הגנת פרטיות לעסק מתחילה בשאלה אחת: האם העסק מנהל מאגר מידע. חוק הגנת הפרטיות חל על עסק כזה, וכמעט כל עסק שיש לו לקוחות, עובדים או מצלמות מנהל מאגר. מאז שתיקון 13 נכנס לתוקף ב-14 באוגוסט 2025, מי שפונה לאנשים כדי לקבל מהם מידע צריך להודיע להם על כך, להשתמש במידע רק למטרת המאגר, ולאבטח אותו ברמה שנקבעת לפי סוג המידע, מספר האנשים במאגר ומספר בעלי ההרשאה. השאלות והתשובות הרשמיות של הרשות על התיקון נמצאות באתר הרשות.
האם חוק הגנת הפרטיות חל על העסק שלכם?
כן, אם העסק מעבד מידע אישי באמצעי דיגיטלי, כלומר מנהל מאגר מידע. זה המצב כשיש טופס לידים באתר, רשימת לקוחות במערכת, תיקי עובדים או מצלמות אבטחה.
ההגדרה בחוק מוציאה אוסף שכולל רק שם, מען ודרכי התקשרות של עד 100,000 אנשים, בתנאים מסוימים, למשל שאין לעסק אוסף אחר עם פרטים נוספים על אותם אנשים. ברגע שיש לעסק פרטים נוספים על האנשים, החריג לא חל, ולכן כדאי להניח שהחוק חל.
מה לומר ללקוח כשאתם אוספים ממנו מידע
סעיף 11 לחוק מחייב להודיע לאדם בעת הפנייה אליו אם חלה עליו חובה חוקית למסור את המידע או שהמסירה בהסכמה, מה מטרת השימוש, ומי בעל השליטה ואיך יוצרים איתו קשר. בטופס לידים, למשל, ההודעה צריכה להופיע בטופס עצמו. איך כותבים מדיניות פרטיות לאתר מפורט במדריך נפרד.
מה העסק שומר, ולמה מותר להשתמש בזה
סעיף 8(ב) אוסר לעבד מידע במאגר אלא למטרת המאגר שנקבעה לו כדין, ולכן קודם צריך לדעת מה יש בו. מיפוי מאגרי מידע מראה איזה מידע העסק אוסף, איפה הוא נשמר ולאיזו מטרה הוא משמש. את התוצאה מרכזים במסמך הגדרות מאגר, שתקנה 2 לתקנות אבטחת המידע דורשת, וגם מאגר המנוהל בידי יחיד חייב בו.
איזו רמת אבטחה חלה על העסק שלכם
הרמה נקבעת לפי סוג המידע, מספר האנשים במאגר ומספר בעלי ההרשאה, והיא בסיסית, בינונית או גבוהה, לפי תקנות אבטחת המידע.
בתקנות אין מונח “עסק קטן”. הדבר הקרוב לו הוא “מאגר המנוהל בידי יחיד”: מאגר שמנהל יחיד או תאגיד בבעלות יחיד, שרק היחיד ולכל היותר שני בעלי הרשאה נוספים רשאים להשתמש בו. זה עד שלושה אנשים בסך הכול. מאגר כזה לא נחשב מנוהל בידי יחיד אם מטרתו העיקרית מסירת מידע לאחר, אם יש בו מידע על 10,000 אנשים ומעלה, או אם בעל המאגר כפוף לגביו לחובת סודיות מקצועית, כמו עורך דין או רופא. על מאגר שנחשב מנוהל בידי יחיד חלות רק חלק מהתקנות, ובהן מסמך הגדרות המאגר, אבל לא נוהל אבטחה מלא וסקר סיכונים. ההסבר של הרשות לעצמאים ולעסקים קטנים נמצא במדריך הרשות. מי שצריך נוהל אבטחה יכול להתחיל מתבנית נוהל אבטחת מידע.
