תקנות הגנת הפרטיות (אבטחת מידע) התשע”ז-2017, הן הצד המעשי והמחייב של אבטחת מאגרי מידע בישראל. חשוב להבין שהן ממש לא נועדו רק לחברות ענק, בנקים או גופים ממשלתיים נסתרים. למעשה, כל עסק, חברה או ארגון שמחזיק מידע אישי על לקוחות, ספקים, עובדים או משתמשים, מחויב להכיר אותן לעומק ולפעול על פיהן.
התקנות הללו מגדירות את החובות ואת תקנות החוק, ומי שבוחר להתעלם מהן או לא לעמוד בהן עלול לגלות שהמחיר הכספי והמשפטי שיידרש לשלם יהיה גבוה במיוחד. בדיוק בגלל זה שווה לעשות סדר ולהבין בדיוק מה הרגולטור מצפה מכם בשוטף, ובשביל זה אנחנו כאן!
מה הן תקנות הגנת הפרטיות (אבטחת מידע) בישראל?
חוק הגנת הפרטיות התשמ”א-1981, הניח את הבסיס המשפטי להגנה על מידע אישי, אך במשך שנים לא כלל דרישות טכניות ברורות. כדי למלא את הפער הזה, גיבש משרד המשפטים את תקנות אבטחת המידע שאושרו ב-2017 ונכנסו לתוקף במאי 2018, לאחר שנת הכנה. התקנות הותקנו מכוח סעיף 36 לחוק וקובעות את הכלי המעשי לאכיפת חובת האבטחה.
מטרת התקנות היא לחזק את ההגנה על המידע האישי של כל אחד ואחת מאיתנו. משום כך, כל גוף שמנהל או מחזיק מידע אישי חייב לעמוד בתקנות הגנת הפרטיות, בין אם מדובר בחברה פרטית, עמותה, גוף ציבורי או עוסק עצמאי. יתרה מכך, הגדרות כמו “בעל מאגר” ו”מחזיק מאגר” בחוק קובעות שגם ספקי שירות חיצוניים, כמו שותפים או קבלני משנה המעבדים נתונים עבור ארגון אחר, כפופים באופן מלא לאותן דרישות מחמירות.
ההבדל בין התקנות הישראליות לרגולציית GDPR האירופית
בעוד שתקנות ה- GDPR מגדירות עקרונות רחבים ומשאירות לכל ארגון מרחב תמרון להחליט על האמצעים המתאימים לו, התקנות הישראליות מגדירות חובות טכנולוגיות ומשפטיות ספציפיות בהתאם לרמת האבטחה של המאגר. בנוסף, ה- GDPR חל גלובלית גם על חברות זרות שמשרתות אזרחים אירופים, בעוד שהחוק הישראלי מתמקד בעיקרו בפעילות המקומית.
חברות טכנולוגיה שנדרשות לעמוד בתקנות הישראליות והאירופאיות במקביל חוות נטל כפול, ולכן לא במקרה בנייני משרדים חדשים המיועדים לחברות טכנולוגיה מתוכננים כיום מראש עם תשתיות תקשורת ואבטחת מידע מתקדמות שעונות על הדרישות המחמירות.
רמות האבטחה במאגרי מידע לפי התקנות
מאגר המנוהל על ידי יחיד
קטגוריה זו מיועדת לגופים קטנים בסדר גודל מצומצם מאוד: מאגר שמנוהל על ידי אדם אחד, שלא יותר משלושה אנשים מקבלים גישה אליו, מכיל פחות מ-10,000 נושאי מידע ואין בו מידע רגיש או מידע הכפוף לחסיון מקצועי. שווה לציין שגם על מאגרים כאלה חלות חובות מינימליות, והם אינם פטורים לחלוטין מחובת אבטחה בסיסית.
רמת אבטחה בסיסית
רמה זו חלה על מרבית העסקים הקטנים והבינוניים שאינם עומדים בסף הבינוני או הגבוה. החובות כוללות עריכת נוהל אבטחה ארגוני בכתב, ניהול הרשאות גישה, זיהוי ואימות משתמשים, אבטחה פיזית של מערכות, וניהול גיבויים. למרות השם “בסיסית”, מדובר בדרישות מהותיות עבור רבים מהעסקים.
רמת אבטחה בינונית
רמה בינונית חלה על מאגרים שמעבירים מידע לאחרים, מאגרים בבעלות גוף ציבורי, או מאגרים המכילים מידע רגיש שליותר מעשרה אנשים יש גישה אליו. החובות הנוספות כוללות דרישות מחמירות יותר לניטור אירועים, רישום וניהול מידע, ודיווח מיידי לרשות להגנת הפרטיות על אירועי אבטחה חמורים.
