חוק הגנת הפרטיות עבר שינוי מהותי בעקבות תיקון מס' 13, התשפ"ד-2024, שנכנס לתוקף ביום 14 באוגוסט 2025. התיקון אינו מסתכם בהרחבת סמכויות האכיפה או בשינוי חובת רישום מאגרי המידע. הוא משנה את השפה המשפטית הבסיסית של דיני הפרטיות בישראל: מהו מידע אישי, מיהו אדם הניתן לזיהוי, מי נחשב בעל שליטה במאגר מידע, מהו מחזיק, מה נחשב עיבוד מידע ומהו מידע בעל רגישות מיוחדת.
עבור מנהלים בכירים, משמעות השינוי היא מעשית. ארגון אינו יכול עוד להסתפק בשאלה אם "יש לו מאגר מידע" או אם המאגר שלו "רשום". עליו להבין איזה מידע הוא מעבד, למי המידע נוגע, מה מטרות העיבוד, מי קובע אותן, מי מעבד את המידע בפועל, באילו מערכות הוא מוחזק, למי ניתנת גישה אליו ומהן החובות המשפטיות הנגזרות מכך.
תיקון 13 עדכן את ההגדרות המרכזיות בחוק והעביר אותן למסגרת אחידה בסעיף 3. בין היתר, הוחלפה הגדרת "מידע" בהגדרת "מידע אישי", המונח "בעל מאגר מידע" הוחלף ב"בעל שליטה במאגר מידע", והוגדרו מחדש "מחזיק", "עיבוד", "מאגר מידע" ו"מידע בעל רגישות מיוחדת".
מושגי היסוד שכל מנהל צריך להכיר
| מושג | המשמעות המעשית |
|---|---|
| מידע אישי | נתון הנוגע לאדם מזוהה או לאדם שניתן לזהותו במאמץ סביר, במישרין או בעקיפין |
| מידע בעל רגישות מיוחדת | סוגים מסוימים של מידע אישי שהחוק מגדיר כבעלי רגישות מיוחדת, כגון מידע רפואי, גנטי, ביומטרי, פיננסי ומידע על דעות פוליטיות |
| מאגר מידע | אוסף של פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לחריגים הקבועים בחוק |
| בעל שליטה | מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע שבמאגר |
| מחזיק | גורם חיצוני לבעל השליטה המעבד מידע עבורו |
| עיבוד | כל פעולה המבוצעת במידע אישי, לרבות איסוף, אחסון, העתקה, עיון, גילוי, העברה ומתן גישה |
| נושא המידע | האדם שהמידע האישי נוגע אליו |
| פרט מזהה | נתון שבאמצעותו ניתן לזהות אדם, כגון שם, מספר זהות, מזהה ביומטרי, נתוני מיקום או מזהה מקוון |
| רישום מאגר | חובה שחלה כיום רק על סוגים מסוימים של מאגרי מידע |
| הודעה לרשות | חובה נפרדת החלה, בין היתר, על מאגרים שאינם חייבים ברישום אך כוללים מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם |
הבחנה בין המושגים אינה עניין סמנטי. היא קובעת מי אחראי, אילו פעולות מותר לבצע, אילו הסכמים נדרשים עם ספקים, אילו מנגנוני בקרה נדרשים בארגון ומהן החובות כלפי נושאי המידע והרשות להגנת הפרטיות.
מהו "מאגר מידע"?
לא כל רשימה של שמות היא בהכרח "מאגר מידע" כהגדרתו בחוק.
לאחר תיקון 13, "מאגר מידע" הוא אוסף פרטי מידע אישי המעובד באמצעי דיגיטלי, בכפוף לחריגים הקבועים בחוק. החוק מחריג, בין היתר, אוסף לשימוש אישי שאינו למטרות עסק וכן אוסף הכולל רק שם, מען ודרכי התקשרות לגבי עד 100,000 בני אדם, בתנאים שנקבעו בחוק ובכפוף לכך שאין לבעל האוסף או לתאגיד שבשליטתו אוסף אחר הכולל פרטי מידע אחרים לגבי אותם בני אדם.
