הגנת פרטיות לרואי חשבון: תיקון 13 – מדריך מלא

מדוע משרדי רואי חשבון נמצאים בסיכון מוגבר למתקפות סייבר?

משרדי רואי חשבון מרכזים מידע בעל ערך כלכלי רב. בניגוד לארגונים המחזיקים מידע מסוג אחד בלבד, רואה החשבון מחזיק לעיתים במידע פיננסי, עסקי ואישי של מאות ואף אלפי לקוחות במקביל.

במערכות המשרד ניתן למצוא פרטי חשבונות בנק, נתוני שכר, דוחות כספיים, הצהרות הון, מסמכי מס, מידע על עובדים, מידע מסחרי רגיש ופרטי התקשרות של לקוחות. מידע זה מהווה יעד אטרקטיבי לגורמים עברייניים המבקשים לבצע הונאות, סחיטה, גניבת זהות או מתקפות כופרה.

בנוסף, משרדי רואי חשבון משמשים לעיתים כ"שער כניסה" למערכות של לקוחותיהם. מסיבה זו, גורמי תקיפה רואים בהם יעד אסטרטגי המאפשר גישה עקיפה לארגונים נוספים. לנוכח מאפיינים אלו, נדרש מהמשרד לאמץ רמת אבטחה גבוהה, לבצע הערכות סיכונים תקופתיות ולהטמיע תרבות ארגונית המקדמת הגנה על מידע אישי.

המהפכה כבר כאן: תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף

ביום 14 באוגוסט 2025 נכנס לתוקפו המלא תיקון 13 לחוק הגנת הפרטיות, תשמ״א-1981, אשר מהווה נקודת מפנה רגולטורית בדיני המידע בישראל. אין מדובר בעדכון טכני או בהקשחת חובות קיימות בלבד, אלא בשינוי תפיסתי יסודי, המעביר את מרכז הכובד מן הרובד התפעולי־טכנולוגי אל הרובד הניהולי־משפטי. המחוקק הישראלי אימץ, הלכה למעשה, את גישת האחריותיות המוגברת המקובלת בדיני הגנת הפרטיות במשפט האירופי (GDPR), כעקרון-על, החולש על כלל מחזור חיי המידע.

משמעותו המעשית של עיקרון זה היא כי האחריות להגנת המידע האישי אינה ניתנת להאצלה. נושאי משרה, שותפים ובעלי שליטה בגוף המחזיק או המעבד מידע, נדרשים ליכולת להוכיח, באופן פוזיטיבי ומתמשך, עמידה בדין. אין עוד די בהתקשרות עם ספק IT, חברת ענן או יועץ אבטחת מידע, ואין עוד הגנה בטענה של כשל ספק או טעות אנוש חיצונית. האחריות חלה על הגוף עצמו כ״נאמן המידע״, ועל מנהליו כמי שמופקדים אישית על שלמותו, סודיותו וזמינותו.

בהקשר זה, תיקון 13 מחדד כי שרשרת העיבוד כולה, החל מאיסוף הנתונים, דרך אחסונם, עיבודם והעברתם, ועד למחיקתם, מצויה תחת אחריות משפטית אחת רציפה. זליגת מידע אצל ספק חיצוני, פרצת אבטחה במערכת הנהלת חשבונות, שימוש לא מבוקר בממשקי רשויות המס או אחסון בלתי מוסדר בשרתי ענן, אינם מהווים אירועים חיצוניים למשרד, אלא כשלי ציות המיוחסים לו במישרין.

מפת הסיכונים במשרד רואי חשבון לפי תיקון 13 לחוק הגנת הפרטיות

משרדי רואי חשבון מחזיקים בכמויות גדולות של מידע אישי, פיננסי ועסקי בעל רגישות גבוהה. במסגרת עבודתם השוטפת נאספים ומעובדים נתוני שכר, דוחות כספיים, מידע בנקאי, הצהרות הון, מסמכי מס, נתוני עובדים ופרטים אישיים של לקוחות פרטיים ועסקיים. מאפיינים אלו הופכים את משרד רואה החשבון ליעד אטרקטיבי לתוקפי סייבר ולגורם המצוי תחת פיקוח רגולטורי מוגבר.

