מאגר מידע - איך עומדים בהוראות החוק

מה נחשב מאגר מידע לפי חוק הגנת הפרטיות

עסקים רבים מחזיקים מאגר מידע בלי לדעת שזה השם המשפטי של מה שיש להם. רשימת לקוחות בתוכנת הנהלת חשבונות, טבלת מטופלים במרפאה, מערכת CRM (מערכת לניהול קשרי לקוחות) של משרד קטן, או קובץ נרשמים לניוזלטר - כל אלה עשויים להיחשב מאגר מידע. ההגדרה בחוק נוסחה מחדש בתיקון מס' 13, והיא רחבה מאוד: מדובר בכל אוסף של פרטי מידע אישי שמעובד באמצעי דיגיטלי.

כמעט כל עסק שמנהל מידע על לקוחות, עובדים או ספקים במחשב, בענן או בטלפון מחזיק מאגר מידע במובן החוק. המשמעות המעשית היא שהשאלה איננה "האם יש לנו מאגר", אלא "איזה סוג מאגר יש לנו ואילו חובות חלות עליו".

מהו מידע אישי

החוק מדבר כיום על "מידע אישי": כל נתון שנוגע לאדם מזוהה, או לאדם שאפשר לזהות אותו במאמץ סביר. ההגדרה הזו אינה מוגבלת לשם ולמספר תעודת זהות. גם צירוף של נתונים שכל אחד מהם לבדו נראה תמים - כתובת, תאריך לידה, מקום עבודה - יכול להפוך למידע אישי כשאפשר לחבר אותו לאדם מסוים.

מידע בעל רגישות מיוחדת

בתוך המידע האישי הגדיר המחוקק קטגוריה מחמירה יותר: מידע בעל רגישות מיוחדת. נכללים בה בין השאר נתוני בריאות, מידע גנטי, מזהה ביומטרי (כמו טביעת אצבע או זיהוי פנים), עבר פלילי, דעות ואמונות, נתוני שכר ופעילות פיננסית, ונתוני מיקום. מאגר שמכיל מידע כזה נכנס לרוב לרמת אבטחה גבוהה יותר, ובמקרים מסוימים גם לחובת הודעה לרשות.

שני חריגים להגדרה

• אוסף שמשמש לצורך אישי ואינו נועד למטרה עסקית - למשל רשימת אנשי קשר פרטית של אדם.
• אוסף שכולל אך ורק שם, מען ודרכי התקשרות של 100,000 בני אדם או פחות, שאינו מלמד דבר נוסף עליהם, ובתנאי שלבעל האוסף אין אוסף אחר על אותם אנשים.

החריג השני צר יותר ממה שנראה. ברגע שלרשימת אנשי הקשר מצטרף שדה נוסף, כמו היסטוריית רכישות או סוג השירות שהלקוח קיבל, החריג כבר לא חל.

מי נושא באחריות למאגר המידע

תיקון מס' 13 שינה את המונחים שבהם החוק מתאר את האחראים. המושג המרכזי כיום הוא "בעל שליטה במאגר" - הארגון שקובע לשם מה המידע נאסף ומעובד. לצידו קיים "מחזיק", כלומר גורם שמחזיק את המידע או מעבד אותו עבור בעל השליטה, כמו ספק שירותי ענן, חברת שכר או משרד שמנהל עבור עסק את מערך הדיוור.

בגוף פרטי בוטלה החובה למנות מנהל מאגר, ויחד איתה בוטלה גם האחריות האישית שלו לאבטחה - האחריות מונחת כעת על הארגון עצמו. המשמעות היא שאין "להעביר" את הנושא לעובד אחד ולהניח שהבעיה נפתרה; ההנהלה היא שצריכה לוודא שהמאגר עומד בדרישות.