רמת אבטחה גבוהה
מאגרי מידע שפגיעה בהם מסכנת את הפרטיות ואשר מסווגים ברמת אבטחה גבוהה, נדרשים לבצע סקר סיכונים וכן בדיקות ייעודיות אחת ל-18 חודשים. רמה האבטחה הגבוהה חלה על מאגרים שמעבירים מידע ומכילים נתונים על 100,000 אנשים לפחות, או על מאגרים עם מידע רגיש שליותר ממאה אנשים יש גישה אליו. בנקים, קופות חולים וחברות ביטוח הם דוגמאות אופייניות.
החובות המרכזיות המוטלות על בעלי מאגרי מידע
מסמך הגדרות המאגר
מסמך הגדרות המאגר הוא מסמך פנים-ארגוני שמרכז את כל המאפיינים של המאגר: שמו, מטרותיו, סוגי המידע, קטגוריות המשתמשים המורשים ואמצעי האבטחה המיושמים. הרשות להגנת הפרטיות פרסמה תבנית לדוגמה, אך כל ארגון מחויב להתאים אותה למציאות שלו. המסמך צריך לאפשר לרגולטור ולמנהל הארגון להבין כיצד המידע מנוהל ומוגן בצורה שקופה וברורה.
מינוי אחראי על אבטחת מידע
ארגונים ששומרים על מידע רגיש חייבים למנות איש מקצוע שזו האחריות הבלעדית שלו. תפקידו לכתוב את הנהלים, לוודא שמיישמים אותם בשטח, לערוך סקרי סיכונים ולטפל בתקלות אבטחה בזמן אמת. בדרך כלל ממנים לתפקיד את מנהל מערכות המחשוב (IT), והדגש החשוב הוא לתת לו עצמאות מקצועית אמיתית ולא רק תואר על הנייר.
ניהול הרשאות גישה ואבטחה פיזית
בקרת הגישה וההרשאות היא כלי מניעה חשוב אשר מבטיח שכל עובד יקבל גישה רק למידע הנחוץ לתפקידו, ושגישה זו תישלל עם סיום תפקידו. זאת לצד אבטחה פיזית הכוללת נעילת חדרי שרתים, בקרת כניסה והגנה על ציוד נייד. כמובן שזהו שיקול שכדאי להביא בחשבון כבר בשלב בחירת הנכס ותמיד עדיף לבחור משרדים להשכרה בתל אביב במתחם מאובטח עם בקרת כניסה ואבטחה 24/7 שכבר עונים על הדרישות הנ”ל.
התקשרות עם ספקים חיצוניים (תקנה 15)
רוב הארגונים אינם מחזיקים את המידע לבדם: שירותי ענן, מערכות CRM, חברות גבייה ומוקדי שירות נוגעים כולם במאגר. תקנה 15 מחייבת לבחון את סיכוני ההתקשרות עוד לפני החתימה, ולהגדיר בהסכם אילו נתונים הספק רשאי לעבד, לאילו מטרות, לאילו מערכות תהיה לו גישה, מה חובות הסודיות שלו, כיצד הוא מדווח על אירוע אבטחה וכיצד המידע מוחזר או מושמד בתום ההתקשרות. חשוב להבין שהעברת העבודה לספק אינה מעבירה אליו את האחריות: בעל המאגר נשאר האחראי מול הרשות, ולכן עליו גם לוודא בפועל שהספק עומד בתנאים. ארגונים ששוקלים מיקור חוץ של תהליך שנוגע במידע אישי נדרשים לכלול את הבדיקה הזו כחלק מתהליך הבחירה, ולא כנספח משפטי בדיעבד.
תיעוד ודיווח על אירועי אבטחה חמורים
אם מתרחשת פריצה או תקלת אבטחה חמורה במאגר, בעל המאגר חייב לדווח על כך לרשם מאגרי המידע כמה שיותר מהר. בשנים האחרונות הרשות הבהירה שהדיווח חייב להיעשות באופן מיידי, ושאסור להמתין עד לסיום החקירה הפנימית או לבירור כל הפרטים. בנוסף, החוק מחייב לשמור תיעוד מפורט ומלא של כל האירוע ושל אופן הטיפול בו למשך תקופה של לפחות שנתיים (24 חודשים).