לדוגמה: מאגר לקוחות של חברה, הכולל שם, כתובת, רכישות ופרטי קשר; מאגר עובדים של ארגון; מאגר מטופלים בבית חולים; מאגר תמונות ממצלמות אבטחה; ואפילו רשימת דיוור אלקטרוני. החוק ייחד פרק שלם להגנה על הפרטיות במאגרי מידע, ובו חובות כמו רישום מאגר, אבטחת מידע ויידוע נושאי המידע. מאגר מידע שסווג כ*“מאגר מידע כהגדרתו בחוק”* יהיה כפוף לכל חובות החוק (לעומת מידע מזדמן שלא מאורגן במאגר). בעבר, היו מקרים שפנו לבתי המשפט בשאלה האם אוסף נתונים מסוים הוא "מאגר מידע" לפי החוק – למשל רשימת לקוחות קטנה. בפסיקה נקבע גישת פרשנות מרחיבה: גם אוסף מידע לא ממוחשב (כמו קלסר כרטיסיות) וגם אוסף מצומצם, יכולים להיחשב מאגר אם מאופיינים בניהול שיטתי . תיקון 13 צמצם את חובת רישום מאגרי המידע רק לסוגי מאגר חשובים, אך עדיין כל מאגר מידע כפוף לחובות איסוף ועיבוד הוגנים לפי החוק . כלומר, גם אם אין חובה לרשום מאגר, הוא חייב לפעול בהתאם לעקרונות הגנת הפרטיות (יידוע, אבטחה, שימוש למטרה, זכויות נושאי מידע וכד').
מבחינה ארגונית, יש להבחין בין מידע אישי לבין מאגר מידע.
מידע אישי הוא הנתון הנוגע לאדם. מאגר מידע הוא האוסף שבו פרטי מידע אישי מעובדים באמצעי דיגיטלי.
הבחנה זו חשובה משום שחובות מסוימות בחוק מתייחסות למידע אישי, בעוד שאחרות מתייחסות למאגר מידע מסוים, לאופן ניהולו או למעמדו המשפטי.
האם כל מאגר מידע חייב להיות רשום?
לא. זהו אחד השינויים המרכזיים שנכנסו לתוקף בעקבות תיקון 13. התיקון ביטל את חובת הרישום הכללית שחלה בעבר על סוגים רחבים של מאגרי מידע והותיר חובת רישום רק לגבי סוגים מסוימים של מאגרים.
על פי הוראות החוק וההנחיות העדכניות של הרשות, חובת הרישום חלה, בין היתר, על מאגר שמטרתו העיקרית היא איסוף מידע אישי לשם מסירתו לאחרים כדרך עיסוק או בתמורה, לרבות שירותי דיוור ישיר, כאשר המאגר כולל מידע אישי על יותר מ־10,000 בני אדם. היא חלה גם על מאגרי מידע שבשליטת גופים ציבוריים, למעט החריג הקבוע בחוק לגבי מאגר הכולל מידע אישי על עובדי הגוף הציבורי בלבד.
המשמעות היא שארגון אינו יכול להסיק כי "אין לנו חובת פרטיות" רק משום שהמאגר שלו אינו חייב ברישום.
מאגר שאינו חייב ברישום עדיין כפוף להוראות חוק הגנת הפרטיות, לרבות הוראות בדבר עיבוד מידע אישי, אבטחת מידע, שמירה על סודיות וזכויות נושאי המידע.
מהי חובת ההודעה לרשות להגנת הפרטיות?
תיקון 13 יצר הבחנה חשובה בין חובת רישום לבין חובת הודעה.
מאגר שאינו חייב ברישום, אך כולל מידע בעל רגישות מיוחדת על יותר מ־100,000 בני אדם, מחייב את בעל השליטה להודיע לרשות להגנת הפרטיות בתוך 30 ימים מהמועד שבו התקיים התנאי. ההודעה כוללת, בין היתר, פרטים על בעל השליטה, הממונה על הגנת הפרטיות ככל שנדרש מינויו, וכן העתק ממסמך הגדרות המאגר הנדרש לפי תקנות אבטחת המידע.
גם שינוי בזהות בעל השליטה או הממונה, שינוי המחייב עדכון של מסמך הגדרות המאגר או הפסקת פעילות המאגר עשויים להקים חובת עדכון לרשות.