דוגמאות לגופים שהחוק חל עליהם

• רשויות מקומיות, כמו עיריות ומועצות, שמחזיקות מידע רב על התושבים.
• חברות ועסקים ששומרים פרטים אישיים של לקוחות: מספר זהות, כתובת, פרטי כרטיס אשראי.
• ארגונים שמשתמשים במידע על אנשים כחלק מהעיסוק עצמו - מרפאות, משרדי עורכי דין, מוסדות חינוך, חברות השמה.
• ספקים שמעבדים מידע עבור לקוחות עסקיים, בתפקיד המחזיק.

למה הנושא נעשה רגיש יותר

חברות מתחרות היום על איסוף כמויות עתק של נתונים על לקוחות וגולשים. המידע כבר אינו משמש רק לניהול מסודר של רשימת לקוחות, אלא לניתוח העדפות, לפילוח קהלים ולהתאמת פרסום ומוצרים. כלים כמו גוגל אנליטיקס ומערכות שיווק אוטומטיות הפכו את האיסוף לפשוט, אבל החוק מציב לו גבולות: מותר לאסוף ולעבד מידע אישי רק במסגרת החובות שהחוק והתקנות קובעים, וככל שהמאגר גדול ורגיש יותר, הגבולות הדוקים יותר.

חובת רישום וחובת הודעה - מי צריך לדווח לרשות

לאחר שארגון מזהה שיש בידיו מאגר מידע, השאלה הבאה היא האם עליו לדווח עליו לרשות להגנת הפרטיות. כאן תיקון מס' 13 צמצם מאוד את היקף החובה. פנקס מאגרי המידע עדיין קיים ומנוהל בידי הרשות, אבל רוב העסקים כבר אינם חייבים לרשום בו את המאגרים שלהם.

מי חייב ברישום

1. מאגר שעיקר מטרתו איסוף מידע אישי כדי למסור אותו לאחרים כעיסוק או תמורת תשלום, כולל דיוור ישיר, כשיש בו מידע על יותר מ-10,000 בני אדם.
2. מאגר של גוף ציבורי, למעט מאגר שכולל מידע על עובדי אותו גוף בלבד.

מי חייב בהודעה

לצד הרישום נוספה חובה נפרדת: חובת הודעה. מאגר שאינו חייב ברישום, אבל מכיל מידע בעל רגישות מיוחדת על 100,000 בני אדם ומעלה, חייב בהודעה לרשות להגנת הפרטיות בתוך 30 יום. כך, למשל, רשת מרפאות פרטית או חברה שמנהלת נתוני מיקום של משתמשים באפליקציה עשויות להיכנס לחובה הזו גם אם אינן עוסקות בסחר במידע.

מקור: הרשות להגנת הפרטיות - חובות בעלי מאגרי מידע

עסקים שמנהלים רשימות תפוצה צריכים לשים לב במיוחד לשורה הראשונה בטבלה. מי שמשתמש בדיוור אלקטרוני כדי לשווק את המוצרים של עצמו בדרך כלל אינו נכנס להגדרה, אבל מי שאוסף כתובות כדי לשלוח דיוור עבור אחרים, או כדי למכור את הרשימה, עשוי להיכנס אליה.

חשוב לזכור: פטור מרישום אינו פוטר מאף חובה אחרת בחוק או בתקנות. גם מאגר קטן שאינו רשום בשום פנקס חייב לעמוד בדרישות אבטחת המידע.

ארבע רמות האבטחה בתקנות

תקנות הגנת הפרטיות (אבטחת מידע) פורסמו ב-8 במאי 2017 ונכנסו לתוקף שנה מאוחר יותר, במאי 2018. הן חלות על כל מי שמחזיק מאגר מידע בישראל, אבל אינן דורשות מכולם את אותו הדבר. התקנות מחלקות את המאגרים לארבע קבוצות, לפי זהות המחזיק, מטרת המאגר, רגישות המידע, מספר האנשים שעליהם יש מידע ומספר בעלי ההרשאה.