תיקון 13 מחייב ארגונים לנקוט צעדים אקטיביים לזיהוי, הערכה וצמצום סיכונים הנוגעים למידע אישי. לפיכך, מומלץ לבצע מיפוי של סוגי המידע המוחזקים במשרד, לזהות את מקורות הסיכון, להעריך את חומרת הפגיעה האפשרית ולגבש אמצעי הגנה מתאימים.

בין מוקדי הסיכון המרכזיים ניתן למנות גישה בלתי מורשית למערכות שכר, העברת מסמכים פיננסיים בדואר אלקטרוני ללא הגנה מספקת, שימוש בלתי מבוקר בשירותי ענן, עבודה מרחוק ללא אמצעי אבטחה נאותים וחשיפת מידע אישי במסגרת התקשרות עם ספקים חיצוניים.

מדוע משרדי רואי חשבון נמצאים "על הכוונת" של הרשות להגנת הפרטיות?

משרד רואי חשבון אינו עוד גורם תומך בפעילות העסקית של לקוחותיו, אלא מהווה בפועל צומת מידע מרכזי ורב־שכבתי, שבו מתנקזים נתונים פיננסיים, אישיים ורגישים. היקף ועומק המידע המצוי בידי משרד רואי חשבון מהווה "נכס נפיץ", מידע בעל רגישות מיוחדת:

נתונים פיננסיים: מחזורים, מאזנים, דו"חות כספיים, חובות, רישומי הלוואות והצהרות הון המגלות את כל מצבת הנכסים של אדם. לעיתים נתונים אלו כוללים מחזורי עסקאות, חובות, הסכמים מסחריים, אישורים הנדרשים לצורך פעילות בהון, בעלות על נכסים ועסקאות שנמצאות בשלב קריטי של משא ומתן (ומשכך, זליגה של נתונים אלו עלולה להוביל לחשיפת מידע סודי ואסטרטגי).

נתוני שכר וצדדי ג': כאשר אתם מנהלים או מבצעים עיבוד שכר שכר עבור לקוחותיכם, אתם מחזיקים במידע אישי על צדדי ג' – עובדי הלקוח , שמעולם לא נתנו לכם הסכמה ישירה להחזקת המידע. המידע אף כולל מספרי תעודות זהות, פרטי חשבונות בנק, תשלומים פנסיוניים, טפסי 106 ו-101, הפרשות סוציאליות וכו'. לעיתים גם נתונים רגישים שנאספים במהלך טיפול בעזבונות, נאמנויות או העברת נכסים בין-דורית.

מידע רפואי וזכויות: מידע זה מגיע משרד רואה החשבון, לעיתים קרובות, באופן עקיף לצורך מיצוי זכויות והטבות מס. הנתונים כוללים מידע רפואי, אחוזי נכות במקרה של זכאות להטבות מס או פטורים שונים. נזכיר שוב כי חוק הגנת הפרטיות, ותיקון 13, מחמירים מאוד עם החזקת מידע רפואי, והדבר מהווה קריטריון מרכזי בחובת המינוי של ממונה הגנת פרטיות (DPO).

נתונים שנאספו מכוח חובה חוקית: לדוגמה, מידע שנאסף מכוח חובות 'הכר את הלקוח', אישורים מכוח החוק לאיסור הלבנת הון, אישורים סטטוטוריים המתייחסים לעוסק מורשה, ועוד.

נתוני התנהגות ותקשורת: כחלק מהניהול השוטף, נשמרים במשרד פרטי כרטיסי אשראי, רישיונות רכב, והתכתבויות דואר אלקטרוני. עצם העברת המידע מהלקוח אליכם אינה מהווה הסכמה אוטומטית לעיבודו, להפצתו, לשימוש בו ע"י צדדי ג' (לרבות בתוכנה או ע"י רואה חשבון הנותן שירות כפרילנסר), או לשימוש בו מעבר למטרה המוגדרת.

עיצומים כספיים והשלכות משפטיות של הפרת חוק הגנת הפרטיות

אחד החידושים המרכזיים בתיקון 13 הוא הרחבת סמכויות האכיפה של הרשות להגנת הפרטיות והגדלת היקף הסנקציות האפשריות בגין הפרות של החוק. מטרת התיקון היא להגביר את ההרתעה ולעודד ארגונים לאמץ תרבות ארגונית של ציות ואחריות.