חשוב להדגיש כי הודעה לרשות אינה אישור שהמאגר עומד בדין. הרשות מציינת במפורש כי עצם הגשת ההודעה אינה מהווה אישור לתקינות המאגר או לעמידתו בדרישות החוק והתקנות.
מיהו בעל מאגר מידע / בעל שליטה במאגר?
“בעל מאגר מידע” (Data Owner) היה המונח המקורי בחוק הגנת הפרטיות לצד הגדרת הגורם האחראי המרכזי על מאגר המידע. תיקון 13 שינה מונח זה ל-"בעל שליטה במאגר מידע", בהשראת מושג ה-Controller בדין האירופי , על מנת לחדד שהקריטריון הוא שליטה במטרות ובתכנים. שינוי סמנטי זה מבקש להבהיר, למשל, שהגורם הקובע את השימוש, הוא בעל השליטה, אף אם המידע מוחזק פיזית במקום אחר. ככלל, הבעלים/בעל השליטה הוא כתובת האחריות העיקרית מול הרשות להגנת הפרטיות ומול נושאי המידע.
היותו "בעל המאגר" מטיל עליו את מרבית החובות לפי החוק. בין היתר, עליו לרשום את המאגר אם נדרש, לפרט את מטרותיו, למנות מנהל מאגר, לקבוע נהלי אבטחת מידע, ליידע את נושאי המידע על איסוף נתוניהם, לאפשר זכות עיון ותיקון, ולוודא שהשימוש במידע תואם את המטרה לה נאסף. מבחינת אחריות משפטית, בעל השליטה יהיה הנתבע העיקרי בתביעות אזרחיות על פגיעה בפרטיות שנגרמה כתוצאה מניהול המאגר. החוק מתיר שיהיו למאגר מידע מספר בעלים משותפים, ובמצב כזה, האחריות תחול במשותף.
נציין כי הבעלים בפועל לא חייב להיות הבעלים הקנייני של התשתית: גם חברה המפעילה שירות המאוכסן בענן נחשבת בעלת המאגר, לא ספקית הענן. לעומת זאת, גורם חיצוני המעבד מידע עבור הבעלים ייחשב "מחזיק" ולא בעלים.
מיהו מחזיק במאגר מידע?
"מחזיק" הוא גורם חיצוני לבעל השליטה במאגר המידע המעבד בעבורו מידע, אשר יש לו גישה פיזית או שליטה טכנית במידע האישי, אך אינו קובע את מטרות העיבוד. דוגמאות נפוצות כוללות ספקי שירותי מחשוב, חברות דיוור, קבלני משנה לניתוח נתונים וספקי ענן.
בעקבות תיקון 13 לחוק הגנת הפרטיות, הורחבה ההגדרה של "מחזיק", כך שכעת כל גורם חיצוני המעבד מידע אישי עבור בעל השליטה נחשב כמחזיק, גם אם בעבר לא נכלל בהגדרה זו. החובות המוטלות על המחזיק כוללות, בין היתר, יישום אמצעי אבטחת מידע בהתאם לרמת האבטחה הנדרשת, פעולה בהתאם להוראות בעל המאגר בלבד, והימנעות משימוש עצמי במידע. הפרת חובות אלו עלולה להוביל לאחריות אזרחית ואף פלילית, לרבות קנסות מנהליים המוטלים על ידי הרשות להגנת הפרטיות. בנוסף, החוק מחייב עריכת הסכם עיבוד מידע בין בעל המאגר למחזיק, המפרט את התחייבויות המחזיק להגנת הפרטיות.
עם זאת, עצם העובדה שספק טכנולוגי נותן שירות לא הופכת אותו אוטומטית למחזיק. יש לבחון את תפקידו בפועל ואת השאלה האם הוא גורם חיצוני המעבד מידע עבור בעל השליטה.
מבחינת הנהלת הארגון, זוהי נקודת בקרה מרכזית: בכל התקשרות עם ספק שעשוי לקבל גישה למידע אישי יש לבחון מראש את תפקיד הספק, את סוגי המידע, מטרות העיבוד, הרשאות הגישה, אמצעי האבטחה, שימוש בקבלני משנה, העברת מידע לצדדים נוספים והחזרת המידע או מחיקתו בתום ההתקשרות.
