף, לשם מה, מי רשאי להשתמש בו ומה נעשה כדי להגן עליו. הטמעת דיני הגנת הפרטיות היא תהליך שבו מתרגמים את הדרישות המשפטיות להוראות עבודה שהעסק מסוגל ליישם ולתחזק.

מתחילים בבדיקת הפעילות והחובות החלות

המסגרת המרכזית בישראל היא חוק הגנת הפרטיות, התשמ״א-1981, והתקנות שהותקנו מכוחו, ובהן תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017.

תיקון 13 לחוק, שנכנס לתוקף ביום 14.8.2025, הרחיב את סמכויות האכיפה, שינה את הסדרי רישום המאגרים וקבע חובת מינוי ממונה על הגנת הפרטיות בגופים העומדים בתנאים שנקבעו בחוק.

לא כל עסק חייב ברישום מאגר, בהודעה לרשות או במינוי ממונה. יש לבדוק כל חובה בנפרד. היעדר חובת רישום אינו פוטר מהחובות האחרות החלות על איסוף מידע אישי, השימוש בו ואבטחתו.

מיפוי המידע הוא הבסיס לעבודה

בשלב הראשון בודקים את התנהלות העסק בפועל:

• איזה מידע נשמר על לקוחות, עובדים, מועמדים לעבודה ואנשים אחרים.
• כיצד המידע מתקבל ולאילו מטרות משתמשים בו.
• באילו מערכות, תיבות דואר, תיקיות ומכשירים הוא נשמר.
• למי יש גישה, לרבות ספקים חיצוניים.
• האם מידע מועבר לחו״ל או נגיש לגורמים מחוץ לישראל.
• כמה זמן הוא נשמר ומה מצדיק את המשך שמירתו.

למשל, במשרד עורכי דין עשויים להישמר מסמכים רפואיים, נתונים כלכליים ומידע על קטינים ועל צדדים שכנגד. הבחינה צריכה להתייחס גם לחובות הסודיות והחיסיון הרלוונטיות.

תוצר שימושי של הבדיקה הוא דוח פערים הכולל משימות, גורם אחראי וסדרי עדיפויות. יש להבחין בו בין דרישות דין לבין שיפורים מומלצים.

התאמת איסוף המידע וההודעות ללקוחות

בודקים אם טופסי האתר, תהליכי ההצטרפות והפניות ללקוחות כוללים את היידוע הנדרש, ואם השימוש במידע תואם את המטרה שלשמה נאסף.

מדיניות הפרטיות צריכה לתאר את הפעילות האמיתית. אם העסק מקליט שיחות, מעביר מידע לספקים או משתמש במערכת חיצונית לניתוח פניות, יש לבחון כיצד להסדיר זאת. מסמך כללי באתר אינו משלים לבדו את הטיפול בתהליכים האלה. כלי הרשות להגנת הפרטיות לזיהוי סיכוני פרטיות.

נהלים שאפשר ליישם בעבודה היומיומית

בהתאם לתחולת התקנות ולמאפייני המאגר, מסדירים נושאים כגון הרשאות גישה, זיהוי משתמשים, טיפול באירועי אבטחה, עבודה עם ספקים והדרכת עובדים.

ההוראות צריכות להיות ברורות: מי מאשר פתיחת משתמש, מי מבטל הרשאות של עובד שעזב, למי מדווחים על מסמך שנשלח בטעות ומה מתעדים בעקבות האירוע.

אין חובה כללית לקיים הדרכה בכל רבעון. תקנה 7 קובעת, בין היתר, הדרכה לפני מתן גישה למידע או שינוי היקף ההרשאות. במאגרים ברמת אבטחה בינונית או גבוהה נדרשת גם הדרכה תקופתית לפחות אחת לשנתיים; תדירות גבוהה יותר עשויה להתאים לסיכונים ולשינויים בארגון. מדריך הרשות לתקנה 7.

בדיקת ספקים והסכמי עיבוד מידע

כאשר ספק חיצוני מקבל גישה למידע במסגרת שירותיו, יש לבחון את תחולת תקנה 15 ואת הסיכונים הכרוכים בהתקשרות.

הטיפול עשוי לכלול בדיקת הספק, הגדרת השימושים המותרים, התחייבויות אבטחה וסודיות, הסדרת ספקי משנה וסיום ההתקשרות, ופיקוח על קיום ההתחייבויות. נספח עיבוד מידע, המכונה לעיתים DPA, הוא חלק מההסדרה החוזית. חשוב להתאים אותו לשירות ולגישה שהספק מקבל בפועל. הסבר הרשות על התקשרות עם ספקים.

טיפול בבקשות הנוגעות למידע אישי

יש לקבוע מי מטפל בבקשות לעיון במידע ולתיקונו, כיצד מוודאים את זהות הפונה ואיך נותנים מענה בהתאם לדין.

הדין הישראלי אינו מקנה זכות כללית ובלתי מסויגת למחיקת כל מידע לפי דרישה. סעיף 14 מאפשר לבקש תיקון או מחיקה בנסיבות הקבועות בו, וקיימים הסדרי מחיקה נוספים במקרים מסוימים. לכן יש לבחון כל בקשה לפי הדין החל, סוג המידע וחובות השמירה הרלוונטיות.

תפקיד עורך הדין בתהליך

עורך הדין מסייע לזהות את החובות החלות, לבחון את השימושים במידע, לערוך מסמכים והסכמים וללוות החלטות משפטיות. העבודה נעשית בשיתוף ההנהלה ואנשי המחשוב ואבטחת המידע, האחראים ליישום המקצועי בתחומם.

לאחר הכנת המסמכים יש לבדוק שההוראות מיושמות ולעדכן אותן בעקבות שינוי במערכות, בספקים או בפעילות. ליווי מקצועי יכול לסייע בצמצום פערים וסיכונים, אך אינו מבטיח חסינות מתביעות או מאירועי אבטחה.

ליווי משפטי בתחום הגנת הפרטיות

משרד עו״ד שחר שוורץ מלווה עסקים וארגונים בבחינת חובותיהם בתחום הגנת הפרטיות, במיפוי פערים, בהכנת מדיניות ונהלים ובהסדרת התקשרויות עם ספקים.

לבחינת הצרכים של העסק שלכם ולבניית תוכנית עבודה מותאמת, ניתן לפנות למשרד.

המאמר הוא מידע כללי ואינו מחליף ייעוץ משפטי המתייחס לנסיבות המקרה.