הפרות שונות של הוראות החוק עשויות להוביל להטלת עיצומים כספיים משמעותיים, בהתאם לחומרת ההפרה, היקף המידע שנפגע, מספר מושאי המידע המעורבים והפעולות שנקט הארגון למניעת הנזק. לצד הסנקציות המנהליות עשויות לקום גם השלכות אזרחיות, לרבות תביעות לפיצויים בגין פגיעה בפרטיות.

מבחינת משרדי רואי חשבון, הסיכון אינו מתמצה רק בהיבט הכספי. אירוע פרטיות משמעותי עלול לגרום לפגיעה במוניטין, לאובדן אמון לקוחות ואף לחשיפה רגולטורית ממושכת. מסיבה זו, השקעה במנגנוני ציות ואבטחת מידע היא גם צעד עסקי חיוני ולא רק חובה משפטית.

ממונה הגנת הפרטיות (DPO): האם אתם חייבים במינוי?

אחד החידושים הדרמטיים בתיקון 13 הוא המעמד החוקי של ממונה על הגנת הפרטיות (Data Protection Officer). חובת המינוי חלה כעת במקרים של עיבוד מידע ברגישות מיוחדת בהיקף ניכר, או כאשר פעילות המשרד כוללת ניטור שיטתי של אנשים.

הממונה על הגנת הפרטיות אינו “פקיד ציות” ואינו גורם סמלי. תפקידו כולל גיבוש והטמעה של מדיניות הגנת מידע, ביצוע ביקורות תקופתיות, ליווי תהליכים עסקיים עתירי סיכון, פיקוח על התקשרויות עם ספקים חיצוניים, והכנת הארגון להתמודדות עם אירועי אבטחת מידע. מעמדו הייחודי נועד לאפשר לו עצמאות מקצועית, גישה ישירה להנהלה, ויכולת להתריע על כשלים גם כאשר הדבר אינו נוח ניהולית.

מתי חלה חובת מינוי ממונה הגנת הפרטיות (DPO) על רואה חשבון?

עיבוד מידע ברגישות מיוחדת בהיקף ניכר: אם המשרד מנהל מאגרי מידע הכוללים נתונים פיננסיים או אישיים רגישים בקנה מידה רחב.

ניטור שיטתי: גופים המבצעים מעקב או ניטור שוטף אחר בני אדם.

סחר במידע: כאשר מאגר המידע נועד למסירת מידע לצדדים שלישיים כחלק מהפעילות העסקית.

רשימת צעדי חובה לרואה החשבון (צ'ק ליסט אסטרטגי)

• בצעו מיפוי נכסי מידע ואפיון: ערכו סקר מקיף לאיתור כלל מקורות המידע במשרד. החל מהשרת המקומי, דרך התוכנות בענן ועד לגיבויים חיצוניים. אפיינו את זרימת המידע לפי רגישות המידע, מספר מורשי הגישה, תחומי העיסוק ופרופיל הלקוחות.

• עדכנו חובות דיווח ורישום מאגרים: בצעו בחינה מחודשת של מאגרי המידע הקיימים.

• הסדירו חוזית את ניהול הספקים (DPA): האחריות המשפטית נשארת אצלכם גם כשהמידע מאוחסן במיקור חוץ. חתמו על הסכם עיבוד נתונים (DPA) מול כל ספק.

• גבשו מדיניות פרטיות ונהלי אבטחה: נסחו מסמכי מדיניות פנימיים וחיצוניים המותאמים למבנה המשרד שלכם. נהלים אלו הם "קו ההגנה הראשון" שלכם מול ביקורת של הרשות להגנת הפרטיות.

• בחנו האם יש צורך למנות ממונה הגנת פרטיות (DPO): האם היקף המידע הרגיש במשרדכם מחייב מינוי DPO.

• שדרגו את מערכות האבטחה הטכנולוגיות: הטמיעו כלי ניטור ותיעוד פעולות, הצפנת נתונים והפרדה לוגית בין מאגרים. צעדים אלו קריטיים למניעת זליגת מידע ופגיעה בזכויות הפרטיות של הנישומים.

• העבירו הדרכות עובדים: חזקו את החוליה האנושית במשרד. קיימו הדרכות תקופתיות להעלאת המודעות לשמירה על סודיות, כחלק בלתי נפרד מהאתיקה המקצועית ודרישות הציות החדשות.