סקרי סיכונים ומבדקי חדירה
חובה לערוך סקר סיכונים תקופתי כדי לוודא שמערך האבטחה אכן עומד בדרישות הרגולציה והמציאות המשתנה. למאגרים המסווגים ברמת אבטחה גבוהה ישנה דרישה מחמירה נוספת: לבצע מבדקי חדירה מקצועיים אחת ל-18 חודשים לפחות. סקרי סיכונים ומבדקים מייצרים מעגל קבוע של שיפור מתמיד, שבו כל ממצא או חולשה מתורגמים מיד לפעולות, כך שמדובר בכלי ניהולי חשוב מאין כמוהו, ולא רק בבדיקה טכנית יבשה.
תיקון 13 לחוק הגנת הפרטיות והשלכותיו על התקנות
תיקון 13, שאושר בכנסת באוגוסט 2024 ונכנס לתוקף ב-14 באוגוסט 2025, הוא הרפורמה המקיפה ביותר בחוק הגנת הפרטיות מאז חקיקתו. כלומר, אלו אינן דרישות עתידיות אלא חובות שכבר חלות היום. הוא מעדכן הגדרות, מצמצם ומייעל חובות רישום, מרחיב סמכויות אכיפה, ומוסיף פיצוי סטטוטורי לנפגעי פרטיות, ללא צורך להוכיח נזק ממשי.
- חובת מינוי ממונה הגנת פרטיות (DPO): התיקון מחייב גופים ציבוריים, מאגרי מידע גדולים המיועדים לשיווק ולהעברת מידע, וארגונים המעבדים מידע רגיש בהיקף נרחב למנות אחראי על הגנת פרטיות.
- הרחבת סמכויות האכיפה של הרשות: הרשות להגנת הפרטיות יכולה כיום להטיל עיצומים כספיים משמעותיים על גופים שונים שאינם מיישמים את החוק. זהו שינוי מהותי שהופך את יישום החוק לצו מחייב בעל משמעות כלכלית.
כיצד להיערך ליישום התקנות בארגון?
מיפוי מאגרי המידע והתהליכים הארגוניים
הצעד הראשון יהיה למפות את כל מאגרי המידע הקיימים בארגון: מה מכיל כל מאגר, מי ניגש אליו, לאיזו מטרה הוא משמש ואיך המידע זורם בין מערכות. ככל שהמידע מצומצם, כך הסיכון פוחת, ולכן עיקרון המינימיזציה הוא שיקול אסטרטגי ולא רק עניין טכני.
ביצוע סקר פערים וסיכונים
לאחר המיפוי יהיה עליכם להשוות את המצב הקיים לדרישות החוק בהתאם לרמת האבטחה הרלוונטית ולזהות היכן ישנם פערים. כדאי להיעזר בהנחיות הרשות להגנת הפרטיות בשלב זה, הן מספקות מסגרת ברורה ובעזרתם תוכלו לתעדף את הפעולות הנדרשות.
בניית תוכנית עבודה ויישום מעשי
תוכנית העבודה חייבת לכלול לוחות זמנים ברורים, חלוקת תפקידים ואחראים מוגדרים לכל משימה. כדי לעשות סדר, המאגרים הרגישים והמסוכנים ביותר מטופלים ראשונים, ויתר המאגרים משולבים בהדרגה לפי סדר עדיפויות. בשורה התחתונה, צריך לוודא שכל אמצעי אבטחה שבוחרים ליישם אכן עונה במלואו על כל דרישות החוק והתקנות.
הכשרת עובדים ובקרה תקופתית
ההיערכות הזו קלה יותר כשסביבת העבודה עצמה עובדת לטובתכם. פארק עתידים תל אביב בנוי כ”עיר בתוך עיר”: מתחם מנוהל שבו האבטחה הפיזית, בקרת הכניסה והתשתיות הן חלק מהשירות ולא פרויקט נפרד שצריך להקים מאפס, ולצידם קהילה עסקית של חברות טכנולוגיה, פיננסים ומדעי החיים, קולינריה, ספורט ומרחבים ירוקים שהופכים את המתחם למקום שעובדים רוצים לשהות בו. עבור ארגון שנערך ליישום התקנות זה ההבדל בין להתחיל מאפס לבין להתחיל מחצי הדרך.
הכשרות תקופתיות לעובדים, סימולציות פישינג, ונהלים ברורים, כל אלו ועוד חשובים לא פחות מהתקנת חומות אש מתקדמות. לצד זאת, חובה לבצע בקרה תקופתית שוטפת ולעדכן את הנהלים בהתאם לאיומים חדשים שמתפתחים בשטח. כדי לנהל את תהליכי הלמידה והטמעה בנוחות ומבלי לפגוע בשטף העבודה, ארגונים רבים נעזרים בחדר הרצאות להשכרה ומעבירים את ההדרכות הללו בסביבה מקצועית ומרוכזת, מחוץ לשטף העבודה היומי.