מה עושים כשיש אירוע אבטחה חמור
כל אירוע אבטחה חייב להיות מתועד, בכל רמת אבטחה (תקנה 11(א)). אירוע אבטחה חמור במאגר ברמת אבטחה בינונית או גבוהה מחייב הודעה לרשות באופן מיידי (תקנה 11(ד)(1)). התקנות מגדירות אירוע חמור רק לגבי רמה בינונית וגבוהה: ברמה גבוהה, שימוש במידע בלי הרשאה או פגיעה בשלמותו, וברמה בינונית אותו אירוע לגבי חלק מהותי מהמאגר. הרשות רשאית להורות גם על הודעה לנושאי המידע (תקנה 11(ד)(2)). אם אירוע כזה כבר קרה, אפשר לקרוא על טיפול באירוע אבטחת מידע.
רישום מאגר או הודעה לרשות
רק שלושה מקרים מחייבים פנייה לרשות. חובת רישום חלה על מאגר שמטרתו העיקרית איסוף מידע אישי כדי למסור אותו לאחר, כדרך עיסוק או בתמורה, עם מידע על יותר מ-10,000 בני אדם, ועל מאגר של גוף ציבורי. חובת הודעה חלה על מאגר שאינו חייב ברישום וכולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם, והיא ניתנת תוך 30 יום (סעיף 8א). את ההודעה מגישים בשירות הממשלתי להודעה על מאגר מידע. כל שאר המאגרים אינם חייבים לא ברישום ולא בהודעה, אבל החוק חל עליהם.
האם העסק שלכם חייב למנות DPO?
עסק לא חייב למנות DPO רק בגלל שהוא קטן, אלא אם הוא נכנס לאחת הקבוצות שבסעיף 17ב1(א). יש קבוצות שהגודל לא משנה בהן: מי שמחזיק מידע עבור גוף ציבורי חייב, גם ספק של שני אנשים שמעבד מידע עבור רשות מקומית. סוחר מידע עם מידע על יותר מ-10,000 בני אדם חייב גם הוא. וגם ארגון שעיסוקו העיקרי הוא ניטור שיטתי או עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, שאינו תלוי בגודל הארגון. הממונה יכול להיות חיצוני. כל הקבוצות מפורטות במדריך מי חייב למנות ממונה על הגנת הפרטיות, ובדיקה של 30 שניות נותנת תשובה ראשונית.
מה קורה אם לא עומדים בחוק
הרשות רשאית להטיל עיצומים כספיים לפי סעיף 23כו. הם יכולים להגיע למאות אלפי שקלים, והסכום תלוי בהפרה ובמספר האנשים במאגר, למשל 150,000 ש”ח להפרות שבסעיף 23כו(א), וכפל הסכום במאגר של מיליון אנשים ומעלה. עסק זעיר (מחזור עסקאות עד 4 מיליון ש”ח) ועסק קטן (מעל 4 ועד 10 מיליון ש”ח) יכולים לבקש תקרות מופחתות, למשל 20,000 ו-40,000 ש”ח להפרות שבסעיף 23כו(א) ו-(ב).
אפשר גם לתבוע פיצוי של עד 10,000 ש”ח ללא הוכחת נזק לפי סעיף 15א, אבל רק בשש הפרות מוגדרות, למשל ניהול מאגר חייב ברישום בלי רישום או סירוב לבקשת עיון לפי סעיף 13. בכמה מהן נדרשת קודם פנייה למפר והמתנה של 30 או 90 יום. הפירוט המלא על התיקון נמצא במדריך המקצועי של הרשות ובעמוד תיקון 13 לחוק הגנת הפרטיות.
מה לעשות השבוע
הדבר הראשון הוא מיפוי: לרשום איזה מידע אישי העסק אוסף, איפה הוא נשמר ומי רשאי לגשת אליו. מהמיפוי אפשר לעבור למסמך הגדרות המאגר, לבדיקה שההודעה לפי סעיף 11 מופיעה בכל טופס ובכל נקודת איסוף, ולעדכון מדיניות הפרטיות באתר לפי מה שהעסק עושה. אחרי זה בודקים מי מחזיק הרשאות ואיזו רמת אבטחה חלה על המאגר.