מאגר המנוהל בידי יחיד

מאגר שמנהל אדם פרטי או תאגיד שבבעלותו, כשמלבדו יש לכל היותר שני בעלי הרשאה נוספים. הקטגוריה הזו אינה חלה על מאגר לדיוור ישיר, על מאגר שכולל מידע על 10,000 איש ומעלה, ועל מאגר שמכיל מידע החסוי מכוח סודיות מקצועית. כך, למשל, פסיכולוג עצמאי אינו נכנס לקטגוריה הזו גם אם הוא עובד לבד.

רמה בסיסית

מאגרים שאינם מנוהלים בידי יחיד, ואינם עונים על התנאים של הרמה הבינונית או הגבוהה. גם מאגר עם מידע על עובדים וספקים, שמשמש לניהול שוטף של העסק ויש לו עד 10 בעלי הרשאה, נשאר ברמה הבסיסית.

רמה בינונית

מאגרים שמטרתם מסירת מידע לאחרים, כולל דיוור ישיר, מאגרים של גופים ציבוריים, ומאגרים שמכילים מידע רגיש.

רמה גבוהה

רמת האבטחה הגבוהה חלה רק על מאגר שכבר נמצא ברמה הבינונית ובנוסף יש בו מידע על 100,000 בני אדם ומעלה, או שיש לו יותר מ-100 בעלי הרשאה. מאגר גדול שאינו מכיל מידע רגיש ואינו משמש לדיוור ישיר לא יגיע לרמה הזו רק בגלל גודלו.

מקור: תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017

ככל שהמאגר מטפס ברמות, מספר החובות גדל: תיעוד מפורט יותר, ביקורות תכופות יותר ודרישות מחמירות יותר לניהול הרשאות.

מה התקנות דורשות בפועל

מטרת התקנות היא לצמצם ככל האפשר את החשיפה של מידע אישי, ולמנוע ממנו לדלוף לגורמים שאינם מורשים לראות אותו. לשם כך הן מפרטות רשימה של אמצעים ארגוניים וטכנולוגיים. חלק מהם חלים על כל המאגרים, וחלק רק מהרמה הבינונית ומעלה.

מסמכים ונהלים

• הכנת מסמך הגדרות המאגר, שמתאר אילו נתונים נאספים, לשם מה, מאיפה הם מגיעים ולמי הם מועברים.
• כתיבת נוהל אבטחה שמסדיר את העבודה עם המאגר.
• מיפוי המערכות שבהן נשמר ומעובד המידע, ועריכת סקר סיכונים.

אנשים והרשאות

• ניהול כוח האדם שיש לו גישה למאגר בהתאם לרמת האבטחה.
• מתן הרשאות גישה רק למי שזקוק להן לצורך התפקיד, ובהיקף שהתפקיד מחייב.
• הגבלת השימוש בהתקנים ניידים - טלפונים, מחשבים ניידים והתקני אחסון - בתוך הארגון.

אבטחה, תיעוד וביקורת

• אמצעי אבטחה פיזיים וסביבתיים לשרתים ולציוד, ותיעוד של השימוש במאגר.
• תיעוד אירועי אבטחה ודיווח עליהם.
• ביקורות תקופתיות על רמת האבטחה של המאגר.

הדרישה שמתעלמים ממנה הכי הרבה היא ניהול ההרשאות: הרבה עסקים קטנים נותנים לכל העובדים גישה מלאה לכל המידע, וזו הפרה של התקנות גם כשאין שום דליפה. חלק ניכר מהדרישות מתחיל בהרגלים בסיסיים של כל עובד - סיסמאות, עדכוני תוכנה ונעילת מסך. מדריכים מעשיים בנושא זמינים אצלנו על הגנה על המחשב והמידע שבו ועל הגנה על הטלפון הסלולרי, שהוא היום אחד ההתקנים הניידים הנפוצים ביותר שדרכם עובדים ניגשים למידע של לקוחות.