• אמצו טכנולוגיית "פרטיות כברירת מחדל": עברו לפתרונות מחשוב המאפשרים הפרדה מוחלטת בין נתוני לקוחות שונים ועומדים בתקני אבטחה בינלאומיים, כדי להבטיח שכל תהליך עבודה מוגן מראשיתו.

האם ספקי התוכנה מגנים על רואה החשבון – או רק על עצמם?

רוב משרדי רואי החשבון בישראל נשענים על תוכנות לניהול שכר, הנהלת חשבונות ("חשבשבת", "שקל"), שירותי ענן (Dropbox, Google Drive), תיבות דוא"ל חינמיות (Gmail), מערכות דיוור, מערכות חיצוניות לניהול תיקי לקוחות, חתימה אלקטרונית, גיבויים וכיוצ"ב. אף שמבחינה טכנולוגית המידע מצוי בידי ספק אחר, מבחינה משפטית המשרד נותר אחראי כלפי לקוחותיו וכלפי הרגולטור על אופן עיבוד המידע ועל ההגנה עליו.

החובה המשפטית, ונדמה שגם האתית, אינה מסתיימת בלחיצה על אישור תנאי השימוש (Terms of Service) הגנריים של חברות הענן או התוכנה. הסכמים אלו מנוסחים בדרך כלל כדי להגן על הספק ולצמצם את אחריותו במקרה של דליפת מידע. לפיכך, תקנות הגנת הפרטיות (תקנה 15) מחייבת את המשרד לנסח הסכם משפטי – DPA, המוודא שהספק החיצוני מתחייב לשמור על אותה רמת אבטחת מידע ופרטיות, החלה על רואה החשבון. החל אמצעים מקובלים לשמירת ואבטחת המידע, חובת דיווח מיידית אליכם על אירוע אבטחה, פירוט אמצעי ההצפנה והפרדת המידע, ביצוע ביקורות תקופתיות על אופן שמירת המידע, ועוד.

זכרו: כשהרשות להגנת הפרטיות תחקור דליפת מידע, שארעה באופן מכוון או בטעות, היא לא תסתפק בתירוץ 'זה שמור בענן'. היא תבקש לראות את ההסכם (ה-DPA) החתום. ללא הסכם מותאם אישית שמעגן את אחריות הספק, המשרד שלכם נותר בחזית המשפטית לבדו, חשוף לעיצומים כספיים, לתביעות נזיקין, ללא יכולת שיבוב אפקטיבית כלפי הספק.

הטמעת עקרון "הגנת הפרטיות כברירת מחדל" (Privacy by Default)

תיקון 13 לחוק הגנת הפרטיות אינו מסתפק בקביעת חובות תיעוד, אבטחת מידע ודיווח. הוא משקף תפיסה רחבה יותר של ממשל פרטיות (Privacy Governance), שלפיה הגנת הפרטיות אינה שלב המתווסף לאחר השלמת הפרויקט, אלא שיקול שיש לשלב כבר בשלב התכנון של כל תהליך עסקי, ארגוני או טכנולוגי.

עבור משרדי רואי חשבון, משמעות הדבר היא כי כל פעילות הכרוכה באיסוף, שימוש או שמירה של מידע אישי צריכה להיבחן מראש גם מנקודת מבטה של הגנת הפרטיות. כך למשל, בעת קליטת לקוח חדש, הטמעת מערכת לניהול קשרי לקוחות (CRM), מעבר למערכת הנהלת חשבונות חדשה, שימוש בשירותי ענן, שילוב כלי בינה מלאכותית או הקמת אזור אישי ללקוחות, יש לבחון האם נאסף רק המידע הדרוש למטרה שלשמה הוא נדרש, מי רשאי לגשת אליו, כמה זמן יישמר וכיצד יוגן מפני גישה בלתי מורשית.

גישה זו מבטאת גם את עקרון מזעור המידע, שלפיו אין לאסוף או לשמור מידע אישי מעבר לנדרש לצורך מתן השירות או לעמידה בחובה שבדין. שמירת מסמכים או נתונים "למקרה שיידרשו בעתיד" עלולה להגדיל את החשיפה לסיכוני אבטחת מידע ולהכביד על עמידת המשרד בדרישות החוק.