מידע אישי
"מידע אישי" מוגדר כנתון המתייחס לאדם מזוהה או לאדם שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, לרבות באמצעות פרטים מזהים כגון שם, מספר זהות, מזהה ביומטרי, נתוני מיקום, מזהה מקוון, או נתונים הנוגעים למצבו הפיזי, הבריאותי, הכלכלי, החברתי או התרבותי של האדם.
בנוסח המקורי של חוק הגנת הפרטיות, “מידע” הוגדר באופן צר יחסית, כרשימה סגורה של סוגי נתונים כמו מצב בריאות, מצב כלכלי, דעות פוליטיות ועוד. ההגדרה המעודכנת של "מידע אישי" בתיקון 13 לחוק הגנת הפרטיות מרחיבה את תחולת החוק, כך שכל נתון המתייחס לאדם מזוהה או שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, ייחשב כמידע אישי. הגדרה זו כוללת פרטים מזהים כגון שם, מספר זהות, מזהים ביומטריים, נתוני מיקום, מזהים מקוונים, וכן נתונים הנוגעים למצבו הפיזי, הבריאותי, הכלכלי, החברתי או התרבותי של האדם. הרחבה זו מיישרת קו עם הסטנדרטים הבינלאומיים, כגון ה-GDPR האירופי, ומבטיחה הגנה רחבה יותר על פרטיות הפרטים.
מבחינה ניהולית, המשמעות היא שמידע אישי עשוי להופיע במערכות רבות שאינן נתפסות באופן אינטואיטיבי כ"מערכות פרטיות": מערכת CRM, מערכת ניהול לקוחות, מערכת משאבי אנוש, מערכת נוכחות, מערכת אבטחה, מערכת ניהול מבקרים, מערכת שירות, מערכת דיוור, מערכת ניהול מסמכים, מערכת ענן או מערכת בינה מלאכותית.
חשיבות הגדרת "מידע אישי"
חשיבות ההגדרה בכך שהיא מציירת את גבול תחולת החוק: כללי הגנת הפרטיות חלים על עיבוד מידע אישי. נתונים אישיים יכולים להיות טריוויאליים (כגון כתובת אימייל, תאריך לידה) או רגישים (כגון מידע רפואי או פיננסי). כאשר מידע אישי נאסף, נשמר או נמסר – כפוף הדבר לחובות החוק: קבלת הסכמה או עילת עיבוד חוקית, שימוש למטרה מוגדרת, שמירת אבטחה, מתן אפשרות לעיון ותיקון ועוד. ההגדרה הרחבה נועדה לכסות גם מאפיינים חדשים של עידן הדיגיטל – למשל מזהים מקוונים ונתוני התנהגות – שכיום ברור שהם “מידע אישי” כי ניתן לקשרם לאדם . דוגמה: כתובת IP או היסטוריית גלישה – בהינתן שהם מקושרים למנוי אינטרנט, הם מידע אישי לכל דבר. ראוי לציין שהחוק מחריג במפורש מידע שאינו על אדם (למשל נתוני תאגיד) – הגנת הפרטיות מגנה רק על אנשים. כמו כן, הוא לא מגן על מידע שאדם פרסם ברבים על עצמו ללא הגבלה (כיוון שאז כבר ויתר במידה מסוימת על פרטיותו, אם כי עדיין קיימות אפשרויות תביעה במקרה של שימוש פוגעני). בסיכום, “מידע אישי” הוא מושג יסוד שמגדיר מה החוק מבקש להגן – כל פיסת מידע הקשורה לאדם פרטי, שיש להתייחס אליה בכבוד לפרטיותו.
מהו "מידע בעל רגישות מיוחדת"?
