הרשות להגנת הפרטיות פרסמה ביום 16.12.2025 את דו״ח פיקוח הרוחב במגזר החוקרים הפרטיים לשנים 2022–2023, דו״ח בעל חשיבות מהותית החורג בהרבה מענף החקירות הפרטיות בלבד. ממצאי הדו״ח נוגעים הלכה למעשה לכל גוף ציבורי ופרטי המנהל מאגרי מידע רגישים, ובכלל זה רשויות מקומיות, תאגידים עירוניים, חברות כ״א, ספקי שירותים, עמותות וגופים מסחריים. הדו״ח בוחן את עמידת משרדי החקירות והחוקרים הפרטיים בהוראות חוק הגנת הפרטיות, התשמ״א–1981, ובדרישות תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017, תוך בחינה מערכתית של מנגנוני בקרה ארגונית, ניהול מאגרי מידע, נהלים, והגנות טכנולוגיות. מסקנת העל של הדו״ח ברורה: רמת הציות הקיימת רחוקה מהנדרש, והפערים שנמצאו עשויים להוות בסיס להליכי אכיפה משמעותיים.
משמעויות, בשורה התחתונה:
חוקרים פרטיים, בדומה לגופים ציבוריים ועסקיים רבים, מחזיקים מידע אישי ורגיש במיוחד, לרבות מידע רפואי, כלכלי, משפחתי ותעסוקתי. החובה להגן על מידע זה אינה המלצה טכנולוגית, אלא חובה משפטית מחייבת, הניתנת לאכיפה. הדו״ח משתלב במגמת ההחמרה הכללית באכיפת דיני הפרטיות בישראל, מגמה אשר קיבלה ביטוי מובהק גם במסגרת תיקון 13 לחוק הגנת הפרטיות. גופים שאינם נערכים מראש עלולים ייחשפו להליכי פיקוח, מכתבי התראה, עיצומים כספיים, סנקציות מנהליות, ואף חשיפה אישית לבעלים.
ממצאים מרכזיים בדו״ח
אי-עמידה רחבה בדרישות החוק והתקנות
בסיום הליך הפיקוח נמצאו ליקויים מהותיים ב־35 מתוך 37 גופים שנבדקו. הרשות הורתה לגופים אלו להגיש תכניות תיקון מפורטות, לצד מינוי גורם אחראי לביצוע ולדיווח. הנתונים משקפים אחוזי עמידה נמוכים במיוחד בתחומי הבקרה הארגונית, אבטחת המידע וניהול מאגרי מידע, עם פערים שיטתיים ברוב הקריטריונים שנבדקו.
בקרה ארגונית ונהלים פנימיים
במשרדים רבים לא נמצאה תכנית עבודה שנתית בתחום אבטחת מידע והגנת פרטיות, ולא קיימים נהלים כתובים ומעודכנים בהתאם לדרישות התקנות. בין היתר נמצאו ליקויים בניהול הרשאות, בהפרדת תפקידים, ובהיעדר מערך הדרכות מסודר לעובדים ולנותני שירות.
ניהול מאגרי מידע
הדו״ח מצביע על כשלים נפוצים, ובהם חוסר התאמה בין מאגרי המידע בפועל לבין רישומם בפנקס מאגרי המידע; והיעדר כתבי מינוי תקפים וברורים לממונה על אבטחת מידע, או מינוי פורמלי בלבד ללא הגדרת סמכויות ואחריות.
אבטחת מידע תשתיתית ודיגיטלית
במישור הטכנולוגי נמצאו ליקויים משמעותיים, לרבות שימוש באמצעי אבטחה בסיסיים בלבד, ללא פתרונות מתקדמים לניהול נקודות קצה, זיהוי אירועים ותגובה להם. כמו כן נמצאו פערים במניעת גישה לא מורשית למערכות ולתשתיות.
תיעוד וניטור של גישות ואירועי אבטחה
במרבית הגופים לא קיים תיעוד שיטתי של גישות למאגרי מידע, ולא מתקיים ניטור אפקטיבי של אירועי אבטחה. היעדר תיעוד פוגע ביכולת לזהות חריגות, להגיב לאירועים ולבסס עמידה רגולטורית.
סיכוני כוח אדם והדרכות
כשליש מן הגופים אינם מבצעים סקרי מיון ובקרה לעובדים, ואינם מקיימים הדרכות ייעודיות בתחום אבטחת מידע והגנת פרטיות טרם מתן גישה למידע. מדובר באחד ממקורות הסיכון המרכזיים לאירועי אבטחה.
צעדי תיקון מומלצים
על בסיס ממצאי הדו״ח והפרקטיקה המקצועית, מומלץ לכל גוף המחזיק מאגרי מידע:
- לגבש תכנית עבודה שנתית בתחום אבטחת מידע והגנת פרטיות.
- לעדכן ולמסד נהלים כתובים בהתאם לתקנות.
- למנות ממונה על אבטחת מידע וממונה הגנת פרטיות (DPO במיקור חוץ), בהגדרה ברורה של תפקידים וסמכויות.
- להטמיע מערכות ניטור, בקרה ותיעוד של גישות ואירועים.
- לקיים מערך הדרכות תקופתי לעובדים ולנותני שירות.
- לבצע סקרי סיכונים תקופתיים ולתעד את ממצאי ההתאמה.
קישור לדו”ח הביקורת – כאן.
ליווי משפטי ויישומי בתחום הגנת הפרטיות
משרד וולר ושות’ מלווה רשויות מקומיות, תאגידים עירוניים, חברות וארגונים פרטיים בכל היבטי הגנת הפרטיות, אבטחת מידע, יישום תיקון 13, מינוי ממונה הגנת פרטיות (DPO), ניהול סיכונים רגולטוריים, והיערכות לביקורות ופיקוח של הרשות להגנת הפרטיות. לבדיקת מצב הציות בארגון, להיערכות לפיקוח, או לליווי מלא בתחום הגנת הפרטיות ואבטחת מידע, ניתן לפנות למשרד וולר ושות’ לקבלת ייעוץ מקצועי וממוקד.