קחו מקרה היפותטי: קליניקה לפיזיותרפיה עם שישה עובדים שומרת תיקים רפואיים בתוכנה בענן. בגלל המידע הבריאותי, המאגר נמצא ברמה בינונית. הקליניקה צריכה מסמך הגדרות, נוהל אבטחה, רשימת הרשאות שמבחינה בין מזכירה למטפל, ותיעוד של אירועים כמו שליחת קובץ לכתובת שגויה. היא אינה חייבת ברישום, ובהיקף כזה גם לא בהודעה.

ממונה על אבטחת מידע וממונה על הגנת הפרטיות

אחת השאלות הנפוצות של מנהלים היא האם הם חייבים למנות בעל תפקיד ייעודי לנושא. התשובה תלויה בסוג הארגון ובהיקף המאגרים שלו, והחוק מבחין כיום בין שני תפקידים שונים.

ממונה על אבטחת מידע

החובה למנות ממונה על אבטחת מידע חלה על:

• בעל שליטה או מחזיק בחמישה מאגרים או יותר שחייבים ברישום או בהודעה.
• גוף ציבורי.
• בנק.
• חברת ביטוח.
• חברת דירוג אשראי.

ממונה על הגנת הפרטיות (DPO)

תפקיד נוסף שהוסיף תיקון מס' 13 הוא ממונה על הגנת הפרטיות. החובה למנות אותו חלה על:

• גוף ציבורי.
• גוף שעוסק בסחר במידע על יותר מ-10,000 בני אדם.
• גוף שעיסוקו כולל ניטור שיטתי של אנשים, או עיבוד של מידע רגיש בהיקף ניכר.

רוב העסקים הקטנים והבינוניים אינם חייבים באף אחד משני הממונים, אבל עדיין נדרשים לעמוד בכל דרישות האבטחה שמתאימות לרמת המאגר שלהם. בפועל, גם בלי חובה פורמלית, ארגון צריך שמישהו יחזיק את התמונה המלאה: אילו מאגרים קיימים, מי ניגש אליהם, ומתי בוצעה הבדיקה האחרונה.

ההבחנה בין התפקידים חשובה. הממונה על אבטחת מידע עוסק בצד הטכנולוגי והארגוני של הגנת המאגר, ואילו הממונה על הגנת הפרטיות אחראי על השאלה הרחבה יותר: האם הארגון בכלל רשאי לאסוף ולעבד את המידע, באיזה היקף ולאיזו מטרה. ארגון גדול עשוי להידרש לשניהם.

מה קורה למי שלא עומד בחוק ובתקנות

תיקון מס' 13 החמיר באופן משמעותי את מנגנוני האכיפה. הקנסות המנהליים הוחלפו בעיצומים כספיים, שהם כלי אכיפה של הרשות להגנת הפרטיות, וסכומיהם גבוהים בהרבה. במקביל הורחבה האפשרות של אנשים לתבוע, ועודכנו העבירות הפליליות.

עיצומים כספיים

• אי רישום מאגר שחייב ברישום, או אי מסירת הודעה: 150,000 ש"ח, וכפל הסכום במאגר שכולל מידע על יותר ממיליון בני אדם.
• הפרת תקנות האבטחה ברמה בינונית: 20,000 עד 80,000 ש"ח, לפי סוג ההפרה.
• הפרת תקנות האבטחה ברמה גבוהה: 80,000 עד 320,000 ש"ח.
• הפרה ברמה בסיסית או במאגר המנוהל בידי יחיד: 1,000 עד 2,000 ש"ח.

סך העיצומים שיוטלו על ארגון לא יעלה על 5% מהמחזור השנתי שלו. התקרה הזו מגנה על עסקים קטנים מפני סכום שמכריע אותם, אבל עבור חברה גדולה היא עדיין סכום ניכר.