תיקון 13 החליף את המונח הקודם "מידע רגיש" במונח "מידע בעל רגישות מיוחדת". החוק מונה מספר סוגי מידע הנחשבים "רגישים במיוחד":
- מידע גנטי (נתונים על המטען הגנטי של אדם);
- מזהה ביומטרי (טביעות אצבע, תמונת פנים וכדומה);
- מידע על עבר פלילי (הרשעות או חשדות פליליים);
- הערכה לגבי מאפייני אישיותו של אדם (כגון פרופיל פסיכולוגי או הערכה מקצועית אישית);
- נתוני מיקום ותעבורה (נתונים אודות מיקומו הגיאוגרפי ותנועותיו של אדם, למשל נתוני GPS או איכון טלפון)
זוהי רשימה שברובה חורגת מהגדרת “מידע רגיש” הישנה ומוסיפה תחומים חדשים, שננוסח החוק הקודם לא ציין מפורשות. ההתייחסות הנפרדת לקטגוריה זו נועדה להחיל עליה הגנות מוגברות: תיקון 13 קבע חובת דיווח לרשות להגנת הפרטיות על מאגר המכיל מידע רגיש במיוחד על למעלה מ-100 אלף אנשים . משמעות הדרישה – גם אם המאגר פטור מחובת רישום – על בעל השליטה לדווח לרשות על קיום המאגר והפרטים הנחוצים.
מידע רגיש במיוחד לרוב גם יהיה בעל פוטנציאל נזק גבוה אם ידלוף או ינוצל לרעה. לכן, לצד החובות המשפטיות, צפויה גם הנחיה רגולטורית שמאגר המכיל מידע כזה יחויב ברמת אבטחת מידע גבוהה (למשל הצפנה חזקה, מגבלות גישה נוקשות). באופן כללי, הכנסת קטגוריה זו היא חלק מההתאמה של החוק הישראלי לנורמות בינלאומיות, והיא מסמנת למחזיקי המידע: אם אתם אוספים פרטי מידע הנוגעים לזהות הפיזית, הביולוגית או האישיותית העמוקה של אדם – חלה עליכם אחריות כבדה במיוחד להגן עליהם.
חשוב להבין: לא כל מידע אישי הוא מידע בעל רגישות מיוחדת.
שם של לקוח, למשל, הוא בדרך כלל מידע אישי. אולם כאשר המידע כולל נתונים רפואיים, פיננסיים, ביומטריים או מידע אחר הנכלל בהגדרה הסטטוטורית, עשויות לחול הוראות מיוחדות.
ההבחנה חשובה במיוחד עבור מנהלים משום שהיא משפיעה על הערכת הסיכון, אופן ניהול המאגר, אבטחת המידע, התקשרויות עם ספקים, חובות ארגוניות ובמקרים מסוימים גם על חובת מינוי ממונה על הגנת הפרטיות.
פרט מזהה
פרט מזהה הוא מונח המתייחס לפריט מידע המאפשר את זיהויו של אדם באופן ייחודי. דוגמאות לפרטים מזהים: שם מלא, מספר תעודת זהות, מספר דרכון, כתובת מגורים מלאה, טביעת אצבע, תמונת פנים, כתובת דואר אלקטרוני אישית, מספר טלפון נייד, או מזהה טכנולוגי ייחודי (כגון כתובת MAC). פרטים מזהים משמשים כמפתחות לקישור מידע אל אדם ספציפי. חוק הגנת הפרטיות קובע שאם ניתן לזהות אדם באמצעות “פרט מזהה” – הרי שהמידע עליו ייחשב “מידע אישי”. למשל, כתובת IP כשלעצמה אינה שם אדם, אך אם היא מקושרת למנוי אינטרנט – היא פרט מזהה. מאגרי מידע מחזיקים לעיתים “פרטי זיהוי” לצד נתונים. לכן, הפרדת פרטים מזהים מיתר הנתונים היא טכניקה נפוצה להגנת פרטיות. עם זאת, בעידן הביג דאטה, גם שילוב של נתונים לא ישירות מזהים יכול יחדיו ליצור זיהוי (למשל צירוף תאריך לידה, מיקוד ומין מזהה אדם בחדות גבוהה).
תיקון 13 מגדיר “אדם ניתן לזיהוי” כמי שניתן לזהותו במאמץ סביר, במישרין או בעקיפין, ובכלל זה באמצעות פרט מזהה. כלומר, פרט מזהה הוא כל נתון שמחבר נקודתית לאדם, אך גם אם אין “פרט מזהה” יחיד – שילוב נתונים מספיק עלול להיחשב מזהה באותה מידה. על כן, בהיבטי ציות, יש להגן לא רק על טבלאות “פרטי הזיהוי” אלא גם על נתונים שעלולים לחשוף זהות. דוגמה נפוצה לפרט מזהה בישראל הוא מספר הזהות (9 ספרות) – מרבית המאגרים משתמשים בו כמקשר ראשי. גם כתובת דוא"ל אישי (שנושא את שם האדם) נחשבת מזהה. סיווג נכון של “מהו פרט מזהה” מסייע לבצע פסאודונימיזציה – החלפת הפרטים המזהים בקוד בדוי – כך שהמאגר עדיין שימושי אנליטית אך פחות פוגע בפרטיות.