במקרים שבהם משרד רואי החשבון מבקש להטמיע מערכת חדשה או לבצע פעילות העלולה ליצור סיכון משמעותי לפרטיות, מומלץ לבצע תסקיר השפעה על פרטיות (DPIA) עוד בשלב התכנון. מטרת התסקיר היא לזהות מראש את הסיכונים האפשריים, להעריך את השפעתם על נושאי המידע ולבחון אילו אמצעים ארגוניים, משפטיים וטכנולוגיים נדרשים לצמצומם.

לדוגמה, לפני הטמעת מערכת CRM חדשה, מומלץ לבחון בין היתר:

• אילו קטגוריות של מידע אישי יישמרו במערכת.
• היכן מאוחסן המידע והאם הוא מועבר מחוץ לישראל.
• מי יהיו בעלי הרשאות הגישה ובאילו תנאים.
• כיצד מתבצעים גיבוי, מחיקה ושחזור של מידע.
• האם ספק המערכת עומד בדרישות אבטחת המידע ובהתחייבויות החוזיות הנדרשות.
• האם קיימים מנגנוני תיעוד, בקרה וניהול הרשאות.

הטמעת שיקולי פרטיות כבר בשלבי התכנון אינה רק אמצעי לצמצום סיכונים משפטיים. היא מהווה נדבך מרכזי בממשל תאגידי תקין, מחזקת את אמון הלקוחות ומאפשרת למשרד להוכיח כי נקט אמצעים סבירים לעמידה בהוראות חוק הגנת הפרטיות ובתקנות אבטחת המידע.

האם שימוש ב־ChatGPT, Copilot, Gemini או כלי בינה מלאכותית אחרים במשרד רואי חשבון עלול להפר את חוק הגנת הפרטיות?

התשובה הקצרה:

כן. שימוש בכלי בינה מלאכותית במשרד רואי חשבון עלול להוביל להפרת הוראות חוק הגנת הפרטיות, תקנות הגנת הפרטיות (אבטחת מידע) והתחייבויות חוזיות כלפי לקוחות, אם מוזן למערכת מידע אישי, מידע פיננסי או מידע עסקי ללא בחינה מוקדמת של הסיכונים וללא נקיטת אמצעי הגנה מתאימים. מנגד, עצם השימוש בכלי AI אינו אסור. כאשר השימוש נעשה במסגרת מדיניות ארגונית מסודרת, תוך הגבלת סוגי המידע המוזנים למערכת, ניתן ליהנות מיתרונות הבינה המלאכותית מבלי לפגוע בחובות הציות.

בשנים האחרונות מערכות כגון ChatGPT, Microsoft Copilot, Google Gemini וכלי AI נוספים מהוות כלי עבודה יומיומיים במשרדי רואי חשבון. הן מסייעות בניסוח מסמכים, בניתוח נתונים, בהכנת סיכומי ישיבות, בבדיקת נוסחים מקצועיים ואף באוטומציה של משימות חוזרות. לצד היתרונות, השימוש בהן מעלה שאלות משפטיות חדשות הנוגעות להגנת הפרטיות, לאבטחת מידע ולחובת הסודיות המקצועית.

הסיכון המרכזי אינו נובע מהכלי עצמו, אלא מהמידע שמוזן אליו. כאשר עובד מעתיק למערכת נתונים הכוללים שמות לקוחות, מספרי זהות, נתוני שכר, דוחות כספיים, מידע רפואי, פרטי חשבון בנק או מידע עסקי רגיש, הוא עלול לחשוף מידע אישי לצד שלישי או לבצע עיבוד מידע שלא בהתאם למטרות שלשמן נאסף. במקרים מסוימים עלולה להתעורר גם שאלה האם ההעברה עומדת בהוראות הדין ובהתחייבויות החוזיות כלפי הלקוח.

משרד רואי חשבון המבקש לשלב כלי AI בפעילותו צריך לאמץ מדיניות ארגונית ברורה, הכוללת הנחיות לעובדים באשר לסוגי המידע שמותר ואסור להזין, מנגנוני בקרה ואישור, הכשרות תקופתיות ובחינה של הספקים הטכנולוגיים שבהם נעשה שימוש. במקרים מסוימים יהיה צורך גם לעדכן נהלים פנימיים, הסכמים עם ספקים והסכמי סודיות.