חשיפה לתביעות אזרחיות

אדם שהמידע עליו נפגע יכול לקבל פיצוי של עד 10,000 ש"ח בלי להוכיח שנגרם לו נזק, למשל כשמאגר שחייב ברישום לא נרשם. בנוסף בוטלה ההתיישנות המקוצרת של שנתיים, כך שהחשיפה לתביעה נמשכת זמן רב יותר. מי שמבקש לברר את הצד המעשי של הגשת תביעה כזו יכול לקרוא על הליך התביעה בבית משפט לתביעות קטנות.

אחריות פלילית

סעיף 31א לחוק, שקבע עונש של עד שנת מאסר על הפרות כמו ניהול מאגר בלי רישום, בוטל. במקומו נוספו עבירות חדשות שמכוונות למעשים חמורים יותר, למשל עיבוד מידע אישי בלי הרשאה, שהעונש עליו הוא עד 3 שנות מאסר. כלומר, הפרה מנהלית של חובת רישום מטופלת כיום בעיקר בעיצומים, ואילו שימוש פסול במידע עצמו נשאר בתחום הפלילי.

איך מתחילים לעמוד בדרישות - סדר פעולות מעשי

האכיפה בתחום הולכת ונעשית הדוקה, ולכן כדאי לכל ארגון, גדול כקטן, לבצע בדיקה מסודרת של המידע שהוא מחזיק. אין צורך להתחיל ממערכות יקרות; רוב העבודה היא מיפוי והחלטות.

1. מיפוי: רשימה של כל המקומות שבהם נשמר מידע אישי - תוכנות, גיליונות, תיבות דואר, מערכות ענן, טלפונים של עובדים.
2. סיווג: לכל מאגר - על כמה אנשים יש בו מידע, האם יש בו מידע בעל רגישות מיוחדת, כמה בעלי הרשאה יש לו, ומה מטרתו.
3. קביעת הרמה: לפי הסיווג, לשייך כל מאגר לאחת מארבע רמות האבטחה.
4. בדיקת רישום והודעה: לבדוק אם המאגר נופל לאחת מהקטגוריות שמחייבות רישום, או לחובת ההודעה בתוך 30 יום.
5. מסמכים: לכתוב מסמך הגדרות מאגר ונוהל אבטחה שמתאימים לרמה.
6. צמצום: למחוק מידע שאין בו צורך ולצמצם הרשאות. מאגר קטן יותר הוא גם מאגר בסיכון נמוך יותר.
7. ביקורת חוזרת: לקבוע מועד קבוע לבדיקה מחדש, כי מאגרים גדלים ומשתנים.

צעד הצמצום הוא לעיתים קרובות המשתלם ביותר: כל שדה שלא נאסף הוא שדה שאין צורך לאבטח. מאגר שעובר מעל 100,000 בני אדם או מעל 100 בעלי הרשאה עשוי לקפוץ לרמת אבטחה גבוהה, ולכן כדאי לעקוב אחרי שני המספרים האלה באופן שוטף. שימו לב: זה המשפט היחיד המודגש בסעיף לצד כותרות הצעדים, כי הוא שמכריע את גובה העיצום האפשרי.

חובות הפרטיות אינן החובה החוקית היחידה שחלה על פעילות דיגיטלית של עסק. אתר שאוסף פרטים של גולשים צריך לעמוד גם בדרישות של הנגשת אתרי אינטרנט, וטפסים ובוטים לשירות לקוחות, כמו צ'טבוט בפייסבוק, אוספים לא פעם מידע אישי שנכנס בעצמו להגדרת מאגר. בדיקה אחת שמכסה את כל נקודות האיסוף חוסכת הפתעות בהמשך.

מקורות

• ספר החוקים - חוק הגנת הפרטיות (תיקון מס' 13)
• הרשות להגנת הפרטיות - תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017
• הרשות להגנת הפרטיות - חובות בעלי מאגרי מידע
• הרשות להגנת הפרטיות - מדריך מקצועי לתיקון מס' 13 לחוק הגנת הפרטיות