נושא מידע
המונח "נושא מידע" מתייחס לאדם פרטי אשר אודותיו נאסף, נשמר או מעובד מידע אישי במסגרת מאגרי מידע. למרות שהמונח לא הוגדר במפורש בנוסח המקורי של חוק הגנת הפרטיות, הוא הפך למונח מקובל בשיח המשפטי והרגולטורי, במיוחד בעקבות תיקון 13 לחוק, אשר קרב את הדין הישראלי לסטנדרטים הבינלאומיים, דוגמת ה-GDPR האירופי. נושא המידע הוא בעל זכויות מהותיות כלפי הגורמים המעבדים את המידע עליו. זכויות אלו כוללות, בין היתר, את הזכות לעיין במידע שנאסף עליו, הזכות לדרוש תיקון או מחיקה של מידע שגוי או שאינו נחוץ, והזכות להגביל את עיבוד המידע במקרים מסוימים. בנוסף, נושא המידע רשאי להגיש תלונה לרשות להגנת הפרטיות במקרה של הפרת זכויותיו, ואף לתבוע פיצויים בגין נזקים שנגרמו לו עקב עיבוד בלתי חוקי של המידע.
תיקון 13 לחוק הגנת הפרטיות חיזק את מעמדו של נושא המידע על ידי הרחבת חובות היידוע וההסכמה של הגורמים המעבדים את המידע. כעת, על הגורמים הללו ליידע את נושא המידע על זכויותיו במעמד איסוף המידע, ולהבטיח כי עיבוד המידע נעשה בהתאם לעקרונות החוק, תוך שמירה על פרטיותו וכבודו של האדם.
עיבוד מידע
עיבוד מידע הוא מושג רחב המתאר כל פעולה או סט פעולות הנעשות במידע אישי, בין אם באופן אוטומטי ובין אם ידני. דוגמאות לעיבוד: איסוף מידע, הקלטה, ארגון וסידור במאגר, אחסון, עריכה ושינוי, שליפה, צפייה או עיון, שימוש, ניתוח, העברה לגורם אחר, הפצה, גילוי וחשיפה, מחיקה והשמדה – כל אלה נחשבים פעולות עיבוד. תיקון 13 לחוק הגנת הפרטיות הוסיף לראשונה הגדרה מפורשת של “עיבוד” – "כל פעולה במידע, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, חשיפתו, העברתו, מסירתו או מתן גישה אליו". ההגדרה מכוונת להיות מקיפה ככל האפשר, כדי לוודא שכל התהליכים שעובר מידע אישי יבוצעו תחת הוראות הדין. כך למשל, איסוף מידע חייב להיות הוגן ובידיעת האדם; שימוש במידע מותר רק למטרה שלשמה נמסר (עקרון צמידות המטרה); העברה או מסירה של מידע לגורם שלישי כפופה לתנאים ולהסכמת הנושא; העתקת מידע למחשב נייד או ענן – חייבת לשמור על אבטחתו; מחיקה של מידע כשהוא כבר לא נחוץ – נחשבת גם היא עיבוד נדרש (להימנע משמירה בלתי מוצדקת).
באמצעות מושג “עיבוד”, החוק חל לא רק על שמירת המידע אלא גם על פעולות כמו צפייה ועיון: גם מי שרק מורשה לצפות במידע במערכת מבצע “עיבוד” ומחויב למשל בכללי הסודיות ואי-הפצה. ההגדרה הרחבה גם מוודאת שגורמים חיצוניים (מעבדי מידע) המבצעים פעולות על הנתונים מטעם אחרים, יחשבו כ”מעבדים” הכפופים לחוק (ראה ערך “מחזיק”). בעולם של עיבודים אוטומטיים מורכבים (כמו אלגוריתמי ביג דאטה), המונח “עיבוד” כולל גם ניתוח ופרופילינג – אף שזה לא נזכר במפורש, ברור שניתוח נתונים הוא עיבוד. לסיכום, כל פעולה הנעשית עם מידע אישי – החל מאיסופו ועד מחיקתו – היא “עיבוד” החייב לקיים את דרישות חוק הגנת הפרטיות ועקרונותיו.