טעויות נפוצות בשימוש בבינה מלאכותית במשרדי רואי חשבון

• הדבקת דוחות כספיים או קובצי הנהלת חשבונות הכוללים פרטים מזהים למערכת AI ציבורית.
• הזנת תלושי שכר, דוחות מס או מסמכי ביקורת ללא השחרת נתונים אישיים.
• שימוש בחשבון AI פרטי של עובד לצורך טיפול במידע של לקוחות המשרד.
• העתקת מסמכים הכוללים מידע חסוי או סודות מסחריים ללא אישור מתאים.
• הסתמכות על תשובות מערכת AI מבלי לבצע בדיקה מקצועית ומשפטית של נכונותן.

כיצד ניתן לצמצם את הסיכון?

מומלץ לכל משרד רואי חשבון לקבוע מדיניות מסודרת לשימוש בבינה מלאכותית, ובין היתר:

• לאסור הזנת מידע אישי או מידע רגיש למערכות AI ציבוריות, אלא אם קיימת הרשאה מפורשת ומנגנוני הגנה מתאימים.
• להשתמש ככל האפשר במידע שעבר אנונימיזציה או פסאודונימיזציה.
• להדריך עובדים באשר לסיכוני פרטיות, אבטחת מידע וסודיות מקצועית.
• לבחון את תנאי השימוש והתחייבויות ספקי הבינה המלאכותית.
• לעדכן את נהלי אבטחת המידע כך שיכללו גם שימוש בכלי AI.
• לבצע בקרה תקופתית על אופן השימוש בכלים אלה במשרד.

שילוב בינה מלאכותית במשרד רואי חשבון יכול לשפר משמעותית את היעילות, אך עליו להיעשות כחלק ממערך ציות כולל, המשלב אבטחת מידע, הגנת פרטיות, ניהול סיכונים והכשרת עובדים. משרד המאמץ כלים חדשניים ללא מסגרת ממשל תאגידי מתאימה עלול להיחשף לסיכונים משפטיים, רגולטוריים ומוניטיניים שניתן למנוע באמצעות תכנון מוקדם וניהול נכון של המידע.

מה חייב משרד רואי חשבון לעשות במקרה של אירוע אבטחת מידע?

דליפת מידע, מתקפת כופרה, חדירה למערכת או שליחת מסמך רגיש לנמען שגוי עלולים להוות אירוע אבטחת מידע המחייב טיפול מיידי. תיקון 13 מחזק את חובות הארגון בכל הנוגע לניהול אירועים מסוג זה ולתיעודם.

בשלב הראשון יש לזהות את האירוע ולהבין את היקף הפגיעה. לאחר מכן יש לנקוט פעולות לצמצום הנזק, לרבות חסימת גישה, החלפת סיסמאות, ניתוק מערכות נגועות ושימור ראיות דיגיטליות. במקביל יש לתעד את כלל הפעולות שבוצעו ואת נסיבות האירוע.

במקרים מסוימים עשויה לקום חובה לדווח לרשות להגנת הפרטיות ואף ליידע את מושאי המידע שנפגעו. בנוסף לכך, מומלץ לבצע תחקיר מסודר, להפיק לקחים ולעדכן נהלים ואמצעי הגנה כדי למנוע הישנות מקרים דומים בעתיד.

פרוטוקול "תגובה לאירוע": חובת הדיווח במקרה של פגיעה באבטחת המידע / הפרטיות

אחת החובות המחמירות ביותר בחוק הגנת הפרטיות, היא חובת הדיווח על אירוע אבטחה חמור. דמיינו מצב שבו תיבת הדוא"ל של אחד השותפים נפרץ במהלך סוף שבוע, או שדיסק-און-קי המכיל הצהרות הון של לקוחות אסטרטגיים אובד, או שספק התוכנה מודיע שהיתה פריצה לשרת שלו/שלכם, והוא נתון תחת מתקפת כופר. במקרה כזה, השעון מתחיל לתקתק. החוק דורש דיווח לרשות להגנת הפרטיות בלוחות זמנים קצרים מאוד. אי-עמידה בחובה זו עלולה להפוך לסנקציות פליליות וקנסות מנהליים כבדים, עד כדי השבתת הפעילות של המשרד.