עונשים וסנקציות בגין הפרת התקנות
ההשלכות של אי ציות לתקנות הן דרמטיות, וכוללות שורה של סנקציות כלכליות ומשפטיות:
- עיצומים כספיים ואחריות פלילית – שימוש או פרסום מידע ללא הסכמה הם עבירה פלילית ומנהלית. מלבד קנסות כבדים, הרשות מפרסמת דו”חות ביקורת פומביים שיוצרים נזק תדמיתי אנוש לארגונים, פגיעה שבמקרים רבים כואבת לכיס אפילו יותר מקנס כספי.
- תביעות אזרחיות ותובענות ייצוגיות – תיקון 13 מאפשר לנפגעים לדרוש פיצוי סטטוטורי בלי להוכיח נזק. בשילוב עם תביעות ייצוגיות, דליפת מידע עלולה לחשוף חברות לנזק כלכלי של מאות מיליונים ולכן זהו סיכון אסטרטגי שיש לקחת בחשבון.
שאלות נפוצות על תקנות אבטחת מידע בישראל
מהן התקנות לגבי אבטחת מידע בישראל?
תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017, הן מסגרת רגולטורית המגדירה חובות טכניות וארגוניות לשמירה על מידע אישי במאגרי מידע, בהתאם לרמת הסיכון של כל מאגר.
על מי חלות תקנות הגנת הפרטיות (אבטחת מידע)?
על כל בעל מאגר ומחזיק מאגר: בין אם אלו עסקים, עמותות, גופים ציבוריים ובין אם עצמאיים שמנהלים מידע אישי באופן שיטתי, למעט מאגרים קטנים המנוהלים על ידי יחיד.
מהי תקנה 15 לאבטחת מידע?
תקנה 15 עוסקת במיקור חוץ. היא מחייבת בעל מאגר שמעניק לגורם חיצוני גישה למאגר לבחון מראש את סיכוני ההתקשרות, ולעגן בהסכם אילו נתונים הספק רשאי לעבד, לאילו מטרות, לאילו מערכות תהיה לו גישה וכיצד המידע מוחזר או מושמד בתום ההתקשרות. חובת השמירה של נתוני האבטחה למשך 24 חודשים לפחות מעוגנת דווקא בתקנה 17(א), ותיעוד בקרת הגישה – בתקנה 10(ד).
מה ההבדל בין רמת אבטחה בסיסית לרמת אבטחה גבוהה?
רמה בסיסית מחייבת נהלי אבטחה כתובים, ניהול הרשאות ואבטחה פיזית. רמה גבוהה מוסיפה על כך ניטור מתקדם, סקרי סיכון ובדיקות תקופתיות, מינוי ממונה אבטחת מידע, ודיווח מיידי לרשות על כל אירוע חמור.
מה כולל מסמך הגדרות המאגר?
את שם המאגר, זהות הבעלים והמחזיק, סוגי המידע, מטרות העיבוד, המשתמשים המורשים, אמצעי האבטחה, ארכיטקטורת המערכות ותקופות שמירת הנתונים.
מהי חובת הדיווח על אירוע אבטחה חמור?
בעלי מאגרים הנדרשים לרמת אבטחה בינונית וגבוהה מחויבים לדווח לרשות להגנת הפרטיות מיד כשמגלים על האירוע או אם נוצר חשד סביר לקיומו, ולהמשיך לעדכן את הרשות ככל שמתקבל מידע נוסף. אין לדחות את הדיווח.
האם עסק קטן חייב לעמוד בתקנות אבטחת מידע?
כן, ללא יוצא מן הכלל כמעט. עסק קטן שמפעיל מאגר מידע אישי כפוף לתקנות, אם כי ברמת החובות המינימלית. רק מאגר המנוהל על ידי יחיד בהיקף מצומצם מאוד נהנה מהקלות משמעותיות, וגם אז, חלה עליו חובת אבטחה בסיסית.
מה ההבדל בין תקנות הגנת הפרטיות הישראליות ל-GDPR?
התקנות הישראליות מגדירות חובות ספציפיות בהתאם לרמות אבטחה, בעוד שה- GDPR מגדיר עקרונות רחבים שיש לפעול על פיהם ומשאיר גמישות רבה יותר לארגונים. ה- GDPR חל גם על חברות זרות שמשרתות אזרחים אירופים. ארגונים שמיישמים את תקנות ה- GDPR עומדים בדרך כלל גם בדרישות הישראליות.
מעוניינים במידע נוסף על פארק עתידים תל אביב? דברו עם שני עליזי, מנהל נכסים בפארק עתידים תל אביב, בטלפון *8485.