מה בעצם השתנה
עד תיקון 13, חוק הגנת הפרטיות היה במידה רבה חוק על הנייר. החובות היו קיימות, אבל האכיפה הייתה מוגבלת והסנקציות לא הרתיעו. התיקון שינה בדיוק את זה: הוא הרחיב באופן דרמטי את סמכויות האכיפה של הרשות להגנת הפרטיות, והעלה את רף העיצומים הכספיים לסכומים שמרגישים אותם.
בפועל המשמעות היא מעבר מעולם שבו אי-ציות היה סיכון תיאורטי, לעולם שבו הוא סעיף בתקציב הסיכונים. לצד זה התיקון הוסיף חובות מהותיות — תיעוד, מינוי ממונה בגופים מסוימים, והגדרות מעודכנות של תפקידי בעל מאגר ומחזיק.
על מי החוק חל
טעות נפוצה היא לחשוב שזה נוגע רק לחברות טכנולוגיה או לגופים גדולים. החוק חל על כל מי שמעבד מידע אישי, וההגדרה של מידע אישי רחבה בהרבה ממה שרוב העסקים מניחים.
- רשימות לקוחותכל CRM, גיליון אקסל או מערכת דיוור שמחזיקים שם, טלפון או אימייל.
- מועמדים לעבודהקורות חיים שהתקבלו ולא נמחקו הם מאגר מידע לכל דבר.
- מצלמות אבטחהצילום של אנשים מזוהים הוא עיבוד מידע אישי.
- ספקי SaaS וענןשירותים שמעבדים מידע בשמך — האחריות נשארת שלך.
- תיקי עובדיםשכר, הערכות, מסמכים רפואיים — מהמידע הרגיש ביותר שארגון מחזיק.
מה נדרש בפועל
הפער הגדול ביותר שאני רואה אצל עסקים הוא לא היעדר רצון לציית — אלא חוסר ידיעה מה בכלל צריך לעשות. הנה המרכיבים המרכזיים.
מיפוי המידע
לפני כל מסמך: איזה מידע אישי נכנס לארגון, איפה הוא נשמר, מי ניגש אליו, ולאן הוא עובר. בלי המיפוי הזה כל שאר העבודה מנחשת.
בחינת חובת רישום
חובת רישום מאגר תלויה בהיקף המידע, במספר נושאי המידע וברגישותו. גם מאגר פטור מרישום כפוף לשאר חובות החוק.
נהלים ומדיניות
מדיניות פרטיות שתואמת את מה שקורה בפועל, נוהל אבטחת מידע, נוהל מימוש זכויות ונוהל טיפול באירוע.
הסכמי עיבוד מידע
כל ספק שמעבד מידע עבורך צריך הסכם שמסדיר מה מותר לו לעשות איתו.
בחינת מינוי ממונה
החובה חלה על סוגי גופים מסוימים. גם כשאין חובה, למינוי יש ערך בהוכחת ציות.
הטמעה
נוהל שהצוות לא מכיר אינו נוהל. הדרכה קצרה שווה יותר מקלסר במגירה.
מה קורה כשיש אירוע אבטחת מידע
זה החלק שהכי מזניחים, והוא זה שהכי מהר הופך לבעיה. באירוע אבטחה יש חובות דיווח בלוחות זמנים קצרים, ולעיתים גם חובה ליידע את נושאי המידע עצמם.
ההבדל בין ארגון שמתמודד עם אירוע בצורה מסודרת לבין ארגון שמחמיר אותו הוא כמעט תמיד השאלה אם היה נוהל מוכן מראש. באמצע אירוע אף אחד לא ממציא תהליך — הוא רק מבצע או לא מבצע.
כמה זמן זה לוקח
מיפוי ראשוני של ארגון בינוני ניתן להשלים בשבועות ספורים. הטמעה מלאה — נהלים, הסכמים מול ספקים, הדרכה ותהליכי עבודה — לוקחת בדרך כלל חודשים.
ההמלצה המעשית שלי היא לא לנסות לעשות הכול בבת אחת. להתחיל במיפוי, לזהות את שלושת הפערים המסוכנים ביותר, ולסגור אותם. זה מוריד את רוב החשיפה בחלק קטן מהמאמץ.