משרד רואי חשבון ללא פרוטוקול תגובה לאירוע, כתוב ומוטמע, דומה לבניין ללא מטפי כיבוי. הפרוטוקול שאנו בונים עבורכם מגדיר במדויק מי הגורם במשרד שמרכז את הטיפול, באילו מקרים חלה חובת דיווח לרשות (וללקוחות), וכיצד מתעדים את הפעולות שננקטו כדי לצמצם את הנזק. הוכחת קיומו של נוהל כזה היא ההגנה הטובה ביותר שלכם מול הרגולטור. היא מוכיחה שפעלתם באחריות, ולא ברשלנות. מטרתנו היא לוודא שב"שעה הראשונה" של המשבר, המשרד שלכם יפעל כמכונה משומנת, הממזערת חשיפה משפטית ופגיעה במוניטין שצברתם לאורך שנים.

כיצד להתכונן לביקורת של הרשות להגנת הפרטיות?

מניסיוננו, ביקורת של הרשות להגנת הפרטיות אינה מתחילה בדרך כלל בבדיקת אמצעי ההצפנה או מערכות המחשוב, אלא בבחינת מנגנוני הניהול של הארגון.

ברוב המקרים תבקש הרשות לעיין במדיניות הפרטיות של המשרד, במסמכי מיפוי מאגרי המידע, ברשימות ההרשאות, בנהלי אבטחת המידע, בהסכמים עם ספקים, בתיעוד ההדרכות לעובדים, במנגנוני ניהול אירועי אבטחה ובמסמכי ניהול הסיכונים.

לפיכך, משרד רואי חשבון המבקש להיערך לביקורת צריך לוודא כי כל המסמכים קיימים, מעודכנים ומשקפים את אופן הפעילות בפועל. אין די בקיומם של נהלים פורמליים; על המשרד להיות מסוגל להראות כי הנהלים מיושמים הלכה למעשה וכי מתקיימים מנגנוני בקרה, תיעוד ושיפור מתמיד.

האתיקה המקצועית פוגשת את החוק

תקנות האתיקה של רואי החשבון בישראל עיגנו מאז ומתמיד חובת סודיות קפדנית, הנגזרת מיחסי האמון שבין בעל המקצוע ללקוח. חובת הסודיות נתפסה לאורך שנים כחובה נורמטיבית־מקצועית, שהפרתה נבחנת בעיקר במישור המשמעתי, באמצעות מועצת רואי החשבון. תיקון 13 לחוק הגנת הפרטיות משנה מן היסוד את נקודת האיזון הזו, ומעביר את חובת הסודיות מעולם האתיקה בלבד אל זירת הציות הרגולטורי המחייב.

במצב המשפטי החדש, אותה התנהלות שבעבר הייתה עשויה להוביל להליך משמעתי פנימי, עלולה כיום להיחשב כהפרה של הוראות חוק הגנת הפרטיות. המשמעות המעשית היא הרחבת מעגל החשיפה של המשרד, מאחריות אתית לאחריות מנהלית ואף פלילית, בהתאם לסמכויות האכיפה של הרשות להגנת הפרטיות. סמכויות אלו כוללות דרישות לתיקון ליקויים, עיצומים כספיים משמעותיים, פרסום פומבי של הפרות, ובמקרים חמורים גם פתיחה בהליכים אישיים נגד נושאי משרה.

השילוב בין האתיקה של רואי החשבון, לדין הרגולטורי, יוצר סטנדרט חדש של אחריות. רואה החשבון אינו נמדד עוד רק בשאלה האם פעל ביושר מקצועי, אלא האם המשרד ניהל בפועל מערך מסודר של הגנת מידע: מדיניות כתובה, בקרות, הסכמים עם ספקים, הרשאות גישה, תיעוד והדרכה. תיקון 13 מטשטש את הגבול בין “טעות מקצועית” לבין “כשל ניהולי”, ומבהיר כי שמירה על סודיות אינה עקרון ערכי בלבד, אלא חובת ציות אקטיבית, הנבחנת בעיני רגולטור חיצוני ובסטנדרטים מחמירים של ממשל תאגידי.

ממונה הגנת הפרטיות (DPO) במיקור חוץ – הפתרון המעשי למשרדי רואי חשבון

תיקון 13 מחייב חלק ממשרדי רואי החשבון במינוי ממונה הגנת פרטיות. אולם, לא כל משרד נדרש להעסיק דמות כזו במשרה מלאה, ולא כל משרד יכול להרשות לעצמו את העלות. כאן נכנס מודל ה-DPO חיצוני (DPO as a Service): הסדר שבו עורך דין מוסמך, בעל התמחות בדיני הגנת הפרטיות, ממלא את תפקיד הממונה עבורכם — במסגרת ריטיינר קבוע, ללא עלות של עובד בכיר נוסף.