מי אחראי על המידע בארגון?
אחת הטעויות הנפוצות היא להניח שהאחריות לפרטיות נמצאת אצל מנהל ה־IT.
מנהל מערכות מידע יכול להיות גורם מרכזי ביישום אבטחת המידע, אך שאלת האחריות המשפטית אינה נקבעת רק לפי מי שמפעיל את המערכת.
בעל השליטה הוא הגורם שקובע את מטרות עיבוד המידע. במקביל, המחזיק עשוי לבצע את העיבוד בפועל עבורו.
לכן הנהלה צריכה להגדיר בבירור:
- אילו מאגרי מידע קיימים בארגון;
- איזה מידע אישי מוחזק בכל מאגר;
- איזה מידע בעל רגישות מיוחדת קיים;
- מה מטרות העיבוד;
- מי בעל השליטה;
- מי הם המחזיקים והספקים;
- מי מורשה לגשת למידע;
- לאן המידע מועבר;
- כמה זמן הוא נשמר;
- כיצד מתבצעת מחיקתו או השמדתו;
- אילו זכויות יש לנושאי המידע;
- אילו חובות דיווח, רישום או הודעה חלות על הארגון.
זוהי כבר שאלה של ממשל מידע, ולא רק של IT.
מתי נדרש ממונה על הגנת הפרטיות?
תיקון 13 יצר לראשונה בחוק מסגרת מפורשת לחובת מינוי ממונה על הגנת הפרטיות בסוגים שונים של ארגונים.
הרשות מציינת כי החובה חלה, בין היתר, על גופים ציבוריים ועל גופים מסוימים שעיבוד המידע שלהם מצדיק מינוי ממונה, בהתאם לתנאים הקבועים בסעיף 17ב לחוק. בין הקבוצות הרלוונטיות נכללים גופים ציבוריים, גופים שעיסוקם כולל פעולות מסוימות של מסירת מידע, ארגונים המבצעים ניטור שוטף ושיטתי בהיקף ניכר וארגונים שעיסוקם העיקרי כולל עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר, בכפוף לתנאי החוק.
גם כאשר לא קיימת חובת מינוי, הרשות מציינת כי מינוי ממונה על הגנת הפרטיות עשוי לשמש פרקטיקה ארגונית ראויה ולסייע לארגון בניהול סיכוני הפרטיות.
לכן, כאשר ארגון בוחן את תחולת תיקון 13 עליו, שאלת ה־DPO אינה צריכה להיבדק בנפרד ממיפוי המידע. היא חלק ממפת האחריות הארגונית הכוללת.
משרד וולר ושות' – המובילים בייעוץ משפטי בתחום הגנת הפרטיות
משרד עורכי דין וולר ושות' מתמחה בליווי משפטי ורגולטורי בתחום הגנת המידע והפרטיות, לרבות היערכות לתיקון 13 לחוק הגנת הפרטיות, ניהול סיכונים וכתיבת נהלים, הכשרות, מדיניות ורגולציה פנים-ארגונית. בין אם אתם גוף ציבורי, עמותה או תאגיד – אנחנו כאן כדי לסייע בהבנה, יישום והטמעה של הוראות החוק. השירותים שלנו כוללים ניתוח מבני מידע, בדיקות ציות, ניסוח הסכמים עם מחזיקים, וליווי שוטף מול הרשות להגנת הפרטיות. בואו לבנות איתנו את תשתית הציות שלכם – כדי להגן על המידע, לשמור על המוניטין ולצמצם סיכונים.
עו"ד רועי וולר
עורך דין ושותף בכיר | הגנת פרטיות, DPO – וולר ושות'
עו"ד רועי וולר, שותף בכיר במשרד וולר ושות׳ בחיפה. M.A במשפטים, DPO מוסמך ומנהל סיכונים ראשי (CRO). מתמחה בחוק לחוק הגנת הפרטיות ובאבטחת מידע. מלווה חברות ממשלתיות, רשויות מקומיות, חברות פרטיות, ציבוריות ומלכ"רים.