מה כולל שירות DPO חיצוני למשרד רואי חשבון?

DPO חיצוני אינו "חותמת ציות": הוא גורם פעיל השותף לניהול המשרד. בפועל, הוא מבצע מיפוי ראשוני של מאגרי המידע (נתוני לקוחות, שכר, מס ומידע רפואי רגיש) וסיווגם לפי רמת רגישות; מנסח ומעדכן את מדיניות הפרטיות, הסכמות הלקוח, ותנאי ניהול המאגרים; בוחן ומחתים ספקים (תוכנות ענן, מערכות הנהלת חשבונות, שירותי גיבוי)  על הסכמי DPA תואמי חוק; מכין את המשרד לביקורות הרשות להגנת הפרטיות; ומשמש כנקודת קשר רשמית מול הרשות ומול לקוחות שמממשים את זכויותיהם לעיון, תיקון או מחיקת מידע. בנוסף, הוא מדריך את צוות המשרד ומוודא שכל שינוי תהליכי נבחן תחילה דרך עדשת הפרטיות.

למה DPO חיצוני עדיף על DPO פנימי למשרד רואי חשבון ממוצע?

רואה חשבון בכיר שמתמנה ל"ממונה פרטיות" מתוך הצוות הפנימי, מחזיק בניגוד עניינים מובנה: הוא אינו יכול לבקר את עצמו. DPO חיצוני מספק עצמאות מקצועית אמיתית, ידע משפטי עדכני, וניסיון רוחבי ממגוון ארגונים. אלו  יתרונות שאיש צוות פנימי לרוב אינו מסוגל לספק. עבור משרד המנהל עיבוד שכר, ייעוץ מס ועבודה עם מאגרי לקוחות – זוהי ההגנה הנכונה.

לסיכום

משרדי רואי חשבון הפועלים כיום ללא מיפוי מלא של מאגרי המידע, ללא נהלי עבודה עדכניים וללא גורם אחראי מובהק להגנת הפרטיות, חשופים לסיכון מצטבר. סיכון זה אינו מתמצה בקנסות או בסנקציות פורמליות, אלא כולל פגיעה במוניטין, אובדן לקוחות והעמדת נושאי המשרה במצב של אחריות אישית. תיקון 13 מבהיר כי ציות אינו תגובה לאירוע, אלא תהליך מתמשך של ניהול, בקרה והוכחת אחריות.

משרד עורכי הדין וולר ושות' (נוסד 1965) מלווה משרדי רואי חשבון וגורמים מקצועיים נוספים בגיבוש מעטפת ציות מלאה: מיפוי וסיווג מאגרי מידע, ניסוח והטמעת נהלי פרטיות ואבטחת מידע, ליווי בהתקשרויות עם ספקים חיצוניים, וכן מינוי ממונה על הגנת הפרטיות, בהתאם להיקף הפעילות ולמאפייני הסיכון של המשרד. אנו מזמינים אתכם לפגישת ייעוץ אסטרטגית, שמטרתה בחינת רמת המוכנות הרגולטורית של המשרד, זיהוי פערים והצגת פתרונות ישימים.

נכתב על ידי עו״ד רועי וולר (LL.B, M.A), שותף בכיר במשרד עורכי דין וולר ושות׳. מתמחה בדיני הגנת הפרטיות, ניהול סיכוני מידע וציות רגולטורי, ומנהל סיכונים ראשי (C.R.O). עו״ד רועי וולר מלווה רשויות מקומיות, תאגידים ציבוריים ועמותות ביישום תיקון 13 לחוק הגנת הפרטיות, כממונה הגנת הפרטיות (D.P.O) ובהטמעת תהליכי ציות, אבטחת מידע וניהול סיכונים ארגוניים. לשעבר מנכ״ל רשות מקומית, ראש מטה שר ויועץ בכיר ליו״ר ועדת הכספים בכנסת, בעל ניסיון עשיר בממשק שבין משפט, טכנולוגיה וניהול ציבורי. עו״ד וולר מרצה ומפרסם מאמרים מקצועיים בתחומי הגנת פרטיות, סייבר, ניהול סיכונים וציות רגולטורי. 

פורסם ביום: 02/02/2026. עודכן ביום 07/07/2026.

תחום: הגנת הפרטיות ואבטחת מידע.